Компания становится оператором персональных данных в ту минуту, когда на её сайте заработала первая форма или загрузился первый счётчик. Не после подачи уведомления в Роскомнадзор, не после регистрации в реестре и не после найма юриста. Определение в статье 3 закона 152-ФЗ короткое: оператор - юридическое или физическое лицо, которое организует или ведёт обработку данных и определяет её цели. Форма "оставьте телефон" организует обработку, цель определили вы, значит, оператор - вы.
Дальше начинается то, о чём в определении не написано: набор обязанностей, которые не приходят все сразу, а всплывают по одной, каждая в свой момент и каждая со своим штрафом. Ниже история одного сайта с первого дня до запроса ведомства. Сайт собирательный, но каждый эпизод в нём взят из нормы закона, а не из воображения.
Понедельник: сайт запущен
Компания продаёт услуги, сайт сделан на конструкторе за две недели. На каждой странице форма обратного звонка, в шапке счётчик Метрики, в углу чат. Заявки падают в почту и в CRM. Никто в компании не думает о персональных данных, потому что данных "почти нет": имя и телефон.
В этот понедельник компания уже нарушила четыре обязанности, потому что все четыре должны быть выполнены до начала обработки, а не после.
Политика обработки данных по части 2 статьи 18.1 должна быть опубликована на сайте до того, как сайт начал собирать данные через интернет, и на неё нужна открытая ссылка. Уведомление по статье 22 подаётся в Роскомнадзор до начала обработки; исключений для маленьких баз в статье нет, с 1 сентября 2022 года их убрали почти все. Согласие по статье 9 берётся у каждой формы отдельным флажком, который человек ставит сам. База с заявками по части 5 статьи 18 должна находиться в России, и это касается не хостинга, а каждого места, куда заявка записывается: конструктор, почта, CRM.
Пятая обязанность касается только юридических лиц: статья 22.1 требует назначить ответственного за организацию обработки. Это не должность и не сотрудник по безопасности, это человек, который отвечает на вопросы людей об их данных, следит за соблюдением закона внутри компании и подотчётен директору. Назначается приказом, указывается в уведомлении. ИП это требование обходит, все остальные обязанности у него те же.
Третья неделя: письмо от клиента
Человек, который месяц назад оставил заявку и передумал, пишет на почту компании: какие данные обо мне вы храните, откуда они и кому вы их передавали. Это право из статьи 14, а срок ответа задан статьёй 20: десять рабочих дней.
Ответить честно можно только зная все места хранения. Заявка лежит в базе конструктора, копия в почте и в CRM, диалог остался в чате, номер в журнале звонков. Если карту точек сбора никто не составлял, ответ будет неполным, а неполный ответ равен неответу. Штраф по части 4 статьи 13.11 КоАП за него от 40 000 до 80 000 рублей, и заявление в Роскомнадзор пишет тот же человек, который писал письмо.
В этом эпизоде впервые становится понятно, зачем ответственный по статье 22.1: письмо должно кому-то попасть, а не лежать в общем ящике до истечения срока.
Второй месяц: "удалите мои данные"
Тот же человек, не получив ответа, отзывает согласие и требует удалить всё. По статье 21 после отзыва согласия оператор прекращает обработку и уничтожает данные в срок до тридцати дней, если нет другого законного основания их хранить. Другое основание бывает: если человек стал клиентом и есть договор, данные по договору хранятся до его исполнения и дальше по срокам бухгалтерии. У человека с одной заявкой и без договора такого основания нет.
Удалить нужно из всех мест из той же карты. Удаление из CRM при живой копии в почте - не удаление. Часть 5 статьи 13.11 за неуточнение, неблокирование или неуничтожение по требованию: 50-90 тысяч рублей, при повторе 300-500 тысяч.
ИП и самозанятые проходят те же эпизоды с двумя отличиями. По частям 1 и 2 статьи 13.11 ИП отвечает как должностное лицо, суммы ниже. По части 1.1 и частям 8-18 - наравне с компаниями, включая миллионы за зарубежную базу и утечки. Ответственного по статье 22.1 ИП не назначает. Уведомление, политику и согласия обязан делать так же.
Четвёртый месяц: утечка у подрядчика
Сервис чата, который стоял на сайте, сообщает клиентам о взломе: переписки и телефоны за полгода утекли. Компания узнаёт об этом из новостей. Первая реакция: это их утечка, не наша.
По закону утечка ваша. Сервис чата обрабатывал данные по поручению оператора, а оператор - компания. Статья 21 в части 3.1 требует уведомить Роскомнадзор о факте утечки в течение 24 часов, а о результатах внутреннего расследования в течение 72 часов. Отсчёт идёт с момента, когда оператор узнал. Штраф за неуведомление по части 11 статьи 13.11 от 1 до 3 миллионов, и он отдельный от штрафа за саму утечку по частям 12-14, который считается по числу пострадавших.
Здесь же выясняется второе. Договора с сервисом чата, где описано поручение на обработку, у компании нет: чат подключили по кнопке в конструкторе. Без договора компания не может доказать ни того, какие меры защиты требовала от подрядчика, ни того, что вообще передавала ему данные на законном основании.
