Если у вас есть сайт с формой обратной связи, вы нанимаете сотрудников или ведёте базу клиентов — поздравляю: вы уже оператор персональных данных. Со всеми вытекающими обязанностями и штрафами до 18 млн ₽. Многие узнают об этом только во время проверки Роскомнадзора. Лучше разобраться заранее.
Что говорит закон: определение оператора в одном абзаце
Федеральный закон №152-ФЗ «О персональных данных» — базовый документ, который регулирует всё, что связано со сбором и хранением данных о людях. И первый важный термин в нём — «оператор».
⚖️ Статья 3, п. 2 ФЗ-152:
«Оператор — государственный орган, муниципальный орган, юридическое лицо или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных, подлежащих обработке, действия с ними».
«Оператор — государственный орган, муниципальный орган, юридическое лицо или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных, подлежащих обработке, действия с ними».
Ключевая фраза — «определяющие цели обработки». Именно это отличает оператора от исполнителя (например, хостинга или колл-центра, которые технически хранят данные, но не решают, что с ними делать). Если вы решаете — вы оператор.
Кто является оператором ПДн: 6 неочевидных случаев
Большинство думают, что оператор — это только крупная компания с базой данных на миллион записей. На деле всё иначе.
Юридическое лицо
ООО, АО, НКО — любая организация, работающая с данными клиентов или сотрудников
Индивидуальный предприниматель
ИП с сайтом, базой клиентов или хотя бы одним наёмным сотрудником
Владелец сайта
Любой, у кого на сайте есть форма с полем «Имя» или «Email» — физлицо в том числе
Госорган и муниципалитет
Школы, больницы, администрации — операторы с особыми требованиями
Самозанятый / фрилансер
Если ведёт клиентскую базу или использует CRM — формально является оператором
НКО и общественные объединения
Благотворительные фонды, клубы, ТСЖ — все, кто хранит данные участников
💡 Главный тест: Вы собираете имя, телефон, email или адрес хоть одного человека в любой форме (CRM, Excel, блокнот) и сами решаете, что с этим делать? Вы оператор персональных данных.
Оператором ПДн может быть любая организация — от крупного банка до небольшого ИП с тремя сотрудниками. Критерий один: вы определяете цели обработки данных.
Кто НЕ является оператором: 4 исключения из закона
Закон знает исключения. Вот когда статус оператора к вам не применяется:
👤 Личные нужды
Если вы храните контакты друзей и родственников для личного использования — это не обработка ПДн в смысле закона (ст. 1 ч. 2 ФЗ-152).
📰 Журналистика
СМИ и журналисты вправе обрабатывать ПДн в профессиональных целях без ряда стандартных ограничений — при соблюдении редакционной этики.
🗂️ Исполнитель (не оператор)
Хостинг, облачный сервис, колл-центр по договору — они обрабатывают данные по поручению оператора и не несут его обязанностей, если это зафиксировано в договоре.
🔒 Гостайна
Данные, составляющие государственную тайну, регулируются отдельным законодательством, а не ФЗ-152.
🔥 Спорный вопрос
Фрилансер ведёт таблицу клиентов в Google Sheets с именами, телефонами и суммами сделок. Формально — он оператор ПДн и обязан уведомить Роскомнадзор. Но почти никто из самозанятых этого не делает. Справедливо ли требовать от фрилансера того же, что и от ООО?
👇 Напишите своё мнение в комментариях — тема горячая
8 обязанностей оператора: что требует закон прямо сейчас
Статья 18.1 ФЗ-152 устанавливает перечень мер, которые обязан принять каждый оператор. Разберём каждую с практическим смыслом.
1
Уведомить Роскомнадзор и войти в реестр операторов
До начала обработки ПДн нужно подать уведомление на сайте pd.rkn.gov.ru. Исключения — несколько узких случаев (ст. 22 ч. 2), например, если данные обрабатываются только для исполнения трудового договора.
Штраф за нарушение: до 300 000 ₽
2
Опубликовать Политику конфиденциальности
Документ должен быть размещён в открытом доступе — обычно на сайте по адресу /privacy. В нём описываются цели, способы, сроки обработки и права субъектов.
Штраф за нарушение: до 700 000 ₽
3
Назначить ответственного за обработку ПДн
Это может быть сам ИП, руководитель или специально назначенный сотрудник. Требуется внутренний приказ. Контакт ответственного должен быть указан в Политике конфиденциальности.
Штраф за нарушение: до 100 000 ₽
4
Получать согласие на обработку (там, где это нужно)
Для маркетинговых рассылок, передачи данных третьим лицам, использования cookies-трекеров — нужно явное согласие. Для исполнения договора — нет. Подробнее в статье о согласии.
Штраф за нарушение: до 700 000 ₽
5
Обеспечить хранение данных граждан РФ на серверах в России
Первичная запись ПДн россиян должна происходить на российских серверах. Зарубежные CRM, Google Forms, зарубежный хостинг без российского зеркала — нарушение ст. 18.1.
Штраф за нарушение: до 18 млн ₽
6
Обеспечить техническую защиту данных
HTTPS на сайте, шифрование чувствительных полей в БД, разграничение прав доступа, регулярные обновления CMS. Уровень защиты определяется согласно Постановлению Правительства №1119 в зависимости от категорий обрабатываемых данных.
