Оператор персональных данных
Алексей Логинов 10 сентября 2026 Время чтения ≈ 8 мин.
Оператор персональных данных это тот, кто решает, зачем собирать данные. Не тот, у кого они лежат на сервере, и не тот, кто нажимал кнопки, а тот, кто определил цель.
Что говорит закон
Определение даёт статья 3 152-ФЗ. Оператор это государственный орган, муниципальный орган, юридическое или физическое лицо, которые организуют или осуществляют обработку персональных данных, а также определяют:
- цели обработки, то есть зачем данные вообще собираются;
- состав данных, то есть какие именно поля запрашиваются;
- действия с данными, то есть что с ними будут делать.
Ключевое слово тут «определяют». Роль не зависит от того, чей сервер, кто владелец аккаунта и кто технически провёл операцию. Она зависит от того, кто принял решение.
Три вопроса, которые определяют роль
На практике роль проверяется быстро.
Возьмите один конкретный опрос и спросите про каждого участника: кто решил собирать данные, кто выбрал, какие поля просить, и кто решает, что с ними делать дальше. Три «да» означают оператора. Ни одного «да» означает обработчика.
Смешанный ответ это сигнал, а не роль. Если кадровое агентство само придумало добавить в анкету паспортные данные, оно в этой части определило состав данных и по этому фрагменту само становится оператором. Такие места и надо разводить договором.
Оператор и обработчик по поручению
Закон разрешает оператору поручить обработку другому лицу. Основание для этого статья 6: обработка по поручению оператора идёт на основании договора, и в нём фиксируют, какие действия поручены, с какой целью и как обеспечивается конфиденциальность.
Асимметрия ответственности тут главное, и её обычно не замечают:
- Обработчик не собирает согласие сам. Согласие берёт оператор, обработчик работает на основании поручения.
- Перед респондентом отвечает оператор. И за свои действия, и за действия того, кому он поручил обработку.
- Обработчик отвечает перед оператором. Их отношения регулируются договором, а не законом напрямую.
Практический вывод: если платформа опросов допустила утечку, отвечать перед респондентом будет заказчик опроса, а взыскивать с платформы он потом будет отдельно и по договору.
Когда операторов двое
В определении есть слова «самостоятельно или совместно с другими лицами». Значит операторов может быть несколько одновременно, и это не редкость.
Типичный случай: две компании проводят совместное исследование, обе решают, что спрашивать, и обе пользуются результатами. Тогда обе операторы, и каждая отвечает перед респондентом за свою часть. Разделение обязанностей полезно прописать заранее, потому что респондент вправе обратиться к любой из них.
Опасная формулировка в договоре: «сторона А является оператором, сторона Б обработчиком» при том, что фактически обе определяют цели. Роль определяется по существу отношений, а не по названию в документе. Написать в договоре можно что угодно, но если Б решает, зачем собирают данные, Б оператор.
Что обязан оператор
Обязанности идут пакетом, и они не зависят от размера компании.
| Обязанность | Где подробно |
|---|---|
| Получить законное основание обработки, чаще всего согласие | Информированное согласие |
| Уведомить Роскомнадзор до начала обработки | 152-ФЗ |
| Хранить данные на серверах в России | 152-ФЗ, локализация |
| Удалить данные по достижении цели или отзыву согласия | 152-ФЗ, сроки |
| Отвечать на запросы субъекта о его данных | Персональные данные |
Уведомление в Роскомнадзор подаётся до начала обработки, и после него организация попадает в реестр операторов, который ведомство ведёт публично. С 1 сентября 2022 года прежние исключения из обязанности уведомлять почти все убраны, поэтому подавать обязано подавляющее большинство операторов.
Частая ошибка: «мы не оператор, мы просто пользуемся сервисом»
Самое распространённое заблуждение звучит так: данные лежат в облаке, значит оператор это облако. Логика понятная и неверная.
Сервис предоставляет инструмент и обрабатывает данные по вашему поручению. Решение собрать телефоны респондентов принимали вы, поля выбирали вы, что делать с ответами решаете вы. Значит роль оператора ваша, и уведомление подаёте вы, а не платформа.
Обратная ошибка тоже встречается: компания считает себя обработчиком, потому что «мы просто передаём данные заказчику». Если при этом она сама решила, какие поля добавить в анкету, в этой части она оператор.
Что делать, если вы только что поняли, что вы оператор
Порядок действий короткий, и он один и тот же для компании из трёх человек и из трёхсот.
- Найти основание. Для опроса это почти всегда согласие респондента, и его надо получить до сбора, а не после.
