Оператор и обработчик — это два разных участника процесса работы с персональными данными. Оператор определяет цели и способы обработки, а обработчик просто выполняет его поручение. Разница критична для ответственности: если что-то пойдёт не так, клиент будет спрашивать с оператора, а не с курьера или IT-подрядчика.
Кто есть кто
Оператор — это вы. Именно ваша организация решает, для чего собирать данные и как их использовать. Вы утверждаете политику, назначаете ответственного, подаёте уведомление в РКН. Обработчик — это внешняя компания, которой вы поручаете отдельные действия: доставку товаров, обработку звонков, хранение данных в облаке. У обработчика нет своих целей — только ваши.
Кто отвечает перед клиентом
Ответственность перед субъектом персональных данных всегда лежит на операторе (ст. 6 152-ФЗ). Если курьер потерял бумаги с адресами или облачный сервис допустил утечку — клиент будет требовать объяснений и компенсации от вас, а не от подрядчика. Обработчик отвечает только перед вами по договору. Это означает, что передача данных третьему лицу не снимает с вас ни грамма ответственности.
Как оформить поручение
Поручение обработчику оформляется договором в письменной форме. В нём обязательно должны быть прописаны:
- перечень персональных данных, которые передаются;
- конкретные действия, которые обработчик вправе совершать (например, только доставка, без права копирования);
- цели обработки (строго те же, что у оператора);
- обязанность обеспечивать конфиденциальность и безопасность.
Без такого договора передача данных незаконна. Подробный шаблон и требования — в материале договор поручения на обработку.
Типичные обработчики
В малом бизнесе обработчиками чаще всего становятся:
| Сфера | Пример обработчика |
|---|---|
| Доставка | Курьерские службы, логистические компании |
| Колл-центр | Аутсорсинговые операторы связи |
| Облачное хранение | Хостинг-провайдеры, CRM в облаке |
| Рассылки | Сервисы email-маркетинга |
| Бухгалтерия | Аутсорсинговые бухгалтерские фирмы |
Каждый из них должен иметь с вами договор поручения, а также подтверждённую способность соблюдать требования 152-ФЗ. Как проверять контрагентов на готовность к работе с ПДн, описано в статье передача данных третьим лицам.
Кто обязан подавать уведомление в РКН
Уведомление о начале обработки подаёт оператор, а не обработчик. Именно вы определяете цели, категории данных и способы обработки — значит, именно вы отчитываетесь перед Роскомнадзором. Подробнее о том, какие организации считаются операторами и обязаны подавать уведомление, — в руководстве кто такой оператор ПД.
Обработчик в уведомлении не фигурирует. Однако вы обязаны получить согласие субъекта на передачу данных обработчику (ст. 6). Исключение — если обработчик действует в рамках договора, где субъект является стороной (например, курьер доставляет заказ, согласие на это уже дано в оферте).
Практическое правило: перед тем как передать данные подрядчику, задайте себе два вопроса. Есть ли письменный договор с чёткими условиями обработки? Есть ли согласие субъекта на эту передачу? Если хотя бы на один ответ «нет» — передавать нельзя.
Вывод: вы — оператор, и вся ответственность на вас. Подрядчики — обработчики, и их работа должна быть закреплена договором поручения. Без этого документа любая передача данных становится нарушением с риском штрафа и претензий со стороны клиентов.
Вопросы про оператора и обработчика
Кто несёт ответственность перед клиентом за утечку данных у подрядчика?
Ответственность перед субъектом всегда несёт оператор (ст. 6 152-ФЗ), даже если утечка произошла по вине обработчика. Клиент будет требовать объяснений и компенсации от вас, а не от курьерской службы или облачного провайдера.
Как правильно оформить передачу данных стороннему подрядчику?
Через договор поручения на обработку, в котором должны быть прописаны перечень данных, конкретные действия, цели обработки, обязанность конфиденциальности и безопасности. Без такого договора передача данных незаконна.
Кто подаёт уведомление в РКН — оператор или обработчик?
Уведомление подаёт оператор. Именно он определяет цели и способы обработки, поэтому он и отчитывается перед Роскомнадзором. Обработчик в уведомлении не фигурирует.
Можно ли передавать данные обработчику без отдельного согласия клиента?
Можно, если это предусмотрено договором с субъектом или если клиент дал согласие на такую передачу. В остальных случаях требуется отдельное согласие (ст. 6). Например, для доставки заказа согласие уже содержится в оферте, а для передачи в сторонний колл-центр — требуется отдельное разрешение.
Похожие материалы
Источники
- 152-ФЗ, ст. 6 (поручение обработки) — consultant.ru
Разграничение ролей и ответственности оператора и обработчика (ст. 6 152-ФЗ) сверено с текстом.