Вопрос, который часто задают предприниматели, фрилансеры и даже обычные граждане, собирающие данные о своих клиентах: может ли физическое лицо стать оператором персональных данных (ПДн)?
Ответ прост: да․ Однако с этим связано целый ряд юридических нюансов, которые важно знать, чтобы не попасть под санкции․
Что такое оператор персональных данных?
Согласно Федеральному закону от 27 июля 2006 г․ № 152-ФЗ “О персональных данных” оператором считается любое лицо – юридическое, физическое, государственный или муниципальный орган, – которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных․
- Оператор принимает решения о какие данные и для каких целей будут обрабатываться․
- Оператор определяет сроки хранения, способы сохранения и передачи данных․
- Оператор несёт юридическую ответственность за соблюдение прав субъектов персональных данных․
Субъектом персональных данных является физическое лицо, предоставляющее свои данные, а оператор – лицо, обрабатывающее их․
Может ли физическое лицо стать оператором?
Правовые основания
Ниже перечислены ключевые моменты, подтверждающие, что физическое лицо может быть оператором:
- В тексте закона прямо указано: «оператором может быть юридическое лицо, физическое лицо, государственный или муниципальный орган»․ (п․ 1 ст․ 1 152‑ФЗ)
- В 2026 г․ (21 апр․ 2026) в комментариях к закону уточнено, что физическое лицо – это, например, индивидуальный предприниматель, самозанятый, фрилансер․
- Постановка 24 окт․ 2024 г․ отмечает, что оператором может быть любой, кто самостоятельно или совместно с другими лицами обрабатывает данные․
- В 2026 г․ (18 мар․ 2026) в редакции закона подчеркивается, что оператором может быть «любая организация или человек», даже если он не зарегистрирован в реестре операторов․
Требования к регистрации в Роскомнадзоре
Независимо от того, юридическое лицо или физическое, оператор обязан:
- Подать уведомление в Роскомнадзор до начала обработки данных․ (Общее правило, изменённое в 2022 г․)
- В случае обработки более 1 000 человек, зарегистрироваться в реестре операторов․
- Принимать меры по защите данных: хранить их в защищённом месте, использовать шифрование, вести журналы доступа․
Обязанности оператора
Физический оператор не освобождается от обязанностей, установленных законом:
- Информировать субъектов о цели обработки․
- Получать согласие (если это требуется)․
- Обеспечивать возможность субъектам реализовать свои права (доступ, исправление, удаление)․
- Поддерживать порядок хранения и уничтожения данных․
- Отчитываться о нарушениях и принимать меры по их устранению․
Когда физическое лицо не считается оператором?
Существует два ключевых исключения:
- Обработка исключительно для личных целей – если физическое лицо собирает данные только о себе (например, ведёт личные заметки), оно не считается оператором․
- Обработка в рамках семейных отношений – если данные собираються только для семейных нужд (например, хранение информации о членах семьи), это не подпадает под категорию оператора․
В обоих случаях оператору не требуется регистрация и он не несёт ответственности за нарушения закона․
Практические примеры
- Фрилансер (программист, дизайнер) – собирает данные о заказчиках (имя, контакт, платежная информация) для выполнения заказа․ Он – оператор и обязан подать уведомление в Роскомнадзор․
- Индивидуальный предприниматель – ведёт электронную таблицу с клиентами, хранит адреса и номера телефонов․ Это оператор․
- Физическое лицо, которое создает сайт-опросник на Яндексе и собирает ответы от пользователей․ Это оператор․
- Человек, который хранит в бумажном виде адреса своей семьи – не оператор․
Преимущества и риски
Преимущества
- Гибкость в управлении данными․
- Меньше бюрократии по сравнению с крупными компаниями․
- Контроль над процессом сбора и хранения․
Риски и штрафы
С 30 мая 2026 г․ (по новому закону) штрафы за нарушение прав субъектов персональных данных увеличились до до 1 млн руб․ за простое нарушение, а в случае систематических нарушений – до 10 млн руб․․ Физические операторы не исключены из ответственности․
Таким образом, ответ на вопрос «Оператором персональных данных может быть физическое лицо да или нет?» – да, может, но с соблюдением всех требований закона․ Физическое лицо, которое собирает и обрабатывает данные о других людях, – оператор, и ему необходимо:
- Подать уведомление в Роскомнадзор․
- Соответствовать требованиям по защите данных․
- Обеспечивать права субъектов персональных данных․
Небрежное отношение к этим обязанностям может привести к серьезным штрафам и репутационным потерям․ Поэтому даже фрилансерам, ИП и другим физическим лицам стоит внимательно изучить требования закона и, при необходимости, обратиться за юридической помощью․
Если вы собираетесь работать с персональными данными, не упустите шанс ознакомиться с официальным сайтом Роскомнадзора и получить актуальную информацию о регистрации и требованиях к оператору․