Оператор персональных данных по закону кто им признается в бизнесе

Оператор персональных данных по 152-ФЗ — это организация, ИП или физическое лицо, которое само или совместно с другими определяет цели обработки, состав данных и действия с ними. Статус возникает из этих фактов. Лицензия для него не нужна, а запись в реестре Роскомнадзора статус не создаёт и не отменяет. Работодатель с кадровыми делами — оператор. Самозанятый с картотекой клиентов — тоже, если сам решает, зачем и какие данные собирать. Уведомление в Роскомнадзор подаётся до начала обработки. Исключений три, и отдельного исключения для кадровых данных среди них нет. Тот, кто сам задаёт цели, отвечает перед человеком и подаёт уведомление. Тот, кто работает по поручению, обрабатывает данные в пределах целей и перечня из договора, а за его действия перед человеком отвечает оператор.

Сценарная таблица показывает статус юрлица, ИП, самозанятого, филиала, сотрудника и подрядчика. Разбор поручения объясняет, как распределить роли при проверке кандидатов через внешнюю службу безопасности. Отдельно разобраны требования к согласию после изменений с 01.09.2025, шесть обязательных мер из ст. 18.1 и проверка своей записи в реестре операторов. Сроки внесения в реестр, изменения и прекращения записи, пошаговая подача уведомления, штраф за пропуск срока, тарифы КЭДО на 2026 год и ответы на частые вопросы — во второй половине статьи.

Кто признаётся оператором персональных данных по статье 3 152-ФЗ

Определение дано в п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо. Оно самостоятельно или совместно с другими организует обработку персональных данных или ведёт её и при этом определяет цели обработки, состав обрабатываемых данных и действия с ними. Специального перечня операторов закон не содержит: статус выводится из этого определения по каждой цели обработки отдельно.

Формулировки статей 3, 6 и 22 удобно сверять по тексту 152-ФЗ на сайте Минтруда России. Федеральный закон от 26.07.2026 № 265-ФЗ вступил в силу 27.07.2026. Он изменил ст. 12 о критериях адекватной защиты при трансграничной передаче, а определение оператора не затронул.

Чтобы определить свой статус, по каждому процессу, где компания получает сведения о людях, нужно ответить на вопросы из определения:

• зачем собираются данные — цель обработки;
• какие сведения нужны для этой цели — состав данных;
• что с ними делают: записывают, хранят, передают, уничтожают — действия с данными.

Тот, кто отвечает на эти вопросы сам или вместе с партнёром, — оператор. Тот, кто получает готовые ответы в договоре с другой организацией, обрабатывает данные по её поручению.

Под персональными данными п. 1 ст. 3 понимает любую информацию, прямо или косвенно относящуюся к определённому или определяемому физическому лицу. Обработка по п. 3 ст. 3 включает в том числе хранение, с использованием средств автоматизации или без них. Бумажные документы тоже попадают под закон. По ч. 1 ст. 1 он охватывает систематизированные бумажные собрания, в которых сведения ищутся по заданному алгоритму. Кадровый архив, разложенный по фамилиям и табельным номерам, от закона не освобождён. Одиночная несистематизированная заметка на бумаге под ч. 1 ст. 1 подпадает не обязательно.

Закон не применяется к физическому лицу, которое обрабатывает данные исключительно для личных и семейных нужд, если права субъектов при этом не нарушаются (п. 1 ч. 2 ст. 1). Деловая база клиентов или кандидатов под это исключение не подпадает, даже если её ведёт один человек в своём телефоне.

Для самопроверки выпишите процессы с данными людей: найм, кадровый учёт, работу с клиентами, формы на сайте, передачу сведений подрядчикам. По каждому процессу запишите цель, состав данных и действия с ними. Процессы, где эти решения принимает ваша компания, — зона ответственности оператора.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Кто оператор в бизнесе: юрлицо, ИП, самозанятый, филиал, сотрудник

Одна и та же компания может быть оператором по кадровым данным и одновременно обрабатывать данные по поручению клиента в другом процессе. Поэтому статус оценивается по каждой цели обработки. Каждая строка таблицы — применение п. 2 ст. 3 к типовому сценарию.

Ни одна строка не зависит от численности работников или системы налогообложения: ИП, самозанятый и ООО оцениваются по одному критерию. Подрядчик может быть оператором по одним целям и обработчиком по поручению по другим. Это следует из фактической модели обработки, отдельной категории для такого подрядчика закон не вводит.

