1. Кто такой оператор персональных данных по 152-ФЗ
Определение закреплено в статье 3 закона № 152-ФЗ. Оператор персональных данных — это государственный или муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует и осуществляет обработку ПДн. Оператор также определяет цели обработки, состав данных и действия, которые с ними совершаются.
Простыми словами: если вы решаете, какие данные собирать, в каких целях и что с ними делать, — вы оператор. Форма ведения бизнеса значения не имеет: это может быть ООО, ИП или самозанятый.
Как понять, являетесь ли вы оператором персональных данных
Проверьте себя по трем вопросам.
Собираете ли вы сведения о людях: ФИО, телефоны, адреса, паспортные данные?
Определяете ли вы сами, в каких целях эти данные нужны?
Решаете ли вы, как их хранить, использовать и кому передавать?
Если на все вопросы ответили «да», вы оператор. Неважно, делаете вы это через сайт, CRM, Excel или бумажные журналы. Важен сам факт обработки.
2. Оператор, субъект и лицо, обрабатывающее данные по поручению: в чем разница
Эти три роли часто путают, но у них разные права и обязанности.
Роль | Что делает | Определяет ли цели | Примеры |
Оператор | Организует обработку | Да | Интернет-магазин |
Субъект | Его данные обрабатываются | Нет | Покупатель |
Лицо, обрабатывающее ПДн по поручению | Выполняет порученные операции | Нет, действует в рамках поручения | Аутсорсинг бухгалтерии |
Ответственность за законность обработки несет оператор, даже если часть операций выполняет подрядчик. Поэтому договор поручения с четким описанием обязанностей — обязательный элемент работы с данными.
Пример: интернет-магазин решил, что для доставки заказов ему нужны ФИО и адрес покупателя. Он сам определил, какие данные собирать и зачем, — значит, он оператор. Покупатель, чьи сведения попали в базу, — субъект персональных данных. А курьерская служба, которой магазин передал адрес, чтобы привезти заказ, — лицо, обрабатывающее данные по поручению. Каждый из участников играет свою роль, и ответственность за законность всей цепочки лежит на операторе — то есть на магазине.
3. Когда возникает статус оператора
Статус возникает не после подачи уведомления для регистрации в Роскомнадзоре, а с момента, когда вы начали обрабатывать данные.
Последовательность такая.
Компания решила собирать данные.
Определила цель и состав сведений.
Начала или планирует начать обработку.
Возникли обязанности по 152-ФЗ.
При наличии обязанности направляется уведомление.
Роскомнадзор вносит сведения в реестр.
Поэтому ждать регистрации в реестре, чтобы считать себя оператором, не нужно: роль уже возникла, когда данные начали обрабатываться.
Рассмотрим несколько примеров, чтобы понять, кто является оператором персональных данных и в какой момент возникают обязательства перед субъектами:
№ 1. Интернет-магазин. Покупатель оформляет заказ на сайте, вводит ФИО, телефон и адрес доставки. В момент отправки формы магазин становится оператором по отношению к субъекту: он сам решил, какие данные собирать и зачем.
№ 2. Медицинская организация. Пациент записывается на прием: администратор спрашивает паспортные данные, полис ОМС и жалобы на здоровье. Клиника определяет, что эти сведения нужны для оказания помощи. Статус оператора возникает в момент первой записи в журнал или в медицинскую систему. Сведения о здоровье — специальная категория, поэтому и требования к защите выше.
Статус оператора возникает из-за самого факта обработки персональных данных, а не после появления компании в реестре Роскомнадзора. Поэтому сначала важно определить, какие данные вы собираете и какие обязанности возникают именно в вашей ситуации. Если самостоятельно определить статус и необходимые действия сложно, можно передать эту задачу специалистам и получить конкретный перечень требований для вашей компании.
4. Нужно ли оператору уведомлять Роскомнадзор
Да, в большинстве случаев. Уведомление о намерении осуществлять обработку подается до начала сбора данных.
