Оператор персональных данных

Происхождение и история термина

Идея выделять участника, который определяет назначение обработки, существовала задолго до современных интернет-сервисов. В Конвенции Совета Европы № 108 от 28 января 1981 года использовано выражение controller of the file. Статья 2(d) связывала его с полномочием решать, зачем создаётся автоматизированный массив, какие категории данных в него входят и какие операции с ними выполняются. Здесь Конвенция служит историческим источником, а не описанием нынешних российских обязанностей. ^[2]

В России соответствующий термин закреплён в законе № 152-ФЗ от 27 июля 2006 года. Используемая сегодня формулировка определения вошла в новую редакцию статьи 3 по закону № 261-ФЗ от 25 июля 2011 года. Этот закон вступил в силу 27 июля 2011 года; его положения распространялись на отношения, возникшие с 1 июля того же года. Эти даты показывают развитие нормы, но не устанавливают единственного «изобретателя» термина. ^{[1, 5]}

В Европейском союзе Общий регламент по защите данных, известный как GDPR, применяется с 25 мая 2018 года. ^[8] Европейский совет по защите данных, сокращённо EDPB, объясняет роли controller и processor в руководстве 07/2020. Окончательный текст принят 7 июля 2021 года; версия 2.1 содержит небольшие исправления от 20 сентября 2022 года. ^[3] Сходство терминов отражает общую задачу — распределить обязанности, когда со сведениями работает несколько участников.

Суть и механизм

Понять роль помогает вопрос: кто решил, зачем нужны сведения и что с ними должно происходить? Российское определение объединяет организацию или выполнение обработки с определением её целей, состава данных и операций. Поэтому недостаточно обнаружить человека, который нажимает кнопку отправки, либо компанию, на чьём сервере лежит файл. ^{[1, ст. 3, п. 2]}

Разберём учебную ситуацию. Издатель решает выпускать ежедневную рассылку для подписчиков. Он выбирает, какие поля будут в форме, какое письмо получит читатель и когда подписка закончится. Сотрудник переносит адреса в программу, а внешний поставщик обслуживает отправку. Здесь видны три разных занятия: организация рассылки, работа сотрудника и техническая услуга. Если назвать каждого «тем, кто обрабатывает данные», различия между их решениями потеряются.

Для разбора удобно перевести юридические слова в конкретные вопросы. «Цель» означает, ради какого результата собирают сведения. «Состав» — какие именно поля нужны: адрес электронной почты, имя, выбранная тема. «Операции» — что происходит с этими полями: запись в список, выбор получателей, отправка сообщения, удаление записи. Это пояснение определения на учебном примере, а не отдельная классификация закона. ^{[1, ст. 3]}

Назначение ответственного сотрудника также не означает замену оператора этим сотрудником. Закон отдельно различает организацию-оператора и назначенное ею лицо, ответственное за организацию обработки. Последнее подотчётно исполнительному органу организации. ^{[1, ст. 22.1, ч. 1–2]} Например, поручение сотруднику принимать обращения подписчиков описывает его работу внутри издательства. Оно не превращает все решения издательства в личную деятельность сотрудника.

В европейском руководстве различие выражено через фактические роли: договорное название участника само по себе не решает вопрос, а controller обычно выступает организация, а не её работник. EDPB также допускает передачу processor отдельных технических решений без передачи ему определения целей. ^{[3, ч. I, п. 12, 17–18; резюме]} Это полезное сравнение с российской конструкцией, однако европейские критерии применяются в своей правовой системе.

Виды и классификации

В таблице сопоставлены роли из конкретных документов. Это не универсальная классификация подрядчиков: одна услуга может включать несколько процессов, которые потребуют разного разбора.

