Кто такой оператор персональных данных: определение и обязанности
Материал ПдПро · обновлено
Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Определение закреплено в ст. 3 Федерального закона № 152-ФЗ. Если вы собираете и используете данные о людях — вы оператор, со всеми вытекающими обязанностями и штрафами за их неисполнение. Общий обзор всего закона простыми словами — в статье 152-ФЗ простыми словами: что нужно знать бизнесу.
Полное определение из закона: три признака оператора
Статья 3 152-ФЗ (п. 2) формулирует так:
«Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными».
Закон называет три квалифицирующих признака оператора:
- Определяет цели обработки — зачем собираются данные
- Определяет состав ПД — какие именно данные обрабатываются
- Определяет действия (операции) — что с данными происходит: сбор, хранение, передача, уничтожение
Именно это отличает оператора от обработчика — третьего лица, которое обрабатывает данные по поручению оператора, не определяя ни целей, ни состава. Обработчик действует по инструкции; оператор несёт ответственность перед субъектами и РКН.
Кто является оператором: примеры
Однозначно — операторы
| Субъект | Основание |
|---|---|
| Интернет-магазин | Собирает данные покупателей для оформления заказов, сам определяет состав и цели |
| Работодатель (любой) | Ведёт кадровый учёт сотрудников |
| Медицинская организация | Собирает данные пациентов, в т.ч. специальные (здоровье) |
| Банк или МФО | Обрабатывает финансовые и идентификационные данные клиентов |
| Школа, детский сад | Обрабатывает данные учеников и родителей |
| ИП-фрилансер с CRM | Хранит данные клиентов в собственной базе |
| Застройщик | Ведёт базу потенциальных покупателей и дольщиков |
| Салон красоты с программой лояльности | Ведёт базу клиентов с историей визитов |
Пограничные случаи
ИП без сотрудников и без базы клиентов
Если ИП работает только с юрлицами и не хранит данные физлиц — оператором не является. Однако на практике контакты представителей контрагентов (ФИО менеджера, номер телефона, email) — это персональные данные физических лиц. Достаточно телефонной книги или переписки в CRM, чтобы де-факто стать оператором.
Самозанятый
Если выписывает чеки только через приложение «Мой налог» и не ведёт базу клиентов — формально не оператор. Но если сохраняет контакты в мессенджере для деловых целей — вопрос спорный.
Компания, использующая только SaaS без своей базы
Если данные клиентов хранятся у стороннего сервиса, такая компания всё равно, как правило, признаётся оператором — поскольку она определяет цели сбора и состав передаваемых данных.
Сомневаетесь в своём случае? Пройдите короткий тест: вы оператор персональных данных?
Оператор vs. Обработчик: в чём разница
| Характеристика | Оператор | Обработчик |
|---|---|---|
| Определяет цели, состав, действия | Да | Нет |
| Несёт ответственность перед субъектом | Да | Нет (только перед оператором) |
| Обязан уведомить РКН | Да (если применимо) | Нет |
| Может передать данные субъекту по его запросу | Обязан | Нет прямой обязанности |
Пример: ООО «Ромашка» использует сервис email-рассылок. ООО «Ромашка» — оператор, сервис рассылок — обработчик. Ответственность перед РКН несёт ООО «Ромашка», и именно оно должно подписать с сервисом соглашение о поручении обработки ПД.
Ст. 6 ч. 3 152-ФЗ требует, чтобы в поручении оператора (договоре или ином акте) были прямо указаны: перечень персональных данных и перечень действий с ними, которые совершает обработчик, цели обработки, обязанность обработчика соблюдать конфиденциальность и меры защиты по ст. 19 152-ФЗ, а также обязанность по запросу оператора подтверждать документами, что эти меры приняты. Обработчик не обязан отдельно получать согласие субъекта — он действует в рамках согласия (или иного основания), уже полученного оператором (ч. 4). За действия обработчика перед субъектом всё равно отвечает оператор (ч. 5); если обработчик — иностранное лицо, ответственность несут оба (ч. 6).
Обязанности оператора персональных данных
Закон возлагает на оператора обязанности по четырём направлениям: организационные меры, техническая защита, работа с субъектами и отчётность перед Роскомнадзором. Нарушение каждой из них образует самостоятельный состав административного правонарушения по ст. 13.11 КоАП РФ (в ред. 420-ФЗ от 30.11.2024, действует с 30.05.2025).