Шестой месяц: запрос Роскомнадзора
Письмо от человека из третьей недели дошло до ведомства. Роскомнадзор запрашивает документы, и список запроса и есть список обязанностей оператора, собранный в одном месте.
- Политика обработки персональных данных и подтверждение, что она опубликована на сайте.
- Уведомление об обработке с отметкой о приёме, либо объяснение, почему не подано.
- Приказ о назначении ответственного за организацию обработки.
- Формы согласий с сайта и доказательства их получения: логи с датой и адресом.
- Договоры с обработчиками: конструктор, CRM, чат, сервис рассылок.
- Сведения о месте нахождения баз данных.
- Журнал обращений людей и ответы на них.
- Документы об уведомлении об утечке, если она была.
Из восьми пунктов у компании из истории есть один: политика, которую конструктор сгенерировал по шаблону. Дальше считаются штрафы: часть 1 за формы без согласия, часть 10 за уведомление, часть 4 за неответ, часть 5 за неудаление, часть 11 за утечку. Как эти суммы складываются на условном сайте, посчитано отдельно. Здесь важнее другое: ни один из восьми пунктов не требовал денег. Каждый требовал знания, что он существует, и одного дня работы.
Как история выглядела бы с другого конца
Тот же сайт, та же компания, только перед запуском сделаны пять вещей, каждая за день. Политика написана по карте точек сбора, где перечислены все цели и все получатели. Уведомление подано через портал Роскомнадзора за неделю до запуска. Флажки согласия стоят у формы звонка, формы вопроса и в чате. Почта заявок переведена на российский сервис, с CRM и чатом подписаны договоры с поручением на обработку. Ответственным назначен человек, на чью почту приходят обращения.
Письмо третьей недели получает ответ на второй день, потому что карта точек уже есть. Требование второго месяца исполняется за неделю по той же карте. Утечка четвёртого месяца всё равно случается, но уведомление уходит в срок, и договор с подрядчиком показывает, какие меры защиты от него требовались. Запрос шестого месяца не приходит, потому что жаловаться было не на что.
Чем здесь помогаем мы
Три обязанности из первого понедельника видны на сайте снаружи: опубликована ли политика и работает ли ссылка на неё, стоят ли у форм отдельные пустые флажки согласия, нет ли на сайте признаков зарубежных сервисов, в которые уходят данные. Их вместе с ещё пятью требованиями проверяет наша бесплатная проверка на 152-ФЗ: адрес сайта, минута ожидания, отчёт с нормой и штрафом напротив каждого пункта. Уведомление, приказ об ответственном и договоры с подрядчиками снаружи не видны, и отчёт честно оставляет их вам. После правок проверку можно запустить снова, а в кабинете отчёты хранятся вместе с проверкой готовности сайта к нейросетям.
Источники
- Статья 3 закона 152-ФЗ: определение оператора. Редакция от 26.07.2026.
- Статья 18.1: меры оператора, публикация политики при сборе через интернет.
- Статья 22: уведомление до начала обработки, оставшиеся исключения.
- Статья 22.1: ответственный за организацию обработки у юридических лиц.
- Статья 9: согласие и бремя его доказывания.
- Статья 13.11 КоАП: размеры штрафов, редакция с 30 мая 2025 года.
вопросы
Вопросы про оператора персональных данных
01Кто является оператором персональных данных?
По статье 3 закона 152-ФЗ оператор - это государственный или муниципальный орган, юридическое или физическое лицо, которое само или вместе с другими организует и (или) ведёт обработку персональных данных и определяет её цели, состав и действия с данными. Компания с сайтом, на котором есть форма или счётчик, под это определение попадает.
02С какого момента владелец сайта считается оператором?
С момента, когда сайт начал собирать данные: заработала форма, загрузился счётчик, открылся чат. Регистрация в реестре Роскомнадзора оператором не делает, она следствие. Уведомить ведомство нужно до начала обработки, то есть до запуска формы, а не после.
03Индивидуальный предприниматель тоже оператор?
Да, определение включает физических лиц. ИП обязан публиковать политику, брать согласие, подавать уведомление и держать базу в России. Не обязан только назначать ответственного за организацию обработки: статья 22.1 требует этого от юридических лиц.
04Если сайт на конструкторе, оператор - я или конструктор?
Вы. Оператор тот, кто определяет цели обработки, а цель заявки с формы определяет владелец сайта. Конструктор, сервис рассылок, чат и CRM обрабатывают данные по вашему поручению, и за их выбор отвечаете вы. С каждым нужен договор, где это поручение описано.
05Обязательно ли подавать уведомление в Роскомнадзор, если данных мало?
Обязательно. Объём данных в статье 22 не упоминается. С 1 сентября 2022 года исключения остались для государственных систем, транспортной безопасности и обработки совсем без средств автоматизации. Штраф за неподанное уведомление по части 10 статьи 13.11 КоАП для компаний от 100 000 до 300 000 рублей.
06Что обязан оператор персональных данных в первую очередь?
До запуска сайта: опубликовать политику, взять согласие у форм, подать уведомление, убедиться, что база в России, назначить ответственного, если оператор - юридическое лицо. После запуска: отвечать людям на запросы об их данных, удалять данные по требованию, сообщать об утечках в установленные сроки.