Мария Ж, HR-эксперт с 13-летним стажем: «В типовой схеме проверки кандидата через внешнюю службу безопасности работодатель передаёт подрядчику данные кандидата. Подрядчик готовит заключение с рекомендацией, а решение о найме принимает работодатель. Кто принимает решение и задаёт, что именно проверять, тот и определяет цель обработки. По этой цели оператор — работодатель, а подрядчик работает по его поручению, пока не использует данные в собственных целях. До запуска проверки выпишите в договоре перечень передаваемых данных и цель: этот перечень потом войдёт в поручение.»

Найдите в таблице строку, которая описывает вашу ситуацию, и выполните проверку из последнего столбца.

Согласие на обработку персональных данных и другие законные основания

Согласие — одно из оснований обработки по ч. 1 ст. 6 152-ФЗ. Наряду с ним закон называет исполнение обязанностей, возложенных на оператора законом (п. 2), и исполнение договора, стороной, выгодоприобретателем или поручителем по которому выступает субъект (п. 5). Необходимые операции по трудовому договору возможны без отдельного согласия. При этом цель и основание проверяются по каждой операции: общей формулировки «для исполнения трудовых обязанностей» для этого недостаточно.

Если основанием выбрано согласие, ч. 1 ст. 9 требует, чтобы оно было свободным, конкретным, предметным, информированным, сознательным и однозначным. С 01.09.2025 согласие оформляется отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Норму внёс Федеральный закон от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора, анкеты или оферты этому требованию не соответствует.

Доказывать получение согласия или наличие иного основания обязан оператор (ч. 3 ст. 9). Когда закон требует письменной формы, согласие содержит в том числе цель обработки и перечень данных. В нём также указываются сведения об операторе и о лице, которое обрабатывает данные по поручению оператора (ч. 4 ст. 9). Передача данных подрядчику не всегда требует именно согласия: сначала проверяется основание по ст. 6, а поручение оформляется по её ч. 3.

Для работодателя рамки задаёт и ст. 86 ТК РФ. Данные работника обрабатываются только в законных трудовых целях и получаются преимущественно у самого работника. Если сведения нужно получить у третьих лиц, работника заранее уведомляют и получают его письменное согласие, кроме случаев, установленных законом.

Проверка кандидата по сторонним источникам

Основание обработки данных кандидата выбирается по ст. 6 152-ФЗ. Если проверка идёт с согласия, его оформляют отдельным документом до запроса сведений в ФССП, ЕФРСБ, реестре дисквалифицированных лиц или у подрядчика. Заключение по итогам проверки передаётся нанимающему руководителю, и решение остаётся за работодателем.

Сведения о здоровье и судимости: особый режим

Данные о здоровье относятся к специальным категориям (ч. 1 ст. 10 152-ФЗ). Их обрабатывают с письменного согласия либо по исключению, прямо предусмотренному ч. 2 ст. 10. В частности, исключения охватывают случаи по трудовому законодательству и профессиональную медицинскую деятельность с соблюдением врачебной тайны.

Сведения о судимости другие лица обрабатывают только в случаях и порядке, установленных федеральными законами (ч. 3 ст. 10). Часть 1 ст. 65 ТК РФ позволяет требовать справку о судимости только для работы, к которой по закону не допускаются лица с судимостью или подвергающиеся уголовному преследованию.

Перед запросом таких сведений сверьте должность с федеральным законом, который вводит ограничение. Если такого закона нет, сведения о судимости в анкету и в согласие не включаются.

В Добыто согласие на обработку собирается конструктором. Он формирует файл .docx с целями обработки, сроком действия и оговоркой об отзыве согласия по 152-ФЗ. Перед подписанием сверьте цели в файле с реальными процессами и основаниями ст. 6, чтобы согласие не подменяло основание, которое уже даёт закон или трудовой договор.

Сформируйте согласие на обработку персональных данных под свои цели

Подрядчик, сервис КЭДО и внешняя служба безопасности: оператор или лицо по поручению

Оператор вправе поручить обработку другому лицу по договору (ч. 3 ст. 6 152-ФЗ). В поручении закрепляются:

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

• цели обработки;
• перечень персональных данных и действий с ними;
• обязанность соблюдать конфиденциальность;
• требования к защите обрабатываемых данных;
• обязанность представлять документы, подтверждающие выполнение этих требований.