1. Организационные меры (ст. 18.1 152-ФЗ)
| Обязанность | Штраф (юрлица) | Штраф (ИП) | Норма |
|---|---|---|---|
| Разработать и опубликовать политику обработки ПД | 30 000–60 000 ₽ | 10 000–20 000 ₽ | ч. 3 ст. 13.11 |
| Назначить ответственного за организацию обработки ПД (только оператор — юридическое лицо; ИП и физлица эту обязанность не несут) | — | — | ст. 18.1 ч.1 п.1, ст. 22.1 ч.1 |
| Разработать внутренние регламенты и инструкции | — | — | ст. 18.1 |
| Вести реестр (перечень) обрабатываемых ПД | — | — | ст. 18.1 |
| Проводить оценку вреда субъектам (Приказ РКН № 178) | — | — | ст. 18.1 ч.1 п.5 |
| Осуществлять внутренний контроль соответствия | — | — | ст. 18.1 |
Отдельного штрафа за неназначение ответственного в КоАП нет: это одна из мер по ст. 18.1, и её отсутствие может быть учтено при выявлении более общего нарушения — обработки без законных оснований по ч. 1 ст. 13.11 (150 000–300 000 ₽ юрлицам; 50 000–100 000 ₽ ИП, которые по этому составу отвечают как должностные лица — ст. 2.4 КоАП).
2. Технические меры (ст. 19 152-ФЗ)
- Не допускать несанкционированного доступа
- Обеспечить целостность и доступность данных
- При использовании информационных систем — выполнять требования ПП РФ № 1119
Уровни защиты информационных систем (ПП № 1119):
- УЗ-1 — высший, для специальных категорий и биометрии при угрозах 1-го типа
- УЗ-2 — для специальных категорий при угрозах 2-го типа
- УЗ-3 — стандартный уровень для большинства коммерческих организаций
- УЗ-4 — базовый уровень
3. Работа с субъектами
| Обязанность | Штраф (юрлица) | Штраф (ИП) | Норма |
|---|---|---|---|
| Предоставить субъекту информацию о его данных по запросу | 40 000–80 000 ₽ | 20 000–30 000 ₽ | ч. 4 ст. 13.11 |
| Исправить/уничтожить данные по требованию субъекта | 50 000–90 000 ₽ | 20 000–40 000 ₽ | ч. 5 ст. 13.11 |
| Прекратить обработку при незаконных действиях | — | — | ст. 21 152-ФЗ |
4. Уведомление Роскомнадзора
| Обязанность | Штраф (юрлица) | Штраф (ИП) | Норма |
|---|---|---|---|
| Уведомить до начала обработки (если нет исключений) | 100 000–300 000 ₽ | 100 000–300 000 ₽* | ч. 10 ст. 13.11 |
| Уведомить об изменениях сведений — не позднее 15-го числа месяца, следующего за месяцем изменения | — | — | ст. 22 ч.7 |
| Уведомить о прекращении обработки — в течение 10 рабочих дней с даты прекращения | — | — | ст. 22 ч.7 |
| Уведомить об инциденте (утечке) — в течение 24/72 часов | 1 000 000–3 000 000 ₽ | 1 000 000–3 000 000 ₽* | ч. 11 ст. 13.11 |
Ч. 10 ст. 13.11 КоАП карает только неуведомление о намерении обрабатывать — то есть только первую строку таблицы. Обязанности сообщать об изменениях и о прекращении обработки (ст. 22 ч. 7 152-ФЗ) остаются в силе и со своими сроками, но отдельного штрафа именно за их неисполнение в ст. 13.11 КоАП нет — на практике невыполненная обязанность обычно всплывает как часть более широкого нарушения при проверке.
* По частям 8–18 ст. 13.11 (включая ч. 10 и ч. 11) индивидуальный предприниматель отвечает как юридическое лицо — примечание 1 к ст. 13.11 КоАП, сниженной ставки здесь нет.
Штраф по ч. 11 ст. 13.11 КоАП — это ответственность оператора-организации за само неуведомление об инциденте. Незаконные использование, передача или хранение персональных данных, из-за которых инцидент возник, отдельно наказываются по ст. 272.1 УК РФ — уже для конкретного виновного физического лица: до 300 000 ₽ или лишение свободы на срок до 4 лет по ч. 1, до 700 000 ₽ или лишение свободы на срок до 5 лет — если затронуты специальные категории, биометрия или данные несовершеннолетних (ч. 2), до 8 лет лишения свободы со штрафом до 2 000 000 ₽ — при трансграничной передаче данных или перемещении их носителей (ч. 4).
