Содержание статьи
Кто является оператором персональных данных
Федеральный закон № 152-ФЗ относит к операторам государственные и муниципальные органы, юридических и физических лиц, которые самостоятельно или вместе с другими лицами организуют и (или) осуществляют обработку персональных данных, определяют её цели, состав данных и действия с ними.
В деловой практике оператором обычно выступает тот, в чьих интересах собираются и используются сведения о людях. Например, интернет-магазин решает, зачем получать имя, телефон и адрес покупателя; работодатель определяет состав кадровых данных; клиника формирует запись пациентов; онлайн-школа ведёт базу учеников. Во всех этих ситуациях именно бизнес определяет цели обработки.
Что считается обработкой
Обработка — это не только публикация или передача сведений. К ней относятся сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, удаление и уничтожение данных. Даже получение заявки с именем и телефоном или хранение резюме кандидата уже требует правовой оценки.
Как понять, является ли компания или ИП оператором
Ответьте на четыре вопроса применительно к каждому процессу:
- 01
Чьи данные вы получаете?
Клиентов, сотрудников, соискателей, представителей контрагентов, посетителей сайта, подписчиков или других физических лиц.
- 02
Для чего они нужны?
Чтобы обработать заявку, заключить договор, доставить заказ, вести кадровый учёт, отправить рассылку или выполнить другую конкретную задачу.
- 03
Кто определил состав сведений?
Если вы решаете, какие поля есть в форме, что сохраняется в CRM и сколько времени хранится информация, это признак роли оператора.
- 04
Кто выбирает действия и получателей?
Если вы определяете, как использовать данные и каким сервисам или подрядчикам их передавать, вы организуете обработку.
ООО с сотрудниками
Обрабатывает кадровые, расчётные и контактные данные работников — обычно как самостоятельный оператор.
ИП с формой заявки
Определяет цель формы и перечень полей — значит, оценивает обязанности оператора независимо от размера бизнеса.
Эксперт или самозанятый
Может быть оператором, если ведёт клиентскую базу, принимает заявки или использует данные для собственных целей.
Подрядчик с доступом к CRM
Его роль зависит от договора и фактических полномочий: он может обрабатывать данные по поручению заказчика или определять отдельные цели самостоятельно.
Оператор и лицо, обрабатывающее данные по поручению: в чём разница
Оператор определяет цели обработки. Подрядчик, которому поручена обработка, действует в пределах поручения оператора: например, хостинг-провайдер, колл-центр или сервис рассылок может выполнять технические операции по заданным правилам.
Определяет самостоятельно или совместно
Не выходит за цели и указания оператора
Решает, какие данные необходимы
Работает с переданным или согласованным составом
Устанавливает основания, сроки и порядок
Соблюдает условия поручения и требования безопасности
Название договора не определяет роль автоматически. Если подрядчик начинает использовать полученные сведения для собственных целей, его положение нужно оценивать отдельно. Поэтому договор с подрядчиком должен соответствовать реальному обмену данными, а не просто содержать общую фразу о конфиденциальности.
Когда оператор должен уведомить Роскомнадзор
По общему правилу оператор до начала обработки персональных данных обязан направить уведомление в Роскомнадзор. В статье 22 Закона № 152-ФЗ сохранены отдельные исключения, в том числе для обработки исключительно без использования средств автоматизации. Исключения узкие, поэтому нельзя считать достаточным аргументом небольшой размер бизнеса, отсутствие сайта или обработку только данных сотрудников.
Оператор направляет уведомление об обработке персональных данных. Роскомнадзор на основании полученных сведений вносит запись в реестр. В разговорной речи это называют «регистрацией», но закон не устанавливает отдельную процедуру получения разрешения на обработку.
Какие сведения нужно подготовить
- цели обработки для каждого реального процесса;
- категории субъектов и состав персональных данных;
- правовые основания и перечень действий с данными;
- способы обработки, дату начала и условие прекращения;
- меры по выполнению обязанностей и обеспечению безопасности;
- сведения об ответственном лице;
- место нахождения баз данных граждан России;
- наличие или отсутствие трансграничной передачи.
Формулировки следует брать не из универсального шаблона, а из фактической модели работы: сайта, CRM, кадрового учёта, бухгалтерии, сервисов и договоров с подрядчиками. Если процессы меняются, сведения в реестре также нужно актуализировать.
