Компания использует собственный сервис, база работает на ее серверах, а сотрудники ежедневно добавляют и обрабатывают в ней сведения. Возникает вопрос: кто юридически отвечает за эксплуатацию такой системы? Здесь появляется «оператор информационной системы».
Оператор информационной системы — не обязательно программист, администратор сервера или разработчик программы. Это юридический статус того, кто осуществляет эксплуатацию самой информационной системы.
Сегодня же разберем, кто получает такой статус, как его определяют при передаче системы подрядчику и чем оператор ИС отличается от обладателя информации и оператора персональных данных.
О понятии
Итак, оператор информационной системы — это лицо, которое эксплуатирует информационную систему. В том числе оно может обрабатывать информацию, содержащуюся в ее базах данных.
При этом сама информационная система — это не только программа. Закон связывает ее с информацией в базах данных, технологиями ее обработки и техническими средствами.
Обращаясь к первоисточнику, прямое определение закреплено в пункте 12 статьи 2 Федерального закона от 27 июля 2006 года № 149-ФЗ. Оператором информационной системы признается гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации из ее баз данных.
Проще говоря, значение имеет не название должности, а роль лица в работе системы.
Пример ситуации
Допустим, компания создала внутреннюю систему учета заявок. База размещена на принадлежащем ей оборудовании, а сама компания организует эксплуатацию системы. В таком случае именно она по общему правилу будет ее оператором, а не сотрудник, который обслуживает сервер.
Кто становится оператором
Одного определения из статьи 2 недостаточно, потому что на практике систему могут обслуживать разные лица. Поэтому Закон № 149-ФЗ отдельно объясняет, кого считать оператором по общему правилу.
Так, часть 2 статьи 13 Закона № 149-ФЗ называет два основных варианта.
Оператором является собственник технических средств, которые используют для обработки информации из баз данных, если он правомерно пользуется этими базами. Однако собственник может заключить с другим лицом договор об эксплуатации информационной системы. Тогда оператором может выступать уже это лицо.
Чтобы определить оператора, мало посмотреть, кому принадлежит программа. Закон прежде всего связывает статус с техническими средствами, правомерным использованием баз данных и договором об эксплуатации системы.
Например, компания может заказать разработку программы у IT-подрядчика, но затем эксплуатировать ее на собственных серверах самостоятельно. Сам факт разработки еще не делает подрядчика оператором такой системы.
А вот если другой организации передали именно эксплуатацию информационной системы по договору, распределение ролей уже нужно проверять по условиям этого договора и статье 13.
Оператор и системный администратор
В обычной речи оператором иногда называют человека, который непосредственно работает с программой. Для Закона № 149-ФЗ такая логика не подходит.
Например, системный администратор может создавать учетные записи, устанавливать обновления и следить за оборудованием. Однако он делает это как сотрудник организации или исполнитель по договору.
Само выполнение технических операций еще не означает, что именно этот специалист стал оператором всей информационной системы.
То же относится к обычному пользователю. Бухгалтер может ежедневно вносить сведения в учетную систему, но от этого статус оператора к нему не переходит.
Иначе говоря, оператор — это субъект эксплуатации системы, а администратор и пользователь выполняют отдельные действия внутри нее. В конкретной ситуации роли могут распределяться сложнее, поэтому значение имеют закон, схема эксплуатации и договоры между участниками.
Оператор и обладатель информации
Еще одна важная граница проходит между эксплуатацией системы и правами на саму информацию.
По статье 6 Закона № 149-ФЗ обладатель информации вправе, в частности, разрешать или ограничивать доступ к ней, определять порядок такого доступа и передавать сведения другим лицам.
Оператор отвечает за другую сторону отношений — эксплуатацию информационной системы.
| Роль | Что ее характеризует |
|---|---|
| Оператор информационной системы | Осуществляет эксплуатацию информационной системы |
| Обладатель информации | Имеет право разрешать или ограничивать доступ к определенной информации |
| Собственник технических средств | Владеет оборудованием, которое используется для обработки информации |
| Системный администратор | Выполняет технические функции в пределах предоставленных ему полномочий |
При этом несколько ролей могут совпасть в одном лице. Например, компания владеет серверами, законно использует собственную базу и сама эксплуатирует систему.
