Что такое оператор персональных данных?

Оператором персональных данных по статье 3 закона 152-ФЗ считается любое лицо - организация, ИП или даже физлицо, - которое самостоятельно или совместно с другими определяет цели обработки данных и совершает с ними действия: собирает, хранит, использует. Размер бизнеса тут не имеет значения: если на сайте есть форма заказа с именем и телефоном покупателя, вы оператор точно так же, как крупный маркетплейс.

У статуса оператора есть практические обязанности: разместить на сайте политику обработки персональных данных, получать согласие на обработку до отправки формы, а по общему правилу - ещё и уведомить Роскомнадзор о начале обработки данных через форму на pd.rkn.gov.ru. Есть и исключения: например, если данные обрабатываются только для заключения и исполнения договора с самим субъектом данных, уведомление не требуется. Проверить, подпадает ли ваш случай под исключение, стоит на старте, а не после проверки.

Для интернет-магазина на одного человека это означает простую последовательность: завести отдельный документ с политикой обработки, поставить на сайте чекбокс согласия перед отправкой формы и определить, кто ещё хранит базу клиентов, если она передаётся, скажем, в CRM или службе доставки. В 152-ФЗ это называется поручением обработки третьему лицу и тоже требует письменного оформления.