Кто осуществляет обработку персональных данных

Чтобы определить, кто осуществляет обработку персональных данных в вашей ситуации, посмотрите, кто решает, зачем нужны сведения о человеке, какие именно сведения собирать и что с ними делать. Тот, кто организует или ведёт обработку и определяет эти параметры, является оператором. Он может действовать самостоятельно либо совместно с другими лицами — п. 2 ст. 3 152-ФЗ.

Статус оператора доступен не только организациям. Им может быть физическое лицо, государственный орган или муниципальный орган. Значение имеет роль в работе с информацией. При этом персональными считаются сведения, по которым человек определён прямо или может быть определён косвенно. Эти определения помогают связать конкретные действия с конкретным оператором — п. 1 и 2 ст. 3 152-ФЗ.

Обработка начинается не только тогда, когда сведения используют или кому-то передают. Сбор, запись, хранение, обновление и удаление тоже входят в это понятие. Работа на бумаге также может быть обработкой: применение компьютера для этого необязательно. Если сведения просто хранятся и новых действий с ними пока нет, хранение всё равно относится к обработке — п. 3 ст. 3 152-ФЗ.

Оператор вправе передать выполнение обработки другому лицу. Для этого требуется согласие человека, чьи данные обрабатываются, если федеральный закон не предусматривает иного. Поручение оформляют договором, включая государственный или муниципальный контракт; государственный или муниципальный орган может оформить его соответствующим актом. Так определяется основание работы исполнителя с чужими данными — ч. 3 ст. 6 152-ФЗ.

При оформлении поручения нужно определить перечень сведений, разрешённые операции и цели обработки. Также в нём закрепляют обязанности исполнителя соблюдать конфиденциальность, обеспечивать безопасность и предоставлять оператору подтверждающие документы и информацию по его запросу. Исполнитель обязан соблюдать принципы и правила обработки. Передача работы другому лицу не освобождает его от этих обязанностей — ч. 3 ст. 6 152-ФЗ.

Получать отдельное согласие у человека исполнителю поручения не требуется. Однако оператору нужно учитывать как условия передачи обработки, так и основание самой обработки. Согласие является одним из оснований; среди других предусмотрены необходимость исполнения договора с человеком и выполнение обязанностей, возложенных законом. Основание выбирают по цели работы со сведениями — ч. 1, 3 и 4 ст. 6 152-ФЗ.

Если исполнитель нарушил правила, перед человеком за его действия отвечает оператор, а исполнитель отвечает перед оператором. Для поручения иностранному физическому или юридическому лицу установлено другое распределение: перед человеком ответственность несут и оператор, и лицо, обрабатывающее сведения по поручению. Поэтому при определении ответственного имеет значение, кому именно передана обработка — ч. 5 и 6 ст. 6 152-ФЗ.