Персональные данные в филиалах, франшизе и группе компаний: кто оператор

Коротко: для 152-ФЗ сеть – это не бренд, а набор юридических лиц и ИП. Филиалы одной компании – один оператор: одна политика и одно уведомление в Роскомнадзор. Во франшизе и группе компаний операторов столько, сколько юрлиц и ИП, и у каждого свои документы и своя запись в реестре. Главный вопрос для общего сайта сети – чья заявка: человек, который оставляет телефон, должен понимать, какой оператор его получит.

Типичная ситуация: у сети сервисных центров общий сайт, одна форма заявки и страница «Политика», на которой списком собраны политики нескольких десятков точек-франчайзи. Документов много, у каждого ИП своя политика – формально всё на месте. Но клиент, который оставил номер в форме, не может понять, кому именно он его отдал: франчайзеру, владельцу сайта или одной из точек.

Отдельных правил для сетей и франшиз в 152-ФЗ нет – всё выводится из общих норм закона, Гражданского кодекса и КоАП. Разберём, кто в сети оператор, сколько нужно политик и уведомлений, как устроить общий сайт и CRM и что проверить, если документы уже размещены.

Кто в сети оператор

Оператор – это госорган, юридическое или физическое лицо, которое «самостоятельно или совместно с другими лицами» организует обработку персональных данных и определяет её цели, состав данных и действия с ними (п. 2 ст. 3 152-ФЗ). Товарный знак, вывеска и общий сайт оператором не бывают – оператор всегда конкретное юрлицо или ИП. Поэтому первый шаг для любой сети – выписать, какие лица в ней есть и кто из них какие данные собирает: через сайт, по телефону, на точке, по сотрудникам.

Филиалы: один оператор на всю сеть

Филиалы и представительства не являются юридическими лицами, их руководители действуют по доверенности компании (п. 3 ст. 55 ГК РФ). Значит, оператор – компания, а не филиал. Уведомление в Роскомнадзор подаёт она одно (ч. 1 ст. 22 152-ФЗ), политика у неё тоже одна, и ответственного за обработку данных назначает она (ст. 22.1).

Что не забыть при росте сети:

• В записи реестра операторов указаны, в том числе, регионы, где ведётся обработка, и место нахождения базы данных. Если сведения уведомления изменились, сообщить об этом нужно не позднее 15-го числа следующего месяца (ч. 7 ст. 22) – поэтому при открытии филиала в новом регионе сверяйте свою запись в реестре.
• Перечень сотрудников с доступом к данным утверждает руководитель компании (п. 13 ПП № 1119) – в него входят и работники филиалов.
• Если у филиалов отдельные страницы или поддомены с формами, политика компании должна быть доступна и с них: её публикуют на страницах, через которые собирают данные (ч. 2 ст. 18.1).

Франшиза: у каждой точки свой оператор

По договору коммерческой концессии правообладатель даёт пользователю право работать под его брендом (ст. 1027 ГК РФ), но франчайзи остаётся самостоятельным юрлицом или ИП. Он сам заключает договоры с клиентами и нанимает сотрудников – и обрабатывает их данные как оператор, даже если формы и состав данных задаёт стандарт сети. Если франчайзи по договору открывает свои точки через субконцессию (ст. 1029 ГК), каждый такой пользователь – тоже отдельный оператор.

Что это значит на практике:

• У каждой точки свои документы. Политика с наименованием, ИНН и адресом именно этого ИП или ООО, согласие, внутренние документы. Шаблон сети – хорошая основа, но реквизиты, цели и состав данных в нём должны совпадать с тем, что реально делает точка.
• У каждой точки своё уведомление в Роскомнадзор. Уведомление франчайзера точки не покрывает: запись в реестре – по конкретному оператору.
• Франчайзер – тоже оператор, если сам собирает данные: заявки с общего сайта, звонки в единый колл-центр, программа лояльности, данные своих сотрудников.

Гражданский кодекс отдельно обязывает франчайзи сообщать покупателям «наиболее очевидным для них способом», что он работает под чужим брендом по договору концессии (ст. 1032 ГК). Для персональных данных логика та же: клиент должен понимать, с кем он имеет дело.

