Оператор персональных данных: кто это и что обязан

Оператором персональных данных становится любое лицо, которое организует обработку и определяет её цели, — организация, предприниматель или гражданин (пункт 2 статьи 3 152-ФЗ). Статус возникает по факту обработки, а не после регистрации: магазин, записавший телефон покупателя, уже оператор, даже если об этом не знает.

Что появляется в тот же день

• Политика обработки — опубликованная в открытом доступе (часть 2 статьи 18.1).
• Уведомление в Роскомнадзор — до начала обработки (статья 22).
• Ответственный за организацию обработки — приказом (статья 22.1).
• Согласия субъектов и порядок их отзыва.
• Уровень защищённости по ПП РФ № 1119 и меры защиты под него.
• База данных на территории России (часть 5 статьи 18).

Реестра, в который «вступают», не существует

В реестр операторов Роскомнадзор вносит сведения сам — на основании поданного уведомления. Отдельной процедуры регистрации нет, и отсутствие организации в реестре означает только одно: уведомление не подано. Статус оператора при этом никуда не девается, как и ответственность.

Предприниматель и самозанятый — тоже операторы

Освобождения по размеру бизнеса в законе нет. У самозанятого, собирающего адреса клиентов, обязанности те же, что у компании с тысячей работников: меняется объём системы и число документов, а не перечень требований. Разница проявляется только в размере штрафа — гражданин отвечает как физическое лицо.

Обработчик по поручению — не второй оператор

Часть 3 статьи 6 позволяет поручить обработку другому лицу. Поручение оформляется договором, в котором названы перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите. Ответственность перед человеком при этом остаётся на операторе: бухгалтерия на аутсорсе, облачная CRM и подрядчик, рассылающий письма, — это обработчики, и претензия субъекта придёт не им.

Обратная ошибка тоже встречается: подрядчик, который сам решил, какие данные собирать и зачем, оператором становится независимо от того, как назван договор. Статус определяется тем, кто определяет цели, а не подписью в шапке.

Совместная обработка

Пункт 2 статьи 3 говорит об организации обработки «самостоятельно или совместно с другими лицами». Два лица, вместе определившие цели, — два оператора, и каждый исполняет обязанности за себя: свою политику публикует каждый, уведомление подаёт каждый. Типичный случай — маркетплейс и продавец на нём.

Обязанности юридического лица и предпринимателя различаются

Часть обязанностей закон адресует именно организации. Назначить ответственного за организацию обработки (часть 1 статьи 22.1) и издать локальные акты (пункты 1–2 части 1 статьи 18.1) обязано юридическое лицо; предприниматель исполняет обязанности оператора лично и назначает ответственного по собственному решению.

Всё остальное общее: публикация политики (часть 2 статьи 18.1), уведомление в Роскомнадзор, определение уровня защищённости и мер защиты, ознакомление работников с правилами обработки (пункт 6 части 1 статьи 18.1), ответы на запросы субъектов.

Что оператор обязан сделать при инциденте

Обязанности при утечке привязаны к срокам, и считаются они в часах, а не в днях: уведомление в Роскомнадзор об инциденте — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов. Заранее это значит одно: у оператора должен быть тот, кто знает, куда сообщать, и порядок, записанный до того, как понадобится.

Чем оператор рискует, оставаясь незаметным

Расчёт «нас мало, нас не найдут» перестал работать: поводом для проверки чаще становится не план, а жалоба субъекта или утечка у подрядчика. К моменту, когда приходит запрос, документы либо есть, либо их нет — сделать их задним числом нельзя: политика датируется публикацией на сайте, уведомление — регистрацией в Роскомнадзоре.

С чего начать

С определения уровня защищённости: от него зависят меры, а от мер — половина документов. Расчёт занимает шесть вопросов и ничего не стоит.

Определить уровень защищённости

Коротко

Кто такой оператор персональных данных

Любое лицо, которое организует обработку персональных данных и определяет её цели, — государственный орган, организация, индивидуальный предприниматель или гражданин (пункт 2 статьи 3 152-ФЗ). Оператором становятся по факту обработки, а не после регистрации: магазин, собирающий телефоны покупателей, уже оператор, даже если об этом не знает.

Является ли ИП или самозанятый оператором персональных данных

Да, если собирает данные клиентов, работников или подрядчиков. Освобождения по размеру бизнеса в 152-ФЗ нет: обязанности у самозанятого те же, что у крупной компании, отличается только объём системы и количество документов.

Что обязан сделать оператор

Опубликовать политику обработки персональных данных (часть 2 статьи 18.1), назначить ответственного (статья 22.1), уведомить Роскомнадзор до начала обработки (статья 22), получить согласия субъектов, определить уровень защищённости по ПП РФ № 1119 и принять меры защиты, а также обеспечить нахождение базы данных на территории России (часть 5 статьи 18).

Нужно ли регистрироваться в реестре операторов

Отдельной регистрации не существует — в реестр операторов Роскомнадзор вносит сведения на основании поданного уведомления. Проверить, есть ли организация в реестре, можно на сайте Роскомнадзора по ИНН или наименованию.

Материал опирается на редакцию нормативной базы от 11.09.2026 — что в неё вошло и по каким актам считает конструктор, перечислено в составе пакета. Расчёты в сервисе выводятся правилами по тексту актов: одни и те же исходные данные дают один и тот же результат.