Кто такой оператор персональных данных и за что он отвечает
Если у вас есть база клиентов, форма заявки на сайте или личные дела сотрудников — вы, скорее всего, оператор персональных данных. Даже если никогда так себя не называли. А оператор — это не просто слово в законе, это набор обязанностей, за неисполнение которых штрафуют.
Разберу, кто становится оператором, что он обязан делать и чем отличается от тех, кто просто помогает обрабатывать данные.
Кто становится оператором
Оператор — это лицо, которое самостоятельно или вместе с другими организует и (или) осуществляет обработку персональных данных и определяет её цели, состав и действия.
Ключевое слово — «определяет цели». Оператор решает, зачем данные собираются и что с ними делают.
Примеры операторов:
- интернет-магазин с базой клиентов;
- сайт с формой обратной связи;
- работодатель с личными делами;
- клиника с картами пациентов;
- сервис с личными кабинетами.
Масштаб не важен. ИП с таблицей клиентов в Excel — такой же оператор, как корпорация с CRM на миллион записей. Обязанности те же, разница в объёме работы по их исполнению.
Обязанности оператора
Перечень обязанностей разбросан по 152-ФЗ, но сводится к нескольким блокам.
Назначить ответственного. Того, кто внутри компании отвечает за организацию обработки ПДн.
Принять меры защиты. Организационные и технические. Уровень зависит от категории данных и числа субъектов — по постановлению правительства № 1119. Подробно об этом в статье про защиту.
H0 . До начала обработки, кроме случаев-исключений.
Опубликовать политику. Документ о том, какие данные, зачем и как вы обрабатываете. Обязателен, если данные собираются.
Отвечать на запросы субъектов. Человек вправе спросить, какие его данные вы храните, и требовать их уточнения, блокировки или уничтожения.
Хранить данные в России. Запись, систематизация и хранение ПДн россиян — на серверах в РФ. Это требование локализации, ст. 18.
Сообщать об утечках. Если данные утекли, оператор обязан уведомить Роскомнадзор в установленный срок.
Оператор и обработчик — в чём разница
Часто данные обрабатывает не сам оператор, а подрядчик: CRM, хостинг, сервис рассылок, бухгалтерия на аутсорсе. Это обработчики по поручению.
Разница принципиальная. Оператор определяет цели и отвечает за законность всей цепочки. Обработчик делает то, что ему поручили, и не может использовать данные для своих целей.
Отношения оформляют поручением или договором. В нём фиксируют, какие данные, для чего, как защищаются. Без этого — нарушение.
Классический провал: компания отдала базу в облачный CRM за рубеж и считает, что теперь за данные отвечает CRM. Нет. Оператор — по-прежнему вы, и трансграничная передача — ваш риск.
Ответственность
За нарушения в работе с персональными данными штрафуют по ст. 13.11 КоАП. Штрафы различаются по составам: за обработку без основания, за неуведомление Роскомнадзора, за утечку.
Утечка — самое дорогое. С 30 мая 2025 года штраф за утечку зависит от числа пострадавших: от 3 до 15 миллионов рублей, а повторная утечка — оборотный штраф от 1 до 3 процентов годовой выручки.
Отсюда простой вывод. Быть оператором — не привилегия, а ответственность. И первый шаг к тому, чтобы не попасть на штраф, — понять, что вы оператор, и навести порядок в данных.
Для компаний у нас есть self-hosted вариант: разворачиваете Mask Gate в своём контуре, данные не покидают инфраструктуру. Условия и контакты — на maskgate.ru/pricing.
Частые вопросы
Я ИП с таблицей клиентов — я оператор? Да. Если вы обрабатываете данные людей и определяете, зачем, — вы оператор.
Нужно ли регистрироваться как оператор? Регистрации как таковой нет. Есть обязанность уведомить Роскомнадзор до начала обработки, кроме исключений. Подробнее в статье про уведомление.
Если я передал данные подрядчику, кто отвечает? Отвечаете вы как оператор. Подрядчик — обработчик, работает по вашему поручению.
Что будет, если не назначить ответственного за ПДн? Это отдельное нарушение со своим штрафом.
Обязан ли оператор уведомлять Роскомнадзор всегда? Не всегда — есть исключения в ст. 22.
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.
Связанные статьи
- Что такое персональные данные
- Защита персональных данных
- Уведомление в Роскомнадзор
- Реестр операторов Роскомнадзора
- Политика обработки ПДн
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.