Оператор персональных данных — кто это и какие у него обязанности

«Оператор персональных данных» — это юридический термин из 152-ФЗ. На практике он означает почти каждый бизнес с сайтом. И с этим статусом приходят 12 конкретных обязанностей. Дальше — кто попадает в эту категорию, что обязан делать, и какие штрафы за неисполнение.

Содержание

1. Кто такой оператор ПДн
2. Чем оператор отличается от обработчика
3. Когда вы становитесь оператором
4. 12 обязанностей оператора
5. Права субъекта, которые должен соблюдать оператор
6. Ответственность за нарушения
7. Частые вопросы
8. Об авторе

Кто такой оператор ПДн

Краткий ответ. Оператор персональных данных — это любая организация или физическое лицо, которое самостоятельно или совместно с другими решает: собирать ли данные, какие, как использовать, где хранить. По закону 152-ФЗ статья 3.

В простом переводе на бизнес-язык: если вы решаете «давайте поставим форму на сайте чтобы клиенты оставляли заявки» — вы уже оператор. Решение принимаете вы, ответственность тоже на вас.

Кто конкретно может быть оператором:

— Юридическое лицо (ООО, АО, некоммерческая организация) — Индивидуальный предприниматель (ИП) — Самозанятый — Физическое лицо (но только если ведёт деятельность связанную со сбором данных — например, частный психолог с базой клиентов) — Государственный орган — Муниципальное учреждение

Обычные пользователи в быту операторами не считаются. Если у вас в записной книжке записаны контакты друзей — это «обработка для личных нужд», под 152-ФЗ не подпадает.

Чем оператор отличается от обработчика

Эту разницу путают часто, а она важна — обязанности у этих двух ролей разные.

Оператор принимает решения. Какие данные собирать, для каких целей, кому передавать.

Обработчик выполняет работу по поручению оператора. Не принимает самостоятельных решений, что с данными делать.

Пример. У вас интернет-магазин (вы — оператор). Вы используете Битрикс24 (он — обработчик, хранит вашу базу клиентов). Доставку делает СДЭК (он — обработчик, доставляет заказы по вашим инструкциям). Платежи через ЮКассу (она — обработчик, принимает деньги).

Кто за что отвечает:

— Оператор отвечает за весь цикл (получение согласия, политика, защита, удаление по запросу). — Обработчик — только за то, что ему поручили. Не может использовать данные для собственных целей.

Между оператором и обработчиком должен быть договор. В нём явно описано: какие данные передаются, для каких целей, на какой срок, как защищены. Без договора — нарушение и для оператора, и для обработчика.

В политике оператор обязан перечислить всех обработчиков. Поэтому если у вас Tilda + ЮКасса + СДЭК + Яндекс Метрика — всех четверых указываете в политике как третьих лиц.

Когда вы становитесь оператором

Краткий ответ. В момент когда вы решили собрать данные. Не когда подали уведомление в РКН — этот момент позже. Уведомление — это обязанность оператора, а не способ им стать.

Типичный сценарий малого бизнеса:

1. Понедельник. Запускаете сайт-визитку с формой обратной связи. Уже в этот момент вы — оператор. Закон вас обязывает.

2. Вторник. Получаете первую заявку через форму. Уже обрабатываете данные субъекта. Обязанность оператора активна.

3. Среда. Видите статью про штрафы и подаёте уведомление в Роскомнадзор через Госуслуги. Это выполнение обязанности оператора (статья 22 152-ФЗ), а не «получение статуса».

4. Четверг. РКН вносит вас в реестр операторов. Теперь любой может проверить.

То есть вы становитесь оператором по факту — в момент когда впервые собрали данные. Уведомление и регистрация в реестре — это уже обязательное продолжение, чтобы быть «легальным» оператором.

Если на сайте есть форма и вы не в реестре — формально вы «оператор-нарушитель», штраф 100-300 тысяч за отсутствие уведомления.

Реестр операторов Роскомнадзора — как проверить себя

Краткий ответ. Зайти на pd.rkn.gov.ru/operators-registry/operators-list/, ввести свой ИНН, нажать «Найти». Если запись есть — вы зарегистрированы как оператор. Если нет — нужно подать уведомление (бесплатно, через Госуслуги).

