# Оператор персональных данных: кто это и что он должен делать

> Источник: https://ftex.pro/blog/operator-personalnyh-dannyh/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Кто такой оператор персональных данных по 152-ФЗ: ИП, ООО, школа, магазин, самозанятый. Обязанности, уведомление Роскомнадзора, реестр, штрафы по ст. 13.11.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: оператор персональных данных — это государственный или муниципальный орган, юридическое или физическое лицо, которое организует или осуществляет обработку персональных данных и определяет её цели и состав (п. 2 ст. 3 закона № 152-ФЗ).** Значит, оператором бывает и компания, и индивидуальный предприниматель, и школа, и интернет-магазин. Размер бизнеса не важен. Статус не выдают и не регистрируют: он появляется, когда вы начали работать с данными людей. Дальше закон требует основание обработки, уведомление Роскомнадзора до начала работы, политику и защиту данных.

 

Заполняем по каждой цели обработки и подаём · подача в Роскомнадзор бесплатна, вы платите только за работу юриста · вход на портал делает руководитель

 

Уведомление в Роскомнадзор под ключ — 4 900 ₽

 

[Подать уведомление →](https://ftex.pro/uvedomlenie-v-roskomnadzor/)

 

**Главное об операторе**

 

- **Оператор определяется делом, а не статусом.** Кто решает, зачем и какие данные обрабатывать, тот и оператор (п. 2 ст. 3).
- **Это может быть физическое лицо.** Индивидуальный предприниматель подходит под определение.
- **Главное для бизнеса исключение — личное:** обработка физлицом исключительно для личных и семейных нужд (п. 1 ч. 2 ст. 1); ещё два касаются архивов и государственной тайны (п. 2 и 4).
- **Тот, кто обрабатывает данные по вашему поручению,** по нашему прочтению не оператор, а лицо, действующее по поручению (ч. 3 ст. 6). Ответственность перед людьми остаётся на вас.
- **Уведомление подают до начала обработки,** за исключением случаев из ч. 2 ст. 22. В реестр операторов сведения вносит Роскомнадзор.

 

## Кто такой оператор по закону

 

Определение в п. 2 ст. 3 закона № 152-ФЗ: оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, «самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными». Вот что важно в этой формуле.

 

- **Обработка — любое действие с данными:** сбор, запись, хранение, использование, передача, удаление и другие (п. 3 ст. 3). Хранить таблицу с клиентами уже обработка. Подробнее — в статье [об обработке персональных данных](https://ftex.pro/blog/obrabotka-personalnyh-dannyh/).
- **«Организующие и (или) осуществляющие».** Достаточно либо организовать обработку, либо осуществлять её.
- **Решающий признак — кто определяет цели и состав данных.** Тот, кто решил собирать анкеты клиентов, и есть оператор.
- **«Самостоятельно или совместно».** Операторов у одних и тех же данных может быть несколько. Как они делят обязанности, закон не расписывает, в тексте мы такого порядка не нашли.

 

Что такое сами данные и какие из них закон считает персональными, объясняет главная статья кластера: [что такое персональные данные](https://ftex.pro/blog/chto-takoe-personalnye-dannye/).

 

## Кто оператор на практике

 

Закон не раздаёт роли списком, поэтому в таблице выводы по нашему прочтению определения из п. 2 ст. 3.

 

