По словам заместителя начальника юридического отдела управления Роскомнадзора по Москве и области Ольги Михеевой, все компании в России обрабатывают персональные данные, но не все являются операторами персональных данных. Однако чем отличается оператор от любого другого предприятия, из определения закона понять трудно. Правда, в любом случае операторы связи выступают в роли операторов персональных данных.
Операторам связи не нужно посылать уведомления в Роскомнадзор и получать согласия клиентов, поскольку сбор данных выполняется ими в рамках договоров, — это предусмотренное законом послабление. Не требуется уведомлять Роскомнадзор и об обработке данных собственных сотрудников, поскольку они также собираются в рамках исполнения трудового законодательства. Однако если продажами услуг операторов занимается агентская компания, ей необходимо получать от клиентов разрешения на передачу персональных данных оператору связи и уведомлять Роскомнадзор в тех случаях, когда по каким-либо причинам ей приходится сохранять данные клиентов в своей информационной системе. Впрочем, в течение трех дней агент имеет право хранить данные без нарушения закона.
Еще одна тонкость: хотя Роскомнадзор принимает в качестве цели обработки персональных данных соответствие требованиям других ведомств (например, СОРМ), по заявлению конкретного гражданина оператор должен в трехдневный срок уничтожить его данные — в этом случае ссылка на другие законы уже не принимается в расчет. Таким образом, оператор должен предусмотреть процедуру уничтожения персональных данных клиентов по их специальным запросам. Вообще же Роскомнадзор призывает операторов правильно формулировать цели обработки персональных данных, причем не только в период обслуживания абонента по действующему контракту, но и на время архивного хранения записей.
Отсутствие необходимости уведомлять Роскомнадзор об обработке персональных данных не снимает с телекомунникационных компаний ответственности за их защиту. И Роскомнадзор имеет право проверить любую компанию на предмет соблюдения закона «О персональных данных», если на нее будет подана соответствующая жалоба.