Ответственность перед субъектом за действия подрядчика несёт оператор (ч. 5 ст. 6). Если подрядчик использует полученные данные ещё и в собственных целях, по этим целям он сам признаётся оператором. Роль определяют цели обработки, название договора на неё не влияет.

Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Подрядчик по проверке кандидатов может сообщить, что не хранит полученные сведения: после передачи заключения данные удаляются по истечении определённого срока, а у себя их оставляет только работодатель. Этот срок стоит закрепить письменно. Впишите в поручение, через какой период и каким способом подрядчик уничтожает данные, и запросите документ, который подтверждает выполнение этого условия.»

Проверка кандидатов через внешнюю службу безопасности

Важный нюанс из практики: при аутсорсинговой проверке внешняя служба безопасности получает ФИО, дату рождения, ИНН и паспортные данные кандидата от работодателя. Работодатель, в свою очередь, получает их от самого кандидата вместе с согласием на обработку. Подрядчик приступает к проверке, убедившись, что согласие получено. Сама проверка идёт онлайн без участия кандидата, а при спорных результатах служба безопасности может пригласить его на собеседование.

В этой модели цель проверки и состав запрашиваемых сведений задаёт работодатель, а подрядчик готовит заключение с рекомендацией. Работодатель отвечает за основание обработки и за содержание поручения. Запись подрядчика в реестре операторов эту ответственность с работодателя не снимает.

Сервис КЭДО и роль работодателя

Работодатель, который переводит кадровые документы в сервис КЭДО, остаётся оператором данных работников: цели и состав кадровых данных по-прежнему определяет он. Роль самого сервиса, в том числе Добыто, определяется договором и фактическими целями обработки. Это может быть лицо, обрабатывающее данные по поручению, или оператор по собственным целям, а сам факт подключения роль не задаёт. До загрузки данных проверьте, что договор с сервисом содержит условия поручения из ч. 3 ст. 6 и описывает меры защиты.

Уведомление в Роскомнадзор: исключения, сроки реестра и порядок подачи

Уведомление о намерении обрабатывать персональные данные подаётся до начала обработки (ч. 1 ст. 22 152-ФЗ). С 01.09.2022 пп. 1-6 ч. 2 ст. 22 утратили силу. Уведомление не подают только в трёх случаях:

• данные включены в государственные информационные системы персональных данных, созданные для защиты безопасности государства и общественного порядка (п. 7);
• обработка ведётся исключительно без использования средств автоматизации (п. 8);
• обработка идёт в случаях, предусмотренных законодательством РФ о транспортной безопасности (п. 9).

Отдельного исключения для данных работников или кадрового учёта в действующей редакции нет. Перечни исключений на страницах, которые не обновлялись с 2022 года, устарели. Это касается и части региональных страниц Роскомнадзора.

Сроки по реестру операторов установлены ст. 22 и действуют для каждого оператора, подавшего уведомление.

Рассмотрение уведомления и внесение в реестр бесплатны (ч. 5 ст. 22). Реестр не отслеживает изменения за оператора. Срок до 15-го числа считается от месяца, в котором изменились сведения, даже если изменение заметили позже.

Важный нюанс из практики: подрядчики, которые проверяют кандидатов по заказу работодателей, называют уведомление Роскомнадзора и согласие кандидата базовыми требованиями к своей работе. Работодатели перед передачей данных проверяют подрядчика по реестру операторов. Запись в реестре подтверждает, что уведомление подано. Кто оператор по конкретной проверке, она не показывает: это определяют цели, которые задал работодатель, и условия поручения.

Свою запись или запись подрядчика можно найти через поиск по реестру операторов персональных данных на портале Роскомнадзора. Если записи нет, обработка уже идёт и ни одно исключение ч. 2 ст. 22 не подходит, уведомление подаётся без отлагательства.

Для первичной подачи на портале размещена электронная форма уведомления об обработке персональных данных. Изменение сведений и прекращение обработки оформляются отдельными формами на том же портале.

