Оператор персональных данных: кто им является и как это понять

Оператор персональных данных это статус, который человек или компания получает не по заявлению и не по записи в реестре Роскомнадзора, а по факту того, что делают с чужими персональными данными. Если на сайте есть форма заявки, база клиентов в CRM или список сотрудников в кадровой программе - вы, скорее всего, уже оператор, даже если ни разу об этом не задумывались.

Вопрос «являюсь ли я оператором ПДн» чаще всего возникает не заранее, а после того, как пришел запрос от Роскомнадзора, жалоба клиента или письмо от контрагента с просьбой подтвердить статус. И тогда выясняется, что документов нет, согласий нет, а обязанности, как оказывается, действуют уже несколько лет. Разберем, кто по закону считается оператором персональных данных, какие признаки на это указывают и как быть в пограничных случаях - подрядчик, франчайзи, физлицо с сайтом-визиткой.

На практике эти вопросы редко возникают в вакууме. Их задают за две недели до проверки, когда юрист компании впервые открывает старый сайт и не находит ни политики обработки, ни формы согласия. Их задают маркетологи, которые запускают новую посадочную страницу и хотят понять, нужна ли галочка под формой заявки. Ответ зависит не от отрасли и не от оборота компании, а от того, кто в цепочке сбора данных принимает решения. Дальше - как это проверить по шагам, а не на глаз.

Кто по закону считается оператором персональных данных

Закон о персональных данных - 152-ФЗ от 27.07.2006 - дает определение в статье 3. Оператором признается государственный орган, муниципальный орган, юридическое лицо или физическое лицо, которое самостоятельно или вместе с другими организует обработку персональных данных и определяет ее цели, состав данных и действия, которые с ними совершаются.

Ключевое слово здесь не «обрабатывает», а «определяет». Закон не спрашивает, кто физически вносит данные в таблицу или нажимает кнопку отправки в рассылке. Он спрашивает, кто решает, зачем эти данные вообще собираются и что с ними будет дальше.

Пример. Владелец интернет-магазина заказывает рассылку у email-агентства. Агентство технически отправляет письма, хранит базу на своем сервере и настраивает сегменты. Но цель рассылки - кому писать и с каким предложением - определяет владелец магазина. Оператором остается магазин, а агентство обрабатывает данные по его поручению.

То же самое с формой обратной связи на сайте. Не важно, кто написал код формы - штатный программист или подрядчик. Важно, кто решил собирать имя, телефон и email именно с этой целью и кто потом читает заявки. Обычно это владелец сайта, а не разработчик.

Похожая логика работает и вне интернет-магазинов. Клиника, которая ведет запись пациентов через сайт, а лабораторные анализы отправляет в подрядную лабораторию, остается оператором в отношении данных из формы записи - именно клиника решает, зачем нужна форма и куда идут данные. Лаборатория обрабатывает присланные ей данные пациента в рамках своей части услуги и в этой части сама признается отдельным оператором, потому что определяет собственные цели анализа и хранения результатов. Школа с электронным дневником оператором остается сама, даже если техническую платформу дневника разработала и обслуживает сторонняя IT-компания - школа определяет, какие данные о ребенке вносятся и кто из учителей имеет к ним доступ.

Реестр Роскомнадзора не делает вас оператором персональных данных

Частая ошибка - считать, что статус оператора появляется только после подачи уведомления в Роскомнадзор и включения в реестр. Это не так. Обязанности оператора возникают в момент, когда компания или человек начинает обрабатывать чужие персональные данные с определенной целью, а не в момент регистрации.

Уведомление - отдельная обязанность, которая следует из статуса оператора, а не создает его. Если вы уже год собираете телефоны клиентов через форму на сайте, но не подавали уведомление, все это время вы были оператором с нарушением - отсутствием уведомления. Это две разные вещи, и вторая не отменяет первую.

Проверить, числитесь ли вы уже в реестре операторов, можно самостоятельно - если запись есть, а данные о вас устарели, ее нужно актуализировать. Если записи нет, а фактически вы обрабатываете данные больше двух месяцев без права на исключение, уведомление стоит подать - порядок заполнения полей уведомления разбирали отдельно.

Есть и обратная ошибка: компания подает уведомление «на всякий случай», хотя фактически данные не обрабатывает или обрабатывает только данные своих сотрудников без права на исключение из уведомления. Запись в реестре сама по себе не создает и не отменяет статус - она лишь фиксирует то, что уже происходит по факту.

