Оператор персональных данных: вы им являетесь (даже ИП) — что это значит

«Я не оператор, у меня маленький бизнес» — это, наверное, самое частое, что я слышу от предпринимателей про 152-ФЗ. И почти всегда это ошибка. Оператор — не про размер компании и не про то, что вы где-то регистрировались. Это про то, собираете ли вы данные людей. Если собираете, вы уже оператор, даже если сами об этом не знаете.

Разберу спокойно и по делу: как понять, что вы оператор, что закон на вас вешает и с чего начать, чтобы спать спокойно.

Кто такой оператор персональных данных — три признака

По статье 3 152-ФЗ оператор — это тот, кто организует и определяет обработку персональных данных: какие собирать, зачем и что с ними делать. Если разложить на понятное, признаков три.

• Вы решаете, какие данные собирать. Имя и телефон в форме, паспорт для договора, адрес для доставки — состав определяете вы.
• Вы решаете, зачем. Обработать заявку, довезти заказ, платить зарплату. Цель — ваша.
• Данные у вас хранятся или используются. В CRM, в Excel, в 1С, в тетрадке — неважно где.

Ключевое слово тут — «определяете». Оператор не тот, кто технически хранит данные, а тот, кто решает, что с ними делать. Поэтому облако, где лежит ваша база, — не оператор. Оператор — вы.

Оператор и обработчик — не путайте

Есть пара понятий, которые постоянно смешивают: оператор и обработчик. Разница простая, но важная в деньгах.

Оператор — это вы: решаете, какие данные и зачем собирать. Обработчик — тот, кто работает с данными по вашему поручению: облачный сервис с базой, колл-центр на аутсорсе, сервис email-рассылки, подрядчик на бухгалтерии.

Вывод для собственника: перед клиентом за его данные отвечаете вы как оператор, даже когда утечка случилась у обработчика. Поручили обработку подрядчику — закрепите это договором с условиями о защите данных. Иначе чужой прокол превратится в ваш штраф.

Вы уже оператор: случаи, которые не очевидны

Теперь конкретика. Вот ситуации, в которых владельцы искренне удивляются, что они операторы.

ИП с одной формой на сайте. Принимаете заявки на лендинге — собираете имена и телефоны. Оператор. Размер бизнеса роли не играет.

Стартап на конструкторе. Сайт на Тильде, форма подписки, база в Google-таблице. Инструменты чужие, а оператор всё равно вы: вы решили собирать email.

Работодатель без всякого сайта. Даже если сайта нет вообще, но есть наёмные сотрудники, у вас есть их персональные данные: паспорта, СНИЛС, зарплатная ведомость. Вы оператор как работодатель.

Самозанятый с клиентами. Ведёте клиентов как самозанятый, храните их контакты для заказов — вы тоже оператор. Налоговый режим тут ничего не меняет.

Онлайн-школа или эксперт с учениками. Заявки, оплаты, доступы в личный кабинет — это персональные данные учеников. Оператор.

Кофейня с программой лояльности. Карты, телефоны, история покупок — это база клиентов. Оператор.

Магазин в офлайне с записной книжкой клиентов. Данные необязательно должны быть в компьютере. Список постоянных клиентов с телефонами в блокноте — тоже обработка персональных данных.

Проще перечислить, кто НЕ оператор: тот, кто вообще не собирает данные людей. Таких среди работающего бизнеса почти нет.

Реестр операторов РКН: обязателен ли и как туда попасть

Раз вы оператор, закон требует об этом сообщить. Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные — это статья 22 152-ФЗ. После поправок 2022 года почти все исключения из этой обязанности убрали, поэтому раньше можно было «спрятаться» под исключение, а теперь нет.

Поданные уведомления складываются в реестр операторов — это публичная база на сайте Роскомнадзора. Любой может зайти и проверить, есть ли там компания, поиском по ИНН. И проверяющий тоже.

Как попасть в реестр:

• Проверьте сначала, нет ли вас там уже, — поиском по ИНН на сайте РКН. Иногда уведомление подавали давно и забыли.
• Если нет — подайте уведомление. Это делается через сайт Роскомнадзора или через Госуслуги, бесплатно.
• В уведомлении описываете, какие данные, зачем и как обрабатываете. Сведения должны совпадать с реальностью: если написали одно, а делаете другое, это отдельный риск при проверке.

Вся процедура — примерно на полчаса. За неподачу же штраф ощутимый, о нём ниже. А что делать после отправки формы — как найти себя в реестре и когда подавать изменения — разобрал в статье «Подали уведомление в РКН: что дальше».

Что происходит после подачи. Уведомление проверяет Роскомнадзор, и через некоторое время вы появляетесь в публичном реестре. С этого момента ваши сведения об обработке открыты: любой может посмотреть, какие данные и зачем вы обрабатываете. Это и есть смысл реестра — прозрачность.

Что вписывают в уведомление, чтобы не пугаться формы: какие категории данных обрабатываете (клиенты, сотрудники), с какой целью, на каком основании (согласие или договор), какими мерами защищаете и кто у вас ответственный за обработку. Плюс подтверждение, что данные россиян хранятся в России. Всё это вы и так должны знать про свой бизнес, так что заполнение — вопрос аккуратности, экспертиза не нужна.