| Ситуация | Оператор? | Почему | Разбор |
|---|---|---|---|
| ООО, АО с клиентами и сотрудниками | Да | Юридическое лицо определяет цели и состав данных | [Для ООО](https://ftex.pro/blog/uvedomlenie-roskomnadzor-dlya-ooo/) |
| Индивидуальный предприниматель | Да | Физическое лицо, которое организует обработку данных клиентов и работников | [Для ИП](https://ftex.pro/blog/uvedomlenie-roskomnadzor-dlya-ip/) |
| Некоммерческая организация, акционерное общество | Да | Юридическое лицо; размер и форма не важны | [Для АО и НКО](https://ftex.pro/blog/uvedomlenie-roskomnadzor-ao-nko/) |
| Самозанятый с клиентской базой | Да, если не личные нужды | Отдельного правила в законе нет; работа с клиентами ради дохода не личная нужда | [Самозанятый](https://ftex.pro/blog/samozanyatyj-i-personalnye-dannye/) |
| Школа, детский сад, колледж | Да | Образовательная организация сама определяет цели и состав данных учеников и работников | [Школа](https://ftex.pro/blog/personalnye-dannye-v-shkole/) |
| Интернет-магазин | Да | Собирает заказы, адреса, телефоны через сайт | [Магазин](https://ftex.pro/blog/personalnye-dannye-v-internet-magazine/) |
| Работодатель (данные работников) | Да | Определяет цели кадрового учёта | [Работники](https://ftex.pro/blog/personalnye-dannye-rabotnikov/) |
| Государственный или муниципальный орган | Да | Прямо названы в определении | — |
| Человек с записной книжкой в телефоне | Нет | Личные и семейные нужды выведены из-под закона, если не нарушаются права субъектов (п. 1 ч. 2 ст. 1) | [Кого касается закон](https://ftex.pro/blog/chto-takoe-personalnye-dannye/) |
| Бухгалтерская фирма, CRM-подрядчик, облачный сервис | Обычно нет, это лицо по поручению | Действует по поручению вашей компании (ч. 3 ст. 6); при своих целях может стать оператором сам | [Поручение обработки](https://ftex.pro/blog/poruchenie-obrabotki-personalnyh-dannyh/) |

 

Когда сервис вроде банка, мессенджера или платформы сам решает, зачем ему данные, он, скорее всего, отдельный оператор. Это тоже наше прочтение, закон ролей не раздаёт.

 

## Оператор и лицо, которое обрабатывает данные по поручению

 

Слова «обработчик» в законе нет. Есть «лицо, осуществляющее обработку персональных данных по поручению оператора» (ч. 3–5 ст. 6). Правила такие.

 

- **Поручить обработку можно** с согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора (ч. 3 ст. 6).
- **В поручении закон требует указать, в том числе,** перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность и обеспечивать безопасность, требования ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять оператору документы о принятых мерах и уведомлять его об инцидентах (ч. 3 ст. 6).
- **Согласие субъекта такое лицо получать не обязано** (ч. 4 ст. 6).
- **Перед субъектом отвечает оператор,** а исполнитель отвечает перед оператором (ч. 5 ст. 6). Если исполнитель иностранное лицо, отвечают оба (ч. 6).

 

Практические случаи разобраны в статьях [о поручении обработки](https://ftex.pro/blog/poruchenie-obrabotki-personalnyh-dannyh/), [о данных в бухгалтерии](https://ftex.pro/blog/pdn-v-buhgalterii/) и [об облачных сервисах](https://ftex.pro/blog/oblachnye-servisy-i-pdn/).

 

## Что должен делать оператор

 

Перечень обязанностей большой, вот основа. Полный разбор по статьям — в материале [об обязанностях оператора](https://ftex.pro/blog/obyazannosti-operatora-personalnyh-dannyh/).

 