Из обязанности подавать уведомление есть исключения, но их список закрытый и короткий - например, обработка данных только своих сотрудников в рамках трудовых отношений без передачи третьим лицам. Использовать эти исключения «по аналогии» для других процессов, которые фактически похожи, но формально под них не подпадают, рискованно: при проверке инспектор смотрит на конкретный процесс обработки, а не на то, к какому исключению его хочется отнести задним числом.

Тест из четырех вопросов: являетесь ли вы оператором персональных данных

Чтобы не гадать, ответьте по порядку на четыре вопроса. Они построены на признаках оператора из статьи 3 закона и практики Роскомнадзора.

1. Вы решаете, зачем собирать данные? Если цель обработки - привлечь клиента, оказать услугу, оформить сотрудника, отправить товар - придумываете сами, а не получаете готовую инструкцию от заказчика, это первый и самый сильный признак оператора.
2. Вы определяете, какие именно данные нужны? Решение о том, собирать ли паспортные данные или, например, дату рождения и адрес доставки, принимает тот, кто выстраивает процесс - обычно тот же, кто определил цель.
3. У вас есть прямой доступ к базе данных? CRM, таблица с заявками, форма на сайте, папка с резюме - если данные физически находятся у вас и вы можете ими распорядиться без согласования с кем-то еще, это тоже говорит в пользу статуса оператора.
4. Есть ли договор, в котором прямо написано, что вы обрабатываете данные по поручению? Если да - и в договоре указана цель обработки и разрешенные действия с данными - вы, вероятнее всего, обработчик, а оператором остается тот, кто вас нанял.

Если на первые три вопроса ответ «да», а на четвертый «нет» - вы оператор. Если наоборот, все данные вы получаете и используете строго по чужому письменному заданию - скорее обработчик, и обязанности по уведомлению и части документов ложатся на заказчика, а не на вас. На практике многие компании оказываются и тем, и другим одновременно: оператором для своих клиентов и обработчиком для данных, которые им передает партнер по договору.

Пример на стыке. Кадровое агентство подбирает сотрудников для заказчика: собирает резюме, проводит собеседования, ведет базу кандидатов в собственной CRM и решает, каким кандидатам звонить повторно через полгода. По всем четырем вопросам агентство отвечает как оператор - оно само выстроило процесс работы с базой, а не просто выполняет разовое поручение передать резюме заказчику. Если бы агентство только пересылало резюме без права хранить и повторно использовать базу, картина была бы обратной.

Тест стоит проходить не один раз на всю компанию, а отдельно для каждого канала сбора данных. Сайт, кадровый учет и почтовая рассылка нередко дают разные ответы, даже если формально ими занимается один и тот же человек. Интернет-магазин может быть чистым оператором в отношении данных из формы заказа и одновременно обработчиком в отношении данных, которые ему передает партнерская программа для отслеживания заказов по промокодам - в этом случае цель обработки и состав данных определяет партнер, а магазин лишь выполняет техническую часть.

Оператор и обработчик персональных данных: в чем разница

Разница между оператором и обработчиком не в размере компании и не в наличии юридического лица, а в том, кто принимает решения о целях обработки. Обработка по поручению регулируется отдельно - оператор поручает работу с данными другому лицу на основании договора, где прописана цель обработки, перечень допустимых действий и обязанность соблюдать конфиденциальность.

Признак	Оператор	Обработчик по поручению
Кто определяет цель обработки	Сам	Получает от оператора
Кто подает уведомление в Роскомнадзор	Оператор, если нет оснований для исключения	Не подает, если действует только по поручению
Нужен ли договор с условиями обработки	Составляет и подписывает как заказчик	Подписывает как исполнитель и работает строго в рамках договора
Перед кем отвечает при нарушении	Перед субъектом данных и Роскомнадзором напрямую	Перед оператором по договору и отдельно за выход за рамки поручения
Пример	Интернет-магазин, который собирает заказы	Курьерская служба, которая получает от магазина адрес и телефон для доставки

Договор поручения на обработку персональных данных стоит проверять внимательно, а не подписывать по шаблону из интернета. Если обработчик выйдет за рамки задания - например, начнет использовать полученную базу для собственной рассылки, - он сам становится оператором в отношении этих действий и отвечает за них самостоятельно, отдельно от заказчика.

