Как определить: является ли компания оператором персональных данных

Если компания собирает, хранит или использует персональные данные (ПДн), она может считаться оператором — а это налагает ряд обязанностей. За игнорирование этих требований Роскомнадзор может наложить штраф (до 100 тыс. руб. по ст. 13.11 КоАП РФ), заблокировать сайт или даже инициировать уголовное преследование (если речь о нарушении прав субъекта данных).

Например: в 2023 году интернет-магазин получил штраф за то, что не уведомил Роскомнадзор об обработке ПДн, хотя просто собирал заявки с сайта. Формально — он уже был оператором, но этого не осознавал.

Оглавление:

1. Кто такой оператор по закону
2. Что считается обработкой персональных данных
3. Примеры ситуаций, когда бизнес становится оператором
4. Когда вы не оператор
5. Как понять, что вы — оператор: практический чек‑лист
6. Что обязан делать оператор ПДн
• Уведомить Роскомнадзор
• Разработать политику обработки ПДн
• Получать согласия субъектов
• Назначить ответственного по ПДн
• Обеспечивать защиту персональных данных
7. Разбор типичных ситуаций: вы оператор или нет
• У компании сайт с формой обратной связи
• Компания использует подрядчика (например, колл-центр или маркетологов)
• Вы используете SaaS (например, CRM типа amoCRM, Tilda или Google Forms)
• У вас в компании только бухучет и внутренние таблицы
8. А как быть с куки и IP-адресами
9. Итоги: как действовать бизнесу
10. Последнее уточнение

Кто такой оператор по закону

Оператором называют организацию или индивидуального предпринимателя, который не просто работает с персональными данными, а сам решает, зачем они ему нужны и как именно с ними обращаться. То есть он самостоятельно устанавливает цели — будь то кадровый учет, маркетинг, работа с клиентами.

Также выбирает, где и как хранить данные: в бумажных анкетах, Excel-таблицах, CRM и так далее, действует от своего имени, а не выполняет чужой заказ по обработке информации.

Если вы собираете персональные данные и сами решаете, что с ними делать, — вы, скорее всего, уже оператор. Даже если у вас маленький бизнес без юриста.

Что считается обработкой персональных данных

По закону п. 2 ст. 3 ФЗ-152, обработка — это любое действие с персональной информацией. Не только передача или хранение, но и простейшие вещи:

• записали имя и телефон клиента в блокнот — уже обработка;
  

• внесли почту в таблицу для рассылки — тоже обработка;
  

• исправили дату рождения в анкете — обработка;
  

• удалили старый список клиентов — и это обработка.
  

Закон охватывает весь цикл: от момента, когда вы впервые увидели данные, до момента, когда решили от них избавиться.

Примеры ситуаций, когда бизнес становится оператором

Когда вы не оператор

Важно понимать, что не каждый случай обращения с данными автоматически делает вас оператором. Вот исключения:

1. Вы обрабатываете данные только для личных/семейных нужд
• Например, ведете адресную книгу для собственных целей.
• Подтверждено в п. 2 ст. 1 ФЗ‑152: закон не распространяется на личное использование.
2. Вы не можете идентифицировать субъект
• Например, храните статистику сайта без IP и cookies (редко, но возможно).
3. Вы — не оператор, а обработчик
• Это означает, что другой бизнес поручил вам работать с ПДн по договору. В таком случае именно он — оператор, а вы — технический исполнитель (подрядчик). Однако даже в этом случае на вас распространяются правила по ст. 6 ФЗ-152, включая обязательства соблюдать безопасность и не использовать данные для своих целей.

Как понять, что вы — оператор: практический чек‑лист

Чтобы избежать ошибок, проверьте каждый из следующих пунктов. Если на один или более вы отвечаете «да», то почти наверняка вы — оператор персональных данных.

Примечание: отсутствие сайта или большого бизнеса — не аргумент. Даже ИП без сотрудников, ведущий рассылку, может подпадать под статус оператора.

Что обязан делать оператор ПДн

Если хотя бы один пункт из чек-листа — про вас, значит, вам нужно соблюдать обязанности оператора, перечисленные в законе. Иначе — административная ответственность по ст. 13.11 КоАП РФ.

