Что обязан делать оператор персональных данных
Оператором становится любая компания, которая собирает данные людей, — от интернет-магазина до кадровой службы на пять человек. Разбираем обязанности по этапам: что сделать до начала обработки, что держать внутри компании, что отвечать субъектам и в какие сроки.
Кто считается оператором
Оператор — лицо, которое самостоятельно или совместно с другими определяет цели обработки персональных данных, состав данных и действия с ними. Определение не привязано ни к отрасли, ни к обороту, ни к наличию ИТ-системы: оператором может быть ООО с одним сотрудником, индивидуальный предприниматель и некоммерческая организация.
«Мы не оператор: данные лежат в чужом сервисе — в CRM, в облачной бухгалтерии, у службы доставки».
Оператор — тот, кто решил собирать данные и зачем. Сервисы обрабатывают их по поручению оператора, и ответственность перед человеком и регулятором остаётся на компании, а не на подрядчике.
Практический признак простой: если компания решает, какие поля запрашивать у человека и что с ними делать дальше, она оператор. Отсюда и весь набор обязанностей ниже.
Что сделать до начала обработки
Часть обязанностей закон привязывает к моменту, когда данные ещё не собраны. Выполнять их «по факту», когда база уже наполнена, поздно: нарушение фиксируется с первой записи.
Документы и меры внутри компании
Статья 18.1 требует от оператора принимать меры, «достаточные для обеспечения выполнения обязанностей», и уметь это подтвердить. На проверке подтверждением служат документы и назначения, а не устные объяснения.
- назначен ответственный за организацию обработки персональных данных (для юридических лиц);
- изданы внутренние документы: политика, положение об обработке и защите данных, порядок доступа;
- определены перечни обрабатываемых данных, целей и информационных систем;
- работники, имеющие доступ к данным, ознакомлены с требованиями и внутренними документами;
- проводится внутренний контроль соответствия обработки закону;
- оценён вред, который может быть причинён субъектам при нарушении;
- приняты меры защиты по ст. 19 — организационные и технические, с учётом уровня защищённости системы.
Где проходит граница. Юридическая часть — документы, основания, процессы и договоры с подрядчиками. Техническая защита информационных систем (модель угроз, средства защиты, требования ФСТЭК) — отдельная лицензируемая область, и её закрывают профильные специалисты по информационной безопасности.
Обязанности перед людьми и сроки ответов
Самая недооценённая группа обязанностей. Человек вправе узнать, какие его данные обрабатываются, потребовать их уточнить, отозвать согласие или потребовать удаления. У оператора на каждое действие — свой срок, и именно эти сроки чаще всего срываются.
| Ситуация | Что делает оператор | Срок |
|---|---|---|
| Запрос субъекта о его данных | Предоставить сведения или дать мотивированный отказ со ссылкой на норму | 10 рабочих дней |
| Данные неточны или неполны | Уточнить данные и снять блокирование | 7 рабочих дней с даты подтверждающих сведений |
| Выявлена неправомерная обработка | Устранить нарушение; если это невозможно — уничтожить данные | 3 рабочих дня; уничтожение — 10 рабочих дней |
| Цель обработки достигнута | Уничтожить данные или обеспечить их уничтожение подрядчиком | 30 дней |
| Субъект отозвал согласие | Прекратить обработку и уничтожить данные | 30 дней |
| Произошла утечка | Сообщить в Роскомнадзор, затем направить результаты расследования | 24 часа и 72 часа |
Обратите внимание на связку: уничтожение по достижении цели означает, что у каждой цели должен быть понятный конец. Если в политике написано «хранение бессрочно», компания сама создаёт себе нарушение.
Политику, согласия, внутренние документы, поручения подрядчикам и уведомление в Роскомнадзор обычно готовят одним комплектом — так они не противоречат друг другу. Состав и сроки — на странице разработки документов; если непонятно, что уже нарушено, начните с аудита по 152-ФЗ.
Передача данных подрядчикам и за рубеж
Оператор вправе поручить обработку другому лицу, но только с согласия субъекта, если иное не предусмотрено законом, и на основании договора. В поручении должны быть названы перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите данных. Ответственность перед человеком остаётся на операторе.
CRM, облачная бухгалтерия, служба доставки, колл-центр, разработчик с доступом к базе — с каждым нужен документ, а не только счёт и акт. Что включать — в разборе договора поручения на обработку.
Зарубежная рассылка, аналитика или хостинг — это передача данных за границу: требуется отдельное уведомление и оценка, как защищены права субъектов в стране получателя (ст. 12).
Передача партнёру для маркетинга без основания и без информирования человека — самостоятельное нарушение, причём заметное: адресат рассылки обычно и становится источником жалобы.
Что проверяет Роскомнадзор и чем грозит нарушение
Проверка начинается с публичной части: есть ли компания в реестре операторов, опубликована ли политика, как собраны согласия на сайте. Дальше запрашиваются внутренние документы и пояснения по процессам. Размеры санкций повышены с 30 мая 2025 года.
| Нарушение | Норма | Штраф для юрлица |
|---|---|---|
| Обработка без надлежащего согласия | ч. 2 ст. 13.11 КоАП | 300 000 – 700 000 ₽ |
| Политика обработки не опубликована | ч. 3 ст. 13.11 КоАП | 30 000 – 60 000 ₽ |
| Уведомление в Роскомнадзор не подано | ч. 10 ст. 13.11 КоАП | 100 000 – 300 000 ₽ |
С чего начать, если обязанности выполнены не все. Сначала — ревизия: какие данные и где собираются, что написано в документах, кому передаются, есть ли поручения и уведомление. Список расхождений обычно короче, чем кажется, и закрывается одним комплектом документов. Это содержание аудита по 152-ФЗ.
Частые вопросы об обязанностях оператора
Является ли оператором ИП без сотрудников?
Нужен ли ответственный за обработку, если в компании три человека?
Сколько хранить персональные данные?
Что делать, если человек требует удалить данные?
Отвечает ли компания за подрядчика, который потерял данные?
Связанные материалы
Приведём обязанности оператора в порядок
Проверяем, что собирает сайт и компания, готовим документы под реальные процессы и подаём уведомление в Роскомнадзор.