Кто является оператором персональных данных: чек-лист для ИП и самозанятых

Оператор персональных данных: а вы точно не один из них? Чек-лист для предпринимателя.

Многие думают, что оператор персональных данных (ПДн) — это только крупная компания со своим сайтом и базой клиентов.

На самом деле, под это определение может попадать почти любой бизнес. Давайте разберемся по пунктам.

Вопрос 1: Как понять, что я — оператор персональных данных?

Ответ: вы — оператор в том случае, если вы ОДНОВРЕМЕННО:

• Осуществляете обработку любых персональных данных физлиц в любом объеме (не только клиентов, но и сотрудников, контрагентов);
• Самостоятельно определяете цели использования, и объем этих данных, а также то, что с ними делать;
• Ваша деятельность НЕ подпадает под три исключения, которые Закон «О персональных данных» не регулирует (ч. 2 ст. 1 Федерального закона от 27.06.2006 № 152-ФЗ):

1. вы осуществляете обработку персональных данных ИСКЛЮЧИТЕЛЬНО для своих личных/семейных нужд;
2. работа с архивами (этот вариант не является актуальным для предпринимателей и самозанятых);
3. работа с государственной тайной (этот вариант также не актуален для предпринимателей и самозанятых);

Важное уточнение:

Операторами персональных данных по закону являются не только юрлица, но и физические лица (ИП, самозанятые) если они осуществляют обработку персональных данных в ходе своей деятельности, (вне контекста «для личных и семейных нужд).

Пример: если вы храните у себя в телефоне и/или в файле на компьютере контакты друзей, знакомых, коллег, специалистов, к которым вы обращаетесь за помощью. В этом случае вы НЕ ОПЕРАТОР персональных данных.

Если аналогичные действия вы производите с вашими клиентами и/ или сотрудниками — то вы уже оператор персональных данных.

Факт наличия в реестре операторов персональных данных Роскомнадзора НЕ определяет ваш статус оператора.

Если вы обрабатываете персональные данные — вы уже оператор по закону. А вот ваше отсутствие в реестре операторов Роскомнадзора может привести к штрафу.

Вопрос 2: Закон касается только тех, у кого есть сайт?

Ответ: НЕТ. Требования закона распространяются на всех, кто обрабатывает ПДн. Это может быть как компьютер, CRM, соцсети, сводные таблицы, так и анкеты на бумаге, визитки, записи в блокноте, если данные можно найти и систематизировать.

Сайт — лишь один из многих возможных инструментов обработки. Роскомнадзор имеет доступ к данным ФНС и может выявить оператора, даже если у того нет сайта.

Вопрос 3: ИП работает только через объявления на Avito. Он оператор?

Ответ: Зависит от того, как он работает.

• НЕ оператор, если использует только встроенные сервисы Avito (чаты, оплату, доставку) и НЕ переносит/не сохраняет данные клиентов (имя, телефон, адрес) к себе — на телефон, в соцсети, в отдельные файлы.

Становится оператором в тот момент, когда:

• Сохраняет номер телефона клиента себе в контакты.
• Копирует данные для обсуждения заказа в мессенджер или email.
• Фиксирует адреса доставки в своем файле Excel.

Простая аналогия:

Персональные данные — это книга в библиотеке (платформе). Пока вы читаете ее в зале (в личном кабинете Avito) — вы не отвечаете за ее хранение.

Как только сделали копию (сохранили персональные данные у себя) — вы стали оператором и несете ответственность по закону.

Итоговый чек-лист для самопроверки:

• Я работаю с любыми персональными данными физлиц при осуществлении своей деятельности (клиентов, работников)?
• Я сам решаю, какие персональные данные собираю и для чего мне они?
• Я хоть где-то (в телефоне, на компьютере, в бумажнике) храню эти данные отдельно от площадки, где они получены?

Если на все три вопроса ответ «ДА» — вы оператор ПДн и должны выполнять требования 152-ФЗ.

Проверьте себя, чтобы не столкнуться с неожиданными штрафами.