Оператор персональных данных: кто это, реестр и обязанности

Оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку персональных данных и определяет цели и состав обрабатываемых данных (ст. 3 152-ФЗ). На практике оператором становится почти любая компания или ИП: наличие сотрудников, клиентов, заявок с сайта или базы контрагентов уже означает обработку персональных данных. Статус не зависит от размера бизнеса или оборота.

Реестр операторов персональных данных публичный, его ведёт Роскомнадзор. Найти организацию можно по ИНН, ОГРН или наименованию на портале Роскомнадзора. Проверку делают и по себе, и по контрагентам перед заключением договора. Если компания реально обрабатывает персональные данные, но записи в реестре нет, это нарушение и повод для претензий со стороны Роскомнадзора.

Да, если ИП обрабатывает персональные данные: ведёт базу клиентов, нанимает работников, собирает заявки через сайт. Обязанность уведомить Роскомнадзор об обработке распространяется на индивидуальных предпринимателей так же, как на юридических лиц. Освобождения по признаку «маленький бизнес» в законе нет — значение имеет сам факт и характер обработки, а не форма или размер деятельности.

Оператор определяет цели и состав обработки и несёт основную ответственность. Лицо, обрабатывающее данные по поручению оператора (например, облачный сервис, подрядчик по рассылкам), действует по договору поручения и в рамках заданных оператором целей. Использование чужого сервиса не снимает с оператора статус и ответственность: перед субъектом и Роскомнадзором отвечает именно оператор.

Основные: подать уведомление в Роскомнадзор и встать в реестр операторов, опубликовать политику обработки ПДн на сайте (ст. 18.1), собирать корректные согласия, в том числе на обработку cookie, назначить ответственного за организацию обработки (ст. 22.1), хранить базы данных граждан РФ на серверах в России (ст. 18 ч. 5), обеспечить защиту данных, отвечать на обращения субъектов и запросы Роскомнадзора, уведомлять об утечках. Мы помогаем закрыть весь этот перечень под вашу реальную деятельность.

Обработка персональных данных без поданного уведомления — нарушение. В 2025 году ответственность в сфере ПДн ужесточена, а неподача уведомления в Роскомнадзор выделена в отдельный состав правонарушения (часть 10 статьи 13.11 КоАП). Помимо штрафа, отсутствие записи в реестре становится проблемой в B2B-договорах и при проверках: контрагенты и инспектор видят несоответствие сразу. Точную сумму санкции стоит уточнять по актуальной редакции КоАП.

Нужно подать уведомление об обработке персональных данных в Роскомнадзор до начала обработки. В уведомлении указываются цели обработки, категории данных и субъектов, перечень действий с данными, меры защиты и другие сведения, которые должны соответствовать реальной деятельности. Ошибки и расхождения — частая причина отказа или последующих претензий. Мы разбираем вашу обработку, готовим корректное уведомление и доводим до записи в реестре (см. /uvedomlenie-rkn).