Кто является оператором персональных данных по 152-ФЗ

Кто такой оператор персональных данных

Законодательное определение закреплено в пункте 2 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ. Оператор персональных данных — это государственный или муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими лицами организуют и осуществляют обработку данных, а также определяют ее цели, состав сведений и совершаемые с ними действия.

Услуги по персональным данным

Проще говоря, оператор решает, зачем нужны данные, какие именно сведения требуется собирать и как их использовать. Например, интернет-магазин запрашивает имя и адрес покупателя для доставки товара. Если магазин сам определяет цели этой процедуры и организует ее, он выступает оператором.

Чтобы определить, кто такой оператор персональных данных в конкретном случае, нужно ответить на три вопроса:

1.     Для каких целей собираются сведения?
2.     Какие именно данные обрабатываются?
3.     Кто определяет порядок их использования?

Статус оператора возникает в силу фактических действий с информацией, а не после получения специальной лицензии или регистрации.

Модель угроз безопасности: что за документ и как составить

Кто может быть оператором персональных данных

Закон не ограничивает круг операторов крупными корпорациями или IT-компаниями. Ими могут выступать разные субъекты:

Юридические лица. Организации обрабатывают сведения сотрудников, клиентов, соискателей и представителей контрагентов при кадровом учете или приеме онлайн-заявок.

Индивидуальные предприниматели. На вопрос, является ли ИП оператором персональных данных, закон отвечает положительно, если предприниматель нанимает работников, ведет клиентскую базу в CRM или принимает заказы через мессенджеры.

Физические лица. Гражданин тоже может быть оператором. Исключение действует только для обработки данных исключительно для личных и семейных нужд (например, ведение телефонной книги), если не нарушаются права субъектов. Профессиональная деятельность (частная практика, база учеников репетитора) уже выходит за рамки семейных нужд.

Государственные и муниципальные органы. Ведомства, школы, больницы и администрации обрабатывают данные граждан при выполнении возложенных на них полномочий.

Регистрация в Роскомнадзоре

Когда компания становится оператором персональных данных

Организация приобретает статус оператора, когда начинает собирать и использовать информацию о конкретных людях для решения практических задач:

Сотрудники. Работодатель запрашивает паспорт, СНИЛС и трудовую книжку для кадрового учета и расчета заработной платы. Кандидаты. Получение резюме, ведение базы соискателей и оценка откликов относятся к обработке данных. Клиенты. Оформление покупки, заключение договора или бронирование требуют сведений о конкретном человеке. Заявки с сайта. Когда пользователь оставляет имя и телефон для консультации, владелец ресурса обрабатывает эти данные. CRM-системы. Сохранение истории звонков, покупок и переписки с привязкой к контактам человека подпадает под регулирование закона. Рассылки. Отправка маркетинговых или сервисных сообщений по электронной почте и SMS требует законных оснований. Видеонаблюдение. Камеры в офисе или торговом зале фиксируют людей. Если запись позволяет определить человека, это обработка данных. При этом видеозапись становится биометрией по статье 11 152-ФЗ только тогда, когда она целенаправленно используется для установления личности.

Является ли владелец сайта оператором персональных данных

Сайт — это программный инструмент, а не субъект права. Поэтому отвечая на вопрос, является ли сайт оператором персональных данных, закон возлагает ответственность на его администратора или владельца (компанию, ИП или гражданина).

Шаблоны документов по персональным данным

Владелец сайта становится оператором, если на ресурсе работают формы сбора сведений:

•       Заказ обратного звонка (имя и телефон);
•       Форма обратной связи или онлайн-чат (имя и e-mail);
•       Регистрация в личном кабинете (логин, почта, телефон);
•       Корзина интернет-магазина (ФИО, адрес доставки, контакты).

Технические параметры также могут признаваться персональными данными. IP-адреса, cookie-файлы и системные идентификаторы относятся к ним, если в совокупности позволяют прямо или косвенно выделить конкретного пользователя или составить его цифровой профиль.

Это подтверждает судебная практика: в постановлении Девятого арбитражного апелляционного суда от 23.05.2016 № 09АП-17574/2016 по делу № А40-14902/16 суд указал, что совокупность сведений (cookie UID, IP-адрес и история переходов) является персональными данными, поскольку позволяет определять пользователей и формировать их профили.

Может ли быть несколько операторов персональных данных

Да. Закон прямо допускает обработку сведений несколькими операторами, в том числе совместную.

