Обязанности оператора персональных данных: что должен сделать бизнес по 152-ФЗ

Кто такой оператор и когда возникают обязанности

Оператор персональных данных — это тот, кто определяет, зачем и как обрабатывать данные людей, и обрабатывает их. Под это определение попадает почти любой бизнес: как только вы завели базу клиентов, оформили первого сотрудника или поставили на сайт форму заявки — вы уже оператор. Статус возникает автоматически, по факту обработки, а не после какой-либо регистрации, и именно с этого момента начинают действовать обязанности оператора персональных данных.

Частое заблуждение — что 152-ФЗ касается только крупных компаний. Это не так: закон не делает скидок на размер бизнеса, и требования к ИП или микрокомпании те же, что и к корпорации. Отличается лишь объём обработки, а не состав обязанностей. Хорошая новость в том, что почти всё соответствие — это разовая настройка: один раз сделали и поддерживаете.

Чек-лист обязанностей оператора персональных данных

Собрали все обязанности оператора в один список. По каждому пункту — что нужно сделать и где разобран этот шаг подробно. Двигаться удобнее сверху вниз: пункты идут в логическом порядке.

Восемь строк выглядят внушительно, но это не восемь проектов, а один: большинство пунктов делается один раз при настройке. Отдельно держите в голове цену невыполнения — за пропуск этих обязанностей предусмотрены штрафы за персональные данные, вплоть до оборотных за утечку.

Документы, которые должны быть у оператора

Значительная часть обязанностей оператора персональных данных — это документы. Именно их первым делом спрашивает проверяющий, и именно их чаще всего не оказывается на месте. Минимальный пакет оператора — в таблице.

Как привести обработку в соответствие: 5 шагов

Чтобы чек-лист не пугал объёмом, соберём обязанности оператора в понятный порядок действий. Он одинаково работает и для интернет-магазина, и для сервиса, и для ИП: держите последовательность — и закроете требования 152-ФЗ без хаоса.

1. Проведите инвентаризацию персональных данных. Начните с простого вопроса: какие данные людей вы вообще собираете, где они хранятся и зачем. Клиенты, сотрудники, посетители сайта, подписчики — всё это персональные данные, а вы по отношению к ним оператор. Без этой карты остальные обязанности оператора персональных данных выполнить нельзя: непонятно, что защищать, о чём уведомлять и какие согласия собирать.
2. Встаньте на учёт как оператор. Почти каждый, кто обрабатывает персональные данные, обязан подать в Роскомнадзор уведомление об обработке и попасть в реестр операторов. Это первая формальная обязанность оператора персональных данных перед государством: она подаётся заранее и один раз, а не в момент проверки. Проверьте, есть ли вы уже в реестре, и если нет — подайте уведомление.
3. Назначьте ответственного и оформите документы. Оператор назначает ответственного за организацию обработки персональных данных и утверждает пакет документов: политику обработки, формы согласий, внутренние регламенты. Это тот минимум, который проверяющий спрашивает первым и которого чаще всего не оказывается на месте.
4. Внедрите меры защиты данных. Закон требует от оператора принимать организационные и технические меры, чтобы персональные данные не утекли: разграничение доступа, шифрование, резервные копии, обучение сотрудников. Именно наличие мер защиты потом отличает добросовестного оператора от того, кто просто ждал утечки.
5. Подготовьтесь к инциденту заранее. Соответствие — это не только «до», но и «на случай если». У оператора должен быть план реагирования на утечку и понимание сроков: об инциденте нужно уведомить Роскомнадзор в течение 24 и 72 часов. Разобраться с этим в момент утечки уже поздно, поэтому порядок готовят заранее.

Частые ошибки и мифы об обязанностях оператора

• «152-ФЗ — только для крупных» — обязанности оператора одинаковы и для ИП.
• Считают, что достаточно привести в порядок сайт — а учёт и документы не трогают.
• Скачали шаблон политики «для галочки», не сверив его с реальной обработкой.
• Не подали уведомление об обработке, считая, что «нас это не касается».
• Не назначили ответственного — обязанность повисает без конкретного человека.
• Собирают данные без согласия или с согласием «оптом» на всё сразу.
• Готовятся к утечке уже во время утечки, когда идёт отсчёт 24 часов.

Объединяет эти ошибки одно — обязанности оператора персональных данных воспринимают как что-то необязательное «до первой проверки». На практике дешевле закрыть чек-лист заранее: почти всё это разовая настройка, а штрафы за персональные данные и несоответствие сайта обходятся куда дороже.

Читайте также

• Как подать уведомление в Роскомнадзор об обработке персональных данных — первый шаг чек-листа: постановка на учёт как оператора.
• Трансграничная передача персональных данных — отдельная обязанность, если данные уходят зарубежному получателю.
• Ответственный за обработку персональных данных — кого назначить и как оформить приказ.
• Политика обработки персональных данных: как составить — базовый публичный документ оператора.
• Согласие на обработку персональных данных — законное основание обработки и как его собирать.
• Права субъекта персональных данных: как ответить на запрос — обязанность отвечать на обращения субъектов в срок.
• Срок хранения и уничтожение персональных данных — сколько хранить данные и когда обязаны их уничтожить.
• Оценка вреда субъектам персональных данных — отдельная обязанность: оценить возможный вред и соразмерить меры.
• Обезличивание персональных данных — как снизить риск и часть обязанностей, разорвав связь с человеком.
• Как привести сайт в соответствие 152-ФЗ — видимая часть обязанностей: сайт, формы, cookie.
• План реагирования на утечку персональных данных — готовность к инциденту заранее.
• Как подать уведомление об утечке в Роскомнадзор — что делать, если утечка всё же произошла.
• Штрафы за персональные данные — цена невыполнения обязанностей оператора.

Частые вопросы