Как признать себя оператором и подать уведомление в Роскомнадзор: пошаговая инструкция

1. Шаг 1. Составьте перечень процессов, в которых компания получает сведения о людях: найм, кадровый учёт, работа с клиентами, формы на сайте, передача данных подрядчикам. Для каждого процесса запишите цель, состав данных и категории людей, чьи данные обрабатываются.
2. Шаг 2. По каждому процессу определите, кто задаёт цель и состав данных. Если решения принимает ваша компания, по этому процессу она оператор. Если вы работаете по заданию другой организации, оформите поручение по ч. 3 ст. 6 152-ФЗ.
3. Шаг 3. Проверьте три исключения ч. 2 ст. 22. Если хотя бы часть обработки идёт с использованием средств автоматизации и других исключений нет, уведомление подаётся.
4. Шаг 4. Подайте первичное уведомление на портале персональных данных Роскомнадзора до начала обработки, сверив его сведения с перечнем из шага 1.
5. Шаг 5. Роскомнадзор вносит оператора в реестр в течение 30 дней после поступления уведомления. По истечении этого срока найдите свою запись в реестре.
6. Шаг 6. Назначьте ответственного, который отслеживает изменения. Изменённые сведения подаются не позднее 15-го числа месяца, следующего за месяцем изменений, уведомление о прекращении обработки — в течение 10 рабочих дней.

Штраф за неподачу уведомления в Роскомнадзор

С 30.05.2025 неисполнение или несвоевременное исполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные квалифицируется по ч. 10 ст. 13.11 КоАП РФ. Штраф для юридического лица — от 100 000 до 300 000 рублей, ИП в этой части отвечает как юридическое лицо. Состав охватывает и несвоевременную подачу. Уведомление, поданное после начала обработки, не делает её разрешённой задним числом и не устраняет факт пропуска срока.

Обязанности оператора после признания статуса: шесть мер статьи 18.1

Признав себя оператором, компания принимает меры из ч. 1 ст. 18.1 152-ФЗ. Перечень в законе состоит из шести пунктов:

1. назначение ответственного за организацию обработки персональных данных (для юридического лица);
2. издание политики обработки и локальных актов, где определены цели обработки, категории данных и субъектов, способы, сроки хранения и уничтожения;
3. правовые, организационные и технические меры по защите данных;
4. внутренний контроль и аудит соответствия обработки закону;
5. оценка вреда, который может быть причинён субъектам при нарушении закона;
6. ознакомление работников, обрабатывающих персональные данные, с законодательством, политикой и локальными актами и их обучение.

Политика обработки и сведения о реализуемых требованиях к защите находятся в неограниченном доступе (ч. 2 ст. 18.1). Если данные собираются через сайт или другую часть сети, политика публикуется в сети.

Статья 19 добавляет требования к защите. Оператор принимает необходимые правовые, организационные и технические меры против неправомерного или случайного доступа и иных неправомерных действий с данными. В их числе — определение угроз безопасности, правила доступа к данным и регистрация действий с ними.

Мария Ж, юрист со стажем более 20 лет: «Регламенты по персональным данным имеют смысл, когда по ним работают: в них записано, как данные передаются, где хранятся и кто их обрабатывает. Акт, написанный только для папки, процессы не меняет. Сверьте политику и локальные акты с тем, что происходит на деле. Если данные кандидатов уходят подрядчику по электронной почте, этот канал и ответственный за передачу должны быть указаны в документах.»

Пункт 6 о ознакомлении работников закрывается подписанием листа ознакомления. В Добыто лист ознакомления с политикой подписывается электронной подписью сотрудника. Подписанные документы хранятся в электронном архиве, который входит в тариф «Бизнес». Проверьте, что ознакомлены все работники, допущенные к обработке, включая новых сотрудников.

Коммерческая тайна и персональные данные работников

Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне» в ст. 5 перечисляет сведения, для которых режим тайны не устанавливается. Среди них — численность и состав работников, система оплаты труда и перечисленные в п. 5 условия труда, а также задолженность по заработной плате (п. 6). Гриф коммерческой тайны на кадровых документах меры 152-ФЗ не заменяет. Персональные данные защищаются по ст. 18.1 и 19 независимо от того, введён ли в компании режим тайны.

Сверьте перечень сведений, отнесённых в компании к коммерческой тайне, со ст. 5 98-ФЗ и уберите из него позиции, для которых режим запрещён.

Шаблоны правил обработки и согласий для оператора персональных данных

Начните с правил обработки персональных данных, на их основе сверяются цели в согласиях; формулировки каждого шаблона перед использованием сверьте с действующей редакцией ч. 1 ст. 9 152-ФЗ.

