Кто является оператором персональных данных и когда нужна регистрация

ИП ведёт список клиентов в таблице, кофейня собирает номера телефонов для программы лояльности, репетитор хранит контакты учеников. Каждый из них уверен, что закон о персональных данных это про банки и крупные ИТ-компании. Реальность строже. Статус оператора возникает не от размера бизнеса, а от самого факта работы с данными живых людей. Понять, кто оператор, важно потому, что от этого статуса зависит обязанность уведомить Роскомнадзор и риск штрафа за её невыполнение.

Чтобы ответить на вопрос точно, нужно опереться на два понятия из закона. Определение оператора в статье 3 и правила уведомления в статье 22.

Определение оператора по статье 3

Пункт 2 статьи 3 закона 152-ФЗ даёт прямую формулировку. Оператор это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав данных, подлежащих обработке, и действия, совершаемые с данными.

Из этой формулы вытекает ключевой признак. Оператором делает не хранение само по себе, а определение целей и состава обработки. Тот, кто решает, зачем собираются данные и какие именно, тот и оператор. Поэтому физическое лицо, ведущее коммерческую базу клиентов, попадает под определение так же, как и крупная корпорация.

Второе понятие, без которого статус не понять, это персональные данные. Пункт 1 статьи 3 определяет их как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу, то есть к субъекту персональных данных. Слово косвенно здесь решающее. Данными считается не только паспорт и ФИО, но и сочетание сведений, по которым человека можно вычислить. Номер телефона с городом, ник с фотографией, адрес доставки с именем все это персональные данные.

Третье понятие обработка. Пункт 3 статьи 3 определяет её предельно широко. Это любое действие или совокупность действий с данными, с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение. Перечень показывает, что даже простое хранение списка контактов это обработка, а значит, лицо, определившее цель такого хранения, оператор.

Закон разводит сходные действия. Пункт 5 статьи 3 называет распространением действия, направленные на раскрытие данных неопределённому кругу лиц. Пункт 6 предоставлением раскрытие определённому лицу или кругу лиц. Эта разница важна на практике, поскольку публикация прайс-листа с именами сотрудников это распространение, а передача базы подрядчику предоставление, и правовые последствия у них отличаются.

Когда возникает обязанность уведомить Роскомнадзор

Статус оператора сам по себе означает обязанность соблюдать закон. Отдельный вопрос когда нужно подать уведомление в уполномоченный орган. Ответ в статье 22.

Часть 1 статьи 22 устанавливает общее правило. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган о своём намерении осуществлять обработку, за исключением случаев из части 2. Логика такая. Сначала уведомление, потом обработка, а не наоборот.

Часть 2 перечисляет исключения, при которых обработка возможна без уведомления. До реформы перечень был широким и покрывал работников, договорные данные и многое другое. Пункты 1 6 части 2 утратили силу с 1 сентября 2022 года по закону 266-ФЗ. После этого среди оставшихся исключений, в частности, данные, включённые в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка, обработка, которую оператор осуществляет исключительно без использования средств автоматизации, и случаи, предусмотренные законодательством о транспортной безопасности.

Практический вывод резкий. Большинство коммерческих операторов после 2022 года обязаны уведомлять Роскомнадзор, потому что прежние удобные исключения про сотрудников и контрагентов исчезли. Если компания ведёт хоть какую-то базу в электронном виде, ссылка на обработку без автоматизации не сработает.

Что входит в уведомление

Часть 3 статьи 22 определяет, что уведомление направляется на бумаге или в форме электронного документа и подписывается уполномоченным лицом. Среди обязательных сведений наименование и адрес оператора, цель обработки, описание мер по статьям 18.1 и 19, сведения об ответственном лице с телефонами и адресами, дата начала обработки, срок или условие прекращения, сведения о трансграничной передаче и о месте нахождения базы данных граждан России. Часть 3.1 требует для каждой цели указать категории данных, категории субъектов, правовое основание, перечень действий и способы обработки.

Часть 4 описывает, что происходит дальше. Уполномоченный орган в течение тридцати дней с даты поступления уведомления вносит сведения в реестр операторов. Сам реестр, кроме данных о средствах безопасности, общедоступен, поэтому контрагенты и клиенты могут проверить, состоит ли компания в нём.

На что смотрит проверяющий

Инспектор сопоставляет фактическую деятельность компании с записью в реестре. Если организация очевидно собирает данные клиентов, но в реестре её нет, это первый сигнал к проверке. Второй сигнал расхождение целей. В реестре заявлена одна цель, а по факту данные используются для рассылок или передаются партнёрам. Поскольку часть 3.1 требует привязать каждую цель к категориям данных и основанию, поверхностное уведомление с одной общей целью выглядит уязвимо.

Частые ошибки

Первая ошибка считать, что оператор это только тот, у кого есть сложная ИТ-система. По пункту 2 статьи 3 оператором делает определение целей и состава обработки, а не наличие сервера. Вторая ошибка опираться на устаревшие статьи и думать, что обработка данных сотрудников освобождает от уведомления. Эти исключения утратили силу в 2022 году. Третья ошибка путать оператора с лицом, которое обрабатывает данные по поручению. Поручение обработки не отменяет статус и ответственность того, кто определил цель.

Частые вопросы

Является ли ИП оператором персональных данных. Да, если он определяет цели и состав обработки данных клиентов или работников. Пункт 2 статьи 3 прямо включает физическое лицо в число операторов.

Нужно ли уведомлять Роскомнадзор, если данные хранятся только в бумажном журнале. Часть 2 статьи 22 относит к исключениям обработку исключительно без средств автоматизации. Как только данные переносятся в любую электронную форму, исключение не применяется.

Считается ли номер телефона персональными данными. Да, поскольку пункт 1 статьи 3 относит к данным любую информацию, по которой человека можно прямо или косвенно определить. Номер в связке с другими сведениями позволяет идентифицировать лицо.

Если остаётся неясность, попадает ли конкретная деятельность под статус оператора и нужно ли подавать уведомление, разумно разобрать ситуацию в рамках услуги по персональным данным и согласовать шаги через контакты.