Оператор персональных данных — кто это и какие у него обязанности

«Оператор персональных данных» — это юридический термин из 152-ФЗ. На практике он означает почти каждый бизнес с сайтом. И с этим статусом приходят 12 конкретных обязанностей. Дальше — кто попадает в эту категорию, что обязан делать, и какие штрафы за неисполнение.

Содержание

  1. Кто такой оператор ПДн
  2. Чем оператор отличается от обработчика
  3. Когда вы становитесь оператором
  4. 12 обязанностей оператора
  5. Права субъекта, которые должен соблюдать оператор
  6. Ответственность за нарушения
  7. Частые вопросы
  8. Об авторе

Кто такой оператор ПДн

Краткий ответ. Оператор персональных данных — это любая организация или физическое лицо, которое самостоятельно или совместно с другими решает: собирать ли данные, какие, как использовать, где хранить. По закону 152-ФЗ статья 3.

В простом переводе на бизнес-язык: если вы решаете «давайте поставим форму на сайте чтобы клиенты оставляли заявки» — вы уже оператор. Решение принимаете вы, ответственность тоже на вас.

Кто конкретно может быть оператором:

— Юридическое лицо (ООО, АО, некоммерческая организация) — Индивидуальный предприниматель (ИП) — Самозанятый — Физическое лицо (но только если ведёт деятельность связанную со сбором данных — например, частный психолог с базой клиентов) — Государственный орган — Муниципальное учреждение

Обычные пользователи в быту операторами не считаются. Если у вас в записной книжке записаны контакты друзей — это «обработка для личных нужд», под 152-ФЗ не подпадает.

Чем оператор отличается от обработчика

Эту разницу путают часто, а она важна — обязанности у этих двух ролей разные.

Оператор принимает решения. Какие данные собирать, для каких целей, кому передавать.

Обработчик выполняет работу по поручению оператора. Не принимает самостоятельных решений, что с данными делать.

Пример. У вас интернет-магазин (вы — оператор). Вы используете Битрикс24 (он — обработчик, хранит вашу базу клиентов). Доставку делает СДЭК (он — обработчик, доставляет заказы по вашим инструкциям). Платежи через ЮКассу (она — обработчик, принимает деньги).

Кто за что отвечает:

— Оператор отвечает за весь цикл (получение согласия, политика, защита, удаление по запросу). — Обработчик — только за то, что ему поручили. Не может использовать данные для собственных целей.

Между оператором и обработчиком должен быть договор. В нём явно описано: какие данные передаются, для каких целей, на какой срок, как защищены. Без договора — нарушение и для оператора, и для обработчика.

В политике оператор обязан перечислить всех обработчиков. Поэтому если у вас Tilda + ЮКасса + СДЭК + Яндекс Метрика — всех четверых указываете в политике как третьих лиц.

Параметр Оператор Обработчик Субъект
Кто это Тот, кто решает зачем и как обрабатывать данные Тот, кто обрабатывает по поручению оператора Человек, чьи данные обрабатывают
Пример Интернет-магазин (вы) Битрикс24, СДЭК, ЮКасса Покупатель
Принимает решения Да Нет —
Нужно согласие собирать Получает у субъекта Нет (работает по договору с оператором) Даёт согласие
Подаёт уведомление в РКН Да Нет —
Отвечает перед РКН За весь цикл Только за порученное —

Когда вы становитесь оператором

Краткий ответ. В момент когда вы решили собрать данные. Не когда подали уведомление в РКН — этот момент позже. Уведомление — это обязанность оператора, а не способ им стать.

Цепочка оператор-обработчик-субъект

Типичный сценарий малого бизнеса:

  1. Понедельник. Запускаете сайт-визитку с формой обратной связи. Уже в этот момент вы — оператор. Закон вас обязывает.

  2. Вторник. Получаете первую заявку через форму. Уже обрабатываете данные субъекта. Обязанность оператора активна.

  3. Среда. Видите статью про штрафы и подаёте уведомление в Роскомнадзор через Госуслуги. Это выполнение обязанности оператора (статья 22 152-ФЗ), а не «получение статуса».

  4. Четверг. РКН вносит вас в реестр операторов. Теперь любой может проверить.

То есть вы становитесь оператором по факту — в момент когда впервые собрали данные. Уведомление и регистрация в реестре — это уже обязательное продолжение, чтобы быть «легальным» оператором.

Если на сайте есть форма и вы не в реестре — формально вы «оператор-нарушитель», штраф 100-300 тысяч за отсутствие уведомления.

12 обязанностей оператора

Статьи 18-22 152-ФЗ устанавливают конкретные обязанности. Перечисляю с пояснением что это значит на практике.

1. Подать уведомление в РКН перед началом обработки. Бесплатно через Госуслуги. Подробнее в статье про реестр.

2. Опубликовать политику в общедоступном месте (на сайте). 17 обязательных пунктов по статье 18.1. Подробнее в статье про политику.

3. Получать согласие перед сбором данных. Активное (галочка), не предустановленное. Подробнее про согласие.

4. Собирать только то, что необходимо. Принцип минимальной достаточности. Лишние поля в форме — риск штрафа.

5. Использовать только для заявленных целей. Если собрали для отправки заказа — нельзя использовать для маркетинга без отдельного согласия.

