Юридическое лицо обязано назначить ответственного за организацию обработки персональных данных. Это прямое требование статьи 22.1 Закона № 152-ФЗ. Но приказ с фамилией сам по себе ничего в компании не меняет. Чтобы роль работала, человеку нужны полномочия, доступ к информации и понятный список задач. Иначе на проверке выясняется, что ответственный узнал о новой CRM из запроса Роскомнадзора.
Что требует закон
Статья 22.1 устанавливает несколько правил:
- ответственного назначает оператор, который является юридическим лицом;
- ответственный получает указания непосредственно от исполнительного органа организации, обычно генерального директора, и подотчетен ему;
- компания обязана предоставлять ему сведения о своих процессах обработки.
Обязанностей у него по закону три основных: внутренний контроль за соблюдением закона и требований к защите данных, доведение до работников правил и локальных актов, организация приема обращений людей или контроль за этой работой.
ФИО и контакты ответственного указывают в уведомлении Роскомнадзора. Если ответственный сменился, об этом сообщают в реестр не позднее 15-го числа следующего месяца. Про это часто забывают, и в реестре годами висит человек, который давно уволился.
Нужен ли ответственный ИП
Закон требует назначать ответственного от юридических лиц. Индивидуальный предприниматель без работников приказ издавать не обязан, он сам организует обработку. В уведомлении Роскомнадзора ИП обычно указывает в этом поле себя. Если у ИП есть сотрудники, назначить одного из них ответственным не запрещено и бывает удобно, но это уже решение предпринимателя.
Кого можно назначить
Закон не называет конкретную должность и не требует специального диплома. В небольшой компании этим занимается юрист, специалист по комплаенсу, руководитель административного блока или другой работник, который понимает процессы и может напрямую обращаться к руководству. В совсем маленьких компаниях ответственным нередко назначают самого директора.
| Критерий | Что проверить |
|---|---|
| Доступ к руководству | Может ли человек сообщить о риске и быстро получить решение |
| Знание процессов | Видит ли он сайт, кадры, продажи, IT и подрядчиков |
| Полномочия | Может ли запросить документы, остановить опасную передачу и назначить исправление |
| Время | Не превращается ли роль в формальную нагрузку без возможности работать |
| Замещение | Кто примет запрос или сообщение об утечке, пока он в отпуске |
Можно ли назначить внешнего специалиста? Прямого запрета в законе нет, но требование о том, что ответственный получает указания от исполнительного органа и подотчетен ему, проще всего выполнить с собственным работником. Внешний консультант может помогать ответственному, проверять документы и обучать сотрудников, а саму роль лучше закрепить внутри компании.
Ответственный за обработку и ответственный за безопасность
Это две разные роли, хотя их часто путают. Ответственный за организацию обработки отвечает за цели, основания, документы, обращения людей, обучение и контроль подрядчиков. Требования к защите информационных систем, утвержденные постановлением Правительства № 1119, предусматривают еще одну фигуру: работника, ответственного за обеспечение безопасности персональных данных в информационной системе. Обычно это IT-специалист.
В небольшой компании обе роли может совмещать один человек. Но тогда ему нужно разбираться и в юридической, и в технической стороне, или иметь под рукой того, кто разбирается.
Какие документы оформить
Минимальный набор такой:
- Приказ о назначении.
- Положение об ответственном или дополнение к должностной инструкции.
- Перечень полномочий и порядок прямой отчетности руководителю.
- План внутреннего контроля.
- Порядок взаимодействия с IT, кадрами, продажами и подрядчиками.
- Схема замещения.
- Подтверждение ознакомления и обучения.
Самое важное в этом списке пункт пятый. Ответственный должен узнавать о новом процессе до его запуска. Рабочий цикл выглядит так: появился новый процесс, о нем сообщили ответственному, он оценил цель и риски, подготовили документы и настройки, процесс запустили, потом контроль и исправление найденных проблем.
Что ответственный проверяет регулярно
- появились ли новые формы, сервисы и подрядчики;
- совпадает ли уведомление Роскомнадзора с реальностью;
- закрыты ли доступы уволенных работников;
- соблюдаются ли сроки ответов на обращения и уничтожения данных;
- знают ли сотрудники, что делать при утечке;
- выполнены ли меры, назначенные по итогам прошлых проверок.
Удобно делать это по календарю: раз в квартал короткая сверка, раз в год полноценный внутренний контроль с отчетом руководителю. Отчет потом пригодится как доказательство, что внутренний контроль в компании действительно есть.
Ответственный не обязан лично нажимать каждую кнопку. Его задача в другом: чтобы у каждого действия был владелец, срок и подтверждение.
Частые вопросы
Можно ли назначить ответственным генерального директора?
Да, закон этого не запрещает. В небольших компаниях так часто и делают. Но директору придется действительно выполнять эту работу или делегировать ее части конкретным людям.
Нужно ли ответственному специальное обучение?
Закон обязательного обучения или сертификата не требует. Но без понимания закона и процессов компании роль останется формальной. Короткое обучение и регулярное обновление знаний себя окупают.
Есть ли штраф за отсутствие ответственного?
Отдельного состава в КоАП именно за неназначение ответственного нет. Но его отсутствие показывает, что меры по статье 18.1 не приняты, и при проверке это становится одним из пунктов предписания. А главное, без ответственного обычно пропускают сроки ответов и уведомлений, а за них штрафы уже есть.
Что делать, если ответственный уволился?
Назначить нового приказом, передать ему дела и сообщить об изменении в Роскомнадзор до 15-го числа следующего месяца.
Фамилия в приказе сама по себе риски не снижает. Работающая роль помогает заметить проблему до жалобы и не собирать доказательства в спешке перед проверкой.