Материал актуален на 9 октября 2026 года; Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» проверен в редакции от 26 июля 2026 года. Разбираем распределение ролей в компании и договорной цепочке. Отдельные правила для специальных категорий данных, биометрии, государственных систем и конкретных отраслей требуют дополнительной оценки.
Когда компания становится оператором
Начните с вопроса о цели: какое юридическое лицо решает использовать сведения о человеке и ради какого результата? Если компания собирает контакты для собственных продаж или сведения о работниках для трудовых отношений, она не становится просто «пользователем программы» из-за того, что техническую систему предоставляет внешний поставщик.
Статья 3 допускает определение целей и организацию обработки самостоятельно или совместно с другими лицами. Поэтому в сложной цепочке нельзя заранее предполагать, что оператор всегда один. Но наличие нескольких компаний само по себе также не доказывает совместную роль: нужно установить их реальные решения и действия.
Бренд, домен и юридическое лицо — разные элементы. На сайте группы заявка может уходить в одну компанию, договор заключаться с другой, а рекламные сообщения отправляться от третьей. Для каждого использования выясняют, кто устанавливает соответствующую цель и на каком основании получает данные.
Статус оператора не зависит только от наличия паспорта в базе. Сведения могут позволять прямо или косвенно определить человека. Контакты заявителя, данные представителя контрагента, история обращений и связанный идентификатор оцениваются в контексте процесса, а не по универсальному списку «важных» полей.
Обработка включает не только сбор. Хранение, использование, извлечение, передачу и уничтожение также учитывают при определении обязанностей. Если активный проект завершён, но компания сохраняет архив документов, роль и обязанности в отношении оставшейся обработки не исчезают автоматически.
Чтобы восстановить модель, составьте карту: лицо, цель, данные, действия, системы и получатели. В ней должно быть видно, какие решения принимает сама компания и какие задачи передаёт другому лицу. Это основа для документов, уведомления и проверки доступа.
Оператор и лицо, обрабатывающее данные по поручению
По части 3 статьи 6 оператор может поручить обработку другому лицу при соблюдении предусмотренных законом условий. В такой модели получатель выполняет согласованные действия для целей оператора. Компания должна проверить допустимость поручения, необходимое основание и содержание договорных условий.
Поручение должно определять данные, действия, цели и обязанности исполнителя, включая конфиденциальность и безопасность. Одной фразы «стороны соблюдают 152-ФЗ» недостаточно, чтобы понять, какие сведения получает сервис, какие операции разрешены и как компания подтверждает исполнение требований.
Название договора не определяет роль окончательно. Если поставщик начинает использовать клиентские контакты для собственных предложений, это уже требует отдельной оценки цели, основания и статуса такого использования. Пункт о поручении не превращает любые действия получателя в допустимое исполнение задачи оператора.
Один подрядчик может выполнять разные роли в разных процессах. Например, порученная работа с базой заказчика и собственная договорная работа с контактами представителей заказчика имеют разные цели. Не следует назначать одну роль для всех сведений только потому, что услуги оказываются по одному договору.
Техническое размещение тоже не отвечает на вопрос о роли полностью. Хостинг, CRM, почтовый сервис и сервис рассылок различаются по фактическим действиям и доступам. Для каждого поставщика выясняют, какие данные он получает, кто их использует и какие решения вправе принимать.
Поручение не означает исчезновения обязанностей оператора. Закон распределяет ответственность между оператором и исполнителем с учётом модели взаимодействия. Компания сохраняет необходимость проверить основания своих процессов, документы, обращения людей и надлежащий контроль договорной цепочки.
Ответственный за организацию обработки и внутренние полномочия
Статья 22.1 обязывает оператора, являющегося юридическим лицом, назначить ответственного за организацию обработки. Этот человек получает указания непосредственно от исполнительного органа и подотчётен ему. Поэтому его работа не должна замыкаться только на хранении документов в кадровой папке.
Оператор предоставляет ответственному предусмотренные законом сведения об обработке. На практике нужен доступ к информации о целях, системах, подразделениях, подрядчиках и изменениях. Это не означает неограниченный доступ ко всем персональным данным: объём полномочий и доступов определяют по задачам.
К обязанностям ответственного относятся внутренний контроль, доведение правил до работников и организация либо контроль приёма обращений людей. Документ о назначении связывают с реальными процедурами: откуда приходят сведения, кто устраняет нарушения и когда вопрос передаётся руководителю.
Распределяйте функции между подразделениями. Владелец процесса подтверждает деловую задачу и фактические действия. Юридическая служба оценивает основания и документы. ИТ-служба отвечает за согласованные настройки систем. Ответственный организует контроль и согласованность, а исполнительный орган принимает необходимые управленческие решения.
Если несколько сотрудников считают себя ответственными за одну процедуру, обозначьте, кто принимает решение и кто выполняет его технически. Обратная ситуация тоже опасна: каждый участник может полагать, что запрос человека или изменение уведомления относится к чужой функции.
Не назначайте ответственному обязанности, для которых у него нет возможности получить информацию или привлечь исполнителя. Приказ, который не связан с порядком взаимодействия и подотчётностью, затрудняет выполнение установленной функции даже при добросовестной работе сотрудника.
