Ответственный за обработку персональных данных: назначение, приказ и положение
Юридическое лицо обязано назначить ответственного за организацию обработки персональных данных и закрепить правила обработки во внутренних документах. Разбираем, кого назначать, что должен делать ответственный, что написать в приказе и в положении об обработке данных и как это связано с уведомлением Роскомнадзора.
Кто обязан назначать ответственного
Статья 22.1 152-ФЗ и пункт 1 части 1 статьи 18.1 возлагают эту обязанность на оператора — юридическое лицо. Размер компании значения не имеет: ответственный нужен и ООО из трёх человек, и холдингу. Индивидуальный предприниматель сам несёт обязанности оператора и отдельного назначения закон от него не требует, хотя при штате с доступом к данным закрепить роль внутри команды всё равно полезно.
«Назначение ответственного обязательно для всех операторов без исключений, включая ИП».
Норма адресована юридическим лицам. ИП остаётся оператором со всеми остальными обязанностями — уведомление, основания обработки, политика и защита данных, — но назначать «ответственного» за самого себя ему не нужно.
Что должен делать ответственный
Ответственный получает указания напрямую от руководителя организации и подотчётен ему, а оператор обязан обеспечить его сведениями, которые подаются в уведомлении Роскомнадзора. Закон прямо называет три обязанности.
Ответственный за организацию обработки по ст. 22.1 — это юридическая и организационная роль. Требования к защите данных в информационных системах (постановление Правительства № 1119) предусматривают ещё и работника, ответственного за обеспечение безопасности данных в системе. Это может быть один человек, но задачи разные, и в приказах их лучше разделить.
Сколько ответственных нужно и можно ли назначить нескольких
Закон говорит об ответственном в единственном числе: юридическое лицо назначает ответственного за организацию обработки персональных данных. Это одна роль, и в уведомлении Роскомнадзора указывается один человек. Но это не значит, что в компании не может быть других людей, работающих с данными.
| Роль | Сколько | Основание |
|---|---|---|
| Ответственный за организацию обработки | Один на юридическое лицо — его фамилия попадает в реестр операторов | ст. 22.1 152-ФЗ |
| Ответственный за безопасность данных в информационной системе | Отдельная роль, может совпадать или нет | постановление Правительства № 1119 |
| Работники с доступом к данным | Сколько нужно, перечень закрепляется приказом или приложением к положению | ст. 18.1 152-ФЗ |
| Ответственные в филиалах и подразделениях | По решению компании — закон не запрещает, но перед регулятором отвечает назначенный по ст. 22.1 | внутреннее решение |
Типичная ошибка крупных компаний — назначить ответственных в каждом подразделении и не назначить общего. Тогда формально роль по статье 22.1 не закрыта, а в сведениях для реестра некого указывать. Что именно попадает в реестр и как это обновлять — в материале о реестре операторов.
Кого назначать
Требований к образованию и стажу закон не устанавливает. На практике выбирают того, кто реально видит процессы и может влиять на них: в небольшой компании — руководителя или его заместителя, в средней — юриста, специалиста по комплаенсу или руководителя службы безопасности. Назначать можно работника компании или, по договору, внешнюю организацию — тогда в уведомлении указывается её наименование.
Сотрудника без доступа к процессам и без полномочий: «ответственный», который не знает, какие формы есть на сайте и с какими подрядчиками работает компания, не сможет вести внутренний контроль, а на проверке это видно сразу.
Что написать в приказе о назначении
Приказ — основной документ, подтверждающий назначение. Он подписывается руководителем, ответственный знакомится с ним под подпись.
| Элемент приказа | Что указывают |
|---|---|
| Основание | Статья 22.1 и пункт 1 части 1 статьи 18.1 152-ФЗ |
| Кто назначен | ФИО и должность работника или наименование организации, если функция передана по договору |
| Обязанности | Внутренний контроль, ознакомление работников, работа с обращениями субъектов — со ссылкой на положение |
| Подотчётность | Подчинение непосредственно руководителю организации |
| Контакты | Телефон, почтовый и электронный адрес — те же, что попадут в уведомление Роскомнадзора |
| Дата вступления в силу | С какого дня действует назначение |
ФИО и контакты ответственного указываются в уведомлении об обработке персональных данных. Если ответственный сменился, Роскомнадзор нужно уведомить не позднее 15-го числа месяца, следующего за месяцем изменения.
