Слово «оператор» в 152-ФЗ — это не должность и не лицензия, которую получают. Это роль, которая возникает у того, кто обрабатывает персональные данные людей в своих целях. Если на вашем сайте собираются фамилии, телефоны, email или иные данные посетителей — скорее всего, вы уже оператор, даже если никогда им не становились намеренно.
Что говорит закон
Согласно пункту 2 статьи 3 закона № 152-ФЗ, оператор — это государственный или муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия, совершаемые с ними. А обработка (пункт 3 статьи 3) — это любое действие с данными, совершаемое с использованием средств автоматизации или без таковых: сбор, запись, систематизация, хранение, использование, передача, обезличивание, блокирование, уничтожение.
Получается, оператором становится тот, кто определяет, зачем собираются данные и что с ними делать. Важно именно целевое использование данных людей — не для личных нужд, а для своей работы, бизнеса или задачи организации.
Когда сайт делает вас оператором
Практически любой интерактивный элемент, собирающий данные человека, — повод стать оператором. Типичные примеры:
- форма обратной связи («оставьте телефон, мы перезвоним»);
- регистрация или личный кабинет;
- подписка на рассылку;
- оформление заказа в интернет-магазине;
- онлайн-заявка на услугу, запись на приём, квиз с контактами;
- чат на сайте, если через него клиент оставляет свои данные.
Во всех этих случаях вы получаете данные конкретного человека и используете их для своей цели — обработать заявку, отправить письмо, заключить договор. Это и есть деятельность оператора.
Когда оператором вы НЕ являетесь
Закон не распространяется на обработку данных физическим лицом исключительно для личных и семейных нужд, если при этом не нарушаются права других людей (ч. 5 ст. 1). То есть семейный фотоальбом, личный список контактов в телефоне или переписка с друзьями под действие 152-ФЗ не подпадают.
Но граница тонкая. Как только сбор данных связан с профессиональной, предпринимательской или коммерческой деятельностью — даже если вы самозанятый без сайта-визитки, но принимаете заявки в мессенджере, — вы действуете как оператор. Личные нужды заканчиваются там, где начинается работа с клиентами.
Чем статус оператора отличается от обязанности уведомить Роскомнадзор
Часто два разных требования путают. Статус оператора возникает автоматически. А уведомление Роскомнадзора об обработке данных — это отдельная обязанность, и по общему правилу (ч. 1 ст. 22) оператор обязан направить его до начала обработки. Исчерпывающий перечень случаев, когда уведомление не требуется, приведён в части 2 статьи 22 — например, обработка данных работников в связи с трудовыми отношениями или данных, полученных для заключения договора. Для типового сайта с формой сбора контактов уведомление, как правило, подавать нужно.
Что оператор обязан делать на сайте
Если вы оператор, у вас появляется набор конкретных обязанностей. Ключевые:
- иметь правовое основание для обработки данных по ст. 6 — чаще всего это согласие субъекта (отметка в форме), но для исполнения договора или требования закона отдельное согласие не всегда нужно;
- опубликовать Политику конфиденциальности;
- обеспечить безопасность данных — защищённое соединение, ограничение доступа;
- выполнять запросы людей о доступе, исправлении и удалении их данных;
- в предусмотренных случаях — уведомить Роскомнадзор.
Чтобы понять, оператор ли вы и какие именно обязанности уже возникли, полезно проверить свой сайт целиком: формы, документы, cookie и внешние интеграции. Это можно сделать автоматически за пару минут.