«Вы — оператор персональных данных, даже если не знаете об этом. Полный список обязанностей и что грозит за их срыв»

В прошлый раз разобрали правовую базу. Сегодня переходим к главному действующему лицу — оператору. Именно ему адресованы все требования, именно с него спрашивают за утечки и именно на него ложатся многомиллионные штрафы.

Кто признаётся оператором персональных данных

По статье 3 152-ФЗ, оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку персональных данных, а также определяет цели такой обработки.

Простыми словами: любой, кто собирает хоть какую-то информацию о людях и решает, зачем и как её использовать. Это не только банки и маркетплейсы. Это:

ООО и ИП, собирающие контакты клиентов (заказы, рассылки, бонусные программы).

Госорганы (школы, поликлиники, администрации) — они обрабатывают данные граждан в силу закона, но тоже являются операторами и обязаны соблюдать требования.

Физические лица, если они обрабатывают данные других людей систематически и не для личных нужд: например, репетитор, ведущий базу учеников с телефонами и результатами тестов, или администратор жилого чата, собирающий паспортные данные соседей «для пропусков». Личные нужды (запись телефона друга в свою книгу контактов) — исключение.

Главные обязанности оператора

Их несколько, и каждая тянет за собой подвиды.

1. Получить согласие на обработку (если оно требуется)

Согласие — не единственное, но самое частое основание для обработки. Без него можно обрабатывать данные, когда это необходимо:

для исполнения договора (например, доставка заказа);

в силу закона (налоговая, суд, воинский учёт);

для защиты жизни и здоровья;

в иных случаях, прямо перечисленных в 152-ФЗ.

Во всех остальных ситуациях — нужно согласие. Причём не любое. Оно должно быть:

конкретным — нельзя «на всё сразу», под каждую цель обработки — отдельное согласие;

информированным — человек должен понимать, кто, что, как долго и для чего будет делать с его данными;

сознательным — не спрятанным мелким шрифтом в условиях акции.

Форма согласия: письменная (на бумаге с подписью) или электронная, подписанная усиленной квалифицированной подписью. Проставление галочки на сайте может быть приравнено к согласию, только если оператор может доказать, что именно этот человек её поставил (например, через авторизацию и логи).

Срок действия: определяется целями обработки. Как только цель достигнута, данные должны быть уничтожены. Хранить их «на всякий случай» незаконно.

Отзыв согласия: субъект может отозвать его в любой момент. Оператор обязан прекратить обработку и удалить данные, если нет иных законных оснований их хранить. Отказ выполнить отзыв — прямое нарушение.

2. Уведомить Роскомнадзор

До начала обработки оператор обязан направить в РКН уведомление. В нём указывается: наименование оператора, цели обработки, категории данных, перечень действий, сроки хранения, сведения о наличии трансграничной передачи и так далее.

Исключения, когда уведомление не требуется (ст. 22 152-ФЗ):

данные обрабатываются исключительно в рамках трудовых отношений;

данные нужны только для исполнения договора с субъектом и не передаются третьим лицам;

данные обрабатываются в целях пропускного режима на объект (но только если это не биометрия);

и ещё ряд узких случаев.

Если вы не подпадаете под исключения — уведомление обязательно. Подаётся оно через портал Госуслуг или лично. После этого сведения вносятся в реестр операторов.

Последствия неуведомления: РКН может возбудить дело по ст. 13.11 КоАП (нарушение порядка обработки), штраф до 300 000 рублей. Кроме того, отсутствие уведомления не освобождает от всех остальных обязанностей.

3. Обеспечить локализацию данных россиян

При сборе персональных данных оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

То есть первичный сбор и хранение — только в России. Передавать данные за границу можно, но только после того, как они сначала сохранены в РФ, и при соблюдении порядка трансграничной передачи (отдельное уведомление РКН, согласие субъекта на передачу в страны, не обеспечивающие адекватной защиты).

4. Разработать и опубликовать политику обработки

Оператор обязан определить и сделать общедоступной политику в отношении обработки персональных данных. В ней должны быть отражены: цели сбора, категории данных, порядок и условия обработки, права субъектов, контакты ответственного лица. Обычно политика размещается на сайте.

5. Назначить ответственного за организацию обработки

Оператор-юрлицо обязано назначить лицо, ответственное за организацию обработки персональных данных. Этот сотрудник будет взаимодействовать с РКН и субъектами данных, контролировать внутренние процессы.

6. Принимать меры по защите данных

Это организационные и технические меры, определённые постановлением Правительства № 1119 и приказом ФСТЭК № 21: разграничение доступа, антивирусная защита, шифрование, учёт машинных носителей, резервное копирование и т. д.

Что грозит за неисполнение обязанностей

Санкции мы подробно разбирали в предыдущем посте, напомним ключевое:

КоАП, ст. 13.11 — за каждое нарушение (отсутствие согласия, неопубликование политики, непредоставление информации субъекту) штрафы до 700 000 рублей.

За утечки — оборотные штрафы до 3% годовой выручки.

За отсутствие локализации — до 18 млн рублей.

Уголовная ответственность — при умышленном нарушении тайны частной жизни.

Практический вывод

Если вы ведёте бизнес, собираете любые контакты клиентов или сотрудников — вы почти наверняка оператор. И выполнять требования нужно не когда пришла проверка, а до неё.

Не уверены, нужно ли вам уведомление РКН? Не знаете, правильно ли оформлено согласие на вашем сайте? Не хотите рисковать оборотным штрафом? Напишите в личные сообщения на 9111.ru кодовое слово «ОПЕРАТОР». Кратко опишите ваш вид деятельности — и получите анализ ваших обязанностей как оператора и пошаговый план их выполнения. Консультация стоит 1500 рублей, возврат денег при отсутствии практической пользы.