Реестр операторов персональных данных — это публичная база Роскомнадзора, в которой содержится информация обо всех операторах ПДн в России. По данным РКН на середину 2026 года в реестре более 2,6 миллиона записей.

Доступ к реестру открытый, без регистрации. По части 4 статьи 22 152-ФЗ сведения о реестре операторов являются общедоступными (кроме данных о средствах защиты безопасности).

Что можно увидеть в записи оператора

• Регистрационный номер формата 77-XX-XXXXXX (77 — код региона, например, 77 = Москва, 50 = Московская область, 78 = СПб)
• Наименование оператора (полное и сокращённое)
• ИНН, ОГРН, юридический адрес
• Цели обработки ПДн — для чего оператор обрабатывает данные
• Категории субъектов — чьи данные обрабатывает (работники, клиенты, посетители сайта и т.д.)
• Категории персональных данных — какие именно поля собирает
• Меры защиты по ст. 18.1 и 19 152-ФЗ
• Ответственный за организацию обработки ПДн — ФИО, контакты (тоже общедоступны)

Зачем проверять себя в реестре

Первая причина: убедиться, что вы есть в реестре. Если нет — нужно срочно подавать уведомление. По состоянию на 2026 штраф за непредставление уведомления — от 3 000 ₽ для ИП и от 30 000 ₽ для юрлица.

Вторая причина (важнее): проверить, что в вашей записи указаны те цели и категории субъектов, которые реально соответствуют тому, что вы делаете на сайте. Типичная ситуация — бухгалтер давным-давно подал уведомление на «обработку ПДн работников для кадрового учёта», и в реестре только это. А у вас на сайте формы захвата, Яндекс.Метрика, реклама — это другая обработка, другие субъекты («посетители сайта»). Если этого в реестре нет — формально вы обрабатываете без оснований, штраф от 60 000 ₽ для ИП.

Как искать в реестре

Три способа поиска:

1. По ИНН — самый надёжный. По ИНН найдёт точно одну запись.
2. По наименованию — менее точный (могут быть однофамильцы). Имя без кавычек и сокращений — «Ромашка», а не «ООО "Ромашка"».
3. По регистрационному номеру 77-XX-XXXXXX — если у вас уже есть номер, проверка по нему быстрее всего.

Подробный разбор как найти себя, что смотреть в записи и что делать если данные устарели — в статье «Реестр операторов РКН — как проверить себя и попасть в него».

Как зарегистрироваться как оператор

Краткий ответ. Подать уведомление об обработке персональных данных в Роскомнадзор. Бесплатно, через Госуслуги, занимает 15-30 минут. Срок рассмотрения 3-7 рабочих дней.

Если вы ещё не в реестре — нужно подать уведомление (это и есть «регистрация»). У вас три способа:

Способ 1 — через Госуслуги (рекомендуется)

Самый простой и быстрый. У вас должна быть подтверждённая учётная запись на Госуслугах. Для юрлица — учётная запись должна быть привязана к организации.

1. Зайдите на pd.rkn.gov.ru/operators-registry/notification/form/
2. Нажмите «Подать уведомление (перейти к сервису ЕСИА)»
3. Войдите через Госуслуги, форма откроется с автоподстановкой ваших данных
4. Заполните разделы: сведения об операторе, цели обработки, категории субъектов, категории ПДн, правовые основания, меры защиты, ответственный за обработку
5. Подпишите ЕСИА-подписью и отправьте

Подробная пошаговая инструкция с разбором каждого поля формы — в статье «Регистрация в РКН как оператор персональных данных — пошагово».

Способ 2 — с усиленной квалифицированной ЭП (УКЭП)

Для тех, у кого есть УКЭП (электронная подпись юрлица). На той же странице — вторая ссылка «В электронном виде с УКЭП». Нужен плагин КриптоПро.

Способ 3 — бумажно

Распечатать форму, заполнить, подписать, отправить почтой в территориальный орган Роскомнадзора. Долго (до 30 дней), но возможно если нет интернета или УКЭП.