1. Уведомить Роскомнадзор

Подать уведомление о начале обработки ПДн (в электронном виде через pd.rkn.gov.ru).
 Исключение — только если вы обрабатываете ПДн исключительно в рамках трудовых отношений или по прямому закону (п. 2 ст. 22 ФЗ‑152).

2. Разработать политику обработки ПДн

Политика должна быть опубликована в открытом доступе.
 Содержит цели, категории ПДн, меры защиты, права субъектов — по ст. 18.1 ФЗ-152.

3. Получать согласия субъектов

Если обработка основана не на законе или договоре, требуется добровольное информированное согласие.
 Обязательно указывается цель, объем данных и право на отзыв (ст. 9 ФЗ‑152).

4. Назначить ответственного по ПДн

Это может быть сотрудник или сам руководитель. Обязан вести документацию, проверять соблюдение режима защиты и взаимодействовать с Роскомнадзором.

5. Обеспечивать защиту персональных данных

Включает:

•  технические меры (SSL, пароли, антивирус);
•  организационные (ограничение доступа, обучение сотрудников);
•  обработка рисков утечек (инструкции, протоколы реагирования).

Разбор типичных ситуаций: вы оператор или нет?

У компании сайт с формой обратной связи

Собираются ФИО, e-mail, телефон.
  Даже если вы не храните их «в системе», факт приема = сбор.
  Вы — оператор. Требуется политика, согласие, защита.
  См. ст. 5 ФЗ‑152

Компания использует подрядчика (например, колл-центр или маркетологов)

Они получают данные ваших клиентов.
 Вы — оператор. Они — обработчики (ст. 6 ФЗ‑152).
 Требуется письменный договор с обязанностями обработчика:

• не использовать ПДн в своих целях,
  

• соблюдать режим конфиденциальности,
  

• обеспечивать защиту.
   Образец см. в письме Роскомнадзора от 11.11.2013 № 08-9256.

Вы используете SaaS (например, CRM типа amoCRM, Tilda или Google Forms)

Если вы решаете, какие данные собирать, зачем и что с ними делать — вы оператор.
  Платформа (Tilda, Notion и т. д.) — обработчик.
  Вам необходимо:

• заключить соглашение с платформой;
  

• удостовериться, что данные не выходят за пределы РФ (иначе — трансграничная передача по ст. 12 ФЗ‑152).

У вас в компании только бухучет и внутренние таблицы

Даже если вы не взаимодействуете с клиентами, но храните ПДн сотрудников (ФИО, СНИЛС, паспортные данные, адрес проживания) — вы оператор.
См. разъяснение Минцифры № МП-П15‑007‑19883 от 14.07.2021.

А как быть с куки и IP-адресами?

Согласно позиции Роскомнадзора, куки, IP, MAC-адрес, геолокация и поведенческие данные также могут быть признаны персональными, если позволяют идентифицировать человека — напрямую или опосредованно.

Поэтому если ваш сайт ведет аналитическую обработку, собирает cookies и метки UTM, показывает таргетированную рекламу — вы должны уведомлять пользователя об этом и запрашивать согласие.

См. Постановление Конституционного суда № 8-П от 17.07.2020.

Итоги: как действовать бизнесу

1. Проведите аудит обработки ПДн
     Проверьте, какие данные собираются, кто имеет к ним доступ, какие есть риски.
     Сформируйте карту обработки: источники, цели, правовые основания.
   

2. Закрепите ответственность
     Назначьте сотрудника (или себя) ответственным за работу с ПДн. Фиксируйте это в приказе.
   

3. Уведомите Роскомнадзор
     Даже если вы микробизнес с 1 сайтом — уведомление потребуется, если вы работаете с клиентами, подписчиками или заявками.
   

4. Разработайте документы
     — Политика обработки персональных данных
     — Согласия (на сайте, в договорах)
     — Договоры с обработчиками (подрядчиками)
     — Журнал обработки/учета запросов
   

5. Обеспечьте безопасность
    Установите пароли, ограничьте доступ, шифруйте каналы (HTTPS), обучите сотрудников.

Последнее уточнение

Законодательство в сфере ПДн развивается: особенно в свете импортозамещения, роста цифровизации и внедрения искусственного интеллекта.
 Поэтому даже если вы уверены, что «ничего серьезного не делаете», лучше провести базовую проверку и формализовать процессы. Это убережет от штрафов и укрепит доверие клиентов.