Отдельный вопрос - может ли обработчик привлечь субобработчика, например передать хранение базы на аутсорсинговый сервер. Закон это не запрещает напрямую, но ответственность перед оператором в любом случае остается на том, кого он нанял по договору. Если субобработчик допустит утечку, оператор все равно будет разбираться сначала со своим обработчиком, а тот - со своим субподрядчиком уже в рамках отдельного договора между ними.

Пограничные случаи, которые чаще всего путают

Тест из четырех вопросов работает в большинстве ситуаций, но есть случаи, где статус неочевиден даже тем, кто разбирался в теме.

Подрядчик, который строит сайт или ведет рекламу

Веб-студия, которая разработала сайт с формой заявки, обычно не становится оператором собранных через эту форму данных - она выполнила работу и передала готовый инструмент. Оператором остается заказчик, потому что именно он решает, зачем нужна форма и что делать с заявками.

Ситуация меняется, если подрядчик получает доступ к самим данным и использует их не только для настройки инструмента. Маркетинговое агентство, которое ведет рекламные кампании клиента и параллельно собирает контакты лидов в свою CRM для продажи собственных услуг, становится оператором в отношении этой части данных - параллельно с заказчиком. Вопрос, где заканчивается ответственность подрядчика и начинается ответственность заказчика, разбирали отдельно - границы доступа к данным стоит закреплять договором прямо, а не подразумевать по умолчанию.

Франчайзи и франчайзер

Франшиза - отдельный источник путаницы. Если сеть управляет единым сайтом и формой записи, через которую заявки распределяются по городам, оператором чаще всего выступает франчайзер - он определяет цель сбора и владеет базой. Франчайзи в этом случае получает уже готовые контакты клиентов и работает с ними в рамках правил сети.

Если у каждого франчайзи своя CRM или своя страница в соцсети для записи, и он сам решает, как вести базу своих клиентов, - оператором становится сам франчайзи, независимо от того, что вывеска и бренд принадлежат другому лицу. Кто физически ведет учет клиентов и хранит их данные, тот и определяет судьбу базы - от этого зависит статус.

Физическое лицо с сайтом-визиткой, блогом или соцсетью

Личный сайт с формой «напишите мне» технически тоже собирает персональные данные. Если это разовое обращение, которое приходит на почту и не превращается в базу, риск невелик, но формально обработка все равно происходит. Как только на сайте появляется что-то похожее на систему - список подписчиков рассылки, сохраненные заявки, CRM для самозанятого мастера, - разница между «просто ИП» и оператором исчезает.

Что из требований 152-ФЗ обязательно для предпринимателя без сотрудников, а что нет - вопрос отдельный, но размер бизнеса и организационная форма на сам статус оператора не влияют. Самозанятые и ИП без сотрудников часто уверены, что раз у них нет отдела кадров и юриста в штате, закон их не касается. Это не так: если данные клиентов собираются и хранятся, требования одинаковы для юрлица, ИП и физического лица без статуса.

Сотрудник, который лично ведет базу клиентов

Менеджер по продажам хранит телефоны клиентов в личном блокноте или в заметках телефона - формально обработка есть, но оператором остается компания, потому что сотрудник действует в рамках трудовых обязанностей и по заданию работодателя. Ситуация меняется, если сотрудник использует ту же базу для себя - например, после увольнения продолжает писать бывшим клиентам от своего имени. В этот момент он выходит за рамки трудовых отношений и сам становится оператором собранных данных, а прежний работодатель - пострадавшей стороной.

Самозанятый, который принимает заявки через агрегатор

Мастер по ремонту или репетитор, получающий заказы через агрегатор услуг, обычно не является оператором данных клиента в момент, когда просто видит имя и телефон в карточке заказа внутри приложения - здесь оператором выступает сама платформа, потому что именно она собрала эти данные и решает, как передавать их исполнителям. Ситуация меняется, как только исполнитель сохраняет телефон клиента вне приложения - в своем телефоне, в отдельном чате, в собственной табличке для повторных обращений. С этого момента он сам стал оператором в отношении сохраненных данных, и агрегатор здесь ни при чем: он отвечает только за то, что происходит внутри его собственной системы.