По действующей редакции статьи 22 сведения об изменениях направляют не позднее 15-го числа месяца, следующего за месяцем изменений; о прекращении обработки сообщают в течение 10 рабочих дней. Перед подачей всегда проверяйте актуальную форму и порядок на официальном портале Роскомнадзора.
Что означает запись в реестре операторов Роскомнадзора
После поступления уведомления Роскомнадзор вносит переданные оператором сведения в реестр в установленный законом срок. Запись показывает, что ведомство получило и опубликовало заявленные сведения. Она не подтверждает, что сайт, документы, информационные системы и ежедневные действия сотрудников уже полностью соответствуют требованиям.
Запись в реестре подтверждает
- факт включения сведений об операторе;
- содержание заявленных целей и категорий;
- дату направления уведомления.
Запись в реестре не заменяет
- правовые основания обработки;
- политику, согласия и локальные акты;
- меры защиты и контроль доступов;
- актуализацию сведений при изменениях.
Поэтому после появления записи работа не заканчивается. Нужно проверить, совпадает ли реестр с тем, какие данные бизнес фактически собирает, где хранит, кому передаёт и когда уничтожает.
Основные обязанности оператора персональных данных
Точный набор мер зависит от процессов, категорий данных и используемых систем. Но для бизнеса обычно важны следующие направления.
Определить цели и основания
Для каждой цели установить необходимый состав данных и подходящее правовое основание. Не собирать сведения «на всякий случай».
Назначить ответственного
Юридическому лицу необходимо назначить лицо, ответственное за организацию обработки персональных данных, и закрепить его полномочия.
Подготовить документы
Разработать политику и локальные акты под реальные цели, сроки хранения, порядок уничтожения, обращения субъектов и действия сотрудников.
Обеспечить безопасность
Применять необходимые правовые, организационные и технические меры, управлять доступами и контролировать используемые системы.
Оформить работу с подрядчиками
Определить роли, объём поручения, перечень операций, требования к защите, конфиденциальности и подтверждению принятых мер.
Обучить сотрудников
Ознакомить работников, которые обрабатывают данные, с требованиями закона, политикой и локальными правилами.
Отвечать на обращения
Организовать приём запросов субъектов, уточнение, блокирование, удаление и уничтожение данных в применимых случаях.
Контролировать изменения
Проверять новые формы, сервисы, подрядчиков и процессы; при необходимости обновлять документы и сведения в реестре.
Что оператору проверить на сайте
Наличие политики в подвале сайта — только часть работы. Важно проверить фактическое поведение страниц и всех подключённых сервисов.
- какие поля есть в формах и нужны ли все сведения для заявленной цели;
- какой текст видит пользователь до отправки формы;
- соответствуют ли согласия конкретным целям обработки;
- какие cookie и технические идентификаторы используются;
- получают ли данные системы аналитики, чаты, коллтрекинг и CRM;
- где расположены базы данных и участвуют ли иностранные сервисы;
- отражены ли получатели и подрядчики в документах;
- совпадает ли фактический сбор со сведениями в реестре Роскомнадзора.
При сборе данных через интернет оператор обязан обеспечить доступ к политике обработки персональных данных на тех страницах, где происходит сбор. При этом юридическая оценка cookie и внешних сервисов зависит от конкретных данных, целей и маршрута их передачи — универсального ответа по одному названию технологии нет.
Для технической и юридической проверки предусмотрена услуга аудита и исправления сайта по 152-ФЗ.
Какие документы нужны оператору персональных данных
Единого одинакового комплекта для всех компаний нет. Документы формируются под цели, категории субъектов, системы и участников обработки. Базовый состав может включать:
Публичные документы
Политика обработки персональных данных, формы согласий и иные тексты для сайта, если они нужны для конкретных процессов.
Локальные акты
Положения, регламенты и приказы, определяющие цели, доступы, сроки хранения, уничтожение, контроль и действия при инцидентах.
Кадровые документы
Документы для работы с данными сотрудников и соискателей с учётом трудовых и связанных процессов.
Документы с подрядчиками
Поручения на обработку, условия конфиденциальности и безопасности, если фактическая схема отношений этого требует.
Подтверждающие материалы
Материалы внутреннего контроля, ознакомления сотрудников, оценки вреда и принятых организационных мер.
Уведомления
Об обработке, изменении сведений, прекращении обработки и — при наличии оснований — о трансграничной передаче.
Подробнее о составе комплекта — на странице разработки документов по персональным данным.
