Лицензия, чтобы стать оператором персональных данных, не нужна, и отдельного статуса для этого тоже нет. Оператором оказывается обычное ООО, ИП или самозанятый, как только сам решает, зачем ему данные людей, какие сведения собирать и что с ними потом делать. Так это определяет статья 3 Закона № 152-ФЗ.
Возьмем предпринимателя, который поставил на сайт форму заявки, подключил CRM и попросил менеджера перезванивать клиентам. Цель и порядок работы с данными выбрал он сам, значит, по этому процессу он оператор. Неважно, сколько у него заявок в месяц, пять или пятьсот.
Как понять, что оператор именно вы
Проще всего задать три вопроса о том, кто принимает решения:
- Для чего нужны данные?
- Какие сведения собирать?
- Что с ними делать: хранить, звонить, отправлять рассылку, передавать подрядчику?
Если на все три отвечает ваш бизнес, оператор вы. Вот как это выглядит в типичных ситуациях:
| Ситуация | Кто обычно оператор |
|---|---|
| Компания собирает заявки на своем сайте | Компания |
| ИП ведет клиентскую базу и принимает заказы | ИП |
| Самозанятый репетитор записывает учеников и хранит контакты родителей | Самозанятый |
| Бухгалтерия на аутсорсе ведет данные работников клиента по его заданию | Клиент, а бухгалтерия обрабатывает данные по его поручению |
| Сервис доставки использует адреса покупателей еще и для своей рекламы | Сервис по этой цели становится самостоятельным оператором |
| Два партнера вместе придумали анкету и правила общей базы | Оба, роли нужно разобрать по фактам |
Название договора тут мало что решает. Смотрят на то, как все устроено на деле: кто поставил цель, выбрал состав данных и контролирует обработку.
Кто отдельным оператором не становится
Работник, который по инструкции работодателя вносит заявки в CRM, оператором не становится. Он действует внутри процесса организации, и за его действия отвечает организация. С исполнителем по гражданско-правовому договору обычно так же, пока он выполняет конкретное поручение и не использует данные в своих целях.
Само слово «исполнитель» в договоре ничего не гарантирует. Подрядчик, который придумывает для базы новую цель, смешивает ее со своими данными или запускает рекламу от своего имени, уже работает не по поручению. Такую ситуацию нельзя списать на техническую обработку.
Чем оператор отличается от подрядчика по поручению
Подрядчик может хранить или обрабатывать данные по заданию оператора. Облачная CRM дает систему, колл-центр звонит по переданному списку, бухгалтерская фирма считает зарплату. Цепочка простая: человек оставил заявку, оператор определил цель, подрядчик выполняет согласованные действия, а оператор контролирует результат и требования к защите.
Ответственность перед человеком при этом остается у оператора. Он выбирает исполнителя, задает требования к обработке и отвечает за действия того, кто работает по его поручению. Поэтому аргумент «данные в облаке, пусть за них отвечает сервис» юридически не работает. Как правильно оформить такие отношения, мы разобрали в статье о передаче третьим лицам и поручении обработки.
Что обязан делать оператор
Уведомление в Роскомнадзор только одна из обязанностей, и далеко не самая трудоемкая. Остальное выглядит так:
- определить цели обработки и правовые основания для каждой;
- собирать только те данные, которые нужны для цели;
- принять политику обработки и внутренние правила;
- ограничить доступ работников к данным;
- оформить отношения с подрядчиками;
- установить сроки хранения и порядок уничтожения;
- отвечать на запросы людей в сроки закона;
- подготовиться к утечке, чтобы уложиться в 24 часа на уведомление регулятора;
- применять меры защиты, соразмерные рискам.
Отдельный отдел для этого небольшому бизнесу не нужен. Нужен человек, который видит процесс целиком и знает, где лежат актуальные документы, у кого какой доступ и что сообщено регулятору. Полный комплект документов мы разобрали в статье какие документы по персональным данным нужны организации и ИП.