Есть всего три случая, когда уведомление не требуется:
обработка ведется только на бумаге, без компьютеров и других средств автоматизации;
данные обрабатываются в государственных системах для защиты безопасности;
обработка нужна для транспортной безопасности.
Для обычного бизнеса эти исключения редко применимы. Если вы собираете данные через сайт, CRM или даже Excel — уведомление обязательно.
Проверьте, нужно ли вам регистрироваться в Роскомнадзоре
Разберемся, какие персональные данные и каким способом обрабатывает ваша компания, распространяются ли на вас исключения и требуется ли подача уведомления. Если регистрация необходима — расскажем, какие сведения и документы подготовить
5. Какие обязанности у оператора персональных данных
Контроль операторов персональных данных Роскомнадзором осуществляется с помощью реестра, а сайты круглосуточно мониторят нейросети. Для законной работы с ПДн недостаточно просто подать уведомление — круг действий шире.
Определите цели и правовые основания. Каждая цель должна быть конкретной и законной. Для каждой — свое основание: согласие, договор, требование закона или иные основания, предусмотренные ст. 6 ФЗ № 152.
Обрабатывайте только необходимые данные. Не собирайте лишнее: если для доставки нужны только ФИО и адрес, не запрашивайте паспортные данные.
Разработайте локальные документы. Вам понадобится Политика обработки, положение об обработке и защите, формы согласий, журналы и акты.
Опубликуйте политику. Документ должен быть доступен на сайте или в офисе.
Настройте получение согласий. Там, где согласие является основанием для обработки, внедрите формы с чекбоксами и раздельными документами.
Назначьте ответственного. Им может быть штатный юрист или сторонняя организация. Назначение оформляется приказом.
Организуйте защиту. Парольная защита, антивирусы, разграничение доступа, учет носителей, физическая охрана помещений.
Выполняйте требования субъектов. Отвечайте на запросы в течение 10 рабочих дней, удаляйте данные по требованию.
Уведомляйте Роскомнадзор. Подайте уведомление до начала обработки, актуализируйте сведения при изменениях. Если планируете отправлять ПДн за границу — предварительно направьте уведомление о трансграничной передаче.
Поддерживайте актуальность сведений в реестре РКН. Изменения вносятся до 15-го числа месяца, следующего за месяцем корректировок.
Регистрация в Роскомнадзоре — только одна из обязанностей оператора. Необходимо также подготовить документы, правильно получать согласия, назначить ответственного, организовать защиту данных и следить за актуальностью сведений в реестре. Если отдельных документов или процессов пока нет, привести работу с ПДн в соответствие с требованиями можно вместе со специалистами.
6. Что грозит, если не уведомить Роскомнадзор
За невыполнение обязанности по уведомлению предусмотрен штраф по части 10 статьи 13.11 КоАП. Для ИП и юридических лиц — от 100 000 до 300 000 рублей.
Роскомнадзор использует автоматический мониторинг сайтов и сверяет данные с реестром. Отсутствие записи выявляется быстро, поэтому откладывать подачу уведомления рискованно.
7. Что делать, если выяснилось, что вы оператор
Шаг 1. Назначьте ответственного за обработку. Издайте приказ с указанием ФИО и обязанностей. ИП считаются ответственными автоматически, но приказ все равно нужен.
Шаг 2. Подготовьте документы по ПДн. Разработайте политику, положение об обработке, формы согласий, акты, журналы, регламенты, инструкции. Данные из этих документов понадобятся при заполнении уведомления.
Шаг 3. Внедрите организационные и технические меры защиты. Настройте доступы, пароли, антивирусы, учет носителей. Проведите обучение сотрудников работе с ПДн.
Шаг 4. Проведите аудит процессов. Определите, какие данные вы собираете, для каких целей, где храните и кто имеет доступ.
Шаг 5. Подайте уведомление в Роскомнадзор. Заполните форму на официальном портале, подпишите и отправьте. Срок рассмотрения — 30 дней.
Шаг 6. Проверьте регистрацию оператора персональных данных в реестре. Через 30 дней найдите себя по ИНН. Если записи нет, обратитесь в территориальное управление РКН.