6. Хранить локально в РФ. Базы клиентов на серверах в России. CRM, почтовый сервер, аналитика — российские или с локализацией.

7. Защищать. Технические меры (пароли, HTTPS, антивирус) + организационные (разграничение доступа, регулярное копирование).

8. Уведомлять об инцидентах. Утечка → в течение 24 часов сообщить РКН, 72 часа — отчёт о расследовании.

9. Удалять по запросу субъекта. В течение 30 дней после получения запроса.

10. Назначить ответственного за обработку. Не обязательно отдельный сотрудник — может быть сам директор или ИП.

11. Отвечать на запросы РКН. При проверках, жалобах, предписаниях — отвечать в установленные сроки (обычно 10-30 дней).

12. Обновлять документы. При изменении реквизитов, целей, состава данных — обновлять политику и уведомление в РКН.

Невыполнение каждой обязанности — отдельное нарушение со своим штрафом. Можно одновременно получить 3-4 штрафа за разные пункты.

Права субъекта, которые должен соблюдать оператор

Субъект (тот, чьи данные обрабатываются) имеет права. Оператор обязан их соблюдать.

— Право знать. Запросить у оператора: какие данные собрали, для чего, кому передали. Оператор отвечает в течение 30 дней.

— Право требовать уточнения, блокирования или удаления. Если данные неточные, устаревшие или собраны без оснований — субъект может потребовать исправить или удалить.

— Право отзыва согласия. В любой момент. После отзыва — обработка прекращается.

— Право на возмещение убытков. Если ваша утечка причинила вред субъекту — он может потребовать возмещение через суд.

— Право жалобы в РКН. Если оператор не соблюдает требования — субъект жалуется, РКН проверяет.

Каждая обязанность оператора — это отражение какого-то права субъекта. Закон работает в эту логику: операторы обязаны то, что субъекты имеют право требовать.

Ответственность за нарушения

Краткий ответ. Штрафы по КоАП (от 30 тысяч до 15 миллионов) и уголовная ответственность по статье 272.1 УК (до 10 лет лишения свободы за продажу баз и использование служебного положения).

Базовые штрафы на 2026:

— Обработка без согласия — 300-700 тысяч — Нет политики — 30-100 тысяч — Нет уведомления в РКН — 100-300 тысяч — Утечка от 1000 субъектов — от 3 миллионов — Уголовка за продажу баз — до 10 лет

Полная таблица — в статье про штрафы 152-ФЗ.

Частые вопросы

Я физлицо без ИП — могу быть оператором?

Можете, если ведёте деятельность по сбору данных. Например, частный психолог с базой клиентов, репетитор с базой учеников. Тогда применяются те же правила. Если просто пишете личный блог без сбора данных — нет.

Если я работаю по агентскому договору — кто оператор, я или принципал?

Зависит от того, кто принимает решения о сборе данных. Если принципал говорит «собирайте такие-то данные таким-то способом» — он оператор, вы обработчик. Если решения принимаете вы — оператор вы.

Если у меня сайт на бесплатном хостинге (например, narod.ru) — я тоже оператор?

Да. Платный хостинг или бесплатный — не имеет значения. Главное: собираете ли данные пользователей.

Несколько ИП работают совместно на одном сайте — кто оператор?

Возможно «совместное оперирование». Все участники — операторы, должны быть в реестре, делить ответственность. На практике лучше один из ИП регистрируется как основной оператор, остальные — обработчики по договору.

Могу ли я делегировать обязанности оператора на сторонний сервис?

Технически можно нанять «офицера по защите ПДн» (DPO), но юридическая ответственность всё равно на операторе. Нанятый специалист отвечает только перед вами по договору, а не перед РКН.

Что если я обработчик, но мне передали данные без договора?

Это нарушение обеих сторон. Лучше требовать договор от оператора до начала работы. Без договора вы юридически — никто, ответственность размытая.

Если мой оператор-клиент попадёт под санкции, я как обработчик тоже?

Если докажете что действовали строго по поручению — нет. Если выполняли что-то по своему усмотрению — да, разделите ответственность.

Что делать дальше

Если у вас сайт и вы ещё не оформились как оператор — начните с подачи уведомления в РКН. Бесплатно, через Госуслуги, 20-30 минут. Пошагово в нашей статье.

Параллельно — поставьте политику (образец) и согласие в формах (образец).

Бесплатная проверка вашего сайта. 30 секунд, покажем все нарушения.

Читайте также

Об авторе

Дмитрий Синица. ИП с 2013 года, в разработке с 2010-го.

Направления: сайты (от лендингов до магазинов), чат-боты с ИИ и без, автоматизация процессов в малом бизнесе.

PdAudit.ru сделал, зная боли своих клиентов: кто-то где-то услышал про 152-ФЗ, подумал «потом разберусь», и через год сайт всё ещё без политики и согласия. Сервис за минуту находит проблемы и собирает готовые документы под конкретный сайт.

ИНН 502716306004, ОГРНИП 313502708000051. Запись в реестре операторов ПДн №77-25-358038 от 23.06.2025.

Источники

— 152-ФЗ, статьи 3, 18-22 — Реестр операторов

Актуализация: 19 мая 2026.

Последнее обновление: 2026-05-21 11:59:31