Что оператор обязан сделать — минимальный чек-лист

Уведомление — это только вход. Дальше идёт список обязанностей. Минимальный набор обязанностей оператора выглядит так:

• Уведомить РКН и попасть в реестр.
• Опубликовать политику обработки данных на сайте. Про неё подробно — в статье про политику конфиденциальности.
• Собирать согласие там, где данные берутся у человека. Как это сделать правильно, разобрал в статье про согласие.
• Назначить ответственного за организацию обработки данных — конкретного человека.
• Обеспечить защиту: ограничить доступ к базе, хранить данные россиян на серверах в России (см. трансграничную передачу), следить за подрядчиками.
• Уничтожать данные, когда основание для хранения отпало, и подтверждать это документом — как именно.
• Отвечать на запросы людей: субъект вправе узнать, какие его данные у вас есть, и потребовать их удалить.

Пугаться списка не стоит. Для малого бизнеса это не полугодовой проект, а несколько документов и настроек, которые закрываются за пару дней. Дорогое ПО тут не нужно.

Отдельно стоит знать про особые данные. Если вы собираете биометрию (распознавание лиц, отпечатки), данные о здоровье или другие специальные категории, режим строже и защита нужна серьёзнее. Для обычного бизнеса с именами и телефонами это чаще всего не про вас, но проверить себя стоит.

И сразу про то, чего делать НЕ надо. Малому бизнесу на старте не нужна дорогая сертифицированная система защиты за сотни тысяч. Такие требования начинаются на другом уровне — у государственных систем и крупной инфраструктуры. Если вам продают «обязательную аттестацию для ИП с формой на сайте» — это продажа страха. Закон такого не требует. Базовый набор оператора закрывается документами и разумными настройками.

Что грозит, если игнорировать

Самый частый штраф на старте — за то, что не уведомили РКН. Часть 10 статьи 13.11 КоАП:

• компания (юрлицо) — 100–300 тыс рублей;
• ИП — тоже 100–300 тыс: по примечанию 1 к статье 13.11 предприниматель отвечает как юрлицо;
• должностное лицо — 30–50 тыс, но здесь есть нюанс.

Про нюанс стоит сказать отдельно, потому что его почти всегда упускают. Примечание 2 к статье 13.11 говорит: в частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации. То есть строка «30–50 тыс» — не про директора обычного ООО. Для коммерческой компании работает одна графа: организация платит 100–300 тысяч. И ИП платит столько же, хотя по привычке относит себя к «гражданам» с их 5–10 тысячами.

И важная деталь для ИП: по составам за нарушения в сфере персональных данных индивидуальный предприниматель отвечает как юридическое лицо. То есть «я же просто ИП» от суммы юрлица не спасает. Дальше идут отдельные штрафы за отсутствие политики, за неправильные согласия, а если данные утекут — уже совсем другие суммы, о которых я писал в разборе штрафов за утечку.

Кто в компании за это отвечает

Частый спор в компании: чья это головная боль — юриста, бухгалтера или айтишника? Разложу по полкам.

Юридически оператор — это сама компания или ИП. Поэтому административный штраф выписывают организации. Конкретного рядового сотрудника им не наказывают. Директора отдельно как должностное лицо по этому составу не наказывают: как раз тот случай, когда работает примечание 2 и графа «должностное лицо» закрыта за госорганами и НКО.

Внутри компании закон требует назначить ответственного за организацию обработки данных. Это не обязательно отдельная должность: роль можно повесить на юриста, HR или на самого директора в маленькой компании. Важно, чтобы это был конкретный человек с фамилией. Ответственность, размазанная на всех, на практике не работает. Тема, за которую отвечают все сразу, на практике не делается.

Айтишник отвечает за техническую часть — доступы, бэкапы, защиту. Но 152-ФЗ шире техники: это ещё документы и процессы. Поэтому свалить всё на «сисадмина» не выйдет, это управленческая задача.

На практике выглядит это так. Приходит запрос из РКН — и выясняется, что политику никто не публиковал, потому что «юрист думал, это делает маркетолог», а уведомление не подавали, потому что «бухгалтер решил, что это забота айтишника». Назначенный ответственный ровно для того и нужен, чтобы такого зазора не было.

Что сделать на этой неделе

Три шага, с которых стоит начать:

• Проверьте себя в реестре операторов на сайте РКН по ИНН. Нет вас там — это задача номер один.
• Подайте уведомление, если не подавали. Бесплатно, через сайт РКН или Госуслуги, полчаса.
• Назначьте ответственного за обработку данных и пройдите базовый чек-лист: политика на сайте, согласия в формах, где лежит база.

Полную самопроверку сайта на соответствие 152-ФЗ собрал в чек-листе аудита — это логичный следующий шаг после того, как разобрались со статусом оператора.

Короткий вывод

Быть оператором персональных данных — это не что-то, что нужно заслужить или на что нужно подписаться. Вы становитесь им автоматически, как только начинаете работать с данными клиентов или сотрудников. Хорошая новость: закрыть базовые обязанности оператора малому бизнесу реально за пару дней и почти без затрат. Уведомление бесплатно, документы пишутся один раз, ответственного назначаете приказом. Это дешевле и спокойнее, чем объясняться с РКН, когда придёт проверка.

Свежие разборы 152-ФЗ на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы

Если часть данных обрабатывают за вас подрядчики, отдельно посмотрите, что должно быть в договоре поручения и кто отвечает за утечку у них.