В европейском сравнении «средства» не означают только компьютеры и программы: речь идёт о том, как устроена обработка. EDPB различает ключевые решения и практические детали исполнения. Возможность выбрать технический способ отправки не равна свободе использовать список для другой цели. ^{[3, резюме]}

Британский регулятор ICO приводит пример бухгалтерской услуги: собственные профессиональные обязанности исполнителя могут означать роль controller, несмотря на работу для клиента. ^[4] Для российского бухгалтера одного этого примера недостаточно. Нужно исследовать российские нормы и конкретные действия. Кроме того, на странице ICO есть предупреждение о пересмотре разъяснения после Data (Use and Access) Act; изложенное здесь сравнение ограничено базовым различием ролей. ^[4]

Как применяется на практике

Развёрнутый учебный пример. Издательство «Город» собирает подписку на новости. В форме есть имя и электронный адрес, а также выбор одной из двух тем: культура или городской транспорт. Письма отправляет российский подрядчик «Почта». Все названия, условия и числа в примере вымышлены.

Издательство определило назначение списка, поля формы и правила выбора получателей. Подрядчик получает подготовленный список и текст письма, отправляет сообщения и возвращает отчёт о доставке. По заданным условиям издательство соответствует признакам оператора, а отправка подрядчиком рассматривается как обработка по поручению. Это вывод внутри учебной модели по статье 3 и части 3 статьи 6, а не заключение о реальной компании. ^[1]

Теперь добавим важную деталь: сотрудница издательства Анна загружает файл, а системный администратор Борис настраивает доступ. Они видят данные и выполняют операции, но в условиях примера не определяют собственные цели. Чтобы объяснить их участие, достаточно назвать задачи и полномочия. Назначать им отдельную роль оператора только потому, что они знают пароль, было бы необоснованным переходом от технического доступа к юридическому выводу.

У подрядчика при этом могут быть собственные данные о заказчике: имя представителя издательства, деловой адрес для связи и сведения по обслуживанию договора. Это другой процесс, который нельзя автоматически описать выводом об отправке писем подписчикам. Один и тот же поставщик рассматривается отдельно по каждой задаче. В учебном разборе сначала отделяют адреса читателей от контактов заказчика, затем выясняют, кто и для чего использует каждую группу.

Изменим ещё одно условие. «Почта» решает включать адреса читателей в собственные рекламные предложения. В прежнем описании этого не было: поставщик начинает определять дополнительную цель. Следовательно, старого вывода о выполнении поручения для объяснения новой операции уже недостаточно. В России её нужно отдельно сопоставить с определением оператора и основаниями обработки; в GDPR самостоятельное определение processor целей и средств прямо меняет его роль применительно к такой обработке. ^{[1, ст. 3, 6; 3, резюме]}

На практике вопрос часто возникает раньше, чем известен ответ: в договоре сказано «обслуживание рассылки», а назначение сохранённой копии не объяснено. В такой ситуации полезно сформулировать точный запрос: «Использует ли поставщик адреса после отправки, для какой задачи и на основании какого условия?» Это позволяет получить недостающий факт. Формулировка «наш подрядчик безопасный?» не сообщает, какое обстоятельство осталось неизвестным.

Кадровый учёт того же издательства — ещё один самостоятельный пример. Список работников и список подписчиков могут находиться в одной программе, но отвечать разным задачам. Для первой понадобятся сведения о трудовой работе, для второй — об отправке новостей. В учебной схеме совпадение программы не объединяет эти задачи. Вопрос о правовых основаниях кадровой обработки рассматривается отдельно от определения роли в рассылке.

Как измерить или проверить

Статус оператора не выражается процентом. Для подготовки разбора можно использовать редакционную карточку процесса: кто участвует, какова цель, какие сведения получены, какие действия выполняются, кто принимает решения и чем это подтверждается. Договор помогает установить предусмотренные условия, а форма сбора, настройки и описание работы — сопоставить их с конкретным процессом. Это способ организовать факты, а не установленная законом форма проверки.

В учебном издательстве карточка рассылки содержит фразу «имя и электронный адрес для доставки выбранных новостей». К ней приложены описание формы и условия поручения. Запись «данные для работы сайта» была бы менее полезной: из неё нельзя понять, о подписчиках ли идёт речь, о работниках или о рекламодателях. Точность здесь достигается не количеством страниц, а тем, может ли другой человек восстановить задачу и решения участников.

