Оператор отвечает за то, зачем нужны персональные данные, какие сведения собираются, сколько они хранятся и кому передаются. Даже небольшая компания может иметь такой статус, если получает имя, телефон, электронную почту, адрес или данные сотрудника.

Уведомление Роскомнадзора обычно подают до начала обработки, хотя для отдельных ситуаций закон предусматривает исключения. Поэтому вопрос нельзя сводить к формальной галочке: иногда галочка поставлена, а процесс обработки все равно не описан.

При сборе персональных данных граждан России нужно отдельно проверить требования к использованию баз данных, расположенных на территории РФ. Зарубежный сервис может использоваться в рабочем процессе, но это не отменяет проверки того, где происходит первичная запись и дальнейшая обработка сведений.

Политика конфиденциальности должна соответствовать реальным процессам компании. Если на сайте написано одно, а заявки уходят в CRM, рекламные системы или подрядчикам по другой схеме, документ создает ложное ощущение порядка. Политику также не следует путать с согласием на обработку персональных данных: это разные элементы правовой и организационной работы.

Отдельно проверяют договоры с подрядчиками, доступ сотрудников, сроки хранения, порядок удаления данных и состав форм на сайте. Андрей Волков рассматривает этот термин через управленческую практику: собственнику нужно видеть не отдельный документ, а всю цепочку движения данных.

Компания собирает заявки через сайт, передает их менеджерам в CRM и подключает внешний сервис рассылок. В политике конфиденциальности указан только сайт, а порядок передачи данных в CRM и рассылочный сервис не описан. В такой ситуации собственнику стоит составить карту обработки, проверить договоры, уведомление РКН и размещение баз, а затем привести документы в соответствие с фактической схемой.