Общий сайт и общая CRM: чья заявка

Это главная ловушка сетей. Согласие на обработку должно быть конкретным, предметным и информированным (ч. 1 ст. 9 152-ФЗ). Для письменного согласия закон прямо требует назвать оператора с адресом и того, кто обрабатывает данные по его поручению (п. 3 и 6 ч. 4 ст. 9), – для формы на сайте это хороший ориентир. Если на сайте одна форма и список из десятков политик, согласие не отвечает на вопрос «кому»: человек не может выбрать оператора из списка, которого не видит у галочки.

Есть три рабочие схемы.

Схема 1. Оператор – франчайзер. Сайт, форма и CRM принадлежат франчайзеру, согласие даётся ему. Дальше два варианта. Точка может обрабатывать заявку по поручению франчайзера – тогда она не вправе использовать данные в своих целях (а когда клиент заключает договор с точкой, данные по этому договору она уже обрабатывает как оператор). Или франчайзер передаёт заявку точке как отдельному оператору – это предоставление данных (п. 6 ст. 3), и для него нужно основание; надёжнее всего, если согласие прямо говорит, что заявку получит выбранная точка.

Схема 2. Оператор – точка. В форме человек выбирает город или адрес, и у галочки появляется оператор этой точки – наименование, ИНН, адрес и ссылка на её текст согласия и политику. Франчайзер ведёт сайт и CRM по поручению каждой точки (ч. 3 ст. 6) и назван в согласии как лицо, которое обрабатывает данные по поручению. Схема сложнее в настройке, но лучше всего отвечает на вопрос «чья заявка».

Схема 3. Совместная обработка. Закон допускает, что оператор действует «совместно с другими лицами» (п. 2 ст. 3), но подробного порядка для этого в 152-ФЗ нет. Кто за что отвечает перед клиентом и Роскомнадзором, придётся распределить договором, а в согласии и политике назвать всех операторов. Для небольших сетей эта схема обычно избыточна.

Важно: у договора поручения обязательный набор условий. По ч. 3 ст. 6 152-ФЗ в нём должны быть перечень данных и действий с ними, цели, обязанность хранить конфиденциальность, хранить данные россиян в России и выполнять ст. 18.1, по запросу подтверждать принятые меры документами, обеспечивать защиту по ст. 19 и сообщать оператору об утечках.

Что франчайзеру заложить в стандарт сети

У франчайзера есть инструмент, которого нет у одиночного бизнеса, – стандарт сети. Если раздел о персональных данных есть в договоре концессии и операционном руководстве, точкам не придётся решать всё заново:

• Кто оператор данных с общего сайта, из единого колл-центра и общей CRM – по выбранной схеме.
• Договоры поручения с условиями из ч. 3 ст. 6 – в приложении к договору концессии.
• Шаблоны документов для точек – политика, согласие, внутренние документы, с понятными местами для реквизитов и целей точки.
• Где хранятся данные. Базы с данными россиян должны находиться в России (ч. 5 ст. 18) – это касается и общей CRM, и сервисов рассылок.
• Порядок при утечке. У оператора 24 часа на первое уведомление Роскомнадзора и 72 часа на результаты расследования (ч. 3.1 ст. 21). Точка и франчайзер должны заранее знать, кто кому сообщает и в какой срок.
• Кто отвечает на запросы клиентов. На запрос человека о его данных оператор отвечает в течение 10 рабочих дней, продлить можно ещё на 5 с мотивированным уведомлением (ст. 20), – в сети запрос должен быстро доходить до того, чьи это данные.
• Учёт точек: список операторов сети с номерами записей в реестре Роскомнадзора.

Группа компаний: у каждого юрлица свои обязанности

Отдельного режима для холдингов в 152-ФЗ нет: каждое юрлицо группы – самостоятельный оператор со своей политикой, уведомлением и ответственным. Передача данных между компаниями группы – это предоставление данных третьему лицу (п. 6 ст. 3), и на него нужно основание. Частые случаи: общая CRM на всю группу, единый колл-центр в одной из компаний, общий кадровый или бухгалтерский центр. Обычно их оформляют поручением: например, кадровый центр обрабатывает данные сотрудников других компаний по их поручению, а на передачу данных работника третьей стороне нужно его письменное согласие, кроме случаев, предусмотренных законом (ст. 88 ТК РФ).

