Оператор персональных данных: обязанности и ответственность по 152-ФЗ в 2026 году

Персональные данные давно стали активом, за ошибки с которым компании расплачиваются деньгами, судебными издержками и ограничениями со стороны регулятора. Для бизнеса критично заранее определить, кто именно выступает как оператор персональных данных, на каких основаниях ведется обработка, как устроены безопасность и документооборот, где хранятся базы и кто из подрядчиков к ним подключен. В 2026 году требования 152-ФЗ и подзаконных актов остаются жесткими: локализация баз в России, уведомление Роскомнадзора, контроль трансграничных передач, защита ИСПДн и доказуемое соблюдение прав субъектов. Просчеты в одном звене приводят к предписаниям, протоколам по КоАП и репутационным потерям, поэтому работа с ПД должна быть организована как управляемый процесс, а не набор разрозненных документов.

Кто такой оператор персональных данных и где проходят его границы

Правовое определение содержится в статье 3 Федерального закона № 152-ФЗ «О персональных данных»: оператором признается лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку ПД, а также определяет ее цели и состав действий. Иначе говоря, оператор персональных данных контролирует «зачем» и «как» обрабатывается информация о человеке, а не просто физически хранит файлы или предоставляет сервер.

На практике признаки оператора персональных данных проявляются через управленческие решения: компания утверждает цели, определяет перечень полей в анкетах, выбирает подрядчика для колл-центра или e‑mail‑рассылок, принимает и отзывает согласия субъектов, назначает ответственного, формирует реестр процессов. Даже если часть операций поручена исполнительному подрядчику, оператор персональных данных по-прежнему несет основную ответственность, а подрядчик действует в рамках письменного поручения и заключенного договора.

Часто бизнес смешивает роли. Облачный провайдер или интегратор, имея лишь технический доступ и действуя по четкому поручению, обычно не становится оператором. Но когда сервис самовольно расширяет цели обработки, объединяет массивы данных из разных источников или начинает использовать их для своих задач, он рискует фактически превратиться в оператора персональных данных со всеми последствиями по 152-ФЗ. Граница проходит по содержанию контроля и принятия решений, а не по названию в договоре.

• Интернет‑магазин, CRM и программа лояльности с анкетированием клиентов — это очевидная зона, где организация выступает как оператор персональных данных.
• Работодатель, ведущий кадровый учет и видео‑наблюдение на объекте, — оператор для данных сотрудников и соискателей.
• Заказчик, передавший подрядчику обзвон клиентов по скрипту, остается оператором, а исполнитель действует по поручению и в его интересах.
• Платформа, которая агрегирует ПД и определяет правила их дальнейшего использования, с высокой долей вероятности также является оператором.

Обязанности, которые несет оператор персональных данных: правовые ориентиры 152-ФЗ

Нормы закона выстраивают последовательную логику. Статья 5 закрепляет принципы обработки: законность, соразмерность цели и объема, точность, ограничение сроков хранения и запрет избыточности. Юридические основания перечислены в статье 6 — от согласия субъекта до исполнения договора и обязанностей, возложенных законом. На этой базе формируются обязанности оператора, и несоблюдение любого элемента быстро проявляется на проверке.

Статья 18.1 152-ФЗ фиксирует ключевые организационные обязанности. Во‑первых, требуется назначение ответственного за обработку — конкретного лица, которое координирует процессы, взаимодействует с регулятором и организует ответы на запросы субъектов. Во‑вторых, необходимо утвердить и опубликовать политику в отношении обработки ПД. В‑третьих, должны быть приняты локальные акты и процедуры, обеспечивающие соблюдение принципов и прав субъектов, в том числе порядок доступа, хранения, актуализации и уничтожения данных.

Статья 19 обязывает оператора обеспечить безопасность ПД — комплекс организационных и технических мер. Здесь применяются подзаконные требования, включая постановление Правительства РФ № 1119 и методические акты по составу мер защиты с учетом уровня угроз и класса ИСПДн, а также документы регуляторов в сфере криптографической защиты и технической защиты информации. Документы не просто «должны быть», а должны отражать фактически внедренные решения.

Отдельное требование введено законом № 242-ФЗ: базы, в которых осуществляется запись и систематизация ПД граждан РФ при их сборе, должны находиться в России. Это правило локализации действует в связке с общим регулированием трансграничной передачи по статье 12 152-ФЗ. С 1 марта 2023 года, после вступления в силу поправок Федерального закона № 266-ФЗ, для ряда сценариев требуется уведомлять Роскомнадзор о планируемой трансграничной передаче и учитывать возможные ограничения. Оператор персональных данных обязан подтверждать правомерность такой передачи и документально фиксировать ее условия.

Уведомление Роскомнадзора о начале обработки по статье 22 подается до старта процессов, если не действует одно из исключений, прямо названных в законе. Исключения касаются, в частности, кадровой обработки в рамках трудового законодательства, исполнения договора, где субъект сам является стороной, и отдельных ситуаций с разовой пропускной проверкой. Оператор персональных данных должен верно квалифицировать процесс и вовремя подать уведомление, иначе регистр Роскомнадзора не будет отражать реальное положение дел.