Мы готовим их одним комплектом под ваши цели, системы и подрядчиков — вместе с политикой, согласиями на сайте и уведомлением в Роскомнадзор. Сроки и состав — на странице разработки документов для сайта и компании.
Должностная инструкция ответственного: что в ней должно быть
Отдельную должностную инструкцию закон не требует — обязанности можно закрепить в приказе и положении. Но если компания решает её составить, содержание определяется теми же тремя функциями из статьи 22.1 и управленческой логикой.
Самая частая ошибка — назначить ответственным сотрудника и описать ему обязанности, не дав права требовать информацию у ИТ, маркетинга и кадров. Такой ответственный не может вести внутренний контроль физически, и на проверке это выясняется за несколько вопросов.
Положение об обработке персональных данных
Закон не называет документ «положением», но требует от юридического лица локальные акты, которые для каждой цели обработки определяют категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения, а также процедуры предотвращения и выявления нарушений. Чаще всего всё это собирают в положение об обработке и защите персональных данных.
Положение утверждается приказом руководителя, работники с доступом к данным знакомятся с ним под подпись. Политика — публичная часть этой системы, положение — внутренняя.
За что отвечает сам ответственный
Роль не делает человека главным виновником всех нарушений компании: оператором остаётся юридическое лицо, и штрафы по статье 13.11 КоАП в основном адресованы ему. Но личная ответственность тоже существует.
| Вид ответственности | Что это значит |
|---|---|
| Дисциплинарная и материальная | По статье 90 ТК — в порядке, установленном трудовым законодательством, вплоть до возмещения ущерба работодателю |
| Административная как должностного лица | По частям 1–3 статьи 13.11 КоАП: например, обработка без законного основания — от 50 000 до 100 000 ₽, нарушение требований к согласию — от 100 000 до 300 000 ₽ |
| Уголовная | Только по статье 272.1 УК и только за незаконно полученные данные: слив базы, продажа, использование. Небрежность под эту статью не подпадает |
По частям 10–18 статьи 13.11 — неподача уведомления, утечки, локализация — под должностным лицом понимается работник государственного или муниципального органа либо некоммерческой организации. Для обычной коммерческой компании по этим составам штраф назначается юридическому лицу, а не ответственному лично. Суммы по ним — в разборе штрафов по 152-ФЗ.
Ошибки, которые видно на проверке
Ответственный давно уволился, а новый не назначен. Роскомнадзор видит в реестре одно имя, а в компании за данные никто не отвечает.
После смены ответственного забыли подать уведомление об изменениях — это самостоятельное нарушение.
В положении описаны чужие системы и цели. Требование «по каждой цели» не выполнено, хотя документ формально есть.
Нет листов ознакомления с положением и политикой. Доказать, что правила доведены до сотрудников, нечем.
Найдите действующий приказ о назначении, сверьте ФИО и контакты с записью в реестре операторов, проверьте, есть ли утверждённое положение с разбивкой по целям и листы ознакомления работников. Если чего-то не хватает, это закрывается в комплекте документов для сайта и компании; найти расхождения поможет аудит по 152-ФЗ.
Частые вопросы об ответственном за обработку данных
Может ли ответственным быть сам руководитель?
Можно ли назначить внешнюю организацию?
Нужно ли ИП назначать ответственного?
Чем положение отличается от политики?
Сколько ответственных за обработку персональных данных должно быть в компании?
Нужна ли ответственному должностная инструкция?
Что грозит лично ответственному за нарушения?
Что будет, если ответственный не назначен?
Связанные материалы
Приказ, положение и документы по 152-ФЗ
Готовим приказ о назначении ответственного, положение об обработке данных под ваши цели и системы и увязываем их с политикой, согласиями и уведомлением в Роскомнадзор.