Оператор персональных данных: требования и порядок регистрации

Операторы персональных данных (ОПДн) — это компании, ИП, самозанятые и даже физлица, которые выполняют любые действия с персональными данными граждан (интернет-магазины, сайты, медучреждения, госорганы, работодатели).

Действия по обработке ПДн — сбор, хранение, систематизация, обработка, уничтожение. Например, на сайте службы доставки размещена форма заказа. Пользователь указывает свой адрес и номер телефона для оказания услуги. После окончания целей обработки данные физлица должны быть удалены.

Персональные данные — ФИО, адрес, сведения о здоровье, отпечатки пальцев, национальность. ПДн делятся на общие, биометрические и иные. Например, к иным персональным данным относятся сведения о зарплате и стаже сотрудника.

Трансграничная передача данных — отправка сведений на территорию иностранного государства, иностранному юридическому лицу. Например, при нажатии на сайте на кнопку «Написать в WhatsApp¹ / Telegram» данные граждан переходят на серверы США. 

Роскомнадзор — контролирующий орган в сфере ПДн. Регулятор проверяет сайты на соблюдение закона о персданных, ведет реестр ОПДн, выносит предписания при наличии нарушений.

Что обязан сделать оператор? 

1. Разработать пакет документов оператора ПДн (Политику обработки, приказ о назначении ответственного, регламент по работе с обращениями граждан, журнал учета паролей и доступов и другие ЛНА).

2. Зарегистрироваться в реестре Роскомнадзора до начала обработки ПДн.

3. Использовать российские базы, системы и ПО для действий в отношении данных физлиц (хранение, систематизация и т. д.).

4. Сообщать Роскомнадзору об утечках, происшествиях и мерах по их устранению.

5. Обрабатывать персональные данные только с согласия их владельцев. 

6. Провести аудит и привести сайты в соответствие новым требованиям Роскомнадзора

Получить бесплатную консультацию по обязанностям оператора персональных данных у специалистов Всероссийского сервиса

Получить

Разработка документов — не формальный этап, к нему следует подходить ответственно. Отсутствие или неправильное оформление хотя бы одного документа грозит штрафами и предписаниями от Роскомнадзора. А учитывая, что РКН мониторит сайты в автоматическом режиме, особенно внимательными нужно быть владельцам веб-ресурсов.

Политика ПДн — публичный документ, который содержит основную информацию для законной работы с персданными (цели обработки, категории субъектов ПДн, категории данных, правовые основания, меры по защите сведений).

Основные действия:

1. Назначьте ответственного за организацию работы с данными, включая разработку Политики.

2. Утвердите документ — отдельным распоряжением или грифом «Утверждаю» на первой странице документа.

3. Ознакомьтесь с документом всех сотрудников под роспись.

4. Обеспечьте свободный доступ к Политике — опубликуйте в «подвале» сайта (п. 2 ст. 18.1 закона № 152-ФЗ). Если сайта нет, разместите документ в уголке потребителя.

Согласие на обработку — разрешение субъекта ПДн на выполнение действий в отношении его данных. Закон устанавливает четкие требования к документу — Согласие «должно быть конкретным, предметным, информированным, сознательным и однозначным» (ч. 1 ст. 9 закона № 152-ФЗ).

Не допускается размытых формулировок и скрытых смыслов в форме «Согласия». Субъект ПДн должен понимать, какие данные он передает и в каких целях их будет использовать оператор.

Структура Согласия на обработку ПДн:

1. Данные оператора — полное наименование юрлица или ИП.

2. Цели обработки — рассылка сообщений, доставка, консультация и др.

3. Перечень данных — ФИО, адрес, email, номер телефона.

4. Действия с персональными данными — сбор, хранение, передача, обработка, систематизация, удаление.

5. Срок хранения сведений о физлице.

6. Возможность и способ отозвать согласие.

Согласие оформляется как в письменной, так и электронной форме. Например, письменная форма применяется банками (при выдаче кредита). А электронная форма, как правило, встречается на сайтах — пользователь проставляет «галочку» в соответствующем окне. 

Поправки в ст. 9 закона № 152-ФЗ. С 1 сентября 2025 года Согласие на обработку нужно будет оформлять как отдельный документ. То есть нельзя включать его в Политику обработки или Пользовательское соглашение. Раньше пользователь мог одним нажатием кнопки «Согласен» подтвердить сразу два документа. С начала осени это будет расцениваться как отсутствие согласия.

Рекомендация: владельцам сайтов следует пересмотреть алгоритмы на сайте, актуализировать формы Согласия и предусмотреть на сайте отдельную кнопку или чек-бокс для подписания отдельного Согласия.

Согласие на обработку персональных данных, разрешенных субъектом ПДн для распространения — это отдельный вид согласия, который регулируется нормами ст. 10.1 закона № 152-ФЗ. Также оформляется как самостоятельный документ, обособленно от иных форм. Требования к документу утверждены в приказе Роскомнадзора от 24.02.2021 № 18.

