Оператор персональных данных: кто им становится и что обязан делать
Слово «оператор» звучит так, будто речь про телеком или дата-центр. На деле оператором становится ИП с формой обратного звонка на одностраничнике. Статус возникает сам, без заявления и без реестра – по факту того, что вы делаете с чужими данными.
Определение из закона
Пункт 2 статьи 3 152-ФЗ: оператор – это государственный орган, муниципальный орган, юридическое или физическое лицо, «самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными».
Ключевое слово – «определяющие цели». Оператор тот, кто решает, зачем собираются данные. Подрядчик, который обрабатывает их по вашему поручению (хостер, CRM, колл-центр), оператором не становится – ответственность остаётся на вас.
Почему это почти наверняка про вас
Обработка – это любое действие с данными: сбор, запись, хранение, передача, удаление. Собирать данные автоматизированно вы начинаете в момент, когда посетитель нажал «Отправить».
Достаточно одного из:
- форма заявки, обратного звонка или подписки;
- корзина интернет-магазина с полем «Телефон»;
- онлайн-запись к специалисту;
- личный кабинет с регистрацией;
- база клиентов в CRM или даже в таблице.
Имя и телефон – уже персональные данные. Отдельный случай – cookie и идентификаторы систем аналитики: Роскомнадзор относит их к персональным данным, когда по ним можно выйти на конкретного человека.
Что вы обязаны как оператор
- Подать уведомление в Роскомнадзор до начала обработки (ст. 22 152-ФЗ) и попасть в реестр операторов. Бесплатно, через Госуслуги – пошагово.
- Опубликовать политику обработки персональных данных в свободном доступе (ст. 18.1 ч. 2) – что в ней должно быть.
- Брать согласие до сбора данных, а на рассылку – отдельным чекбоксом от основного согласия (как это выглядит на практике).
- Хранить данные россиян на серверах в России (ст. 18 ч. 5) – про локализацию.
- Уведомлять об изменениях – новые цели обработки или иностранные сервисы, не позднее 15-го числа следующего месяца.
- Сообщать об утечке в РКН в течение 24 часов (что делать при утечке).
Цена невыполнения
Штрафы по статье 13.11 КоАП РФ выписывают за каждое нарушение отдельно, и они складываются. За неподачу уведомления – 100 000–300 000 ₽ для юрлиц и ИП (ч. 10, действует с 30 мая 2025 года). ИП платят как юрлица: это прямо сказано в примечании к статье. Разбор по составам и суммам.
Отсутствие в реестре – самый заметный снаружи признак. Реестр публичный, форма на сайте видна любому, сопоставить одно с другим можно без выездной проверки.
С чего начать
Посмотрите, есть ли вы в реестре: проверка по ИНН занимает 10 секунд. Нет – готовьте уведомление, черновик с подставленными данными вашего сайта LawCheck соберёт сам. Есть – сверьте, что заявленное в реестре совпадает с тем, что на самом деле собирают ваши формы.
Проверить свой сайт за 60 секунд →