Лицо, которое организует обработку персональных данных и определяет ее цели, состав и способы.
Юридический глоссарий
Оператор персональных данных
Коротко
Оператор персональных данных — государственный орган, организация, ИП или гражданин, который самостоятельно либо совместно с другими определяет цели обработки персональных данных, состав данных и действия с ними. Статус определяется с учётом фактической роли, а не от того, как сторона названа в договоре.
Коротко
Простыми словами Юридически точно
Как определить оператора
Лицо, которое организует обработку персональных данных и определяет ее цели, состав и способы.
- КТО СТАВИТ ЦЕЛЬ
- Оператор решает, зачем собираются данные: оформить заказ, нанять сотрудника, вести рассылку, предоставить доступ или выполнить другое законное действие.
- КТО ОПРЕДЕЛЯЕТ СОСТАВ И ПРОЦЕСС
- Он выбирает, какие данные нужны, откуда они поступают, кому передаются, сколько хранятся и когда уничтожаются.
- ПОДРЯДЧИК НЕ ВСЕГДА СТАНОВИТСЯ ОПЕРАТОРОМ
- CRM, хостинг, бухгалтер или сервис рассылок может обрабатывать данные по поручению и в заданных пределах. Это не снимает обязанностей с заказчика.
Лицо, которое организует обработку персональных данных и определяет ее цели, состав и способы.
РОЛИ
Оператор и обработчик по поручению
Если подрядчик действует только по документированному поручению, он обязан соблюдать установленные оператором цели и требования. В поручении определяют данные, операции, цели, конфиденциальность, меры безопасности, подтверждение соблюдения требований и порядок уведомления об инцидентах. Подрядчик может одновременно быть самостоятельным оператором для собственных целей — например, по кадровым данным своих сотрудников или обязательному учёту. Роли определяются отдельно для каждого процесса.
ОБЯЗАННОСТИ
Что должен организовать оператор
- Пункт
- определить законные и конкретные цели обработки;
- Пункт
- выбрать правовое основание для каждого процесса;
- Пункт
- утвердить документы и распределить ответственность;
- Пункт
- обеспечить безопасность, доступ, хранение и уничтожение данных;
- Пункт
- отвечать на обращения субъектов и взаимодействовать с Роскомнадзором;
- Пункт
- уведомить Роскомнадзор до начала обработки, если не применяется законное исключение.
ИНВЕНТАРИЗАЦИЯ
Как проверить свою роль без формальной анкеты
- 01
Перечислить процессы
Сайт, клиенты, сотрудники, кандидаты, пропуска, камеры, рассылки, CRM и подрядчики.
- 02
Для каждого процесса ответить «зачем»
Не использовать универсальную цель «ведение деятельности» там, где можно назвать конкретную задачу.
- 03
Проверить передачи
Установить, кто получает доступ и действует ли он как самостоятельный оператор или по поручению.
- 04
Сверить документы с фактом
Политика, согласия и договоры должны описывать реальную систему, а не шаблонный набор формулировок.
FAQ
Частые вопросы
Да. Размер бизнеса не исключает статус оператора, если ИП определяет цели и способы сбора имени, телефона, электронной почты или других данных.
Название стороны не меняет фактическую роль. Если бизнес определяет цель обработки клиентских данных, он обычно сохраняет статус оператора.
Общее правило требует уведомить Роскомнадзор до начала обработки, но закон содержит исключения. Их нужно проверять по конкретным процессам и актуальной редакции статьи 22.
ПРАВОВАЯ ОПОРА
Источники и границы проверки
Обязанности определяются с учётом конкретных процессов. Перед публикацией проверяется актуальная редакция Закона № 152-ФЗ, особенно правила уведомления, локализации, поручения и сообщений об инцидентах.
- Нормативный или официальный источникФедеральный закон № 152-ФЗ, действующая редакция. Определение оператора, поручение обработки и основные обязанности. ↗
- Нормативный или официальный источникРоскомнадзор: частые вопросы о персональных данных. Официальные разъяснения по статусу оператора и применению Закона № 152-ФЗ. ↗
- Нормативный или официальный источникРоскомнадзор: уведомление об обработке. Общее правило уведомления до начала обработки. ↗
Источники проверены 02.08.2026