Штраф за нарушение: до 6 млн ₽
7
Реагировать на запросы субъектов ПДн в течение 30 дней
Любой человек вправе запросить свои данные, потребовать их исправления или удаления. Оператор обязан ответить в течение 30 дней и выполнить законное требование.
Штраф за игнорирование: до 300 000 ₽
8
Уведомить РКН об утечке данных в течение 24–72 часов
С 2022 года при любой утечке ПДн оператор обязан сообщить в Роскомнадзор в течение 24 часов о самом факте и в течение 72 часов — о причинах и мерах устранения.
Штраф за нарушение: до 3 млн ₽
8 обязанностей оператора ПДн — это не формальность. За каждую из них предусмотрены конкретные санкции, которые Роскомнадзор активно применяет.
Оператор vs исполнитель: в чём разница и почему это важно для вашего договора
Один из самых частых вопросов: «Мы передаём данные колл-центру / хостингу / подрядчику — кто из нас оператор?» Закон разграничивает эти роли чётко.
| Критерий | Оператор | Исполнитель (по поручению) |
|---|---|---|
| Определяет цели обработки | ✔ Да | ✘ Нет — следует инструкциям |
| Регистрируется в реестре РКН | ✔ Обязан | ✘ Не обязан (если в договоре) |
| Несёт ответственность перед субъектом | ✔ Полную | Частичную (по договору с оператором) |
| Кто подписывает Политику конфиденциальности | ✔ Оператор | ✘ Не требуется |
| Пример | Интернет-магазин, клиника, работодатель | Хостинг, CRM-сервис, курьерская служба |
⚠️ Важно: Даже если данные технически хранит подрядчик — ответственность перед Роскомнадзором и пользователем несёт оператор. Договор с исполнителем об обработке ПДн обязателен и должен содержать обязательство не передавать данные третьим лицам (ст. 6 ч. 3 ФЗ-152).
Как встать на учёт в РКН: пошаговая инструкция за 30 минут
Регистрация в реестре операторов ПДн — первая и обязательная обязанность. Процедура проще, чем кажется.
Шаг 1. Подготовьте информацию
Цели обработки ПДн, категории данных (имя, телефон, адрес и т. д.), категории субъектов (клиенты, сотрудники), способы обработки, место хранения данных (адрес сервера / хостинг-провайдер).
Шаг 2. Зайдите на pd.rkn.gov.ru
Раздел «Подача уведомления» → форма для заполнения. Личный кабинет через Госуслуги ускоряет процесс.
Шаг 3. Заполните и подпишите уведомление
Можно подать электронно (с КЭП) или распечатать и отправить почтой в территориальное управление РКН. Электронный способ — быстрее.
Шаг 4. Дождитесь включения в реестр
Обычно занимает от 3 до 10 рабочих дней. Сохраните подтверждение (скриншот страницы реестра с вашей записью).
Шаг 5. Уведомляйте РКН об изменениях
Изменили цели обработки, добавили новую категорию данных, сменили хостинг — каждое существенное изменение требует обновления уведомления в течение 10 дней.
Что грозит оператору, который игнорирует ФЗ-152: реальные цифры 2024–2025
Роскомнадзор заметно активизировал проверки после 2022 года. Штрафы выросли кратно, и тренд продолжается.
- Не встали на учёт в реестр — штраф до 300 000 ₽ (ст. 13.11 ч. 1 КоАП).
- Нет Политики конфиденциальности — до 700 000 ₽ (ст. 13.11 ч. 3).
- Обработка данных без согласия — до 700 000 ₽ (ст. 13.11 ч. 2).
- Данные россиян хранятся за рубежом — до 18 млн ₽ при повторном нарушении (ст. 13.11 ч. 8).
- Неуведомление об утечке — до 3 млн ₽ (ст. 13.11 ч. 3.1), в перспективе — оборотный штраф.
- Повторные нарушения — суммы удваиваются. Для особо крупных случаев рассматривается уголовная ответственность.
📌 Реальный кейс 2023: Роскомнадзор оштрафовал крупную сеть клиник на 60 000 ₽ за хранение медицинских данных пациентов на зарубежных серверах. Это был 2021 год — сейчас за то же нарушение грозит до 18 млн ₽. Масштаб санкций изменился принципиально.
📋 Вы узнали, что являетесь оператором — что дальше?
Начните с двух шагов: подайте уведомление в Роскомнадзор и опубликуйте Политику конфиденциальности. Это займёт несколько часов, но закроет самые крупные риски.
→ Читайте также: «Что такое персональные данные по 152-ФЗ?» и «Нужно ли согласие на обработку ПДн? 6 случаев, когда закон вас удивит».
💬 Вопросы к вам — ответьте в комментариях
- Вы уже зарегистрированы в реестре операторов ПДн Роскомнадзора — или только планируете?
- Сталкивались ли вы или ваши знакомые с реальной проверкой РКН? Расскажите, как это было.
- Считаете ли вы справедливым, что самозанятый с таблицей клиентов несёт те же обязанности, что и корпорация? Почему?
- Что такое персональные данные по 152-ФЗ?
- Как составить политику обработки персональных данных?
- Как уничтожить персональные данные и оформить акт?
- Кто такой оператор персональных данных по 152-ФЗ?
- Нужно ли согласие на обработку персональных данных?
- Нужно ли уведомлять Роскомнадзор об обработке персональных данных?
- Какая ответственность за нарушение 152-ФЗ
- Фото в СКУД — это биометрические персональные данные?
- Является ли номер телефона персональными данными по ФЗ-152?