Если требуется внутренний показатель, можно посчитать долю полностью описанных процессов. Допустим, издательство выделило десять процессов и для семи заполнило все поля своей карточки. Тогда числитель — семь завершённых описаний, знаменатель — все десять выделенных процессов. Деление семи на десять и умножение на сто дают 70%. Это учебная арифметика: показатель характеризует полноту описания, а не долю законной обработки.

У показателя есть граница. Если неизвестный процесс вообще не попал в перечень, он не попадёт и в знаменатель. Поэтому даже 100% заполненных карточек не доказывают, что исследована вся деятельность. При отсутствии выделенных процессов долю не рассчитывают: нулевой знаменатель не означает ни нулевую, ни полную готовность. Для самой роли важнее содержание ответов, чем итоговое число.

Ошибки, ограничения и спорные вопросы

Искать оператора только среди владельцев оборудования. В учебной рассылке сервер принадлежит поставщику, а назначение списка задаёт издательство. Собственность на оборудование не отвечает на вопросы определения из статьи 3. ^[1] Полезнее разделить сведения о хранении файла и сведения о принятии решений.

Считать договор универсальным ответом. В примере с рекламой поставщика название «услуга рассылки» осталось прежним, а цель использования изменилась. Проверяющему нужны оба обстоятельства. Для GDPR приоритет фактической роли над договорным обозначением прямо раскрывает EDPB. ^{[3, ч. I, п. 12]}

Смешивать статус с законностью действий. Установить, кто оператор, — значит определить роль. Это ещё не ответ на вопрос, разрешены ли конкретный сбор, передача или новая цель. В учебном примере можно уверенно установить, кто решил использовать адреса для рекламы, и одновременно обнаружить, что основание такого использования не выяснено.

Принимать отсутствие записи в реестре за отсутствие оператора. Определение роли содержится в статье 3, а уведомление регулируется отдельно статьёй 22. Следовательно, поиск по реестру не заменяет анализа обработки: отсутствие записи само по себе не даёт вывода, что участник не оператор. ^[1] Обратный вывод также ограничен: найденная запись не описывает автоматически каждое действие в сегодняшней работе.

Правовой аспект

Российская часть основана на законе № 152-ФЗ в редакции от 26 июля 2026 года, действующей на дату проверки 22 октября 2026 года. Для определения и разграничения ролей существенны статьи 3, 6 и 22.1. ^[1]

Поручение по части 3 статьи 6 допускается с согласия человека, если федеральный закон не предусматривает иное, и оформляется договором либо соответствующим актом государственного или муниципального органа. В нём определяют данные, операции и цели, а также обязанности по конфиденциальности, безопасности, предоставлению подтверждающих документов и другим предусмотренным нормой требованиям. Это шире, чем простое название услуги в счёте. ^{[1, ст. 6, ч. 3]}

По общему правилу перед человеком за действия исполнителя отвечает оператор, а исполнитель — перед оператором. Для поручения иностранному физическому или юридическому лицу часть 6 предусматривает ответственность перед человеком и оператора, и исполнителя. ^{[1, ст. 6, ч. 5–6]} Изменения части 3 и новая часть 6 введены законом № 266-ФЗ и действуют с 1 сентября 2022 года. ^[9]

Поправка от 26 июля 2026 года затронула трансграничную передачу, то есть передачу данных за рубеж; она не меняет приведённое определение оператора. ^{[6, ст. 1]} Отдельно принят закон № 200-ФЗ: его поправка к статье 10 о специальных категориях данных вступает в силу 1 марта 2027 года и здесь не применяется как действующая. ^{[7, ст. 2–3]} Такая проверка дат нужна, чтобы не смешать уже действующие обязанности с будущими изменениями.

Для конкретного проекта необходима юридическая оценка применимого права, оснований обработки и содержания поручения. Эта справка объясняет распределение ролей и не заменяет проверку документов проекта.

Частые вопросы

Связанные термины

• Персональные данные
• 152-ФЗ «О персональных данных»
• Политика конфиденциальности
• Согласие на обработку персональных данных
• Уведомление РКН об обработке ПД
• Правовой аудит сайта