Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: август 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Владелец студии маникюра из Казани недавно спросил у нас: «У меня же нет никакой базы данных, я просто веду запись в тетрадке и в Instagram. Я точно не оператор персональных данных?» На сайте студии стояла форма «Записаться» с полями «Имя» и «Телефон». Это и есть ответ: он оператор. С того момента, как форма ушла в продакшн.
Вопрос «оператор персональных данных — кто это» звучит как формальность из закона, но за ним стоит вполне конкретный набор обязанностей и штрафов. Разберём, кто попадает под это определение, в какую секунду бизнес становится оператором и что с этим статусом делать.
Что говорит закон: определение из статьи 3
Формулировка спрятана в пункте 2 статьи 3 152-ФЗ. Оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними.
Ключевое слово здесь — «определяет цели». Не «хранит на своём сервере», не «имеет большую базу», а именно принимает решение, зачем и какие данные собирать. ИП, который завёл форму обратной связи, чтобы клиенты оставляли заявки, — определил цель (получать заявки) и состав данных (имя, телефон). Он оператор.
А обработка по 152-ФЗ — это почти любое действие с данными: сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление. Записали телефон клиента в CRM — обработали. Выгрузили список в Excel — обработали. Даже просто получили заявку на email и не удалили её — это хранение, то есть обработка.
Момент, когда вы стали оператором
Статус оператора не выдаётся справкой и не возникает после регистрации в Роскомнадзоре. Он появляется автоматически — в тот момент, когда вы начали определять цели обработки и собирать хотя бы одну единицу персональных данных живого человека.
На практике это происходит раньше, чем предприниматель осознаёт. Вот типичные триггеры:
Форма обратной связи на сайте с полями «имя» и «телефон» или «email». Даже если заявок пока ноль — сама возможность собирать данные делает вас оператором с момента публикации формы.
Онлайн-запись, калькулятор с отправкой результата на почту, чат-бот, всплывающее окно «оставьте контакт и получите скидку». Всё это — точки сбора.
Аналитика и трекеры. Яндекс.Метрика и Google Analytics собирают IP-адреса, cookie, идентификаторы устройств. Позиция Роскомнадзора: это тоже персональные данные, а значит, установка счётчика — обработка.
Приём сотрудников на работу. Как только вы получили паспорт и СНИЛС первого работника, вы стали оператором и как работодатель — с отдельным набором требований, о которых мы писали в материале про 152-ФЗ для HR.
Важная деталь: физическое лицо, которое обрабатывает данные исключительно для личных и семейных нужд, оператором не считается (это прямое исключение в статье 1). Записная книжка с телефонами друзей — не обработка по 152-ФЗ. Но как только появляется коммерческая или профессиональная цель — исключение перестаёт работать.
Что автоматически ложится на оператора
Стать оператором — значит принять на себя обязанности, которые закон не делает опциональными. Их объём не зависит от размера бизнеса: у самозанятого фотографа и у сети клиник обязанности по структуре одинаковые, различается лишь масштаб мер.
Первое — правовое основание обработки. Статья 6 требует, чтобы у каждой операции с данными было основание: согласие субъекта, исполнение договора, требование закона. Собирать данные «просто так» нельзя. Обработка без основания — это часть 1 статьи 13.11 КоАП, и для юрлица это 150 000–300 000 рублей.
Второе — прозрачность. Оператор обязан опубликовать документ, описывающий политику в отношении обработки персональных данных (статья 18.1, часть 2). Это та самая политика конфиденциальности, которая должна лежать в открытом доступе на сайте. Её отсутствие проверяется первым же — и человеком из РКН, и автоматическим ботом.
Третье — уведомление Роскомнадзора. По статье 22 оператор до начала обработки обязан подать уведомление в реестр операторов. С 2025 года почти все исключения из этого требования убрали, так что подавать нужно практически всем. Как это сделать — в инструкции про уведомление в Роскомнадзор.