| Что нужно | Статья | Кого касается |
|---|---|---|
| Соблюдать принципы: законность, заранее определённые цели, достаточность данных, точность, ограниченный срок хранения | ст. 5 | Всех операторов |
| Иметь основание обработки; согласие — одно из оснований | ст. 6 | Всех операторов |
| Получить согласие там, где оно нужно, и уметь доказать его получение | ст. 9, ч. 3 | Всех операторов |
| Принимать меры, необходимые и достаточные для выполнения обязанностей; состав мер оператор определяет сам | ч. 1 ст. 18.1 | Всех операторов |
| Назначить ответственного за организацию обработки, издать политику и локальные акты | п. 1, 2 ч. 1 ст. 18.1; ст. 22.1 | Юридических лиц |
| Опубликовать политику; при сборе через интернет — на страницах сайта | ч. 2 ст. 18.1 | Всех операторов |
| Ознакомить работников с законом и документами и (или) обучить их | п. 6 ч. 1 ст. 18.1 | Всех операторов |
| Защищать данные | ст. 19 | Всех операторов |
| Отвечать на запросы субъектов и Роскомнадзора | ст. 14, 20 | Всех операторов |
| Уведомить Роскомнадзор до начала обработки | ст. 22 | Всех, кроме случаев из ч. 2 ст. 22 |

 

Обратите внимание на п. 6 ч. 1 ст. 18.1: закон говорит «ознакомление и (или) обучение». Обязательного курса или удостоверения он не требует.

 

## Реестр операторов и уведомление

 

Отдельной регистрации «оператором» нет. Закон устроен иначе: оператор обязан до начала обработки уведомить Роскомнадзор о намерении обрабатывать данные (ч. 1 ст. 22). Роскомнадзор вносит сведения в реестр операторов в течение тридцати дней с даты поступления уведомления (ч. 4 ст. 22). Подача бесплатна, расходов на оператора закон не возлагает (ч. 5).

 

Уведомление не нужно, если оператор обрабатывает данные исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Остальные два исключения узкие: государственные информационные системы, созданные для защиты безопасности государства и общественного порядка (п. 7), и обработка по законодательству о транспортной безопасности (п. 9). Таблица, 1С, CRM и сайт с формой автоматизацией считаются. Разбор процедуры — в хабе [об уведомлении](https://ftex.pro/blog/uvedomlenie-ob-obrabotke-personalnyh-dannyh/) и в статье [о реестре операторов](https://ftex.pro/blog/reestr-operatorov-personalnyh-dannyh/).

 

## Ответственность оператора

 

Нарушения оператора разбирает ст. 13.11 КоАП. Вот основные составы, суммы это границы диапазонов, а не фиксированные суммы.

 

| Нарушение | Часть ст. 13.11 | Коммерческая организация | ИП |
|---|---|---|---|
| Не опубликована политика | ч. 3 | 30–60 тыс. ₽ | 10–20 тыс. ₽ |
| Не подано или подано несвоевременно уведомление об обработке | ч. 10 | 100–300 тыс. ₽ | 100–300 тыс. ₽ (прим. 1: как юрлицо) |
| Обработка без письменного согласия там, где оно обязательно | ч. 2 | 300–700 тыс. ₽ | 100–300 тыс. ₽ (как должностное лицо) |

 

Кроме штрафа, моральный вред субъекту возмещается отдельно (ч. 2 ст. 24). Срок давности по КоАП — один год (ч. 1 ст. 4.5). Полные таблицы: [штрафы за персональные данные](https://ftex.pro/blog/shtrafy-za-personalnye-dannye/) и [штрафы для ИП и малого бизнеса](https://ftex.pro/blog/shtrafy-dlya-ip-i-malogo-biznesa-po-pdn/).

 

## Как мы помогаем

 

Подать уведомление можно самому, это бесплатно. Если не хочется разбираться в целях обработки, мерах защиты и месте хранения базы, это делаем мы. Услуги ведёт юрист Максим Ромазанов, работаем дистанционно по всей России.

 

- [Уведомление в Роскомнадзор под ключ](https://ftex.pro/uvedomlenie-v-roskomnadzor/) — 4 900 ₽. Заполним по каждой цели и подадим; если Роскомнадзор запросит уточнения, исправим без доплаты.
- [Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽. Юрист пишет документы под ваш бизнес, правки включены до вашего «принимаю».
- [Сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/) — 1 990 ₽ в месяц или 19 900 ₽ в год: изменения в реестре, обновление документов, консультации.