Шаг 7. Поддерживайте систему в актуальном состоянии. Проверяйте реестр раз в квартал, обновляйте документы при изменениях.
8. Как подать уведомление в Роскомнадзор
Шаг 1. Выполните все шаги, указанные в разделе выше.
Шаг 2. Зайдите на официальный портал Роскомнадзора — pd.rkn.gov.ru.
Шаг 3. Авторизуйтесь: через Госуслуги с подтвержденной учетной записью или по квалифицированной электронной подписи.
Шаг 4. Откройте форму уведомления о намерении осуществлять обработку ПДн.
Шаг 5. Заполните все разделы: сведения об операторе ПДн, цели, категории данных и субъектов, правовые основания, меры защиты и т.д.
Шаг 6. Проверьте данные на соответствие ЕГРЮЛ или ЕГРИП и внутренним документам.
Шаг 7. Подпишите уведомление КЭП или отправьте через Госуслуги.
Шаг 8. Сохраните номер заявки и подтверждение отправки.
Шаг 9. Дождитесь рассмотрения — до 30 календарных дней.
Шаг 10. Проверьте запись в реестре операторов персональных данных по ИНН или названию организации.
Если уведомление заполнено с ошибками или внесена недостоверная информация, Роскомнадзор не вернет его на доработку. Документ будет принят, и сведения попадут в реестр в том виде, в котором вы их указали. Если данные окажутся некорректными, проблемы возникнут позже — при проверке. Поэтому проверяйте каждое поле до отправки: исправить сведения можно, но лучше не доводить до этого.Подготовку уведомления и регистрацию в реестре операторов можно доверить специалистам, чтобы сведения изначально соответствовали фактической работе с ПДн.
9. Что проверяет Роскомнадзор у операторов
Проверка обычно начинается с запроса документов.
Политика обработки ПДн. Документ должен быть утвержден, опубликован на сайте или доступен в офисе. Проверяется не только наличие, но и содержание: совпадает ли политика с реальными процессами.
Приказ о назначении ответственного. У юридического лица и ИП должен быть приказ с указанием ФИО и обязанностей. Если ответственного нет — это нарушение.
Согласия субъектов. Инспекторы запрашивают формы согласий и проверяют, как они оформлены: отдельным документом, с конкретными целями, без предустановленных галочек.
Журналы учета. Журнал обращений субъектов, журнал учета машинных носителей, журнал инструктажа. Проверяется, ведутся ли они и насколько актуальны.
Локальные акты. Положения, инструкции, правила — все, что описывает процессы обработки. Документы должны соответствовать друг другу и уведомлению.
Сведения в реестре. Инспектор сверяет данные уведомления с реальностью: те ли цели указаны, те ли категории данных, тот ли ответственный.
Технические меры защиты. Парольная защита, антивирусы, разграничение доступа — проверяется, внедрены ли заявленные меры на самом деле.
Чаще всего находят расхождения между уведомлением и реальными процессами: заявлены одни данные, обрабатываются другие. Поэтому перед проверкой стоит самостоятельно сверить реестр, документы и фактическую работу с данными.
10. Какие штрафы предусмотрены для операторов
За нарушения ФЗ № 152 оператора могут привлечь к ответственности по ст. 13.11 КоАП.
