· Статьи · 7 мин чтения
Автор: команда ДокументЛаб — сервис, который генерирует юридические документы для сайтов и помогает бизнесу соблюдать 152-ФЗ и GDPR.
Ответственный за обработку персональных данных: кого назначить и как оформить
Ответственный за обработку персональных данных — это сотрудник, которого каждая организация обязана назначить приказом по статье 22.1 Федерального закона № 152-ФЗ. Он контролирует законность обработки ПД, отвечает на запросы клиентов и взаимодействует с Роскомнадзором, поэтому без него система защиты данных формально не работает. При проверке регулятор запрашивает приказ о назначении одним из первых документов. Ниже — кто может быть ответственным, как оформить назначение и что грозит за его отсутствие.
Главное
- Назначить ответственного за организацию обработки ПД требует статья 22.1 Федерального закона № 152-ФЗ.
- Приказ о назначении — один из первых документов, которые запрашивает Роскомнадзор при проверке.
- Ответственным может быть любой сотрудник, но чаще назначают директора, юриста или HR-директора.
- ИП и ООО с одним учредителем назначают ответственным самого себя отдельным приказом.
- По 152-ФЗ ответственный обязателен для всех операторов ПД без исключений, в отличие от DPO по GDPR.
Содержание
- Зачем нужен ответственный за обработку персональных данных
- Кого можно назначить
- Что входит в обязанности ответственного
- Как оформить назначение
- Индивидуальные предприниматели и микробизнес
- Отличие ответственного от DPO
- Что бывает, если не назначить
- Ответственный на несколько юрлиц
- Передача обязанностей
- Сайт тоже нуждается в документах
- Краткий план действий
Зачем нужен ответственный за обработку персональных данных
В компании должен быть конкретный сотрудник, который отвечает за соблюдение правил обработки персональных данных, а не «все понемногу».
Ответственный контролирует, чтобы данные клиентов и сотрудников обрабатывались законно. Он отвечает на запросы субъектов ПД (например, когда клиент просит удалить данные), взаимодействует с Роскомнадзором при проверке и следит за актуальностью документации.
В небольших компаниях назначение часто остаётся формальностью. Но при проверке именно ответственного спросят, где хранятся данные, кто имеет к ним доступ, есть ли согласия и актуальна ли политика, поэтому назначенный сотрудник должен реально понимать процессы обработки ПД.
Кого можно назначить
Закон не устанавливает жёстких требований к должности ответственного — это может быть практически любой сотрудник.
Чаще всего ответственным назначают кого-то из руководства: генерального директора, заместителя директора, руководителя юридического или IT-отдела, начальника отдела кадров. У такого сотрудника есть реальные полномочия влиять на процессы обработки данных.
Назначать рядового менеджера — плохая идея. Ответственный должен иметь возможность давать указания другим сотрудникам, запрашивать информацию у любого отдела и инициировать изменения в процессах.
В компаниях до 10–15 человек ответственным обычно становится сам директор — он и так контролирует все процессы.
В крупных компаниях иногда создают отдельную должность или отдел по защите данных, но для малого и среднего бизнеса это избыточно.
Возможен вариант совмещения: юрист компании или HR-директор одновременно становится ответственным за обработку ПД. Про обработку данных сотрудников у нас есть отдельный материал.
Что входит в обязанности ответственного
Обязанности ответственного делятся на пять блоков.
Первый блок — документация. Ответственный следит, чтобы политика конфиденциальности, согласия на обработку, пользовательское соглашение и внутренние регламенты были составлены, актуальны и доступны. Устаревшие документы он инициирует обновлять.
Второй блок — контроль процессов. Ответственный должен знать, какие данные собирает сайт, какие формы используются, куда данные передаются и кто из сотрудников имеет доступ. Полный чек-лист требований 152-ФЗ поможет ничего не упустить.
Третий блок — работа с запросами. Если клиент требует удалить его данные или сообщить, какие данные о нём хранятся, ответственный обрабатывает запрос: на блокировку даётся 10 рабочих дней, на удаление — 30 дней с момента получения требования.
Четвёртый блок — взаимодействие с Роскомнадзором: подача уведомления об обработке ПД, ответы на запросы регулятора, участие в проверках. Ответственный обычно указывается как контактное лицо в уведомлении.
Пятый блок — обучение сотрудников. Ответственный организует ознакомление сотрудников, работающих с ПД, с правилами обработки и при необходимости — обучение.
Как оформить назначение
Назначение оформляется приказом руководителя организации. Строгой формы нет, но есть обязательные элементы.
В приказе указываются ФИО и должность назначаемого сотрудника, основание назначения (ссылка на статью 22.1 152-ФЗ), перечень обязанностей и дата вступления в силу.
Примерная структура приказа: шапка (наименование организации, номер приказа, дата), преамбула «В соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных"… приказываю…», далее пункты о назначении сотрудника, возложении обязанностей и сроках ознакомления.
Приказ подписывает руководитель, а назначенный сотрудник расписывается об ознакомлении.
Рекомендуется также внести обязанности ответственного в должностную инструкцию или трудовой договор дополнительным соглашением — при проверке это будет плюсом.