 

Уведомление в Роскомнадзор, документы по 152-ФЗ и документы для сайта (политика и согласия) · правки включены

 

Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽

 

[Смотреть услуги ФТИ →](https://ftex.pro/uslugi/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Статья 3 закона № 152-ФЗ — основные понятия: оператор, обработка персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Статья 1 закона № 152-ФЗ — сфера действия, личные и семейные нужды](https://www.consultant.ru/document/cons_doc_LAW_61801/d44bdb356e6a691d0c72fef05ed16f68af0af9eb/)
- [Статья 6 закона № 152-ФЗ — условия обработки, поручение обработки другому лицу](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Статья 18.1 закона № 152-ФЗ — меры для выполнения обязанностей оператора](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Статья 22 закона № 152-ФЗ — уведомление об обработке персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Статья 22.1 закона № 152-ФЗ — лица, ответственные за организацию обработки в организациях](https://www.consultant.ru/document/cons_doc_LAW_61801/ac39e94238689d353ef880365b6b400140aa1d2d/)
- [КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Кто такой оператор персональных данных?

Государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует или осуществляет обработку персональных данных и определяет цели обработки, состав данных и действия с ними (п. 2 ст. 3 закона № 152-ФЗ).

### Является ли оператором индивидуальный предприниматель?

Да, если он обрабатывает персональные данные клиентов, работников или посетителей сайта. Определение включает физических лиц, предприниматель подходит под него. Статус ИП освобождения не даёт: уведомление подаётся до начала обработки (ч. 1 ст. 22), если нет исключений из ч. 2.

### Нужно ли «регистрироваться» как оператор?

Регистрации оператора как отдельного статуса нет. Закон требует уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки (ч. 1 ст. 22). Сведения в реестр операторов вносит Роскомнадзор в течение тридцати дней с поступления уведомления (ч. 4 ст. 22).

### Считается ли оператором тот, кто просто хранит у себя данные клиентов?

Да. Хранение входит в понятие обработки (п. 3 ст. 3). Если вы сами решили вести базу клиентов, вы определяете цели и состав данных и подходите под определение оператора.

### Чем оператор отличается от лица, обрабатывающего данные по поручению?

Оператор определяет цели и состав данных. Лицо по поручению действует на основании договора и в рамках поручения, получать согласие субъекта оно не обязано (ч. 3–4 ст. 6). Перед субъектом за его действия отвечает оператор (ч. 5 ст. 6).

### Может ли у одних и тех же данных быть несколько операторов?

Да, определение говорит «самостоятельно или совместно с другими лицами». Как совместные операторы делят обязанности, закон прямо не говорит, мы такого порядка в тексте не нашли. Распределение стоит закрепить в договоре (наша рекомендация).

### Самозанятый тоже оператор?

По тексту закона да, если он обрабатывает данные клиентов не для личных и семейных нужд. Отдельного правила для самозанятых в законе нет. Если данные хранятся в телефоне, таблице или CRM, это, по нашему прочтению п. 4 ст. 3, автоматизация, и уведомление подают до начала обработки; личная записная книжка в телефоне — другое дело, это личные нужды.

### Какой штраф, если оператор не подал уведомление?

Ч. 10 ст. 13.11 КоАП: организации и индивидуальные предприниматели — от 100 до 300 тыс. ₽, должностные лица — от 30 до 50 тыс. ₽, граждане — от 5 до 10 тыс. ₽. Это границы диапазонов, а не фиксированные суммы. Для некоммерческих организаций и госорганов штрафуют должностное лицо (прим. 2–3).

### Сколько стоит подать уведомление оператора через ФТИ?

Уведомление в Роскомнадзор под ключ — 4 900 ₽. Подача в Роскомнадзор бесплатна, вы платите за подготовку: заполняем по каждой цели и подаём, вход на портал делает ваш руководитель. Если нужны ещё и документы, пакет «Старт» — 14 900 ₽ вместо 18 700 ₽.