Модель «Оператор — Обработчик» персональных данных: экспертный анализ, практика и особенности правоприменения

25/09/25

Б-152

В условиях стремительной цифровизации экономики и повсеместного внедрения информационных технологий в бизнес и государственное управление вопросы защиты персональных данных становятся ключевыми как для обеспечения прав субъектов данных, так и для стабильной работы организаций. 

Модель взаимодействия «Оператор — лицо, обрабатывающее ПДн по поручению оператора (далее — Обработчик)» является наиболее популярным видом взаимодействия между организациями, стремящимися к оптимизации процессов обработки персональных данных посредством делегирования функций обработки персональных данных.

Такая модель позволяет операторам сконцентрироваться на ключевых бизнес-процессах, переложив на плечи обработчика задачи, требующие высокой квалификации и соответствия требованиям законодательства

В российском законодательстве основной нормативный акт — Федеральный закон № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) — задает рамки и принципы регулирования обработки. Однако в отличие от зарубежного законодательства, например Европейского Регламента GDPR, российский закон часто оставляет отдельные понятия и роли не вполне четко определенными, что создает пространство для различных интерпретаций и требует глубокого экспертного анализа и практического подхода.

Цели этой статьи: всесторонне раскрыть суть модели «Оператор — Обработчик», проанализировать основные функции и обязанности, разграничить роли, осветить правовые риски и нормативные пробелы, а также показать актуальную практику применения законодательства в России.

Согласно статье 3 ФЗ-152, оператором является любое юридическое или физическое лицо (включая государственные и муниципальные органы), которое самостоятельно или совместно с другими лицами:

Это означает, что оператор — не просто лицо, владеющее данными, а субъект, принимающий решения о том, зачем и как будут обрабатываться персональные данные. Такая организация включает в себя создание технологических и процедурных процессов, контроль качества обработки, обеспечение прав субъектов данных и ответственность за безопасность.

Таким образом, оператор — это «инициатор и руководитель» процесса обработки, который устанавливает правила игры.

Различают несколько основных категорий операторов, каждая из которых имеет свои особенности:

Сооператорство предполагает, что несколько субъектов совместно принимают решения относительно обработки персональных данных. В этом случае каждый из них:

Для корректной реализации необходимы комплексные договорные соглашения, определяющие зоны ответственности, порядок взаимодействия и алгоритмы реагирования на инциденты.

Отсутствие однозначного регулирования и примеров применения этой модели исключает возможность ее использования.

В российском законе ФЗ-152 отсутствует четкое определение понятия «обработчик персональных данных». В международной практике (например, в GDPR) обработчик (там он именуется «процессором») — это лицо, которое обрабатывает данные от имени оператора, без права самостоятельно определять цели и средства обработки.

Исходя из практики российских судов и контролирующих органов, можно выделить следующие характеристики обработчика:

Обработчик выполняет широкий спектр задач, необходимых для реализации процесса обработки персональных данных:

Субобработчики — третьи лица, которых обработчик привлекает для выполнения части операций с персональными данными. Несмотря на отсутствие прямого упоминания в российском законодательстве, эта практика широко применяется.

Для минимизации рисков необходимо:

Субобработка усложняет контроль, увеличивает вероятность инцидентов и требует тщательного документирования и мониторинга.

Разграничение ролей оператора и обработчика является одним из наиболее критичных и часто спорных вопросов при организации обработки персональных данных в российских компаниях и государственных структурах. От корректного определения статуса стороны зависят ее права, обязанности и уровень ответственности перед субъектами данных и контролирующими органами.

В российском законодательстве прямого и исчерпывающего определения обработчика, в отличие от оператора, нет, что дополнительно усложняет ситуацию. Для понимания и правильной квалификации сторон в отношениях по обработке данных специалисты и суды используют ряд ключевых критериев и факторов, которые рассмотрим подробно.

Центральный критерий разграничения — это право определять цели обработки.

Например, компания, собирающая данные клиентов для анализа потребительского поведения, сама определяет цели: улучшение маркетинга, оптимизация продаж и пр. Любой внешний подрядчик, который осуществляет техническую обработку этих данных (например, хранение, систематизацию или анализ по поручению компании), является обработчиком.

Важно понимать, что если сторона самостоятельно решает, зачем и для чего обрабатывать персональные данные, она уже перестаёт быть обработчиком и становится оператором с полным пакетом обязанностей и ответственности.

Разграничение ролей также зависит от объема и характера данных, которыми оперирует каждая из сторон.

Например, оператор может собирать широкий спектр информации: ФИО, контактные данные, историю заказов, платежные данные, медицинские сведения и пр. Обработчик может получать только те данные, которые необходимы для выполнения конкретной задачи, например, только контактные данные для рассылки уведомлений.

Если обработчик начинает расширять объём обрабатываемых данных самостоятельно, без согласования с оператором, он автоматически может быть переквалифицирован в оператора по новым целям и объемам обработки.

Управленческий аспект — один из наиболее значимых признаков:

В случае, если субъект обработки самостоятельно определяет методы и порядок обработки данных, он становится оператором.

Например, если компания передает подрядчику задачи по администрированию базы данных, но при этом контролирует все процессы, принимает решения о политике безопасности, то подрядчик — обработчик. Если же подрядчик начинает самостоятельно принимать решения о целях и методах обработки, он выступает как оператор.

Ключевой момент — границы полномочий обработчика.

Например, если обработчик начинает использовать данные для своих коммерческих целей без согласия оператора, он автоматически становится оператором и несет всю ответственность.

Правильное разграничение ролей должно быть отражено в соглашении о поручении обработки ПДн и внутренних документах:

Отсутствие четкого поручения может привести к юридическим рискам: обработчик будет признан оператором, а обе стороны — ответственными перед надзорными органами.

Важно помнить, что модель «Оператор — Обработчик» предполагает именно делегирование функций обработки персональных данных от оператора третьей стороне — обработчику. 

Если оператор передает персональные данные третьим лицам, предоставляющим услуги или выполняющим работы, которые оператор не может осуществить самостоятельно, такие третьи лица выступают в роли самостоятельных операторов. Модель в этом случае строится по схеме «Оператор — Оператор». Деятельность этих лиц лицензируется и регулируется отдельным законодательством. 

Пример: оператор передает данные сотрудников в банк для оформления карт зарплатного проекта. В данном случае банк выступает в роли оператора персональных данных.

Другими словами, обработчик оказывает услуги аутсорсинга, выполняя те процессы обработки ПДн, которые оператор мог бы осуществлять самостоятельно, однако предпочитает передать на функцию обработки персональных данных третьей стороне (например, для оптимизации затрат или повышения эффективности).

Оператор является владельцем базы персональных данных. Он распоряжается данными, принимает решения о передаче, изменении или уничтожении данных.

Если лицо создает и владеет собственной базой данных, в которой хранит персональные данные, оно считается оператором по отношению к этой базе.

Обработчик использует базу оператора и не создает собственных независимых баз данных. Все операции с данными осуществляются исключительно по поручению оператора.

Для успешной реализации модели «Оператор — Обработчик» и соблюдения требований законодательства рекомендуется:

Разграничение ролей оператора и обработчика персональных данных — это комплексный процесс, требующий анализа нескольких взаимосвязанных факторов: определения целей, объема и характера обработки, управления процессами, разграничения правовых обязательств.

Правильное определение статуса не только снижает юридические риски, но и повышает уровень информационной безопасности, упрощает взаимодействие с субъектами данных и контролирующими органами.

Проверьте свою модель «Оператор — Обработчик»

Мы знаем все подводные камни 152-ФЗ и поможем их обойти.

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

Материалы по теме