Именно эта логика чаще всего становится причиной неожиданных проверок, штрафов и претензий.
Проблема в том, что статус оператора персональных данных возникает не тогда, когда бизнес “осознанно решил собирать данные”, а гораздо раньше — в момент обычной хозяйственной деятельности.

В этой статье разберём, когда именно компания становится оператором персональных данных, почему аргумент «мы ничего не собираем» не работает и где бизнес чаще всего ошибается.

Если убрать юридические формулировки, оператор персональных данных — это любой бизнес, который:

• получает персональные данные физического лица
• использует их в своей деятельности
• хранит, систематизирует или передаёт эти данные

Важно: не имеет значения, делаете ли вы это вручную или автоматически, сознательно или «по ходу работы». Если данные есть — значит, есть и обработка.

Самый важный момент, который часто упускают предприниматели: статус оператора возникает не после оформления документов, а по факту действий.

Бизнес становится оператором персональных данных, когда:

• пользователь оставил заявку на сайте
• вы сохранили резюме от соискателя
• вы ведете клиентскую базу в CRM или Excel
• вы оформили сотрудника
• вы сохранили контакт для дальнейшей работы

С этого момента начинается обработка персональных данных, а значит — возникают обязанности по закону.

Аргумент «мы ничего не собираем» почти всегда означает одно: бизнес просто не осознаёт, где именно возникают персональные данные.

Разберём самые частые ситуации.

1. Сайт без «регистраций», но с формой обратной связи

Даже если:

• нет личного кабинета
• нет регистрации
• нет онлайн-оплаты

Но есть форма с именем, телефоном или email — это уже персональные данные клиентов.

Частая ошибка:

• бизнес считает, что «одна форма — это не сбор данных»
• но закон считает иначе

2. Клиенты сами пишут — значит, это не наша ответственность

Фраза:

«Клиенты сами пишут нам в WhatsApp / Telegram»

На практике:

• компания принимает сообщение
• обрабатывает контакт
• использует данные для ответа или продажи
• вносит данные клиента в CRM-систему

Это классический пример обработки персональных данных в бизнесе, даже если инициатива исходит от клиента.

3. B2B не означает отсутствие персональных данных

Миф:

«Мы работаем только с компаниями, а не с физлицами»

Реальность:

• вы общаетесь с конкретными людьми – представителями контрагента
• храните их имена, телефоны, email
• ведёте переписку

Это всё равно персональные данные, даже если они используются в деловом контексте.

4. Внутренние таблицы и CRM «для себя»

Очень частая ситуация:

• база клиентов или партнёров
• Excel на компьютере
• CRM без регламентов

Даже если данные:

• не публикуются
• не продаются
• используются только внутри

— бизнес остаётся оператором персональных данных и несёт ответственность за их обработку и защиту.

5. Сотрудники и соискатели

Отдельный блок, который часто недооценивают.

Если у компании есть:

• сотрудники
• резюме кандидатов
• кадровые документы

Она автоматически обрабатывает персональные данные сотрудников и обязана соблюдать требования закона.

Некоторые компании пытаются:

• убрать формы
• заменить их на мессенджеры
• «не фиксировать» данные официально

Но это не решает проблему.

Если бизнес:

• получает данные
• использует их
• сохраняет хотя бы временно

— статус оператора сохраняется, независимо от формата.

Когда бизнес не осознаёт, что он оператор персональных данных, возникают типовые последствия:

• отсутствие обязательных документов
• некорректные согласия или их отсутствие
• хаотичное хранение данных
• неограниченные доступы
• неподготовленность к проверкам

В итоге проверка или запрос становятся неожиданностью.

Понимание того, когда именно бизнес стал оператором персональных данных, — ключевая точка.

Это позволяет:

• выстроить корректную юридическую модель
• не делать лишних документов
• закрывать реальные риски, а не формальные
• спокойно развивать бизнес и цифровые каналы

Бизнес становится оператором персональных данных не тогда, когда “решил этим заняться”, а тогда, когда начал работать с людьми — клиентами, сотрудниками, партнёрами.

Фраза «мы ничего не собираем» не защищает от ответственности, потому что персональные данные появляются в обычной повседневной деятельности.

Осознание этого — первый шаг к системному и безопасному подходу к персональным данным.