Персональные данные

Оператор персональных данных: кто это и что он должен делать

Редактор ФТИ 8 октября 2026 8 мин чтения

Коротко

Оператор персональных данных — тот, кто организует или осуществляет обработку и определяет её цели и состав (п. 2 ст. 3 закона № 152-ФЗ). Разбираем, кто оператор на практике, чем он отличается от лица по поручению, какие у него обязанности и штрафы.

Коротко: оператор персональных данных — это государственный или муниципальный орган, юридическое или физическое лицо, которое организует или осуществляет обработку персональных данных и определяет её цели и состав (п. 2 ст. 3 закона № 152-ФЗ). Значит, оператором бывает и компания, и индивидуальный предприниматель, и школа, и интернет-магазин. Размер бизнеса не важен. Статус не выдают и не регистрируют: он появляется, когда вы начали работать с данными людей. Дальше закон требует основание обработки, уведомление Роскомнадзора до начала работы, политику и защиту данных.

Заполняем по каждой цели обработки и подаём · подача в Роскомнадзор бесплатна, вы платите только за работу юриста · вход на портал делает руководитель

Уведомление в Роскомнадзор под ключ — 4 900 ₽

Подать уведомление →

Главное об операторе

Оператор определяется делом, а не статусом. Кто решает, зачем и какие данные обрабатывать, тот и оператор (п. 2 ст. 3).
Это может быть физическое лицо. Индивидуальный предприниматель подходит под определение.
Главное для бизнеса исключение — личное: обработка физлицом исключительно для личных и семейных нужд (п. 1 ч. 2 ст. 1); ещё два касаются архивов и государственной тайны (п. 2 и 4).
Тот, кто обрабатывает данные по вашему поручению, по нашему прочтению не оператор, а лицо, действующее по поручению (ч. 3 ст. 6). Ответственность перед людьми остаётся на вас.
Уведомление подают до начала обработки, за исключением случаев из ч. 2 ст. 22. В реестр операторов сведения вносит Роскомнадзор.

Кто такой оператор по закону

Определение в п. 2 ст. 3 закона № 152-ФЗ: оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, «самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными». Вот что важно в этой формуле.

Обработка — любое действие с данными: сбор, запись, хранение, использование, передача, удаление и другие (п. 3 ст. 3). Хранить таблицу с клиентами уже обработка. Подробнее — в статье об обработке персональных данных.
«Организующие и (или) осуществляющие». Достаточно либо организовать обработку, либо осуществлять её.
Решающий признак — кто определяет цели и состав данных. Тот, кто решил собирать анкеты клиентов, и есть оператор.
«Самостоятельно или совместно». Операторов у одних и тех же данных может быть несколько. Как они делят обязанности, закон не расписывает, в тексте мы такого порядка не нашли.

Что такое сами данные и какие из них закон считает персональными, объясняет главная статья кластера: что такое персональные данные.

Кто оператор на практике

Закон не раздаёт роли списком, поэтому в таблице выводы по нашему прочтению определения из п. 2 ст. 3.

Ситуация	Оператор?	Почему	Разбор
ООО, АО с клиентами и сотрудниками	Да	Юридическое лицо определяет цели и состав данных	Для ООО
Индивидуальный предприниматель	Да	Физическое лицо, которое организует обработку данных клиентов и работников	Для ИП
Некоммерческая организация, акционерное общество	Да	Юридическое лицо; размер и форма не важны	Для АО и НКО
Самозанятый с клиентской базой	Да, если не личные нужды	Отдельного правила в законе нет; работа с клиентами ради дохода не личная нужда	Самозанятый
Школа, детский сад, колледж	Да	Образовательная организация сама определяет цели и состав данных учеников и работников	Школа
Интернет-магазин	Да	Собирает заказы, адреса, телефоны через сайт	Магазин
Работодатель (данные работников)	Да	Определяет цели кадрового учёта	Работники
Государственный или муниципальный орган	Да	Прямо названы в определении	—
Человек с записной книжкой в телефоне	Нет	Личные и семейные нужды выведены из-под закона, если не нарушаются права субъектов (п. 1 ч. 2 ст. 1)	Кого касается закон
Бухгалтерская фирма, CRM-подрядчик, облачный сервис	Обычно нет, это лицо по поручению	Действует по поручению вашей компании (ч. 3 ст. 6); при своих целях может стать оператором сам	Поручение обработки

Когда сервис вроде банка, мессенджера или платформы сам решает, зачем ему данные, он, скорее всего, отдельный оператор. Это тоже наше прочтение, закон ролей не раздаёт.