Стоимость КЭДО для кадровых документов оператора: тарифы на 2026 год

Стоимость зависит от тарифа, численности сотрудников и нужных видов электронной подписи. Цены приведены по странице тарифов на 15.10.2026.

Тариф можно повысить или понизить в любое время. При повышении разница пересчитывается пропорционально оставшемуся периоду. Срок в один день относится к модулю 1С:ЗУП и не охватывает внедрение целиком. Действующие условия опубликованы на странице тарифов Добыто КЭДО.

На странице тарифов не описаны распределение ролей оператора и лица, обрабатывающего данные по поручению, сроки хранения и конкретные меры защиты. Эти условия фиксируются в договоре до загрузки данных работников.

Выводы

Статус оператора определяют решения о целях, составе данных и действиях с ними; реестр Роскомнадзора и налоговый режим на него не влияют. Работодатель остаётся оператором кадровых данных и тогда, когда проверку кандидатов или ведение документов выполняет подрядчик. Отношения с подрядчиком оформляются поручением, а ответственность перед человеком сохраняется за компанией. Уведомление подаётся до начала обработки, изменения и прекращение отслеживаются по срокам ст. 22.

Добыто ведёт кадровый документооборот работодателей. Согласия, листы ознакомления с локальными актами и подписанные документы хранятся в электронном архиве, а роль сервиса в обработке данных фиксируется в договоре с работодателем.

Частые вопросы об операторе персональных данных

Можно ли не подавать уведомление, если кадровые документы ведутся только на бумаге?

Исключение п. 8 ч. 2 ст. 22 152-ФЗ действует, только когда обработка ведётся исключительно без средств автоматизации. Если те же сведения попадают в учётную программу, электронную таблицу или электронную отчётность, обработка уже не исключительно ручная, и исключение не применяется. Бумажный архив от закона не освобождён: систематизированные дела, в которых сведения ищутся по заданному алгоритму, подпадают под ч. 1 ст. 1 152-ФЗ.

Считается ли персональными данными номер телефона или email без фамилии?

По п. 1 ст. 3 152-ФЗ персональные данные — любая информация о прямо или косвенно определённом или определяемом физическом лице. Телефон или адрес почты становятся персональными данными, когда по ним можно установить конкретного человека. Безусловного правила «любой номер — персональные данные» закон не содержит, поэтому оценивается, какие ещё сведения есть у оператора.

Можно ли хранить данные работников и клиентов на зарубежном облачном сервере?

По ч. 5 ст. 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ при сборе данных граждан РФ, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение ведутся с использованием баз данных в РФ. Исключения закон связывает с пп. 2, 3, 4 и 8 ч. 1 ст. 6. Трансграничную передачу регулирует ст. 12. С 27.07.2026 закон № 265-ФЗ изменил в ней критерии адекватной защиты в иностранном государстве.

Зарплата конкретного работника относится к коммерческой тайне или к персональным данным?

Статья 5 98-ФЗ запрещает режим тайны для системы оплаты труда, но система оплаты и заработок конкретного работника — разные сведения. Размер дохода конкретного человека может быть персональными данными по п. 1 ст. 3 152-ФЗ, и тогда к нему применяются меры ст. 18.1 и 19. Универсального вывода о том, может ли индивидуальный заработок составлять коммерческую тайну, ст. 5 98-ФЗ сама по себе не даёт.

Что делать, если произошла утечка персональных данных работников или клиентов?

Неправомерная или случайная передача, предоставление, распространение или доступ могут повлечь нарушение прав субъектов. В этом случае оператор уведомляет Роскомнадзор в течение 24 часов об инциденте и первоначальных сведениях, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Не каждый сбой подпадает под эту норму: критерий — нарушение прав субъектов. Если утечка произошла у подрядчика, перед субъектом отвечает оператор (ч. 5 ст. 6).

Можно ли взять с кандидата одно общее согласие на все проверки?

Согласие по ч. 1 ст. 9 152-ФЗ должно быть конкретным и предметным, то есть привязанным к определённым целям и данным. Одно универсальное согласие не создаёт общего права проверять судимость: эти сведения обрабатываются только в случаях и порядке федеральных законов (ч. 3 ст. 10). Для данных о здоровье нужно письменное согласие либо исключение из ч. 2 ст. 10.