Оператор персональных данных

Оператор персональных данных - тот, кто организует или ведёт обработку персональных данных и сам определяет, зачем и какие данные обрабатывать (152-ФЗ, ст. 3, п. 2). Обработка - любое действие с ними, включая сбор, запись и хранение (п. 3). ИП, у которого в таблице, CRM, переписке или форме на сайте лежат телефоны и почты клиентов, под это определение, как правило, подпадает. Оценку вашего случая даст юрист.

Зачем это знать. Статус оператора несёт обязанности, а с 30 мая 2025 года за их нарушение действуют новые штрафы. Политику обработки данных публикуют на сайте, через который собирают данные (ст. 18.1, ч. 2), иначе штраф ИП - от 10 до 20 тыс. ₽. Роскомнадзор уведомляют до начала обработки (ст. 22): за неуведомление или уведомление с опозданием ИП отвечает как юридическое лицо, от 100 до 300 тыс. ₽ (КоАП, ст. 13.11, ч. 10 и примечание 1). Согласие на обработку там, где оно нужно, с 1 сентября 2025 года оформляют отдельно от других документов (ст. 9, ч. 1). Данные граждан России записывают и хранят в базах на территории России, кроме узких случаев из статьи 6 (ст. 18, ч. 5).

Практическое следствие: отвечаете вы и за тех, кому поручили обработку. Если оператор поручает обработку другому лицу, например хостингу или сервису рассылки, перед клиентом за действия этого лица отвечает оператор (ст. 6, ч. 5). Поэтому в политике перечисляют, кому передаются данные: в моей это платёжный сервис, сервис отправки писем, хостинг и Яндекс Метрика.

Ещё одна деталь - как подать уведомление. Я подавал его, войдя через Госуслуги, и тип оператора «ИП» форма приняла только после входа в профиль ИП: с личной учётной записью она пишет о несоответствии данных, а из профиля ИП ФИО, ОГРНИП и ИНН подтягиваются сами.

Что делать. Проверить себя в реестре операторов на портале персональных данных Роскомнадзора, опубликовать политику и выяснить с юристом, где нужен отдельный документ согласия, а где хватает договора с клиентом. Шаги для сайта с оплатой разобраны в гайде как сделать сайт с оплатой, а про то, что нельзя отправлять в чужие сервисы, включая нейросети, есть отдельный гайд про данные клиентов.