Оператор и лицо, которое обрабатывает данные по поручению

Слова «обработчик» в законе нет. Есть «лицо, осуществляющее обработку персональных данных по поручению оператора» (ч. 3–5 ст. 6). Правила такие.

Поручить обработку можно с согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора (ч. 3 ст. 6).
В поручении закон требует указать, в том числе, перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность и обеспечивать безопасность, требования ч. 5 ст. 18 и ст. 18.1, обязанность предоставлять оператору документы о принятых мерах и уведомлять его об инцидентах (ч. 3 ст. 6).
Согласие субъекта такое лицо получать не обязано (ч. 4 ст. 6).
Перед субъектом отвечает оператор, а исполнитель отвечает перед оператором (ч. 5 ст. 6). Если исполнитель иностранное лицо, отвечают оба (ч. 6).

Практические случаи разобраны в статьях о поручении обработки, о данных в бухгалтерии и об облачных сервисах.

Что должен делать оператор

Перечень обязанностей большой, вот основа. Полный разбор по статьям — в материале об обязанностях оператора.

Что нужно	Статья	Кого касается
Соблюдать принципы: законность, заранее определённые цели, достаточность данных, точность, ограниченный срок хранения	ст. 5	Всех операторов
Иметь основание обработки; согласие — одно из оснований	ст. 6	Всех операторов
Получить согласие там, где оно нужно, и уметь доказать его получение	ст. 9, ч. 3	Всех операторов
Принимать меры, необходимые и достаточные для выполнения обязанностей; состав мер оператор определяет сам	ч. 1 ст. 18.1	Всех операторов
Назначить ответственного за организацию обработки, издать политику и локальные акты	п. 1, 2 ч. 1 ст. 18.1; ст. 22.1	Юридических лиц
Опубликовать политику; при сборе через интернет — на страницах сайта	ч. 2 ст. 18.1	Всех операторов
Ознакомить работников с законом и документами и (или) обучить их	п. 6 ч. 1 ст. 18.1	Всех операторов
Защищать данные	ст. 19	Всех операторов
Отвечать на запросы субъектов и Роскомнадзора	ст. 14, 20	Всех операторов
Уведомить Роскомнадзор до начала обработки	ст. 22	Всех, кроме случаев из ч. 2 ст. 22

Обратите внимание на п. 6 ч. 1 ст. 18.1: закон говорит «ознакомление и (или) обучение». Обязательного курса или удостоверения он не требует.

Реестр операторов и уведомление

Отдельной регистрации «оператором» нет. Закон устроен иначе: оператор обязан до начала обработки уведомить Роскомнадзор о намерении обрабатывать данные (ч. 1 ст. 22). Роскомнадзор вносит сведения в реестр операторов в течение тридцати дней с даты поступления уведомления (ч. 4 ст. 22). Подача бесплатна, расходов на оператора закон не возлагает (ч. 5).

Уведомление не нужно, если оператор обрабатывает данные исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Остальные два исключения узкие: государственные информационные системы, созданные для защиты безопасности государства и общественного порядка (п. 7), и обработка по законодательству о транспортной безопасности (п. 9). Таблица, 1С, CRM и сайт с формой автоматизацией считаются. Разбор процедуры — в хабе об уведомлении и в статье о реестре операторов.

Ответственность оператора

Нарушения оператора разбирает ст. 13.11 КоАП. Вот основные составы, суммы это границы диапазонов, а не фиксированные суммы.