5. Локализация данных
Хранить персональные данные граждан России в базах данных, физически расположенных в России (ст. 18 ч.5 152-ФЗ). С 01.07.2025 (23-ФЗ от 28.02.2025) запрещена обработка ПД граждан РФ с использованием баз данных за рубежом. Сервер в России с зарубежной репликой или резервной копией за рубежом — нарушение.
Штраф за нарушение локализации — 1 000 000–6 000 000 ₽ (ч. 8 ст. 13.11 КоАП), при повторном — до 18 000 000 ₽. ИП по этому составу отвечает как юридическое лицо (ч. 8 входит в перечень примечания 1 к ст. 13.11) — сниженной ставки для ИП здесь нет.
6. Трансграничная передача (ст. 12 152-ФЗ)
Передача данных в страны, не обеспечивающие «адекватную» защиту по Приказу РКН № 128, требует уведомления РКН о намерении осуществить трансграничную передачу. РКН вправе запретить или ограничить такую передачу по двум разным основаниям: по представлению уполномоченных ФОИВ — в целях обороны, безопасности, защиты экономических интересов РФ (ПП РФ № 6 от 10.01.2023, срок принятия решения 5 рабочих дней, ч. 12–13 ст. 12) — либо самостоятельным решением РКН по результатам рассмотрения уведомления — в целях защиты нравственности, здоровья, прав и законных интересов граждан (ПП РФ № 24 от 16.01.2023, срок 10 рабочих дней, ч. 8–9 ст. 12); основания запрета дополнительно расширены ПП РФ № 1371 от 14.10.2024. Одного согласия субъекта недостаточно — требуется именно уведомительный порядок через РКН.
Страны с адекватной защитой перечислены в Приказе № 128: 55 стран в Разделе I (стороны Конвенции СЕ № 108) и 34 страны в Разделе II. Крупные юрисдикции вроде США в перечне отсутствуют.
Пошаговая инструкция по подаче уведомления в РКН — в статье Уведомление в Роскомнадзор об обработке ПД.
7. Согласие субъекта — отдельным документом
С 1 сентября 2025 года (156-ФЗ от 24.06.2025) согласие на обработку персональных данных оформляется отдельно от иных документов и условий, которые подписывает или принимает субъект (ст. 9 ч.1 152-ФЗ). Общий чекбокс «принимаю оферту и политику» этому требованию не соответствует — нужен отдельный чекбокс или отдельный документ согласия. Обработка с нарушением требований к согласию, включая эту норму, наказывается по ч. 2 ст. 13.11 КоАП — 300 000–700 000 ₽ юрлицам.
Не уверены, выполнены ли все обязанности? ПдПро определит, какие именно требования не закрыты, и сформирует готовые документы под ваш профиль за ~10 минут. Тарифы: 3 980 ₽ на 6 месяцев, 8 980 ₽ на 2 года.
Совместные операторы
Определение ст. 3 прямо допускает, что данные обрабатываются «самостоятельно или совместно с другими лицами», — но детального регулирования совместной обработки (в отличие, например, от GDPR) 152-ФЗ не содержит: специального «соглашения совместных операторов» закон не требует. На практике отношения всё равно стоит урегулировать договором — определить, кто отвечает на запросы субъектов, кто уведомляет РКН и кто какие данные вносит: перед субъектом и регулятором каждый совместный оператор отвечает за свою обработку в полном объёме.
Пример: франчайзер и франчайзи используют единую CRM-систему. Оба — операторы, каждый со своим полным набором обязанностей, поэтому разграничить их договором — в интересах обоих.
Реестр операторов персональных данных
Реестр ведёт Роскомнадзор на портале pd.rkn.gov.ru.
Что можно узнать из реестра: регистрационный номер, дату регистрации, наименование и ИНН, цели обработки.
Проверить компанию: https://pd.rkn.gov.ru/operators-registry/operators-list/
Реестр не исчерпывающий, но полагаться на это не стоит: после реформы 266-ФЗ исключения из обязанности уведомлять (ч. 2 ст. 22) сведены к экзотике — обработка совсем без средств автоматизации, госсистемы безопасности, транспортная безопасность. Для типового бизнеса с сайтом или CRM отсутствие в реестре чаще означает неисполненную обязанность, чем законное исключение, — и именно по этому признаку РКН рассылает массовые письма «вас нет в реестре».
