SaaS-провайдер: оператор или обработчик

Ключевой критерий разграничения ролей — кто определяет цели и состав обрабатываемых персональных данных. Это закреплено в ст. 3 ФЗ-152: оператор самостоятельно или совместно с другими лицами организует и осуществляет обработку ПДн и определяет её цели. Обработчик действует только по поручению оператора и в рамках этого поручения.

Применительно к SaaS три типичные ситуации дают разные ответы.

• SaaS-провайдер — оператор. Компания самостоятельно собирает данные пользователей сервиса (имя, email, платёжные данные) для целей оказания услуги, биллинга, маркетинга. Цели и состав данных определяет сама компания. Требуется уведомление РКН, политика конфиденциальности, согласия, назначение ответственного по ст. 22.1 ФЗ-152.
• SaaS-провайдер — обработчик. Клиент-бизнес (например, интернет-магазин) передаёт провайдеру доступ к своим клиентским данным для обработки через платформу. Цели определяет клиент. Провайдер обрабатывает данные строго по его поручению. Требуется договор-поручение по п. 3 ст. 6 ФЗ-152, конфиденциальность, перечень разрешённых действий.
• Двойная роль. Провайдер одновременно является оператором (в отношении данных своих пользователей — регистрационных, платёжных) и обработчиком (в отношении данных конечных клиентов своих заказчиков). Это самый распространённый сценарий в B2B-SaaS. ОРД нужен для обеих ролей.

Проверочный вопрос для юриста: «Кто в итоге решает, какие данные собирать и зачем?» Если ответ — провайдер, это оператор. Если клиент задаёт цели, а провайдер только исполняет технические функции — это обработчик.

Если по итогам шага 1 провайдер является оператором (полностью или частично), он обязан уведомить Роскомнадзор о намерении обрабатывать ПДн до начала обработки — ст. 22 ФЗ-152. Форма уведомления утверждена Приказом РКН № 180 от 28.10.2022. Подача — через pd.rkn.gov.ru с ЕСИА или усиленной квалифицированной подписью.

Сведения в реестре необходимо поддерживать в актуальном состоянии: при изменении состава обрабатываемых данных, целей, добавлении новых категорий субъектов или прекращении обработки провайдер подаёт уведомление об изменении сведений через ту же форму. Типичная ошибка SaaS-компаний — уведомление подано один раз при запуске, но после выхода нового модуля (например, HR-инструмента или аналитики) состав обрабатываемых данных расширился без обновления реестровых сведений.

Если по итогам шага 1 провайдер — только обработчик, подавать уведомление как оператор не требуется. Но нужен надлежащий договор-поручение (шаг 4).

Оператор обязан опубликовать документ, определяющий его политику в отношении обработки ПДн — ч. 2 ст. 18.1 ФЗ-152. Для SaaS-сервиса с сайтом это политика конфиденциальности, доступная неограниченному кругу лиц по прямой ссылке. Отсутствие политики или её несоответствие требованиям — штраф по ч. 3 ст. 13.11 КоАП от 30 000 до 60 000 ₽.

Обязательные разделы политики согласно ч. 2 ст. 18.1 ФЗ-152:

• наименование и контактные данные оператора;
• цели обработки ПДн и правовые основания по ст. 6 ФЗ-152;
• категории субъектов и перечень обрабатываемых ПДн;
• сроки хранения и критерии их определения;
• порядок реализации прав субъектов (ст. 14–21 ФЗ-152);
• порядок обработки по поручению (если используются обработчики);
• трансграничная передача (если применяется);
• дата актуальности и порядок изменений.

Использовать шаблон политики из открытых источников без адаптации недопустимо: типовые шаблоны не отражают фактический состав данных, реальных обработчиков (CDN, почтовые сервисы, аналитика) и не содержат актуальных реквизитов оператора. РКН при проверке сверяет политику с фактической обработкой.