Нужно ли подавать уведомление в Роскомнадзор
Почти всегда да. Статья 22 Закона № 152-ФЗ требует уведомить Роскомнадзор до начала обработки. Раньше исключений было много: данные работников, данные, полученные по договору с человеком, только ФИО. С 1 сентября 2022 года эти исключения отменили.
Сейчас без уведомления можно работать лишь в узких случаях. Практически важное для бизнеса из них одно: обработка ведется исключительно без средств автоматизации. Это значит никаких таблиц Excel, почты, мессенджеров, CRM и бухгалтерских программ. Только бумага. Если хоть часть данных попадает в компьютер, исключение уже не работает.
Маленький размер бизнеса, отсутствие работников или небольшое число клиентов исключением не считаются.
Если уведомление не подано или подано с опозданием, по части 10 статьи 13.11 КоАП грозит штраф от 100 000 до 300 000 рублей. Для ИП сумма та же: по этой части предприниматели отвечают как юридические лица.
Как проверить себя в реестре операторов
Откройте реестр операторов Роскомнадзора и найдите компанию по ИНН или названию. Поиск по ИНН надежнее, в названиях часто путаются кавычки и сокращения.
Найти запись мало, ее нужно прочитать. Проверьте, что в ней указано:
- цели обработки и категории людей по каждой цели;
- перечень данных и способы обработки;
- дата начала обработки;
- есть ли трансграничная передача;
- адрес, где находятся базы данных с данными граждан России;
- ответственный за обработку и его контакты;
- меры защиты.
Запись в реестре не доказывает, что обработка законна. Она лишь показывает, что оператор сообщил регулятору. Если она расходится с сайтом, CRM и документами, вопросы появятся именно из-за этого расхождения.
Частая картина: уведомление подали лет пять назад, цели в нем общие, адрес старый, ответственный давно уволился. Новое уведомление как будто вы новый оператор в таком случае подавать не нужно. Нужно сверить запись с текущими процессами и направить информационное письмо об изменениях. По закону это делают не позднее 15-го числа месяца, следующего за месяцем, когда сведения изменились.
Что делать, если записи нет или она устарела
Начните с карты процессов: какие данные, от кого, зачем, где хранятся, кому уходят. Уведомление заполняйте уже по ней. Если сделать наоборот, легко скопировать чужие цели, забыть подрядчика или указать меры защиты, которых в компании нет.
Перед отправкой проверьте четыре вещи:
- Все ли категории людей учтены: клиенты, работники, соискатели, представители контрагентов, посетители сайта.
- Совпадают ли цели с политикой, формами на сайте и договорами.
- Указаны ли реальные способы обработки и фактический адрес баз.
- Есть ли в компании документы и меры, которые вы перечисляете в уведомлении.
Пошагово процесс разобран в статье как самостоятельно подать уведомление в Роскомнадзор. Если вы прекращаете обработку, например закрываете ИП, об этом тоже сообщают, в течение десяти рабочих дней.
Частые вопросы
Мы обрабатываем данные только своих работников. Мы оператор?
Да. Работодатель оператор данных работников, а с сентября 2022 года и уведомление в этом случае подавать нужно. Подробнее в статье о данных работников.
Самозанятый тоже оператор?
Если он сам решает, зачем и какие данные клиентов собирать, да. Статус налогоплательщика тут ни на что не влияет. Закон смотрит на то, кто определяет цели обработки.
Если у нас интернет-магазин на платформе, оператор платформа?
По заказам ваших покупателей оператор обычно вы, ведь это вы продаете и решаете, что делать с контактами. Платформа чаще выступает подрядчиком. Если же она использует данные покупателей в собственных целях, по этим целям она самостоятельный оператор.
Может ли подрядчик подать уведомление за нас?
Подготовить документ он может, но подать его должен оператор от своего имени. Подрядчик, который работает по вашему поручению, за вашу обработку уведомление не подает.
Реестр лучше проверить до того, как письмо пришлет Роскомнадзор. Спокойная сверка занимает пару часов, а срочно объяснять расхождения в ответ на запрос куда сложнее.