Кто оператор, а кто обработчик, если маркетинговое агентство ведёт рассылки, сайт и CRM за клиента?

Агентство становится самостоятельным оператором, когда использует данные в своих целях: собирает базу для себя, объединяет базы разных клиентов, обучает на них свои модели, продаёт аудитории или ведёт конкурс от своего имени. Тогда ему нужны свои основания, политика, уведомление РКН и ответственность по ст. 13.11 КоАП РФ.

В поручении должны быть указаны перечень данных, перечень действий, цели, обязанность соблюдать конфиденциальность и меры защиты по ст. 19, требования ст. 18 и 18.1, обязанность предоставлять по запросу документы, подтверждающие соблюдение требований, и уведомлять оператора о случаях по ч. 3.1 ст. 21 (ч. 3 ст. 6). Для рекламы есть отдельная линия: за нарушение ст. 18 38-ФЗ отвечает рекламораспространитель, то есть тот, кто фактически осуществляет рассылку; по руководству ФАС (приказ № 410/24) в рассылках по сетям электросвязи рекламораспространителем может быть признан и оператор связи (например, при автоматической отправке или отправке с нестандартных номеров), статус зависит от обстоятельств; позиции ФАС именно об агентствах по руководству не найдено, поэтому ответственность лучше закрепить в договоре. Поэтому в договоре стоит предусмотреть, кто хранит доказательства согласий и отвечает перед ФАС.

Практические шаги: приложить к договору поручение с перечнем данных и целей; закрепить, что агентство не использует данные в своих целях и не передаёт их субагентам и зарубежным сервисам без письменного согласия заказчика; оговорить хранение журнала согласий у заказчика; запретить загрузку базы заказчика в свои общие инструменты; предусмотреть возврат или уничтожение данных по окончании договора с актом (Q15). Перечень пунктов поручения: Q19.