Стоимость регистрации

Бесплатно через Госуслуги или с УКЭП. Если идёте через коммерческие сервисы (Контур.Реестр, Тензор) — 2 000 – 5 000 ₽. За саму процедуру РКН ничего не берёт.

Что значит «оператор» — простыми словами

Краткий ответ. Оператор персональных данных по 152-ФЗ — это любой, кто собирает, хранит и использует данные людей. Не государственная должность, не специальная регистрация в налоговой — это статус, который возникает автоматически как только вы начинаете обрабатывать чьи-то ПДн.

В части 2 статьи 3 152-ФЗ оператор определён формально:

«Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными».

Если перевести с юридического на человеческий:

• Кто: вы как физлицо, ИП или юрлицо
• Что делает: собирает данные людей и сам решает зачем
• Какие данные: любые, по которым можно опознать человека — имя, телефон, email, фото, ИНН, СНИЛС
• Когда становится оператором: в момент первого сбора данных

Простые примеры — все они операторы:

• Магазин с формой обратной связи → оператор данных посетителей
• Сервис записи на услуги → оператор данных клиентов
• Работодатель с сотрудниками → оператор данных работников
• Управляющая компания → оператор данных собственников и жильцов
• Самозанятый репетитор с профилем на сайте → оператор данных учеников (если их данные у себя хранит)

Статус оператора не зависит от того, подали ли вы уведомление в Роскомнадзор. Вы становитесь оператором по факту обработки. А вот обязанность подать уведомление возникает у вас как у оператора. То есть статус и регистрация — это разные вещи: статус есть с первого собранного email, регистрация — это формальное уведомление государства о вашем статусе.

12 обязанностей оператора

Статьи 18-22 152-ФЗ устанавливают конкретные обязанности. Перечисляю с пояснением что это значит на практике.

1. Подать уведомление в РКН перед началом обработки. Бесплатно через Госуслуги. Подробнее в статье про реестр.

2. Опубликовать политику в общедоступном месте (на сайте). 17 обязательных пунктов по статье 18.1. Подробнее в статье про политику.

3. Получать согласие перед сбором данных. Активное (галочка), не предустановленное. Подробнее про согласие.

4. Собирать только то, что необходимо. Принцип минимальной достаточности. Лишние поля в форме — риск штрафа.

5. Использовать только для заявленных целей. Если собрали для отправки заказа — нельзя использовать для маркетинга без отдельного согласия.

6. Хранить локально в РФ. Базы клиентов на серверах в России. CRM, почтовый сервер, аналитика — российские или с локализацией.

7. Защищать. Технические меры (пароли, HTTPS, антивирус) + организационные (разграничение доступа, регулярное копирование).

8. Уведомлять об инцидентах. Утечка → в течение 24 часов сообщить РКН, 72 часа — отчёт о расследовании.

9. Удалять по запросу субъекта. В течение 30 дней после получения запроса.

10. Назначить ответственного за обработку. Не обязательно отдельный сотрудник — может быть сам директор или ИП.

11. Отвечать на запросы РКН. При проверках, жалобах, предписаниях — отвечать в установленные сроки (обычно 10-30 дней).

12. Обновлять документы. При изменении реквизитов, целей, состава данных — обновлять политику и уведомление в РКН.

Невыполнение каждой обязанности — отдельное нарушение со своим штрафом. Можно одновременно получить 3-4 штрафа за разные пункты.

Права субъекта, которые должен соблюдать оператор

Субъект (тот, чьи данные обрабатываются) имеет права. Оператор обязан их соблюдать.

— Право знать. Запросить у оператора: какие данные собрали, для чего, кому передали. Оператор отвечает в течение 30 дней.

— Право требовать уточнения, блокирования или удаления. Если данные неточные, устаревшие или собраны без оснований — субъект может потребовать исправить или удалить.

— Право отзыва согласия. В любой момент. После отзыва — обработка прекращается.

— Право на возмещение убытков. Если ваша утечка причинила вред субъекту — он может потребовать возмещение через суд.

— Право жалобы в РКН. Если оператор не соблюдает требования — субъект жалуется, РКН проверяет.

Каждая обязанность оператора — это отражение какого-то права субъекта. Закон работает в эту логику: операторы обязаны то, что субъекты имеют право требовать.

