152-ФЗ
Оператор персональных данных: кто это, реестр и обязанности
Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку персональных данных и определяет цели и состав обрабатываемых данных (ст. 3 152-ФЗ). На практике оператором становится почти любая компания или ИП: как только у вас есть сотрудники, клиенты, заявки с сайта или база контрагентов, вы обрабатываете персональные данные и обязаны соблюдать требования закона.
Многие предприниматели считают, что «оператор» — это что-то про банки и госорганы, а их небольшой бизнес закон не касается. На деле статус оператора не зависит от размера компании, оборота или того, есть ли у вас отдел кадров: он возникает из самого факта обработки данных людей. Интернет-магазин, салон, юрфирма, кафе с программой лояльности, любой сайт с формой заявки — все они операторы персональных данных.
Из статуса оператора вытекают конкретные обязанности: подать уведомление в Роскомнадзор и попасть в реестр операторов, опубликовать политику обработки на сайте, собирать корректные согласия, назначить ответственного за организацию обработки, обеспечить защиту данных и хранение баз граждан РФ на серверах в России. За несоблюдение этих требований в 2025 году ответственность существенно ужесточена, а неподача уведомления выделена в отдельный состав.
Мы помогаем определить, какие данные и с какими целями вы реально обрабатываете, подать корректное уведомление и встать в реестр, привести сайт и документы в соответствие. Проверить, есть ли компания в реестре операторов, можно по ИНН или названию на публичном портале Роскомнадзора; если записи нет, а обработка идёт — это прямой риск.
ст. 3 152-ФЗОпределение
Почти любая компания и ИПКто оператор
Роскомнадзор (pd.rkn.gov.ru)Реестр ведёт
Уведомление до начала обработкиКак попасть
ст. 13.11 КоАП (ужесточена в 2025)Ответственность
Оператор и субъект: в чём разница и почему это важно
Закон 152-ФЗ разводит две стороны. Субъект персональных данных — это человек, к которому данные относятся: клиент, сотрудник, посетитель сайта. Оператор — тот, кто эти данные обрабатывает и определяет, зачем и какие именно. Обязанности закон возлагает именно на оператора, а права закрепляет за субъектом: получить информацию об обработке, отозвать согласие, потребовать удаления данных.
Важный нюанс: оператором вы становитесь независимо от того, сами храните данные или пользуетесь чужим сервисом. Если интернет-магазин собирает заказы через облачную CRM, оператором остаётся магазин — он определяет цели обработки, а CRM выступает лицом, обрабатывающим данные по поручению. Поэтому нельзя «переложить» ответственность на подрядчика: перед субъектом и Роскомнадзором отвечает оператор.
- Субъект — человек, чьи данные обрабатываются
- Оператор — тот, кто определяет цели и состав обработки
- Обязанности лежат на операторе, права — у субъекта
- Использование чужого сервиса не снимает статус оператора
Уведомление и реестр операторов: как попасть и зачем
По статье 22 152-ФЗ оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. После сокращения перечня исключений уведомлять обязаны практически все операторы — прежние поблажки (например, для данных только своих работников) в большинстве случаев уже не действуют. По итогам уведомления компания попадает в публичный реестр операторов, который ведёт Роскомнадзор.
Запись в реестре — это не формальность, а видимый маркер соответствия. Его проверяют контрагенты перед заключением договоров, на него смотрит инспектор при проверке, по нему субъект понимает, куда обращаться. Обратная ситуация тоже читается однозначно: если компания реально обрабатывает данные, но в реестре её нет, это прямое основание для претензий. Неподача уведомления в 2025 году выделена в отдельный самостоятельный состав правонарушения (часть 10 статьи 13.11 КоАП). Мы разбираем вашу обработку, готовим корректное уведомление под реальные процессы и доводим дело до записи в реестре.
- Уведомление подаётся до начала обработки (ст. 22)
- Перечень исключений резко сокращён — обязаны почти все
- Реестр операторов публичный, его проверяют контрагенты и РКН
- Неподача уведомления — отдельное нарушение (ужесточено в 2025)
Частые вопросы
Кто является оператором персональных данных?
Оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку персональных данных и определяет цели и состав обрабатываемых данных (ст. 3 152-ФЗ). На практике оператором становится почти любая компания или ИП: наличие сотрудников, клиентов, заявок с сайта или базы контрагентов уже означает обработку персональных данных. Статус не зависит от размера бизнеса или оборота.
Как проверить, есть ли компания в реестре операторов?
Реестр операторов персональных данных публичный, его ведёт Роскомнадзор. Найти организацию можно по ИНН, ОГРН или наименованию на портале Роскомнадзора. Проверку делают и по себе, и по контрагентам перед заключением договора. Если компания реально обрабатывает персональные данные, но записи в реестре нет, это нарушение и повод для претензий со стороны Роскомнадзора.
Обязательно ли ИП вставать на учёт как оператор?
Да, если ИП обрабатывает персональные данные: ведёт базу клиентов, нанимает работников, собирает заявки через сайт. Обязанность уведомить Роскомнадзор об обработке распространяется на индивидуальных предпринимателей так же, как на юридических лиц. Освобождения по признаку «маленький бизнес» в законе нет — значение имеет сам факт и характер обработки, а не форма или размер деятельности.
Чем оператор отличается от лица, обрабатывающего данные по поручению?
Оператор определяет цели и состав обработки и несёт основную ответственность. Лицо, обрабатывающее данные по поручению оператора (например, облачный сервис, подрядчик по рассылкам), действует по договору поручения и в рамках заданных оператором целей. Использование чужого сервиса не снимает с оператора статус и ответственность: перед субъектом и Роскомнадзором отвечает именно оператор.
Какие обязанности у оператора персональных данных?
Основные: подать уведомление в Роскомнадзор и встать в реестр операторов, опубликовать политику обработки ПДн на сайте (ст. 18.1), собирать корректные согласия, в том числе на обработку cookie, назначить ответственного за организацию обработки (ст. 22.1), хранить базы данных граждан РФ на серверах в России (ст. 18 ч. 5), обеспечить защиту данных, отвечать на обращения субъектов и запросы Роскомнадзора, уведомлять об утечках. Мы помогаем закрыть весь этот перечень под вашу реальную деятельность.
Что грозит, если не встать в реестр операторов?
Обработка персональных данных без поданного уведомления — нарушение. В 2025 году ответственность в сфере ПДн ужесточена, а неподача уведомления в Роскомнадзор выделена в отдельный состав правонарушения (часть 10 статьи 13.11 КоАП). Помимо штрафа, отсутствие записи в реестре становится проблемой в B2B-договорах и при проверках: контрагенты и инспектор видят несоответствие сразу. Точную сумму санкции стоит уточнять по актуальной редакции КоАП.
Как встать в реестр операторов персональных данных?
Нужно подать уведомление об обработке персональных данных в Роскомнадзор до начала обработки. В уведомлении указываются цели обработки, категории данных и субъектов, перечень действий с данными, меры защиты и другие сведения, которые должны соответствовать реальной деятельности. Ошибки и расхождения — частая причина отказа или последующих претензий. Мы разбираем вашу обработку, готовим корректное уведомление и доводим до записи в реестре (см. /uvedomlenie-rkn).