Карта ролей в обработке данных
Карта ниже помогает разнести задачи по реальному процессу. Она не заменяет правовой анализ договора и не устанавливает одинаковый состав должностей для всех компаний. В небольшой организации несколько функций могут выполнять одни люди, но сами функции всё равно должны быть понятны.
| Роль в процессе | Основной вопрос | Что проверить |
|---|---|---|
| Оператор | Кто устанавливает цель, данные и действия | Реальная модель и документы юридического лица |
| Исполнитель поручения | Что он делает для целей оператора | Условия поручения, доступ и исполнение |
| Самостоятельный получатель | Для какой собственной цели использует данные | Основание передачи и последующей обработки |
| Владелец процесса | Какие действия нужны подразделению | Цель, необходимые сведения и фактический маршрут |
| Ответственный за организацию | Как действует внутренний контроль | Полномочия, сведения, обращения и подотчётность |
| Администратор системы | Как выполняются утверждённые ограничения | Роли, доступы, журналирование и прекращение доступа |
| Руководитель | Кто принимает управленческое решение | Ресурсы, устранение разрывов и контроль результата |
Проверяйте карту на конкретном примере. Для заявки на сайте выясните, кто решил собирать контакты, куда они поступают, какой сервис имеет доступ, кто отвечает заявителю и кто определяет дальнейшее использование. Затем повторите проверку для кадрового процесса и архива.
Не используйте таблицу ролей как основание передать сведения всем указанным участникам. Для выполнения многих контрольных функций достаточно описания процесса или обезличенного результата. Доступ к данным предоставляют в необходимом объёме и в установленном порядке.
Доступы, обращения людей и завершение обработки
Права сотрудников связывайте с функциями, а не только с названием отдела. Менеджеру может быть нужен доступ к своим обращениям, кадровику — к определённым кадровым сведениям, администратору — к техническому обслуживанию. Возможность выгрузить весь массив требует отдельной оценки необходимости.
При смене должности или увольнении проверьте не только основную учётную запись. Доступы могут оставаться у почтовых сервисов, подрядчиков, в общих папках и выгруженных копиях. Внутренний порядок должен показывать, кто получает сигнал об изменении и чем подтверждает завершение процедуры.
Организуйте единый маршрут обращений людей. Сотрудник, получивший запрос по обычной почте или через подразделение, должен понимать, кому передать его для проверки. Ответственный организует либо контролирует эту работу, а профильные исполнители устанавливают основания и выполняют необходимые действия.
Не принимайте решение об удалении только по наличию слова «отзыв». Статья 21 различает основания прекращения и допускает дальнейшую обработку при наличии предусмотренных законом условий. Для прямого рекламного использования отдельно действует статья 15 с требованием немедленного прекращения по требованию человека.
Завершение одного процесса не означает уничтожение всех документов компании. Может продолжаться законное архивное хранение или другая обработка на самостоятельном основании. Для каждого массива устанавливают, что прекращается, что сохраняется, почему и какие доступы остаются необходимыми.
Сохраняйте подтверждение результата. Оно должно позволять проверить, кто принял обращение, какое решение принято и как исполнено. При этом в карточку обращения не следует собирать дополнительные данные человека только ради подробного отчёта.
Как контролировать подрядчиков и изменения
Перед подключением нового сервиса проверьте роль поставщика и маршрут данных. Важны фактические операции, место хранения, допуск персонала и привлечение других исполнителей. Рекламное описание услуги «полностью соответствует законодательству» не заменяет эту проверку.
Свяжите договорные условия с практическим контролем. Если подрядчику разрешено получать только часть данных, техническая передача должна ограничиваться этой частью. Если установлен порядок завершения работы, компания должна понимать, как прекращается доступ и что происходит с копиями.
Контроль не обязательно означает передачу оператору подробных технических секретов поставщика. В договорной модели определяют достаточные документы и подтверждения исполнения. Запрос должен относиться к порученной обработке и применимым требованиям, а не к произвольному перечню сведений о всей инфраструктуре подрядчика.
Для изменений установите правило предварительной проверки. Новая цель, рекламный процесс, интеграция, подрядчик или перенос базы могут повлиять на основания, документы и сведения уведомления. Владелец изменения должен сообщать о нём до запуска, чтобы остальные участники могли выполнить свои функции.
Руководителю полезен отчёт по разрывам, а не только по количеству подготовленных приказов. В нём указывают процесс, спорную роль или доступ, необходимое решение, исполнителя и подтверждение результата. Такой отчёт показывает, где обязанности определены и где остаётся несогласованная модель.
Для общего маршрута проверки см. требования 152-ФЗ. Отдельно разберите согласия и политику сайта. Проверку ролей, процессов и документов можно начать со страницы аудита по 152-ФЗ.
Вопросы и ответы
Может ли небольшая компания быть оператором?
Да. Роль определяется реальными целями и организацией обработки, а не размером штата или количеством клиентов. Даже кадровая работа и приём обращений могут создавать соответствующие обязанности.
Становится ли подрядчик оператором вместо заказчика?
Не автоматически. При порученной обработке он выполняет согласованные действия для целей оператора. Собственные цели получателя оценивают отдельно; договорное название не заменяет анализ фактической модели.
Нужно ли назначать ответственного за организацию обработки?
Для оператора, являющегося юридическим лицом, это предусмотрено статьёй 22.1. Ответственный подотчётен исполнительному органу и выполняет установленные функции контроля, информирования работников и организации работы с обращениями.
Заменяет ли назначенный сотрудник самого оператора?
Нет. Назначение распределяет внутреннюю функцию организации и контроля. Юридическое лицо продолжает выполнять обязанности оператора, а другие подразделения — свои задачи по соответствующим процессам.
Что проверять при работе под единым брендом группы?
Юридические лица, которые определяют цели и используют сведения, фактические получатели заявок, основания передачи и отдельные процессы. Общая CRM или домен не отменяют самостоятельность организаций.
Источники
152-ФЗ, статья 3: определение оператора и обработки.
152-ФЗ: основания и поручение обработки в статье 6.
Статья 15: прекращение прямого рекламного использования.
Статья 18.1: организационные меры.
Статья 19: безопасность и контроль мер.