Например, маркетплейс и независимый продавец используют данные покупателя для разных целей: площадка принимает оплату и формирует заказ, а продавец отправляет товар и исполняет гарантийные обязательства.

Чем оператор отличается от лица, которому поручена обработка

Различие между оператором и обработчиком закреплено в части 3 статьи 6 152-ФЗ. Оператор определяет цели и организует процесс, но вправе поручить отдельные операции стороннему подрядчику на основании договора.

Примеры поручения:

•       Сервис рассылок, отправляющий письма клиентам;
•       Аутсорсинговая бухгалтерия, рассчитывающая зарплату;
•       Сторонний колл-центр, обзванивающий переданную базу.

В договоре поручения фиксируются цели, перечень данных, операции и требования к безопасности. По общему правилу части 3 статьи 6 152-ФЗ для передачи обработки третьему лицу оператор обязан получить согласие субъекта, если иное прямо не установлено федеральным законом.

Какие обязанности возникают у оператора

Основные обязанности оператора персональных данных закреплены статьями 18, 18.1, 19, 20, 21 и 22 152-ФЗ:

1.     Определить цели и правовые основания. Для каждой операции нужно установить назначение сбора сведений и законную норму. Согласие — лишь одно из оснований; обработка также допускается для исполнения договора или требований Трудового кодекса РФ.
2.     Утвердить внутренние документы. Организация обязана принять политику обработки данных, локальные регламенты и назначить лицо, ответственное за организацию обработки (ст. 22.1 152-ФЗ).
3.     Обеспечить безопасность. Оператор обязан защитить базы данных от утечек и несанкционированного доступа правовыми, организационными и техническими мерами (ст. 19 152-ФЗ).
4.     Направить уведомление в Роскомнадзор. По статье 22 152-ФЗ оператор обязан уведомить ведомство до начала работы. Исключения крайне узки — главное касается обработки сведений исключительно на бумаге без применения компьютеров.
5.     Соблюдать права субъектов. Граждане вправе запрашивать сведения об обработке своих данных, требовать их уточнения, блокирования или уничтожения. Оператор обязан рассматривать обращения в установленные законом сроки.

Когда организация не является оператором

Не всякая организация, соприкасающаяся со сведениями о гражданах, выступает оператором:

Работа строго по поручению. Если колл-центр обзванивает базу строго по заданию заказчика и не использует номера в своих целях, он действует как обработчик по поручению, а оператором остается заказчик. Обезличенная аналитика. Статистические показатели, которые изначально не позволяют прямо или косвенно идентифицировать конкретного пользователя (например, общий счетчик просмотров страниц), не признаются персональными данными. Реквизиты юридических лиц. Наименование компании, ИНН, ОГРН и юридический адрес относятся к юридическому лицу. Однако прямые контакты конкретного сотрудника (именная рабочая почта или телефон) уже подпадают под действие закона.

Ответственность оператора персональных данных

За нарушение законодательства установлена административная ответственность по статье 13.11 КоАП РФ:

•       Обработка без письменного согласия, когда оно обязательно (ч. 2 ст. 13.11 КоАП РФ): штраф для юрлиц от 300 000 до 700 000 рублей; повторное нарушение (ч. 2.1) — от 1 000 000 до 1 500 000 рублей.
•       Отсутствие опубликованной политики (ч. 3 ст. 13.11 КоАП РФ): штраф для юрлиц от 30 000 до 60 000 рублей.
•       Невыполнение требования об уточнении, блокировании или уничтожении сведений (ч. 5 ст. 13.11 КоАП РФ): штраф от 50 000 до 90 000 рублей.
•       Неподача или несвоевременная подача уведомления в Роскомнадзор (ч. 10 ст. 13.11 КоАП РФ): штраф от 100 000 до 300 000 рублей. По этой норме индивидуальные предприниматели несут такую же ответственность, как и компании.
•       Утечки персональных данных (ч. 12–18 ст. 13.11 КоАП РФ): штрафы зависят от масштаба утечки и числа затронутых лиц, а за повторные инциденты предусмотрены оборотные штрафы.

Таким образом, оператор ПДн — это не только крупная цифровая корпорация. Им становится работодатель, предприниматель или владелец сайта, если он определяет цели сбора сведений о людях. Статус, который определяет оператор персональных данных 152-ФЗ, требует подготовки документов, технической защиты баз и своевременного уведомления Роскомнадзора.