Оператор персональных данных

Оператором становится тот, кто определил цель сбора данных, а не тот, у кого они лежат на сервере, и не тот, кто нажимал кнопки.

Обработчик, которому оператор поручил работу с данными, сам оператором не становится.

Что говорит закон

Определение даёт статья 3 152-ФЗ. Оператор это государственный орган, муниципальный орган, юридическое или физическое лицо, которые организуют или осуществляют обработку персональных данных, а также определяют:

• цели обработки, то есть зачем данные вообще собираются;
• состав данных, то есть какие именно поля запрашиваются;
• действия с данными, то есть что с ними будут делать.

Ключевое слово тут «определяют». Роль не зависит от того, чей сервер, кто владелец аккаунта и кто технически провёл операцию. Она зависит от того, кто принял решение.

Три вопроса, которые определяют роль

На практике роль проверяется быстро.

Возьмите один конкретный опрос и спросите про каждого участника: кто решил собирать данные, кто выбрал, какие поля просить, и кто решает, что с ними делать дальше. Три «да» означают оператора. Ни одного «да» означает обработчика.

Оператор и обработчик по поручению

Закон разрешает оператору поручить обработку другому лицу. Основание для этого статья 6: обработка по поручению оператора идёт на основании договора, и в нём фиксируют, какие действия поручены, с какой целью и как обеспечивается конфиденциальность.

Асимметрия ответственности тут главное, и её обычно не замечают:

• Обработчик не собирает согласие сам. Согласие берёт оператор, обработчик работает на основании поручения.
• Перед респондентом отвечает оператор. И за свои действия, и за действия того, кому он поручил обработку.
• Обработчик отвечает перед оператором. Их отношения регулируются договором, а не законом напрямую.

Практический вывод: если платформа опросов допустила утечку, отвечать перед респондентом будет заказчик опроса, а взыскивать с платформы он потом будет отдельно и по договору.

Когда операторов двое

В определении есть слова «самостоятельно или совместно с другими лицами». Значит операторов может быть несколько одновременно, и это не редкость.

Типичный случай: две компании проводят совместное исследование, обе решают, что спрашивать, и обе пользуются результатами. Тогда обе операторы, и каждая отвечает перед респондентом за свою часть. Разделение обязанностей полезно прописать заранее, потому что респондент вправе обратиться к любой из них.

Что обязан оператор

Обязанности идут пакетом, и они не зависят от размера компании.

Обязанность	Где подробно
Получить законное основание обработки, чаще всего согласие	Информированное согласие
Уведомить Роскомнадзор до начала обработки	152-ФЗ
Хранить данные на серверах в России	152-ФЗ, локализация
Удалить данные по достижении цели или отзыву согласия	152-ФЗ, сроки
Отвечать на запросы субъекта о его данных	Персональные данные

Уведомление в Роскомнадзор подаётся до начала обработки, и после него организация попадает в реестр операторов, который ведомство ведёт публично. С 1 сентября 2022 года прежние исключения из обязанности уведомлять почти все убраны, поэтому подавать обязано подавляющее большинство операторов.

Частая ошибка: «мы не оператор, мы просто пользуемся сервисом»

Самое распространённое заблуждение звучит так: данные лежат в облаке, значит оператор это облако. Логика понятная и неверная.

Сервис предоставляет инструмент и обрабатывает данные по вашему поручению. Решение собрать телефоны респондентов принимали вы, поля выбирали вы, что делать с ответами решаете вы. Значит роль оператора ваша, и уведомление подаёте вы, а не платформа.

Обратная ошибка тоже встречается: компания считает себя обработчиком, потому что «мы просто передаём данные заказчику». Если при этом она сама решила, какие поля добавить в анкету, в этой части она оператор.

Что делать, если вы только что поняли, что вы оператор

Порядок действий короткий, и он один и тот же для компании из трёх человек и из трёхсот.

1. Найти основание. Для опроса это почти всегда согласие респондента, и его надо получить до сбора, а не после.
2. Написать политику обработки. Документ публикуется и содержит цели, состав данных, сроки и порядок отзыва согласия.
3. Подать уведомление. Через личный кабинет на портале Роскомнадзора, до начала обработки.
4. Назначить ответственного. Внутри организации это отдельная роль, а не обязанность «всех подряд».
5. Проверить поручения. У каждого сервиса, которому вы передаёте данные, должен быть договор, где обработка по поручению описана.

