Оператор персональных данных - это не специальная компания с лицензией. Им может оказаться обычное ООО, ИП или самозанятый, если они решают, зачем собирать данные людей, какие именно сведения нужны и что с ними делать.
Например, предприниматель разместил на сайте форму заявки, выбрал CRM и поручил менеджеру звонить клиентам. Именно предприниматель определил цель и порядок работы с данными. Значит, по этому процессу он является оператором.
Три вопроса, которые помогают определить оператора
Спросите, кто принимает решения:
- Кто решил, для чего нужны данные?
- Кто определил, какие сведения собирать?
- Кто выбрал действия с ними: хранение, звонок, рассылку, передачу подрядчику?
Если ответы ведут к вашему бизнесу, с высокой вероятностью оператором является именно он.
| Ситуация | Кто обычно оператор |
|---|---|
| Компания собирает заявки на своем сайте | Компания |
| ИП ведет клиентскую базу и принимает заказы | ИП |
| Бухгалтерия обрабатывает данные работников клиента по его инструкции | Клиент остается оператором, бухгалтерия может действовать по поручению |
| Сервис использует полученные данные для собственных целей | Нужно отдельно оценить роль сервиса, он может быть самостоятельным оператором |
| Два партнера вместе определили анкету и правила общей базы | Оба могут организовывать обработку совместно, роли нужно разобрать по фактам |
Название договора само по себе ничего не решает. Значение имеет фактический процесс: кто поставил цель, выбрал состав данных и контролирует обработку.
Кто не становится отдельным оператором
Работник, который заносит заявки в CRM по инструкции работодателя, не становится самостоятельным оператором. Он действует внутри процесса организации. То же относится к специалисту на гражданско-правовом договоре, если он выполняет четкое поручение и не использует данные для себя.
Но слово «исполнитель» в договоре еще ничего не гарантирует. Если подрядчик сам определяет новую цель, объединяет базу с собственными данными или отправляет рекламу от своего имени, его роль меняется. Это уже нельзя оценивать как простую техническую обработку.
Оператор и обработчик по поручению - не одно и то же
Подрядчик может хранить или использовать данные по заданию оператора. Например, облачная CRM предоставляет систему, а аутсорсинговый колл-центр звонит по переданному списку.
Клиент оставляет заявку → оператор определяет цель → подрядчик выполняет согласованные действия → оператор контролирует результат и требования к защите.
Если подрядчик начинает сам решать, зачем использовать данные, он выходит за рамки обычного поручения. Этот момент важно проверить в договоре и в реальной настройке сервиса.
Оператор при этом не передает подрядчику всю ответственность. Он выбирает исполнителя, определяет требования к обработке и отвечает перед человеком за действия лица, которое работает по поручению. Поэтому фраза «данные находятся в облаке, за них отвечает сервис» юридически проблему не решает.
Что нужно сделать оператору
Статус оператора не заканчивается уведомлением. Бизнесу нужно:
- определить цели и правовые основания;
- не собирать лишние данные;
- принять политику и внутренние правила;
- ограничить доступ работников;
- оформить отношения с подрядчиками;
- установить сроки хранения и уничтожения;
- отвечать на обращения людей;
- подготовиться к инцидентам;
- применять необходимые меры безопасности.
Небольшому бизнесу не обязательно создавать сложную службу. Но кто-то должен видеть процесс целиком и понимать, где находятся актуальные документы, список доступов и сведения об обработке.
Нужно ли входить в реестр Роскомнадзора
По общему правилу оператор до начала обработки направляет уведомление в Роскомнадзор. Закон содержит исключения, но они ограничены и применяются к конкретным ситуациям. Сам факт, что бизнес небольшой или работает без сотрудников, не является самостоятельным исключением.
Проверить запись можно в реестре операторов Роскомнадзора. Ищите по ИНН или наименованию и сравнивайте не только наличие записи, но и ее содержание:
- цели обработки;
- категории людей и данных;
- способы обработки;
- дата начала;
- сведения о местонахождении баз;
- ответственный и контакты.
Запись в реестре не подтверждает, что все процессы законны. Она показывает, какие сведения оператор сообщил регулятору. Если уведомление расходится с сайтом, CRM и документами, его нужно актуализировать.
В реестре встречаются старые записи с общими целями, прежним адресом или неактуальными контактами. Это не повод подавать второе уведомление как новый оператор. Сначала нужно сравнить запись с текущими процессами и выбрать подходящую форму сообщения об изменениях.
Что делать, если записи нет или она устарела
Сначала соберите карту процессов. Только после этого заполняйте уведомление или сообщение об изменениях. Иначе легко скопировать чужие цели, забыть подрядчика или указать меры, которых в компании нет.
Пошаговый порядок есть в нашей статье как самостоятельно подать уведомление в Роскомнадзор.
Перед отправкой проверьте четыре вещи:
- Все ли категории людей учтены: клиенты, работники, соискатели, представители контрагентов и посетители сайта.
- Совпадают ли цели с политикой, формами и договорами.
- Указаны ли фактические способы обработки и место баз.
- Есть ли внутри компании документы и меры, которые перечислены в уведомлении.
Коротко: реестр лучше проверять до письма Роскомнадзора. Спокойная сверка процессов занимает меньше сил, чем срочное объяснение расхождений, и снижает риск предписания или штрафа.