Оператор персональных данных: статус и обязанности

Кто считается оператором

Определение даёт пункт 2 статьи 3 152-ФЗ: оператор — госорган, юридическое либо физическое лицо, самостоятельно или совместно с другими организующие обработку персональных данных, а также определяющие цели обработки, состав данных и действия с ними. Ключевое слово — «определяющие»: оператором становится тот, кто решает, зачем и какие данные собирать, а не тот, кто физически держит сервер.

Статус не выдаётся и не оформляется. Кофейня, повесившая у кассы код на анкету программы лояльности, стала оператором в момент первой заполненной анкеты. Мастер-самозанятый с QR-визиткой и формой записи — тоже оператор. Порога по числу записей, обороту или штату в законе нет.

Оператором не делает единственный случай: данные вообще не собираются, код ведёт на статичную страницу без формы, счётчиков и cookie. Как только появляется счётчик Яндекс Метрики, собираются IP и идентификатор посетителя — статус возникает снова.

Уведомление Роскомнадзора

Статья 22 152-ФЗ обязывает уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки. С 1 сентября 2022 года исключений почти не осталось: раньше не уведомляли при обработке данных работников или данных в рамках договора, теперь эти послабления сняты.

Где — портал pd.rkn.gov.ru, вход через ЕСИА либо бумажное письмо в территориальное управление.
Сколько занимает — 20–40 минут на форму, сведения вносятся в реестр в течение 30 дней.
Что внутри — цели обработки, категории субъектов и данных, перечень действий, меры защиты, ФИО ответственного, сведения о локализации баз и о трансграничной передаче.
Стоимость — бесплатно, госпошлины нет.

Передача данных за рубеж требует отдельного уведомления — до её начала. Смена целей или состава данных требует обновления записи в реестре.

Обязанности и документы

Статья 18.1 задаёт минимальный комплект. Приказом назначить ответственного за организацию обработки. Утвердить политику обработки персональных данных и опубликовать её в открытом доступе — для сайта это отдельная страница со ссылкой в подвале и рядом с каждой формой. Принять локальные акты о защите, провести оценку вреда субъектам, ознакомить сотрудников.

Часть 5 статьи 18 требует, чтобы первичная запись и хранение данных граждан России велись в базах на территории России. Зарубежная CRM или облачная таблица нарушает это требование по факту первой записи. Доказывать законность обработки — тоже задача оператора: бланк согласия, лог его получения и версия текста хранятся весь срок.

Сроки по инцидентам жёсткие: уведомить Роскомнадзор о факте утечки — за 24 часа, о результатах внутреннего расследования — за 72 часа. Отсчёт идёт с момента обнаружения, а не с момента, когда собрали объяснения.

Оператор, обработчик и QR-сервисы

Сервис коротких ссылок, конструктор форм, CRM и колл-центр — обработчики по поручению (часть 3 статьи 6): они действуют по инструкции оператора и целей не определяют. Перед человеком отвечает оператор. Поручение оформляют письменно, а обработчика называют в тексте согласия.

Ответственность: неуведомление Роскомнадзора — от 100 000 до 300 000 рублей для юрлица по части 10 статьи 13.11 КоАП, обработка без согласия — до 700 000, утечка — от 3 до 15 миллионов, при повторе штраф считают от оборота. Правовую рамку целиком разбирает термин 152-ФЗ, а какие данные о сканированиях вообще попадают под обработку, видно в материале про QR-код со статистикой сканирований. Чтобы аналитика сканов не смешивалась с персональными данными, разводите носители по разным кодам: динамический QR-код считает переходы по своей стороне, без хранения контактов.

Частые вопросы

Нужно ли уведомлять РКН самозанятому с QR-визиткой?

Если за кодом стоит форма записи или счётчик аналитики — да, статус оператора и обязанность уведомить не зависят от организационно-правовой формы. Физлицо подаёт уведомление через тот же портал pd.rkn.gov.ru. Уведомление не требуется, только если код ведёт на статичную страницу без форм, cookie и счётчиков.

Что грозит за работу без уведомления?

Часть 10 статьи 13.11 КоАП: для должностных лиц от 30 000 до 50 000 рублей, для юридических — от 100 000 до 300 000. Штраф выписывают по итогам проверки или по обращению субъекта. Само по себе отсутствие записи в реестре Роскомнадзор видит без проверки — реестр публичный и сверяется с сайтом.

Можно ли хранить лиды с QR-формы в зарубежном сервисе?

Первичная запись должна произойти в базе на территории России — этого требует часть 5 статьи 18. Схема, при которой заявка сначала падает в зарубежный сервис, а потом копируется в российскую CRM, требование не закрывает. Рабочий вариант — приём формы на российском хостинге с последующей синхронизацией.

Кто отвечает, если данные утекли у подрядчика?

Перед субъектом отвечает оператор — тот, кто определял цели сбора. Обработчик по поручению отвечает перед оператором в рамках договора. Поэтому в договоре с сервисом фиксируют требования к защите, а сам факт поручения и наименование обработчика указывают в тексте согласия.

Нужен ли отдельный сотрудник по защите данных?

Штатная единица не обязательна, обязателен назначенный ответственный за организацию обработки — приказом можно назначить директора, бухгалтера или администратора. Требования к квалификации закон не устанавливает. В малом бизнесе эту роль берёт руководитель, который подписывает политику и отвечает на запросы субъектов.