Ответственность за нарушения

Краткий ответ. Штрафы по КоАП (от 30 тысяч до 15 миллионов) и уголовная ответственность по статье 272.1 УК (до 10 лет лишения свободы за продажу баз и использование служебного положения).

Базовые штрафы на 2026:

— Обработка без согласия — 300-700 тысяч — Нет политики — 30-100 тысяч — Нет уведомления в РКН — 100-300 тысяч — Утечка от 1000 субъектов — от 3 миллионов — Уголовка за продажу баз — до 10 лет

Полная таблица — в статье про штрафы 152-ФЗ.

Частые вопросы

Я физлицо без ИП — могу быть оператором?

Можете, если ведёте деятельность по сбору данных. Например, частный психолог с базой клиентов, репетитор с базой учеников. Тогда применяются те же правила. Если просто пишете личный блог без сбора данных — нет.

Если я работаю по агентскому договору — кто оператор, я или принципал?

Зависит от того, кто принимает решения о сборе данных. Если принципал говорит «собирайте такие-то данные таким-то способом» — он оператор, вы обработчик. Если решения принимаете вы — оператор вы.

Если у меня сайт на бесплатном хостинге (например, narod.ru) — я тоже оператор?

Да. Платный хостинг или бесплатный — не имеет значения. Главное: собираете ли данные пользователей.

Несколько ИП работают совместно на одном сайте — кто оператор?

Возможно «совместное оперирование». Все участники — операторы, должны быть в реестре, делить ответственность. На практике лучше один из ИП регистрируется как основной оператор, остальные — обработчики по договору.

Могу ли я делегировать обязанности оператора на сторонний сервис?

Технически можно нанять «офицера по защите ПДн» (DPO), но юридическая ответственность всё равно на операторе. Нанятый специалист отвечает только перед вами по договору, а не перед РКН.

Что если я обработчик, но мне передали данные без договора?

Это нарушение обеих сторон. Лучше требовать договор от оператора до начала работы. Без договора вы юридически — никто, ответственность размытая.

Если мой оператор-клиент попадёт под санкции, я как обработчик тоже?

Если докажете что действовали строго по поручению — нет. Если выполняли что-то по своему усмотрению — да, разделите ответственность.

Что делать дальше

Если у вас сайт и вы ещё не оформились как оператор — начните с подачи уведомления в РКН. Бесплатно, через Госуслуги, 20-30 минут. Пошагово в нашей статье.

Параллельно — поставьте политику (образец) и согласие в формах (образец).

Бесплатная проверка вашего сайта. 30 секунд, покажем все нарушения.

Читайте также

• Полный пакет документов по 152-ФЗ для ИП и ООО — список 30+ с обоснованием — что обязательно, что желательно, что зависит от структуры бизнеса.
• Регистрация в РКН как оператор персональных данных — пошагово
• Реестр операторов РКН: как проверить себя и попасть в него
• Обработка персональных данных — что это простыми словами — все 14 действий, которые закон считает обработкой ПДн.
• Регистрация в РКН как оператор персональных данных — пошаговая инструкция со скринами — как подать уведомление через Госуслуги за 15-30 минут.
• Реестр операторов персональных данных РКН — куда оператор обязан подать уведомление.
• Как подать уведомление в Роскомнадзор — пошагово через Госуслуги.
• 152-ФЗ простыми словами — общая база по закону.
• Штрафы 152-ФЗ в 2026 году — санкции для операторов-нарушителей.

Об авторе

Дмитрий Синица. ИП с 2013 года, в разработке с 2010-го.

Направления: сайты (от лендингов до магазинов), чат-боты с ИИ и без, автоматизация процессов в малом бизнесе.

PdAudit.ru сделал, зная боли своих клиентов: кто-то где-то услышал про 152-ФЗ, подумал «потом разберусь», и через год сайт всё ещё без политики и согласия. Сервис за минуту находит проблемы и собирает готовые документы под конкретный сайт.

ИНН 502716306004, ОГРНИП 313502708000051. Запись в реестре операторов ПДн №77-25-358038 от 23.06.2025.

Источники

— 152-ФЗ, статьи 3, 18-22 — Реестр операторов

Актуализация: 19 мая 2026.