Что делать оператору: практический алгоритм
- 1
Составьте карту обработки
Зафиксируйте источники данных, категории субъектов, цели, состав сведений, системы, получателей, сроки хранения и порядок уничтожения.
- 2
Проверьте сайт и сервисы
Разберите формы, cookie, аналитику, CRM, рассылки, облачные решения, хостинг и доступ подрядчиков.
- 3
Сверьте реестр Роскомнадзора
Проверьте наличие записи и соответствие указанных сведений текущим процессам. Если уведомление не подавалось, оцените исключения.
- 4
Подготовьте документы и меры
Разработайте не только тексты, но и рабочие процедуры: доступы, ответы на обращения, хранение, уничтожение и действия при инциденте.
- 5
Назначьте ответственных и обучите команду
Распределите роли и объясните сотрудникам, какие правила они должны соблюдать в ежедневной работе.
- 6
Пересматривайте систему при изменениях
Новая форма, CRM, подрядчик, рассылка или категория клиентов — повод повторно сверить сайт, реестр, документы и процессы.
Как выполнить требования Роскомнадзора в 2026 году
Проверьте сайт, сведения в реестре, документы, сервисы и фактические процессы по единому списку.
Получить чек-лист →Частые ошибки операторов персональных данных
Считать реестр разрешением
Внесение сведений в реестр не заменяет правовое основание обработки, документы и меры безопасности.
Подать уведомление по шаблону
Общие формулировки быстро расходятся с реальными целями, категориями данных и используемыми системами.
Проверять только сайт
За пределами сайта остаются сотрудники, бухгалтерия, офлайн-клиенты, почта, мессенджеры и внутренние базы.
Забыть про подрядчиков
Доступ разработчика, CRM, колл-центра или бухгалтера должен быть отражён в фактической и договорной модели.
Хранить всё бессрочно
Для каждой цели нужно определить условия прекращения обработки и рабочий порядок удаления или уничтожения.
Не обновлять сведения
Новые сервисы и процессы могут потребовать корректировки документов и уведомления об изменении сведений.
Частые вопросы об операторах персональных данных
Каждая ли компания является оператором персональных данных?
Не организационно-правовая форма, а фактическая деятельность определяет статус. Если компания определяет цели и состав обработки данных клиентов, работников или других людей, у неё возникают обязанности оператора. Конкретный набор обязанностей оценивают по процессам и применимым нормам.
Является ли ИП оператором персональных данных?
Да, ИП может быть оператором, если принимает заявки, ведёт клиентскую базу, нанимает работников или иначе определяет цели и состав обработки. Специального освобождения только из-за статуса ИП нет.
Нужно ли уведомлять Роскомнадзор, если есть только сотрудники?
После сокращения перечня исключений сам по себе факт обработки только кадровых данных не освобождает от уведомления. Нужно проверить, подпадает ли конкретная обработка под сохранившиеся исключения статьи 22 Закона № 152-ФЗ.
Чем регистрация отличается от уведомления?
Юридически оператор направляет уведомление об обработке персональных данных, а Роскомнадзор вносит полученные сведения в реестр. «Регистрация в Роскомнадзоре» — распространённое название этой процедуры, но речь не идёт о выдаче разрешения.
Можно ли подать уведомление до подготовки документов?
Формально действия различаются, но сведения для уведомления должны отражать реальные цели, категории данных, системы и меры. Практически безопаснее сначала разобраться в процессах, чтобы уведомление не противоречило сайту и документам.
Нужно ли обновлять сведения в реестре?
Да, если меняются сведения, перечисленные в статье 22 Закона № 152-ФЗ. Например, это может касаться целей, категорий данных, ответственного лица, места нахождения базы или трансграничной передачи.
Достаточно ли скачать политику и согласие?
Нет. Документы должны соответствовать фактической обработке, а оператор обязан применять организационные и технические меры, управлять доступами, обучать сотрудников, работать с обращениями и поддерживать сведения в актуальном состоянии.
Кто отвечает за данные, если используется CRM или подрядчик?
Передача операций подрядчику обычно не снимает с заказчика обязанностей оператора. Нужно определить роли сторон, оформить поручение при его наличии и проверить, соответствует ли договор реальному доступу и действиям с данными.
Нормативная основа
Материал подготовлен по действующей на дату обновления редакции законодательства. Перед практическим применением проверьте актуальные формы и разъяснения.
Сопроводим регистрацию оператора в Роскомнадзоре
Проанализируем процессы, подготовим сведения с учётом используемых систем и категорий субъектов, сопроводим подачу.