Четвёртое — меры защиты (статья 18.1) и реакция на инциденты. Если данные утекли, у оператора есть 24 часа на уведомление РКН о самом факте и 72 часа на передачу результатов внутреннего расследования. Не 24 часа на всё, как часто пишут, а два разных срока.
Пятое — работа с запросами субъектов. Человек вправе спросить, какие его данные вы обрабатываете, и потребовать их уточнить или удалить. Тут снова два срока, которые нельзя смешивать: 30 дней на предоставление информации (статья 20, часть 3) и 7 рабочих дней на уточнение либо уничтожение данных (статья 21, часть 1).
Оператор, обработчик и «совместные операторы» — не путать
Часто предприниматель думает: «Данные лежат в облачной CRM, значит оператор — это они, а не я». Это ошибка.
Тот, кто определяет цели, — оператор. Тот, кто обрабатывает данные по поручению оператора, — обработчик (в законе — «лицо, осуществляющее обработку по поручению»). CRM-сервис, колл-центр на аутсорсе, бухгалтерия по договору — это обработчики. Вы остаётесь оператором, и именно вы отвечаете перед субъектом и перед РКН за то, что происходит с данными у подрядчика.
Чтобы такое привлечение было законным, нужен договор поручения по статье 6 — с конкретным перечнем действий, целями и обязанностью обработчика соблюдать конфиденциальность. Подробно об этом — в разборе про договор поручения на обработку ПДн. Без такого договора передача данных подрядчику сама по себе становится нарушением.
Ещё одно частое заблуждение — что оператор персональных данных это только крупная компания с отделом безопасности. Статус не зависит от организационно-правовой формы и оборота. Самозанятый репетитор, который собирает контакты учеников через форму на лендинге, — оператор ровно в той же мере, что и федеральная сеть. Разница лишь в объёме мер защиты, которые разумно внедрять, но не в наличии обязанностей как таковых.
Отдельная категория — совместные операторы: когда две компании вместе определяют цели обработки (например, партнёры по маркетинговой акции с общей базой). Тогда обязанности распределяются соглашением между ними, но ответственность перед субъектом сохраняется у каждого.
Цена игнорирования статуса
Логика «я маленький, меня не тронут» перестала работать в 2025 году. Роскомнадзор запустил автоматический мониторинг сайтов, который проверяет наличие политики, формы согласия и корректность форм — без участия инспектора.
Санкции после ФЗ № 420-ФЗ выросли кратно. Обработка без основания — до 300 000 рублей для юрлица. Отсутствие политики и другие нарушения по статье 13.11 суммируются. А в случае утечки персональных данных штраф доходит до 20 млн рублей, при повторной утечке вводится оборотный штраф — от 1 до 3% годовой выручки, минимум 20 млн, максимум 500 млн рублей. Полную таблицу мы собрали в гайде про штрафы по 152-ФЗ.
Проблема ещё и в том, что нарушения множатся. Нет политики — это одно нарушение. Собираете данные без согласия — второе. Не подали уведомление — третье. Каждое считается отдельно.
Что делать прямо сейчас
Начните с простого аудита: пройдитесь по своему сайту и выпишите каждую точку, где посетитель что-то вводит или где стоит трекер. Форма заявки, окно чата, счётчик Метрики, поле подписки на рассылку — всё это делает вас оператором и требует основания, политики и уведомления.
Не уверены, что ваш сайт уже выдаёт вас как оператора со всеми нарушениями сразу? Запустите бесплатный аудит на соответствие 152-ФЗ → — он за пару минут покажет, какие данные собирает ваш сайт, есть ли политика и согласие, и какие штрафы вам грозят при текущей настройке.
Использованные нормативные акты: Федеральный закон № 152-ФЗ «О персональных данных» (ст. 1, 3, 6, 18.1, 20, 21, 22); Кодекс РФ об административных правонарушениях (ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024).