«Айтишники» — оператор персональных данных в реестре Роскомнадзора

Оператор — это лицо (компания, ИП, госорган), которое организует и (или) осуществляет обработку персональных данных и определяет цели этой обработки. Простой тест: если у компании есть база сотрудников, клиентов или контрагентов с ФИО, телефонами, паспортами — она почти наверняка оператор.

Реестр операторов ведёт Роскомнадзор в соответствии со статьёй 22 152-ФЗ. Регистрация означает, что оператор подал уведомление, указал цели обработки, состав данных и меры защиты — и взял на себя ответственность по закону. Что относится к персональным данным — разобрали в глоссарии.

• Проверяемый статус до начала работы. Вы можете открыть реестр и убедиться, что подрядчик зарегистрирован как оператор ПД, — до передачи ему любых данных.
• Понятный порядок обработки. Цели, состав и сроки обработки данных клиентов зафиксированы в политике конфиденциальности и договоре.
• Персональную ответственность руководителя. Ответственный за организацию обработки — генеральный директор лично, а не обезличенный «отдел».
• Практический опыт комплаенса. Мы проходим требования 152-ФЗ сами — и помогаем клиентам выстроить аналогичный порядок на их инфраструктуре.

Как оператор мы обрабатываем данные, которые получает сами: заявки с сайта (имя, телефон, e-mail), данные контрагентов в рамках договоров, данные сотрудников компании. Порядок описан в политике конфиденциальности.

При обслуживании инфраструктуры клиента — серверы, 1С, рабочие места — мы действуем как лицо, допущенное к обработке по поручению заказчика: доступы выдаются по согласованию, объём работ и порядок обращения с данными фиксируются в договоре. Ответственность за содержание учётных баз остаётся у клиента, наша зона — регламент и техническая защита.

Обязанность вашего бизнеса по 152-ФЗ и пошаговый чек-лист оператора — в отдельном материале: 152-ФЗ для бизнеса.

Реестр и договоры — юридическая сторона. Техническая сторона выглядит так:

• Разграничение доступов. Доступы к серверам и учётным базам выдаются по согласованию с заказчиком и только в объёме, нужном для задачи.
• Резервное копирование. Регулярные бэкапы — часть обслуживания серверов.
• Защищённый удалённый доступ. Подключения администраторов и сотрудников клиентов — через VPN.
• Сроки реакции. По SLA мы реагируем на инциденты серверов до 2 часов, рабочих станций — до 4 часов; финансовая ответственность зафиксирована в договоре.

Порядок обработки у нас курирует генеральный директор — основатель компании Илья Андреев, который работает в ИТ более 10 лет. Это не абстрактный «отдел безопасности»: ответственность за данные — на руководителе компании лично.