Но совпадение не обязательно. Поэтому при сложной IT-инфраструктуре полезно отдельно установить, кому принадлежат данные, техника и право эксплуатации.
Отличия от оператора персональных данных
Здесь особенно легко смешать два похожих названия. Однако критерии у них разные.
Оператор информационной системы определяется по Закону № 149-ФЗ через эксплуатацию системы. А оператор персональных данных определяется уже по Закону № 152-ФЗ.
В частности, статья 3 Закона № 152-ФЗ связывает статус оператора с организацией обработки персональных данных и определением ее целей, состава сведений и совершаемых с ними действий.
Оператор информационной системы и оператор персональных данных — не два названия одного лица. В конкретной схеме эти статусы могут совпасть, а могут принадлежать разным участникам.
Например, интернет-магазин определяет, зачем собирать имена, телефоны и адреса покупателей. Поэтому именно магазин может быть оператором персональных данных.
Однако техническая эксплуатация используемой им системы может быть организована с участием другого лица. Тогда роли нужно определять отдельно по двум законам и заключенным договорам.
Кстати, этот второй статус мы подробно разобрали у нас на сайте в статье про оператора персональных данных. Там показано, почему передача базы подрядчику сама по себе не снимает обязанности с лица, которое определяет цели обработки.
Что делает оператор информационной системы
Конкретные функции зависят от самой системы. Например, оператор может организовать доступ пользователей, обработку информации, техническое сопровождение и иные процессы эксплуатации.
Однако нельзя составить один универсальный перечень обязанностей для любой ИС. Государственная система, корпоративная база и специальная финансовая платформа регулируются по-разному.
Для негосударственных и немуниципальных систем важное общее правило содержит часть 6 статьи 13 Закона № 149-ФЗ. Порядок их создания и эксплуатации определяют операторы с учетом требований этого и других федеральных законов.
Кроме того, в случаях, установленных федеральными законами, оператор должен обеспечивать возможность размещения информации в интернете в форме открытых данных.
Статус оператора показывает, кто эксплуатирует систему, но не дает готового списка всех его обязанностей. После определения оператора нужно отдельно установить вид системы и характер информации внутри нее.
Например, если в базе есть персональные данные, появляются требования законодательства о персональных данных. Если система государственная, действует дополнительный набор правил уже для таких систем.
Обязанности по защите информации
Одна из ключевых зон ответственности связана с безопасностью данных. Однако и здесь статья 16 Закона № 149-ФЗ использует важную оговорку: соответствующие обязанности оператора возникают в случаях, установленных законодательством.
В частности, часть 4 статьи 16 Закона № 149-ФЗ предусматривает меры, которые должны обеспечивать обладатель информации и оператор информационной системы в соответствующих случаях.
К ним относятся:
- предотвращение несанкционированного доступа к информации;
- своевременное выявление такого доступа;
- предупреждение неблагоприятных последствий нарушения доступа;
- защита технических средств от воздействия, нарушающего их работу;
- возможность быстро восстановить измененную или уничтоженную информацию;
- постоянный контроль уровня защищенности данных.
Кроме того, отдельным пунктом предусмотрено нахождение в России баз данных, используемых при определенных операциях с персональными данными граждан России.
Если система действительно является ИСПДн, появляются и специальные требования Закона № 152-ФЗ.
Поэтому для систем с персональными данными стоит отдельно определить границы самой ИСПДн. У нас на сайте есть статья про информационную систему персональных данных, где разобраны ее состав, уровни защищенности и работа после запуска.
Особые правила для государственных систем
Для государственной информационной системы общего правила о собственнике технических средств уже недостаточно. Закон отдельно определяет, кто выполняет функции оператора.
