Что это такое
Статус оператора возникает автоматически, как только организация или ИП начинает обрабатывать персональные данные хотя бы одного человека — работника, клиента, контрагента. Никакого специального решения о «присвоении» этого статуса не требуется: достаточно фактических действий по сбору, хранению или использованию персональных данных.
Статус оператора влечёт комплекс обязанностей: уведомить Роскомнадзор о начале обработки персональных данных (кроме случаев, прямо освобождённых от этой обязанности законом); определить правовые основания и цели обработки; получать согласие субъекта, если оно требуется; обеспечивать конфиденциальность и защиту данных организационными и техническими мерами; отвечать на обращения субъектов персональных данных о своих данных; обеспечивать хранение персональных данных граждан РФ на серверах, расположенных на территории России (требование локализации).
Оператор отвечает за нарушения в области персональных данных, даже если фактическую техническую обработку выполняет привлечённый подрядчик (например, оператор фонда оплаты труда на аутсорсинге, облачный кадровый сервис) — ответственность оператора перед субъектом данных и перед Роскомнадзором не переходит к обработчику автоматически, если иное прямо не установлено договором и законом.
Работодатель как оператор обязан назначить ответственное за организацию обработки персональных данных лицо — с соответствующим приказом и должностной инструкцией, определяющей его полномочия. Это не формальность: именно это лицо становится первой точкой контакта при проверке Роскомнадзора и при обращениях субъектов персональных данных с вопросами об их данных.
Частые вопросы
Может ли небольшая компания с 3 сотрудниками не быть оператором персональных данных?
Нет, статус определяется фактом обработки данных, а не численностью — даже у компании с одним работником уже есть персональные данные, которые она обрабатывает, а значит, она оператор со всеми вытекающими обязанностями.
Отвечает ли оператор за ошибки подрядчика, которому передана обработка данных?
Да, по общему правилу ответственность перед субъектом персональных данных и надзорным органом несёт оператор — договор с подрядчиком (обработчиком) может распределить внутреннюю ответственность между сторонами, но не снимает публично-правовую ответственность с оператора.
Нужно ли работодателю где-то регистрироваться как оператор персональных данных?
Формальной «регистрации» как таковой нет — вместо неё установлена обязанность уведомить Роскомнадзор о начале обработки, после чего сведения о работодателе вносятся в реестр операторов, который ведёт Роскомнадзор.
Как BLS помогает
BLS определяет полный объём обязанностей работодателя как оператора персональных данных и помогает закрыть их — от уведомления Роскомнадзора до технической защиты.