Индивидуальные предприниматели и микробизнес
ИП, работающий один, сам является ответственным за обработку ПД. Приказ в этом случае тоже нужен: ИП назначает сам себя.
Для ООО с одним учредителем-директором ситуация аналогичная — директор подписывает приказ о назначении самого себя ответственным.
Это выглядит бюрократией, но проверяющие смотрят на наличие документа: нет приказа — нарушение, есть приказ — вопрос закрыт.
Отличие ответственного от DPO
DPO (Data Protection Officer) — это европейский аналог ответственного за обработку ПД из GDPR, но с важными отличиями.
DPO по GDPR должен быть независимым, его нельзя наказать за выполнение обязанностей, и он подчиняется напрямую высшему руководству. В российском законодательстве таких требований нет — ответственный остаётся обычным сотрудником с дополнительными обязанностями.
Ещё одно отличие: по GDPR назначение DPO обязательно не для всех организаций, а по 152-ФЗ ответственный обязателен для всех операторов ПД без исключений.
Что бывает, если не назначить
Отсутствие назначенного ответственного — нарушение 152-ФЗ, которое Роскомнадзор зафиксирует в акте при проверке. Штрафы за нарушения закона о персональных данных растут каждый год.
Дело не только в штрафах: без ответственного вся система защиты ПД рассыпается. Некому контролировать процессы, отвечать на запросы субъектов и готовиться к проверкам. Про подготовку к проверке Роскомнадзора мы писали отдельно.
Ответственный на несколько юрлиц
Назначить одного человека ответственным за обработку ПД в нескольких организациях формально нельзя: каждое юрлицо — отдельный оператор со своим ответственным.
На практике это может быть один и тот же человек, назначенный отдельным приказом в каждой организации, в том числе по совместительству.
Передача обязанностей
Если ответственный уволился или ушёл в отпуск, на время отсутствия нужно назначить замещающего приказом. Без замещающего компания формально остаётся без ответственного лица, что является нарушением.
При увольнении ответственного нужно в разумные сроки назначить нового и при необходимости обновить данные в уведомлении Роскомнадзора, если ответственный был указан как контактное лицо.
Сайт тоже нуждается в документах
Назначение ответственного — часть внутренней документации, но не стоит забывать и про документы для сайта. Какие документы нужны сайту — в этой статье мы разбирали весь набор.
Сервис ДокументЛаб помогает сгенерировать документы для сайта: политику конфиденциальности, согласие на обработку ПД, пользовательское соглашение. Вы заполняете информацию о сайте и получаете готовые документы, соответствующие требованиям 152-ФЗ, что закрывает «внешнюю» часть. В ПоряДке документы формируются под конкретный сайт с учётом актуальной редакции 152-ФЗ.
Но «внутренняя» часть — приказ о назначении ответственного, регламенты обработки, журналы учёта — тоже важна, без неё комплект неполный.
Краткий план действий
Определите, кто будет ответственным (директор, юрист, HR — в зависимости от размера компании), подготовьте приказ о назначении, подпишите его, внесите изменения в должностную инструкцию и ознакомьте сотрудника с внутренними документами. Укажите его как контактное лицо в уведомлении Роскомнадзора или подайте уведомление.
Это занимает пару часов, а закрывает одно из ключевых требований закона.
Частые вопросы
Можно ли назначить ответственным рядового сотрудника?
Формально можно — закон не устанавливает требований к должности. Но у рядового менеджера нет полномочий влиять на процессы, поэтому чаще назначают руководство: директора, юриста или HR-директора. В компаниях до 10–15 человек ответственным обычно становится сам директор.
Что будет, если не назначить ответственного за обработку ПД?
Отсутствие ответственного — нарушение 152-ФЗ, которое Роскомнадзор зафиксирует в акте при проверке. Приказ о назначении запрашивают одним из первых документов. Без ответственного некому контролировать процессы, отвечать на запросы субъектов и готовиться к проверкам.
Чем ответственный по 152-ФЗ отличается от DPO по GDPR?
DPO по GDPR должен быть независимым и подчиняться напрямую руководству, а по 152-ФЗ ответственный — обычный сотрудник с дополнительными обязанностями. DPO обязателен не для всех организаций, а ответственный по 152-ФЗ — для всех операторов ПД без исключений.
Сколько времени даётся на обработку запроса субъекта ПД?
На блокировку персональных данных даётся 10 рабочих дней, на удаление — 30 дней с момента получения требования. Обработкой таких запросов занимается ответственный за обработку персональных данных.
Итоги
Ответственного за обработку персональных данных обязан назначить приказом каждый оператор ПД по статье 22.1 152-ФЗ.
- Назначение ответственного — прямое требование статьи 22.1 152-ФЗ.
- Приказ о назначении Роскомнадзор запрашивает одним из первых.
- Ответственным чаще назначают директора, юриста или HR-директора.
- ИП и ООО с одним учредителем назначают ответственным себя отдельным приказом.
- Ответственный по 152-ФЗ обязателен для всех операторов, в отличие от DPO по GDPR.
- На блокировку данных даётся 10 рабочих дней, на удаление — 30 дней.
Оформите приказ о назначении ответственного и закройте внутренние документы, а внешние документы для сайта сформируйте в ПоряДке.