- Написать политику обработки. Документ публикуется и содержит цели, состав данных, сроки и порядок отзыва согласия.
- Подать уведомление. Через личный кабинет на портале Роскомнадзора, до начала обработки.
- Назначить ответственного. Внутри организации это отдельная роль, а не обязанность «всех подряд».
- Проверить поручения. У каждого сервиса, которому вы передаёте данные, должен быть договор, где обработка по поручению описана.
Пункт про поручения обычно и всплывает при проверке. Данные уходят в рассыльщик писем, в таблицы, в аналитику и в опросный сервис, и по каждому нужно основание. Список сервисов, которым вы передаёте ответы, полезно составить один раз и держать под рукой.
Забывают обычно не про крупный сервис, а про мелкий: подрядчик попросил выгрузку «посмотреть», данные ушли в его CRM, договора поручения нет. Нарушение при этом на стороне оператора, а не подрядчика, потому что решение передать принимал оператор.
Опрос через агентство: кто оператор
Схема с посредником путает чаще всего. Компания заказывает исследование, агентство проводит опрос, платформа его технически обслуживает.
Если агентство работает строго по заданию заказчика, оператор один, это заказчик, а агентство и платформа обработчики. Но агентство редко работает строго по заданию: оно предлагает формулировки, добавляет вопросы, само набирает панель респондентов. В той части, где решения принимает агентство, оператор уже оно.
Практический выход не в том, чтобы найти единственно верный ответ, а в том, чтобы зафиксировать границу в договоре: где заканчивается задание заказчика и начинается методическое решение агентства. Тогда понятно, кто собирает согласие и чьё имя стоит в нём как оператор.
Как это сделано в WebAsk
Роли распределены обычным образом: оператор это вы, владелец аккаунта и автор опроса, а платформа обрабатывает ответы по вашему поручению.
Что закрыто со стороны платформы: данные хранятся на серверах в России, что снимает вопрос локализации, платформа внесена в реестр операторов Роскомнадзора, а политика обработки персональных данных и оферта служат тем самым договором, на основании которого идёт обработка по поручению.
Что остаётся на вас как на операторе: законное основание сбора, обычно согласие респондента в самой анкете, собственное уведомление в Роскомнадзор, если вы его ещё не подавали, и удаление данных после достижения цели. Настройки для этого есть: согласие ставится обязательным вопросом с ссылкой на вашу политику, а выгрузки и удаление делаются через отчёты и ответы.
Коротко
- Оператор это тот, кто определил цели обработки, состав данных и действия с ними.
- Роль не зависит от того, чей сервер и кто нажимал кнопки.
- Проверка: кто решил собирать, кто выбрал поля, кто решает, что делать дальше.
- Обработчик работает по поручению, согласие собирает не он.
- Перед респондентом отвечает оператор, в том числе за действия обработчика.
- Операторов может быть несколько, и роль определяется по существу, а не по названию в договоре.
- Заказчик опроса оператор, платформа обработчик.
Вопросы и ответы
Кто такой оператор персональных данных?
Тот, кто организует или осуществляет обработку и при этом определяет цели обработки, состав данных и действия с ними. Определение даёт статья 3 152-ФЗ. Роль зависит от того, кто принял решение, а не от того, на чьём сервере данные лежат.
Является ли оператором сервис опросов?
По отношению к вашим респондентам нет: сервис обрабатывает данные по вашему поручению, то есть он обработчик. Оператор это вы, потому что цель опроса и состав вопросов определили вы. При этом сам сервис может быть оператором в отношении своих собственных клиентов, то есть ваших данных как пользователя.
Чем оператор отличается от обработчика по поручению?
Обработчик действует по договору с оператором и не собирает согласие сам. Перед респондентом отвечает оператор, включая ответственность за действия обработчика. Обработчик отвечает перед оператором по условиям договора.
Может ли операторов быть несколько?
Да. В определении прямо сказано «самостоятельно или совместно с другими лицами». Если две компании вместе решают, что и зачем спрашивать, обе операторы, и респондент вправе обратиться к любой из них.
Можно ли назначить роль договором?
Назвать в договоре можно как угодно, но роль определяется по существу отношений. Если сторона фактически определяет цели обработки, она оператор, независимо от формулировки в документе.
Нужно ли уведомлять Роскомнадзор, если опрос собирает только email?
Email это персональные данные, если он позволяет определить человека, поэтому обработка попадает под закон. Уведомление подаётся до начала обработки, и с 1 сентября 2022 года прежние исключения почти все убраны. Подробности и порядок в карточке про 152-ФЗ.
Опубликовано 10 сентября 2026