Документы и доказательства соответствия: что проверяет Роскомнадзор

Для регулятора важны не пара показательных положений, а связанная система документов и подтверждений. По итогам визита инспекторы оценивают не декларации, а доказательства: фактическую локализацию, полноту уведомлений, корректность правовых оснований, техническую защищенность, соблюдение прав субъектов. Поэтому «документы оператора ПДн» — не канцелярская папка, а ежедневный инструмент управления рисками.

Минимальный костяк включает утвержденную политику, реестр процессов, матрицу правовых оснований, формы согласий и уведомлений, договоры с порученными обработчиками и инструкцию о взаимодействии с ними, приказ о назначении ответственного, порядок реагирования на инциденты и обращения субъектов, модель угроз и перечень мер по защите. Для кадровых блоков добавляются локальные акты работодателя, которые отражают специфику учета и видеонаблюдения. В таких случаях полезен профессиональный кадровый аудит, который помогает сверить процедуры обработки ПД работников с требованиями ТК РФ и 152-ФЗ.

Обязанность по 152-ФЗ	Ключевой документ	Что послужит доказательством на проверке
Публичная политика и прозрачность	Политика в отношении обработки ПДн, приказ об утверждении	Страница на сайте, дата актуализации, доступность политики для субъектов
Назначение ответственного	Приказ, положение о функциях, должностная инструкция	Наличие компетентного контактного лица, переписка с регулятором
Уведомление Роскомнадзора	Уведомление, сведения из реестра	Входящий номер, выписка/скрин статуса, соответствие данных реальной обработке
Локализация баз	Договор с российским ЦОД, описание ИСПДн	Схемы потоков данных, технические паспорта, акты ввода в эксплуатацию
Правовые основания	Формы согласий, шаблоны уведомлений, обоснование иных оснований	Экземпляры подписанных согласий, аналитическая записка, сведения об отзывах
Безопасность ПД	Модель угроз, перечень мер защиты, регламенты администрирования	Акты внедрения СЗИ, журналы контроля, результаты тестирования

Оператор персональных данных должен поддерживать документы в актуальном состоянии. Изменили форму анкеты или запустили новый сценарий маркетинга — обновляется реестр процессов и правовые основания. Подключили внешний колл‑центр — корректируется договор поручения, перечень мер защиты и регламент доступа. В противном случае формальная «база документов» перестает соответствовать реальности, а это напрямую ведет к предписаниям.

Локализация, трансграничная передача и облака: где тонко, там рвется

Требование локализации распространяется на сбор ПД граждан РФ: первичная запись, систематизация и хранение для целей дальнейшей обработки должны происходить с использованием баз данных на территории России. Дополнительное зеркалирование за пределами РФ недопустимо, если в результате российская база превращается лишь в кэш. Оператор персональных данных несет бремя доказывания того, что локализация соблюдается не на словах, а технически.

Статья 12 152-ФЗ допускает трансграничную передачу при соблюдении условий безопасности и наличия правового основания, а также с учетом уведомительного порядка, введенного федеральным законом № 266-ФЗ. В фокусе — не только договор поставки услуг с иностранным контрагентом, но и телеметрия, push‑рассылки, SaaS‑платформы аналитики, рассылщики и мессенджеры, которые могут физически обрабатывать трафик за рубежом. Если передача неизбежна, оператору потребуются прозрачные условия в договорах, провайдеры с подтвержденной юрисдикцией хранения и встроенные механизмы реагирования на запросы субъектов и регулятора.

• Службы технической поддержки с удаленным доступом должны работать по регламентам, исключающим вынос ПД за пределы РФ.
• Резервные копии и журналы событий включаются в зону контроля локализации наравне с основной базой.
• Облачные сервисы проверяются по договору, архитектуре и фактическим зонам хранения, а не только по маркетинговым заявлениям поставщика.
• Трансграничная передача документируется и соотносится с уведомлением Роскомнадзора, если для сценария это требуется.

Проверки и предписания: как строится контур контроля в 2026 году

Контрольные мероприятия Роскомнадзора проходят по правилам закона № 248-ФЗ о государственном контроле и надзоре. Основаниями для внеплановых проверок становятся жалобы субъектов, утечки, отсутствие уведомления в реестре, публичная информация о противоречиях в политике и реальной практике компании. По итогам оформляется акт, при выявлении нарушений — предписание об устранении и материалы для возбуждения дел по КоАП РФ.

Предписание можно и нужно исполнять — с доказательствами проведенных мероприятий, обновленными документами и актами устранения. Одновременно организация вправе представить мотивированные возражения на акт. Если предписание или протокол содержит спорные выводы, бизнес вправе обжаловать ненормативные акты, решения и действия регулятора в порядке главы 24 АПК РФ, соблюдая общий трехмесячный срок. В сложных ситуациях имеет смысл заранее выстроить процессуальную позицию и доказательственную базу для возможного арбитражного спора, особенно если речь идет о существенных рисках для текущих контрактов или блокировке сайта.

