Вопросы и ответы про обработку персональных данных: 2025

Кто несет ответственность за хранение и обработку персональных данных?

Ответственность за хранение и обработку персональных данных несет оператор персональных данных. Согласно Федеральному закону №152-ФЗ «О персональных данных», оператором является юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует сбор, обработку и хранение персональных данных.

Обязан ли бизнес или сайт регистрироваться в Роскомнадзоре как оператор персональных данных?

Да, если бизнес или сайт собирает и обрабатывает персональные данные пользователей автоматизированно, передает их третьим лицам или использует в маркетинговых целях. Регистрация не требуется, если данные обрабатываются только для исполнения договора, трудовых отношений или из открытых источников.

Как отличить персональные данные от общедоступной информации?

Персональные данные — это любая информация, позволяющая идентифицировать человека (ФИО, телефон, email, паспортные данные, адрес). Общедоступная информация — это данные, которые человек сам сделал публичными (например, в соцсетях) или которые опубликованы в официальных источниках (реестры, справочники). Однако даже публичные данные требуют соблюдения закона при их обработке.

Важно учитывать, что по мнению Роскомнадзора, данные, собираемые метрическими системами (например, Яндекс.Метрика, Google Analytics), также могут считаться персональными, если позволяют идентифицировать пользователя (IP-адрес, cookie, параметры устройства). Поэтому их обработка должна соответствовать требованиям закона о персональных данных.

Можно ли использовать данные пользователей без их согласия?

В большинстве случаев нельзя — обработка персональных данных требует явного согласия пользователя. Однако закон (ФЗ-152 «О персональных данных») допускает исключения, когда согласие не требуется, например:

Для исполнения договора (например, доставка товара, оказание услуги).
Во исполнение закона (например, налоговая отчетность, запросы правоохранительных органов).
Для защиты жизни и здоровья (например, экстренная медицинская помощь).
При обработке общедоступных данных, опубликованных самим пользователем.
Для выполнения государственных задач (например, статистика, учет населения).

Если данные используются в маркетинговых или аналитических целях, согласие обязательно. Нарушение может привести к штрафам и блокировке сайта.

Где должны храниться персональные данные пользователей? Можно ли использовать зарубежные серверы?

Персональные данные российских граждан должны обязательно храниться в России. Согласно ФЗ-152 «О персональных данных», первичный сбор, запись, систематизация и хранение данных должно происходить на серверах, расположенных на территории РФ.

Использование зарубежных серверов возможно, но только для дополнительной обработки данных, если первичная запись ведется в России. В противном случае Роскомнадзор может заблокировать сайт или наложить штраф.

Нужно ли вносить изменения в реестр операторов, если изменились условия обработки данных или юридическое лицо компании?

Да, если изменились цели обработки, перечень собираемых данных, место хранения или юридическое лицо, оператор обязан уведомить Роскомнадзор и внести изменения в реестр. Для этого подается обновленное уведомление.

Какой адрес ЦОД указывать при подаче заявления в Роскомнадзор.

Если ваша компания использует облачные сервисы (например, 1С) или хостинг-провайдера для обработки персональных данных, в уведомлении Роскомнадзора необходимо указывать:

серверы/ базы данных находятся в вашем офисе компании → указываете свой юр. адрес.
используется аренда серверов у хостинг-провайдера или ЦОД → указываете наименование и адрес этого ЦОД.
используется облачный сервис (например, Битрикс24 и т. д.), в уведомлении нужно указать компанию-поставщика и ее адрес.

Несет ли веб-студия ответственность за обработку персональных данных, если она предоставляют услугу продвижения, поддержки или разработки сайта?

Ответственность за обработку персональных данных несет оператор, то есть тот, кто определяет цели и способы обработки данных. В данном случае оператором является владелец сайта (клиент веб-студии).

Однако веб-студия может выступать в роли обработчика данных (ст. 6 ФЗ-152 «О персональных данных»), если она:

Администрирует сайт и имеет доступ к базам данных пользователей
Обрабатывает заявки клиентов,
Хранит персональные данные на своих серверах.

Если веб-студия только выполняет услуги по продвижению, поддержке или разработке, но не обрабатывает и не хранит персональные данные, ответственность за их защиту остается за владельцем сайта. Но первоочередно оператором ПД является владелец сайта (бизнеса).

Кто считается оператором персональных данных, если веб-студия является владельцем домена или хостинга? Владелец бизнеса или веб-студия?

Владелец сайта (бизнеса)

Если веб-студия просто предоставляет хостинг, домен или техническую поддержку, но не управляет персональными данными пользователей, то оператором остается владелец бизнеса.
Даже если сайт размещен на аккаунте веб-студии, но данные собираются для бизнеса (например, заявки клиентов), ответственность несет сам владелец сайта.

Веб-студия

Если веб-студия самостоятельно собирает, хранит и использует персональные данные (например, для своих услуг или собственных проектов), то она является оператором.
Если веб-студия управляет сайтом и самостоятельно распоряжается собранными данными, она также может считаться оператором.