Забывают обычно не про крупный сервис, а про мелкий: подрядчик попросил выгрузку «посмотреть», данные ушли в его CRM, договора поручения нет. Нарушение при этом на стороне оператора, а не подрядчика, потому что решение передать принимал оператор.

Опрос через агентство: кто оператор

Схема с посредником путает чаще всего. Компания заказывает исследование, агентство проводит опрос, платформа его технически обслуживает.

Если агентство работает строго по заданию заказчика, оператор один, это заказчик, а агентство и платформа обработчики. Но агентство редко работает строго по заданию: оно предлагает формулировки, добавляет вопросы, само набирает панель респондентов. В той части, где решения принимает агентство, оператор уже оно.

Практический выход не в том, чтобы найти единственно верный ответ, а в том, чтобы зафиксировать границу в договоре: где заканчивается задание заказчика и начинается методическое решение агентства. Тогда понятно, кто собирает согласие и чьё имя стоит в нём как оператор.

Как это сделано в WebAsk

Роли распределены обычным образом: оператор это вы, владелец аккаунта и автор опроса, а платформа обрабатывает ответы по вашему поручению.

Что закрыто со стороны платформы: данные хранятся на серверах в России, что снимает вопрос локализации, платформа внесена в реестр операторов Роскомнадзора, а политика обработки персональных данных и оферта служат тем самым договором, на основании которого идёт обработка по поручению.

Что остаётся на вас как на операторе: законное основание сбора, обычно согласие респондента в самой анкете, собственное уведомление в Роскомнадзор, если вы его ещё не подавали, и удаление данных после достижения цели. Настройки для этого есть: согласие ставится обязательным вопросом с ссылкой на вашу политику, а выгрузки и удаление делаются через отчёты и ответы.

Коротко

• Оператор это тот, кто определил цели обработки, состав данных и действия с ними.
• Роль не зависит от того, чей сервер и кто нажимал кнопки.
• Проверка: кто решил собирать, кто выбрал поля, кто решает, что делать дальше.
• Обработчик работает по поручению, согласие собирает не он.
• Перед респондентом отвечает оператор, в том числе за действия обработчика.
• Операторов может быть несколько, и роль определяется по существу, а не по названию в договоре.
• Заказчик опроса оператор, платформа обработчик.

152-ФЗ и онлайн-опросы Персональные данные (ПД)

Вопросы и ответы

Кто такой оператор персональных данных?

Тот, кто организует или осуществляет обработку и при этом определяет цели обработки, состав данных и действия с ними. Определение даёт статья 3 152-ФЗ. Роль зависит от того, кто принял решение, а не от того, на чьём сервере данные лежат.

Является ли оператором сервис опросов?

По отношению к вашим респондентам нет: сервис обрабатывает данные по вашему поручению, то есть он обработчик. Оператор это вы, потому что цель опроса и состав вопросов определили вы. При этом сам сервис может быть оператором в отношении своих собственных клиентов, то есть ваших данных как пользователя.

Чем оператор отличается от обработчика по поручению?

Обработчик действует по договору с оператором и не собирает согласие сам. Перед респондентом отвечает оператор, включая ответственность за действия обработчика. Обработчик отвечает перед оператором по условиям договора.

Может ли операторов быть несколько?

Да. В определении прямо сказано «самостоятельно или совместно с другими лицами». Если две компании вместе решают, что и зачем спрашивать, обе операторы, и респондент вправе обратиться к любой из них.

Можно ли назначить роль договором?

Назвать в договоре можно как угодно, но роль определяется по существу отношений. Если сторона фактически определяет цели обработки, она оператор, независимо от формулировки в документе.

Нужно ли уведомлять Роскомнадзор, если опрос собирает только email?

Email это персональные данные, если он позволяет определить человека, поэтому обработка попадает под закон. Уведомление подаётся до начала обработки, и с 1 сентября 2022 года прежние исключения почти все убраны. Подробности и порядок в карточке про 152-ФЗ.