Если SaaS-провайдер выступает обработчиком по поручению клиента-оператора, отношения оформляются договором-поручением по п. 3 ст. 6 ФЗ-152. Это может быть отдельный договор или специальный раздел (приложение) к основному договору об оказании услуг. Обработка ПДн без оформленного поручения — нарушение ст. 6 ФЗ-152 со стороны оператора-клиента; провайдер в таком случае действует без надлежащего правового основания.

Обязательные условия договора-поручения:

• перечень ПДн, передаваемых для обработки;
• перечень разрешённых действий (хранение, систематизация, передача, уничтожение — только то, что реально необходимо);
• цели обработки — строго те, что определил оператор;
• обязанность обработчика соблюдать конфиденциальность;
• обязанность применять технические и организационные меры по ст. 19 ФЗ-152;
• запрет передачи данных третьим лицам без согласия оператора;
• порядок уничтожения ПДн по завершении поручения или при отзыве.

Отдельный вопрос — субпоручение. Если провайдер привлекает собственных подрядчиков (облачный хостинг, CDN, служба поддержки с доступом к данным), каждый из них тоже является обработчиком по субпоручению. Право на субпоручение должно быть прямо предусмотрено в договоре с клиентом-оператором. Ответственность перед оператором за действия субобработчика несёт провайдер.

Оператор-юридическое лицо обязан назначить лицо, ответственное за организацию обработки персональных данных, — ст. 22.1 ФЗ-152. Это не DPO в европейском смысле, но функционально близко: сотрудник отвечает за внутренний контроль, взаимодействие с РКН, ответы на запросы субъектов.

Требования к назначению:

• приказ руководителя о назначении конкретного сотрудника;
• должностная инструкция или регламент с перечнем обязанностей;
• контактные данные ответственного должны быть указаны в политике конфиденциальности и в уведомлении в РКН.

Для SaaS-компаний типична ошибка: ответственным формально назначают IT-директора, но реальных полномочий по взаимодействию с РКН и ответам субъектам он не получает. При проверке это выявляется через журнал входящих запросов: если запросы субъектов ПДн поступали, но ответы не направлялись в срок 10 рабочих дней по ст. 20 ФЗ-152, — нарушение ч. 4 ст. 13.11 КоАП (от 40 000 до 80 000 ₽).

Альтернатива штатному назначению — DPO-аутсорсинг: функция ответственного передаётся специализированной компании по договору. Это законная модель: ст. 22.1 ФЗ-152 не ограничивает форму назначения — сотрудник или привлечённый специалист.

С 01.09.2025 вступила в силу редакция ч. 1 ст. 9 ФЗ-152, введённая ФЗ-156 от 24.06.2025: согласие на обработку ПДн оформляется отдельным документом. Включать согласие в текст договора, оферты, политики конфиденциальности или пользовательского соглашения больше нельзя.

Для SaaS-провайдера как оператора это означает:

• форма регистрации на сервисе не может содержать единый чекбокс «принимаю условия и соглашаюсь на обработку ПДн»;
• согласие должно быть автономным — отдельная форма или отдельный чекбокс исключительно для обработки ПДн;
• реквизиты согласия по ст. 9 ФЗ-152: наименование оператора, цель, перечень ПДн, перечень действий, срок, способ отзыва.

Ранее полученные согласия, встроенные в договор или пользовательское соглашение, обратной силы не имеют — ФЗ-156 не обязывает переоформлять их принудительно. Но для всех новых регистраций после 01.09.2025 необходима обновлённая форма. Если провайдер не обновил форму — обработка ПДн новых пользователей ведётся без надлежащего согласия, что квалифицируется по ч. 2 ст. 13.11 КоАП (штраф 300 000–700 000 ₽).

Отдельно — согласие на распространение ПДн по ст. 10.1 ФЗ-152, если сервис публикует пользовательские профили или передаёт данные партнёрам для маркетинга. Это самостоятельное согласие, его отсутствие — нарушение ст. 10.1.