Нарушение	Часть ст. 13.11	Коммерческая организация	ИП
Не опубликована политика	ч. 3	30–60 тыс. ₽	10–20 тыс. ₽
Не подано или подано несвоевременно уведомление об обработке	ч. 10	100–300 тыс. ₽	100–300 тыс. ₽ (прим. 1: как юрлицо)
Обработка без письменного согласия там, где оно обязательно	ч. 2	300–700 тыс. ₽	100–300 тыс. ₽ (как должностное лицо)

Кроме штрафа, моральный вред субъекту возмещается отдельно (ч. 2 ст. 24). Срок давности по КоАП — один год (ч. 1 ст. 4.5). Полные таблицы: штрафы за персональные данные и штрафы для ИП и малого бизнеса.

Как мы помогаем

Подать уведомление можно самому, это бесплатно. Если не хочется разбираться в целях обработки, мерах защиты и месте хранения базы, это делаем мы. Услуги ведёт юрист Максим Ромазанов, работаем дистанционно по всей России.

Уведомление в Роскомнадзор под ключ — 4 900 ₽. Заполним по каждой цели и подадим; если Роскомнадзор запросит уточнения, исправим без доплаты.
Документы по 152-ФЗ — 9 900 ₽. Юрист пишет документы под ваш бизнес, правки включены до вашего «принимаю».
Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год: изменения в реестре, обновление документов, консультации.

Уведомление в Роскомнадзор, документы по 152-ФЗ и документы для сайта (политика и согласия) · правки включены

Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽

Смотреть услуги ФТИ →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Кто такой оператор персональных данных?

Государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует или осуществляет обработку персональных данных и определяет цели обработки, состав данных и действия с ними (п. 2 ст. 3 закона № 152-ФЗ).

Является ли оператором индивидуальный предприниматель?

Да, если он обрабатывает персональные данные клиентов, работников или посетителей сайта. Определение включает физических лиц, предприниматель подходит под него. Статус ИП освобождения не даёт: уведомление подаётся до начала обработки (ч. 1 ст. 22), если нет исключений из ч. 2.

Нужно ли «регистрироваться» как оператор?

Регистрации оператора как отдельного статуса нет. Закон требует уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки (ч. 1 ст. 22). Сведения в реестр операторов вносит Роскомнадзор в течение тридцати дней с поступления уведомления (ч. 4 ст. 22).

Считается ли оператором тот, кто просто хранит у себя данные клиентов?

Да. Хранение входит в понятие обработки (п. 3 ст. 3). Если вы сами решили вести базу клиентов, вы определяете цели и состав данных и подходите под определение оператора.

Чем оператор отличается от лица, обрабатывающего данные по поручению?

Оператор определяет цели и состав данных. Лицо по поручению действует на основании договора и в рамках поручения, получать согласие субъекта оно не обязано (ч. 3–4 ст. 6). Перед субъектом за его действия отвечает оператор (ч. 5 ст. 6).

Может ли у одних и тех же данных быть несколько операторов?

Да, определение говорит «самостоятельно или совместно с другими лицами». Как совместные операторы делят обязанности, закон прямо не говорит, мы такого порядка в тексте не нашли. Распределение стоит закрепить в договоре (наша рекомендация).

Самозанятый тоже оператор?

По тексту закона да, если он обрабатывает данные клиентов не для личных и семейных нужд. Отдельного правила для самозанятых в законе нет. Если данные хранятся в телефоне, таблице или CRM, это, по нашему прочтению п. 4 ст. 3, автоматизация, и уведомление подают до начала обработки; личная записная книжка в телефоне — другое дело, это личные нужды.

Какой штраф, если оператор не подал уведомление?

Ч. 10 ст. 13.11 КоАП: организации и индивидуальные предприниматели — от 100 до 300 тыс. ₽, должностные лица — от 30 до 50 тыс. ₽, граждане — от 5 до 10 тыс. ₽. Это границы диапазонов, а не фиксированные суммы. Для некоммерческих организаций и госорганов штрафуют должностное лицо (прим. 2–3).

Сколько стоит подать уведомление оператора через ФТИ?

Уведомление в Роскомнадзор под ключ — 4 900 ₽. Подача в Роскомнадзор бесплатна, вы платите за подготовку: заполняем по каждой цели и подаём, вход на портал делает ваш руководитель. Если нужны ещё и документы, пакет «Старт» — 14 900 ₽ вместо 18 700 ₽.