Что дает статус оператора на практике

Как только понятно, что вы подпадаете под определение, появляется конкретный список дел, а не абстрактная ответственность. Оператор обязан:

• определить и зафиксировать письменно цель обработки данных по каждому процессу отдельно - заявки на сайте, кадровый учет, рассылки, работа с подрядчиками;
• получить согласие субъекта данных там, где закон требует явного согласия, и хранить доказательство того, что согласие получено;
• подать уведомление в Роскомнадзор, если нет законного основания для освобождения от этой обязанности;
• назначить внутри компании ответственного за организацию обработки персональных данных - это может быть часть обязанностей действующего сотрудника, а не отдельная штатная единица;
• отвечать на обращения субъектов данных о своих правах в срок, установленный законом;
• обеспечить уровень защищенности данных при использовании сайта, CRM или другой автоматизированной системы, соответствующий реальному уровню угроз.

Для микробизнеса и самозанятых список не сокращается автоматически - меняется только объем работы. Если данных немного и они не относятся к специальным категориям, часть мер выполняется проще, но не отменяется полностью.

На проверке инспектор обычно спрашивает не общий вопрос «оператор вы или нет», а по каждому пункту списка отдельно: покажите политику, покажите форму согласия, покажите, куда уходит уведомление. Закрыть все шесть обязанностей можно постепенно, но начинать стоит с определения целей и состава данных - без этого шага остальные пункты делаются вслепую, и потом их приходится переделывать.

Что будет, если ошибочно считать себя не оператором

Роскомнадзор и суд не разбирают, что компания думала о себе сама. Если по факту вы определяли цель обработки и состав данных, вы оператор - независимо от того, что написано в договоре с контрагентом или как вы называете себя в переписке.

Ошибка обходится дороже с 2025 года. С 30 мая 2025 года применяются оборотные штрафы за нарушения в сфере персональных данных и статья 272.1 Уголовного кодекса за незаконные действия с данными в крупном размере - обе нормы введены федеральным законом 420-ФЗ от 30.11.2024. Формулировка «мы не оператор, мы просто вели базу для себя» не освобождает от ответственности, если по существу признаки оператора присутствуют.

Кроме того, с 1 сентября 2025 года согласие на обработку персональных данных по общему правилу должно оформляться отдельным документом - это требование федерального закона 156-ФЗ от 24.06.2025. Если статус оператора устанавливается постфактум, например при проверке, заодно выясняется, что и согласия оформлены неправильно, и уведомление не подано - хотя базовый вопрос «кто мы в этой цепочке» можно было решить заранее, до начала сбора данных.

Пример, который встречается на практике регулярно. Небольшая студия дизайна интерьеров считала себя чистым подрядчиком: заказчики присылали свои контакты сами, через мессенджер, а студия просто вела переговоры по проекту. При проверке оказалось, что студия параллельно собирает те же контакты в свою рассылку с подборками готовых проектов - то есть определяет собственную, отдельную от заказа цель обработки. Формально студия все это время была оператором в отношении рассылки, хотя ни разу не задумывалась об этом статусе.

Что делать дальше: чек-лист самопроверки

Если тест выше показал, что вы оператор, порядок действий такой:

1. Зафиксируйте письменно, какие персональные данные и с какой целью собираете - по каждому каналу отдельно: сайт, CRM, кадровые документы, рассылки.
2. Проверьте, нужно ли подавать уведомление в Роскомнадзор, и если да - подайте его или актуализируйте уже поданные сведения.
3. Приведите в порядок формы согласия там, где они есть, и добавьте их там, где не хватает.
4. Просмотрите договоры с подрядчиками и партнерами - там, где они получают доступ к данным ваших клиентов, должно быть прямо написано, что это обработка по поручению, а не самостоятельная обработка.
5. Назначьте внутри компании человека, который отвечает за эти вопросы, даже если это часть его обязанностей, а не отдельная штатная единица.

Результат теста стоит зафиксировать письменно, даже в свободной форме - какой вывод сделан по каждому каналу и по каким основаниям. Отдельного обязательного документа закон для этого не предусматривает, но при проверке такая фиксация помогает быстро объяснить инспектору логику, а не придумывать обоснование на ходу, когда времени на размышления уже нет.

Стоит вернуться к тесту через полгода или год, если у бизнеса появляются новые формы на сайте, каналы продаж или партнеры - статус оператора не фиксируется один раз навсегда, он определяется заново каждым новым процессом обработки данных.

Если после чек-листа стало понятно, что документов и форм на сайте не хватает, а разбираться самостоятельно со всеми формулировками некогда, этим можно заняться отдельно - на 152fzpro.ru приводят документы и формы сайта в соответствие с требованиями 152-ФЗ.