Приказ о назначении ответственного — внутренний документ компании с перечнем обязанностей уполномоченного сотрудника. 

Структура документа:

1. Наименование компании.

2. ФИО ответственного сотрудника за организацию обработки ПДн. Также можно указать ФИО сотрудника, который будет замещать ответственного в случае его отсутствия.

3. Обязанности ответственного: контролировать исполнение норм закона № 152-ФЗ, информировать сотрудников о ЛНА и новых требованиях, организовывать работу с обращениями владельцев данных.

4. Дата и подписи. Приказ подписывает руководитель, ответственный и заместитель ответственного (при его указании). 

Кроме того, обязанности уполномоченного лица прописываются в должностной инструкции. Он знакомится с ней под роспись. 

Список локальных документов (ЛНА) — обширный, в него входят различные приказы, положения, регламенты, инструкции, журналы.

Вот лишь небольшая часть ЛНА:

1. Приказ об утверждении перечня лиц, допущенных к обработке.

2. Приказ о проведении оценки вреда, который может быть причинен субъектам ПДн при нарушении требований законодательства.

3. Положение об ответственности сотрудников за нарушение режима конфиденциальности ПДн.

4. Приказ об утверждении перечня информационных систем и перечня персональных данных, содержащихся в этих системах.

5. Положение о порядке уничтожения персональных данных.

6. Регламент реагирования на запросы и обращения субъектов ПДн.

7. Акт о классификации информационных систем (ИСПДн).

8. Журнал учета обращений граждан.

9. Инструкция администратора информационной безопасности.

10. Правила оборудования помещений, используемых для обработки ПДн.

Получить бесплатную консультацию по документам, обязательным для работы с персональными данными

Консультация

С 1 июля 2025 года в закон № 152-ФЗ внесены поправки в отношении трансграничной передачи данных. Особенно эти изменения касаются владельцев сайтов, которые через разные онлайн-формы, скрипты, чат-боты, пиксели передают данные на зарубежные серверы.

Ключевое изменение: нельзя передавать данные пользователей без их первичного размещения в России. 

Какие элементы на сайте попали под запрет:

• Google Analytics, Google карты, Google reCAPTCHA, Google Tag Manager. Они передают данные на зарубежные серверы (IP-адрес, локацию, браузер и т.д.). Предварительно данные о пользователях должны быть размещены на российских серверах.

• WhatsApp¹ и Telegram. Когда пользователь нажимает на сайте «Написать в мессенджер» его данные улетают на американские серверы. Правительство накладывает ограничения на мессенджеры и ПО из недружественных стран.

• Jatform, Typeforme и другие SaaS-сервисы, используемые для сборки онлайн-форм.

• Gmail, Mailchimp, если доставляют данные на территорию иностранного государства. 

• Кастомные формы, передающие данные за границу посредством внешних JS-библиотек.

Важно! Роскомнадзор запустил автоматическую проверку сайтов на базе ИИ и выявляет нелегитимные элементы. 

Что делать оператору ПДн:

1. Проверить сайт на наличие виджетов, сервисов, форм, пикселей, чат-ботов (WhatsApp¹, Telegram, Google Forms, Facebook¹ Pixel, Matomo Analytics, CRM, gmail, reCAPTCHA, Cloudflare и т. д.). 

2. Отказаться от западных решений или найти им легитимную замену. Например, использовать Яндекс.Метрику вместо Google Analytics, Captcha от CloudPayments вместо reCAPTCHA. Использовать ссылку на виджеты мессенджеров без передачи данных.

3. Получить разрешение от Роскомнадзора на использование зарубежных сервисов (если бизнесу без них не обойтись). Для этого нужно отправить уведомление о трансграничной передаче ПДн.

4. Актуализировать документы: Политику обработки ПДн, Политику по cookies, Согласие на обработку ПДн. В случае профилактической проверки РКН вы сможете предоставить документы по запросу инспекторов.

Получить бесплатную консультацию по документам, обязательным для работы с персональными данными

Консультация

Слово «административная» не должно расслаблять оператора, потому как штрафы исчисляются сотнями тысяч и миллионами рублей. Основные из них собрали в таблице:

Закажите аудит сайта или системы работы с персональных данных организации у Всероссийского сервиса «Роском Онлайн». Специалисты выполнят проверку на соблюдение законодательных норм и готовность к инспекции Роскомнадзора. По результатам аудита вы получите подробный отчет и экспертные рекомендации.

Читайте также:

• Как составить политику конфиденциальности для сайта в 2025 году.

• Уведомление в Роскомнадзор 2025: какие документы нужны для регистрации.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Имя^*

E-mail^*

Телефон^*

Отправить

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFH4VMH2