Частые ошибки

• Страница со списком политик всех точек и одна форма без ответа «чья заявка».
• Нет политики самого владельца сайта, хотя форма и CRM – его.
• Шаблон политики без адаптации: не те цели, нет ИНН и адреса оператора – человеку некуда направить запрос о своих данных.
• Франчайзер подал уведомление «за всю сеть», а точки-ИП в реестре не значатся.
• Изменились сведения уведомления – например, место нахождения базы данных, – а в Роскомнадзор об этом не сообщили.
• Общая CRM на зарубежных серверах.
• Галочка «согласен с политикой» вместо ссылки на текст согласия – с 1 сентября 2025 года согласие оформляется отдельно от других документов (156-ФЗ).

Во что обходятся ошибки

Каждый оператор сети отвечает за свои нарушения сам. Суммы по действующей редакции ст. 13.11 КоАП:

Для малого бизнеса при первом нарушении, выявленном при контроле, если вреда не было, штраф подлежит замене предупреждением при условиях, установленных законом (ст. 4.1.1 КоАП). Штраф назначает суд по протоколу Роскомнадзора; обычно этому предшествует требование устранить нарушения.

Дорожная карта для сети

Если сеть только оформляет документы

• Составьте список всех юрлиц и ИП сети и того, какие данные собирает каждый: сайт, телефон, точка, сотрудники.
• Выберите схему для общего сайта и CRM – кто оператор заявок.
• Подготовьте документы головной компании или франчайзера: политика, согласие, внутренние документы, уведомление.
• Подготовьте документы и уведомление для каждой точки – с её реквизитами и реальными целями.
• Подпишите договоры поручения с условиями из ч. 3 ст. 6.
• Настройте форму на сайте: выбор точки, если оператор – точка; у галочки – название оператора и ссылка на текст согласия.
• Проверьте, что каждый оператор появился в реестре Роскомнадзора, и заведите учёт номеров.

Если документы уже размещены

Пройдитесь по вопросам – каждый «нет» или «не знаю» стоит исправить:

• По тексту у галочки понятно, какой оператор получит заявку?
• На сайте есть политика владельца сайта?
• В политиках точек указаны их наименование, ИНН и адрес, а цели совпадают с тем, что делает точка?
• Каждая точка есть в реестре операторов? Проверить можно по ИНН на pd.rkn.gov.ru → «Реестр операторов».
• С тем, кто ведёт общий сайт и CRM, подписаны договоры поручения с условиями из ч. 3 ст. 6?
• Базы данных сети находятся в России?
• После открытия новых точек и смены серверов запись в реестре совпадает с действительностью?

Чек-лист для сети

• Выписаны все операторы сети: юрлица и ИП
• Для общего сайта выбрана схема: кто оператор заявок
• У галочки в форме назван оператор и есть ссылка на текст согласия
• У каждого оператора своя политика с его реквизитами
• У каждого оператора своя запись в реестре Роскомнадзора
• Подписаны договоры поручения с условиями ч. 3 ст. 6
• Общая CRM и сервисы рассылок хранят данные в России
• Определено, кто и в какой срок сообщает об утечке
• При открытии точек и смене серверов запись в реестре сверяется, изменения сообщаются до 15-го числа следующего месяца

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – п. 2 и 6 ст. 3, ч. 3 и 5 ст. 6, ст. 9, ст. 18.1, ст. 20, 21, 22, 22.1
• Гражданский кодекс РФ – ст. 55 (представительства и филиалы), ст. 1027, 1029, 1032 (коммерческая концессия)
• КоАП РФ – ст. 13.11 (ч. 1, 3, 10), ст. 4.1.1
• Постановление Правительства РФ № 1119 (уровни защищённости персональных данных)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Сеть, франшиза или группа компаний? Опишите задачу – посмотрим и рассчитаем стоимость.