Важный практический нюанс — корреляция обязанностей оператора и его подрядчиков. Наличие договора поручения не освобождает от ответственности за сбой на стороне исполнителя, поэтому инспекторы запрашивают условия по ПД у контрагентов, проверяют их фактическую роль и меры защиты. Оператор персональных данных отвечает перед субъектами и регулятором, а уже затем, при наличии оснований, может взыскивать убытки с виновного подрядчика в общем порядке.

Ответственность, которую несет оператор персональных данных, и как она наступает

Основной массив санкций предусмотрен статьей 13.11 КоАП РФ и связан с конкретными составами: отсутствие политики или ее несоответствие, незаконная обработка без правового основания, игнорирование требований субъекта, нарушение порядка уведомления Роскомнадзора, несоблюдение требований локализации, нарушения при трансграничной передаче, недостаточность мер безопасности. Размеры штрафов различаются для должностных лиц и юридических лиц и значительно возрастают при повторности. В ряде случаев Роскомнадзор вправе ограничить обработку, а также инициировать блокировку сайта.

Гражданско‑правовые риски не менее ощутимы. Субъект может требовать прекращения обработки, удаления данных, а также компенсации причиненного вреда. Взыскание убытков и компенсация морального вреда возможны по общим правилам гражданского законодательства, включая статьи 1064 и 151 ГК РФ. Поэтому утечка или навязчивая рассылка, которую легко доказать скриншотами и перепиской, превращается в риск как административного преследования, так и гражданских исков.

Отдельно нужно учитывать уголовно‑правовые рамки защиты неприкосновенности частной жизни. При определенных обстоятельствах неправомерный доступ и распространение сведений о частной жизни может квалифицироваться по статье 137 УК РФ. Хотя уголовная оценка носит исключительный характер, оператор персональных данных заинтересован выстроить контроль доступа и реагирование на инциденты так, чтобы исключить подобные риски.

На уровне договорной работы последствия тоже чувствительны. Некорректные согласия или расширительная трактовка целей обработки ставят под сомнение законность маркетинговых коммуникаций, а это — риск штрафов и потери лояльности клиентов. Неверное распределение ролей в договоре с подрядчиком приводит к ситуации, когда в публичной плоскости и перед регулятором отвечает оператор персональных данных, а доказательства его добросовестности размыты.

Как выстроить устойчивую систему: роль юриста и практические решения

Реальная защита строится не только на ИТ‑решениях, но и на точной юридической архитектуре процессов. Юрист формирует матрицу правовых оснований под бизнес‑модель, помогает определить, где согласие необходимо, а где допустима обработка без согласия, и как прописать эти сценарии в политике и внутренних регламентах. Оператор персональных данных получает не «шаблонный комплект», а систему, где каждый документ опирается на норму и связан с практикой компании.

Существенную работу составляют договоры с подрядчиками. Должны быть четкие поручения на обработку ПД, запреты на самостоятельное изменение целей и состава данных, подробные требования к безопасности и локализации, порядок реагирования на запросы субъектов и регулятора. Оператор персональных данных контролирует исполнение не декларациями, а аудитами, журналами доступа и техусловиями. В спорных кейсах это превращается в убедительный массив доказательств.

Для компаний с регулярным потоком задач удобен формат абонентского юридического обслуживания: непрерывная актуализация политики, поддержка коммуникаций с Роскомнадзором, оценка трансграничных сценариев, обучение сотрудников фронт‑офиса и маркетинга, обновление согласий и уведомлений. Такой режим экономит время менеджмента и снижает риск ошибок из‑за спешки или кадровых изменений.

Отдельного внимания заслуживает кадровый блок: учет данных работников, видеонаблюдение, электронные СЭД, табели, инициативные опросы. Здесь задействованы нормы 152-ФЗ и ТК РФ, а также охрана труда и локальные регламенты. Если документы не согласованы между собой, формальные согласия не спасают от претензий. Практикующий юрист сверит локальные акты с законом, выстроит хранение и доступ, а оператор персональных данных получит четкую модель взаимодействия кадровой службы и службы безопасности.

В результате снижаются типичные ошибки: избыточный сбор полей ради «про запас», формальные согласия без указания целей и сроков, скрытая трансграничная передача через сторонние виджеты, неопубликованная или устаревшая политика, отсутствие ответственного и журнала обращения субъектов. Исправление этих звеньев возвращает управляемость процессам и повышает устойчивость компании к внешним раздражителям.

Юридическая практика показывает: устойчивость к проверкам и жалобам достигается не объемом бумаг, а тем, насколько документы совпадают с реальной работой компании. Это означает, что политика в отношении ПД внятно описывает цели и состав данных, согласия соответствуют сценариям и каналам их получения, договоры с контрагентами не оставляют лазеек для недобросовестного использования информации, а технические и организационные меры безопасности покрывают выявленные угрозы. При таком подходе оператор персональных данных своевременно отражает изменения бизнеса в документах и уверенно подтверждает соответствие требованиям закона.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.