По действующей с 1 сентября 2026 года редакции части 5 статьи 14 Закона № 149-ФЗ функции оператора государственной информационной системы по общему правилу осуществляет заказчик ее создания. Однако решением о создании системы может быть предусмотрен другой вариант.
Кроме того, для государственных и ряда иных публичных информационных систем действуют дополнительные требования к инфраструктуре.
Например, статья 13 устанавливает специальные правила использования хостинга для постоянно подключенных к интернету систем. Также для перечисленных в законе публичных операторов ограничено использование принадлежащих иностранным лицам интернет-систем и программ, если Правительство РФ не предусмотрело исключение.
Для государственной или другой специально регулируемой системы нельзя определять обязанности оператора только по общим статьям 2 и 13. Нужно обязательно проверить нормы именно для соответствующего вида ИС.
Кроме того, с 1 сентября 2026 года часть 7 статьи 16 Закона № 149-ФЗ устанавливает для операторов ряда государственных систем обязанность взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. В том числе речь идет об информировании о предусмотренных законом компьютерных инцидентах.
Специальные операторы в отдельных законах
Выражение «оператор информационной системы» встречается и в специальном регулировании. При этом дополнительное продолжение названия может полностью менять правовой режим.
Например, законодательство о цифровых финансовых активах использует специальный статус оператора информационной системы, в которой осуществляется выпуск ЦФА.
Для такого оператора действуют уже отдельные требования финансового законодательства. В частности, статья 5 Федерального закона № 259-ФЗ предусматривает специальные требования к юридическому лицу и его деятельности.
Сам факт того, что организация является оператором обычной информационной системы по Закону № 149-ФЗ, не дает ей специального статуса оператора финансовой, государственной или другой регулируемой системы.
Поэтому при чтении нормы важно смотреть на полное название оператора, а не только на слова «информационная система».
За что отвечает оператор
Ответственность зависит от того, какое именно требование нарушено. Сам статус оператора не означает одну универсальную санкцию.
Так, часть 1 статьи 17 Закона № 149-ФЗ предусматривает, что нарушение требований законодательства об информации может повлечь дисциплинарную, гражданско-правовую, административную или уголовную ответственность.
Однако конкретное последствие нужно искать уже в норме, которая регулирует соответствующее нарушение.
Например, одно дело — нарушение правил работы с персональными данными. Другое — несоблюдение специальных требований к государственной информационной системе.
Поэтому сначала определяют нарушенную обязанность, а уже потом соответствующий вид ответственности.
Как определить оператора на практике
Если в работе участвуют собственник оборудования, разработчик, облачный сервис и несколько подрядчиков, ориентироваться только на название договора рискованно.
Проверку лучше провести последовательно:
- Определите информационную систему и ее фактические границы.
- Установите собственника технических средств, на которых обрабатывается информация.
- Проверьте, кто правомерно пользуется базами данных системы.
- Изучите договоры об эксплуатации и распределение функций между участниками.
- Проверьте, не устанавливает ли специальный федеральный закон другого оператора.
- Отдельно определите обладателя информации и оператора персональных данных, если такие статусы возникают.
- После этого составьте перечень обязанностей именно для конкретного вида системы.
Например, договор с IT-компанией может охватывать только техническую поддержку. В таком случае одного слова «обслуживание» недостаточно, чтобы сделать вывод о передаче ей функций оператора.
А вот прямой договор об эксплуатации информационной системы уже имеет другое значение и должен оцениваться вместе со статьей 13 Закона № 149-ФЗ.
Главная ошибка — искать оператора по должности или названию компании. Правильнее восстановить юридическую схему: кто эксплуатирует систему, кому принадлежат технические средства, кто пользуется базами и что закреплено в договорах.
В итоге оператор информационной системы — это не просто тот, кто умеет войти в программу или поддерживает ее технически. Это лицо, с которым закон связывает эксплуатацию конкретной системы. А точный объем его прав и обязанностей уже зависит от вида ИС, содержащейся в ней информации и специальных требований законодательства.