Нарушение | Штраф для ИП | Штраф для юрлиц |
Данные использованы в целях, которые не заявлены или не предусмотрены законом | от 50 000 до 100 000 руб. | от 150 000 до 300 000 руб. |
Повторное использование данных вне заявленных целей | от 300 000 до 500 000 руб. | |
Сведения собраны без письменного согласия либо согласие оформлено с нарушениями | от 100 000 до 300 000 руб. | от 300 000 до 700 000 руб. |
Повторный сбор сведений без надлежащего согласия | от 500 000 до 1 млн руб. | от 1 млн до 1,5 млн руб. |
Политика обработки не опубликована или недоступна | от 10 000 до 20 000 руб. | от 30 000 до 60 000 руб. |
Гражданину не предоставлены сведения о работе с его данными | от 20 000 до 30 000 руб. | от 40 000 до 80 000 руб. |
Запрос на уточнение, блокировку или уничтожение не исполнен | от 20 000 до 40 000 руб. | от 50 000 до 90 000 руб. |
Повторный отказ исполнить требование об удалении сведений | от 50 000 до 100 000 руб. | от 300 000 до 500 000 руб. |
Бумажные носители не защищены, и это привело к доступу посторонних | от 20 000 до 40 000 руб. | от 50 000 до 100 000 руб. |
Базы с данными россиян размещены за рубежом | от 1 млн до 6 млн руб. | |
Повторное игнорирование требований локализации | от 6 млн до 18 млн руб. | |
Роскомнадзор не уведомлен о начале обработки | от 100 000 до 300 000 руб. | |
Факт утечки скрыт от ведомства или уведомление подано позднее чем через 24 часа после выявления инцидента | от 1 млн до 3 млн руб. | |
Утечка затронула от 1 000 до 10 000 человек | от 3 млн до 5 млн руб. | |
Утечка затронула от 10 000 до 100 000 человек | от 5 млн до 10 млн руб. | |
Утечка затронула более 100 000 человек | от 10 млн до 15 млн руб. | |
Утечка специальных категорий сведений | от 10 млн до 15 млн руб. | |
Утечка биометрии | от 15 млн до 20 млн руб. | |
Повторная утечка обычных сведений | от 1% до 3% выручки, но не менее 20 млн и не более 500 млн руб. | |
Повторная утечка спецкатегорий или биометрии | от 1% до 3% выручки, но не менее 25 млн и не более 500 млн руб. | |
Проверьте, все ли требования к работе с ПДн выполняет ваша компания
Проведем аудит обработки персональных данных: проверим регистрацию в Роскомнадзоре, сведения в реестре, локальные документы, согласия и формы на сайте, порядок хранения и защиты данных
11. Ответы на вопросы
Является ли ИП оператором персональных данных?
Да, если собирает данные клиентов или работников. Статус оператора возникает в любом случае — даже если обработка ведется только на бумаге. Разница лишь в том, что при бумажной обработке не нужно подавать уведомление в Роскомнадзор, но остальные обязанности по 152-ФЗ сохраняются.
Является ли самозанятый оператором персональных данных?
Да, если собирает контакты физлиц через сайт, приложение или мессенджер. Как и в случае с ИП, бумажная обработка не отменяет статус оператора — она лишь освобождает от обязанности регистрироваться в реестре.
Является ли работодатель оператором персональных данных?
Да, работодатель обрабатывает данные сотрудников для кадрового и бухгалтерского учета. Даже если учет ведется в бумажных журналах, работодатель остается оператором.
Может ли физическое лицо быть оператором персональных данных?
Да, если обрабатывает их в коммерческих целях.
Нужно ли уведомлять Роскомнадзор, если обрабатываются только данные работников?
Да, если обработка автоматизирована. Если учет ведется исключительно на бумаге, уведомление не требуется, но статус оператора и остальные обязанности сохраняются.
Если данные обрабатываются только на бумаге, нужно ли подавать уведомление?
Нет, уведомление не нужно. Но вы остаетесь оператором и обязаны соблюдать 152-ФЗ: обеспечивать сохранность данных, отвечать на запросы субъектов, уничтожать данные по требованию.
Если компании нет в реестре Роскомнадзора, значит она не оператор?
Нет. Отсутствие в реестре означает, что уведомление не подано, но статус оператора уже возник. Если ПДн обрабатываются в автоматизированном режиме, но регистрации в РКН нет, это нарушение.
Кто должен регистрироваться как оператор персданных?
Все организации, самозанятые и ИП, которые обрабатывают ПДн с помощью средств автоматизации.
Является ли ООО оператором персональных данных?
Да, если компания использует ПК, ноутбуки, смартфоны и другие средства автоматизации для работы с ПДн.
Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!
Выгружайте отчеты.
Добавляйте списки контрагентов.
Проявляйте должную осмотрительность.
Эти и другие возможности Мобиз доступны бесплатно!
Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFH1iocu