Ответственное лицо: кто это и зачем
С 1 сентября 2022 года оператор, являющийся юридическим лицом, обязан назначить ответственного за организацию обработки персональных данных (ст. 18.1 ч.1 п.1, ст. 22.1 ч.1 152-ФЗ). На операторов — индивидуальных предпринимателей и физических лиц эта обязанность не распространяется: закон адресует её прямо и только юрлицам.
Кем может быть: штатный сотрудник (юрист, кадровик, ИТ-директор), руководитель организации (для малого бизнеса), внешний специалист на аутсорсе.
Что делает: организует разработку документации, следит за актуальностью политики и регламентов, принимает запросы от субъектов, уведомляет РКН об инцидентах, проводит обучение сотрудников.
Приказ о назначении — один из обязательных документов в пакете по 152-ФЗ.
Чек-лист: убедитесь, что вы исполняете обязанности оператора
- Назначен ответственный за организацию обработки ПД (обязательно для юрлица; для ИП не требуется)
- Разработана и опубликована политика обработки ПД
- Подано уведомление в РКН (если применимо)
- Ведётся реестр/перечень обрабатываемых данных
- Согласия на сайте оформлены отдельным документом от иных условий (156-ФЗ, с 01.09.2025)
- Есть процедура реагирования на запросы субъектов
- БД физически в РФ (после 23-ФЗ: зарубежная реплика = нарушение, ст. 18 ч.5)
- С обработчиками заключены соглашения о поручении
- При трансграничной передаче в страны вне Приказа № 128 — уведомлён РКН о намерении передачи
- Об изменении сведений РКН уведомлён не позднее 15-го числа следующего месяца (10 рабочих дней — отдельный срок, только для уведомления о прекращении обработки)
Подробный список всех обязательных документов — в статье Перечень документов по 152-ФЗ: полный список для бизнеса.
Частые вопросы
ИП с базой клиентов — тоже оператор персональных данных? Да. Определение ст. 3 152-ФЗ включает физическое лицо наравне с юридическим — статус ИП значения не имеет. Если ИП сам определяет цели и состав обработки (например, ведёт CRM с контактами клиентов), он оператор персональных данных со всеми обязанностями, кроме одной: назначать ответственного за организацию обработки ИП не обязан — эта обязанность адресована только юрлицам (ст. 18.1 ч.1 п.1, ст. 22.1 ч.1).
Чем оператор отличается от обработчика? Оператор самостоятельно определяет цели, состав данных и действия с ними и несёт ответственность перед субъектом и РКН. Обработчик действует строго по поручению оператора (договор поручения обработки) и отвечает перед оператором, а не перед субъектом персональных данных напрямую.
Какой штраф грозит за неуведомление РКН об изменении сведений? Отдельного штрафа в ст. 13.11 КоАП за это нет — ч. 10 карает только неуведомление о намерении обрабатывать (первичное уведомление), а не об изменениях. Обязанность и срок при этом сохраняются: сообщить об изменениях нужно не позднее 15-го числа месяца, следующего за месяцем изменения (ст. 22 ч. 7 152-ФЗ). Срок «10 рабочих дней» относится к другой обязанности — уведомлению о прекращении обработки, а не об изменении сведений.
Обязательно ли получать отдельное согласие, если данные собираются для исполнения договора? Нет. Если обработка нужна для заключения или исполнения договора с самим субъектом персональных данных, отдельное согласие не требуется — работает основание п. 5 ч. 1 ст. 6 152-ФЗ. Оформлять согласие отдельным документом (156-ФЗ) нужно там, где договорного или иного законного основания нет — например, для рассылки или профилирования.
Итог
Оператор персональных данных — любое лицо, которое определяет цели, состав и способы обработки чужих данных: от интернет-магазина до ИП-фрилансера с CRM. Статус запускает конкретный набор обязанностей — политику, меры защиты, реагирование на запросы субъектов, уведомления РКН — и за каждую из них отдельный штраф по ст. 13.11 КоАП, от 30 000 ₽ за неопубликованную политику до миллионов за утечку. 18 обязательных документов плюс условные по 152-ФЗ — за ~10 минут: сервис определит, какие обязанности ещё не закрыты, и сформирует пакет — политику, согласия, приказ о назначении ответственного, регламенты. Попробовать →