Кто считается оператором персональных данных
По закону о персональных данных оператором считается тот, кто самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними. Это не обязательно тот, кто технически хранит данные или пишет код.
Если вы владелец бизнеса и сайт собирает контакты клиентов, чтобы вы могли с ними связаться или выполнить заказ, именно вы определяете цель сбора данных. Значит, вы — оператор, даже если сервер арендован у хостинг-провайдера, формы настроило агентство, а данные попадают в CRM подрядчика.
Разработчик, хостинг и CRM-провайдер в этом случае действуют по вашему поручению — обрабатывают данные в ваших интересах и по вашим правилам. Они не определяют, зачем нужны данные и что с ними делать, поэтому операторами не являются. Ответственность перед Роскомнадзором лежит на вас.
Что это значит на практике для владельца сайта
Оператор обязан получить согласие на обработку персональных данных, опубликовать политику обработки, подать уведомление в Роскомнадзор до начала обработки и обеспечить защиту данных. Если данные утекут или будут обрабатываться без согласия, отвечать перед регулятором будете вы, а не тот, кто технически их хранит.
Если на сайте установлены счётчики аналитики — Яндекс.Метрика, Google Analytics или другие сервисы, — вы остаётесь оператором, потому что решаете, зачем нужна аналитика. Сторонний сервис обрабатывает данные по вашему поручению, и вы обязаны указать его в политике конфиденциальности, получить согласие посетителя и убедиться, что трекеры не запускаются до согласия.
То же самое с виджетами обратного звонка, онлайн-чатами и формами подписки: если данные собираются для вашего бизнеса, вы отвечаете за их законность, даже если техническую обработку ведёт сторонний подрядчик.
Когда операторов несколько
Если на одном сайте данные собирают несколько юридических лиц — например, в холдинге или при совместном проекте, — каждое может быть оператором в своей части. В этом случае в политике конфиденциальности нужно чётко указать, какая компания для каких целей обрабатывает данные.
Если данные собираются совместно и используются несколькими компаниями для общих целей, все они могут быть признаны операторами. Каждый из них несёт ответственность за законность обработки в своей части и обязан подать уведомление в Роскомнадзор.
Как проверить, кто фактически отвечает за данные на вашем сайте
Проверка сайта показывает, какие данные собираются на самом деле, куда они уходят и кто указан в политике конфиденциальности. Часто оказывается, что в политике указано одно юрлицо, а фактически данные обрабатывает другое — или вообще не указано, кто оператор.
Проверка фиксирует, какие сторонние сервисы получают данные посетителей, запускаются ли трекеры до согласия и есть ли в политике все обязательные сведения об операторе — ИНН, ОГРН, адрес. Если данных не хватает или они не совпадают с фактическим владельцем бизнеса, это создаёт риск квалификации как обработка без законных оснований.
Заключение показывает, где возникают правовые риски, что нужно исправить в документах и настройках сайта и в какой очерёдности действовать, чтобы привести сайт в соответствие с требованиями закона.
Что проверить прямо сейчас
- 01Кто указан в политике конфиденциальности. Откройте политику на сайте и проверьте, указаны ли полные реквизиты оператора — название компании или ФИО ИП, ИНН, ОГРН, юридический адрес. Если указано не то лицо, которое фактически владеет бизнесом, это риск.
- 02Какие сторонние сервисы работают на сайте. Проверьте, установлены ли на сайте счётчики аналитики, виджеты обратного звонка, чаты, формы подписки. Все они собирают данные, и вы как оператор обязаны указать их в политике и получить согласие посетителя.
- 03Подано ли уведомление в Роскомнадзор. Если вы собираете персональные данные через сайт, вы обязаны подать уведомление в Роскомнадзор до начала обработки. Проверьте, подавалось ли уведомление на ваше юрлицо или ИП и актуальны ли в нём цели обработки.
- 04Запускаются ли трекеры до согласия. Откройте сайт в режиме инкогнито и не соглашайтесь с cookie. Если Метрика, Google Analytics или другие счётчики запускаются сразу, это может квалифицироваться как обработка без согласия.
- 05Кто фактически принимает решения о данных. Определите, кто решает, зачем нужны данные посетителей, как их использовать и кому передавать. Это и есть оператор, даже если техническую работу выполняет подрядчик.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Кто отвечает за персональные данные, если сайт делало агентство?
Ответственность несёт тот, кто определяет цели сбора данных — владелец бизнеса. Агентство выполняет техническую работу по поручению оператора, но оператором остаётесь вы.
Нужно ли мне уведомлять Роскомнадзор, если данные хранятся в CRM подрядчика?
Да. Если данные собираются для вашего бизнеса, вы — оператор и обязаны подать уведомление, даже если техническую обработку ведёт подрядчик.
Кто отвечает, если Яндекс.Метрика собирает данные на моём сайте?
Вы. Вы определяете цель аналитики — изучать посещаемость своего сайта. Яндекс обрабатывает данные по вашему поручению, но оператором остаётесь вы.
Если в политике указано не то юрлицо, кто будет отвечать при проверке?
Роскомнадзор будет искать фактического оператора — того, кто принимает решения о данных. Если это не совпадает с тем, кто указан в политике, это создаёт риск квалификации как обработка без оснований.
Может ли хостинг-провайдер быть оператором данных на моём сайте?
Нет, если он просто предоставляет сервер. Оператором считается тот, кто определяет цели и содержание обработки. Хостинг обрабатывает данные по вашему поручению.
Кто отвечает за утечку данных — владелец сайта или разработчик?
Оператор — владелец бизнеса. Он обязан обеспечить защиту данных и уведомить Роскомнадзор об утечке. Убытки можно взыскать с разработчика по договору, но ответственность перед регулятором лежит на операторе.
Как узнать, кто фактически отвечает за данные на сайте?
Определите, кто решает, зачем собирать данные и что с ними делать. Это оператор. Проверка сайта покажет, кто указан в документах и совпадает ли это с фактическим положением дел.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.