Назначение ответственного за обработку персональных данных в компании

Когда в компанию приходит запрос надзорного органа, один из первых вопросов звучит так. Кто у вас отвечает за организацию обработки персональных данных и где приказ о его назначении. Если внятного ответа нет, проверка получает первое подтверждение, что система защиты данных в организации существует только на бумаге политики. Назначение ответственного это не должность для галочки и не дополнительная строчка в трудовом договоре кадровика. Это прямая обязанность юридического лица, закреплённая статьёй 22.1 закона 152-ФЗ, со своим набором требований к статусу и функциям этого человека.

Кто обязан назначать

Часть 1 статьи 22.1 формулирует обязанность предельно коротко. Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Здесь два значимых слова. Первое юридическое лицо. Обязанность адресована именно организациям. Второе организация обработки. Ответственный отвечает не за техническую защиту серверов, а за организацию процессов обработки данных в компании, то есть за то, чтобы обработка в целом шла по закону. Это управленческая, а не сугубо айтишная роль, и путаница здесь рождает первую ошибку, когда роль ответственного автоматически вешают на системного администратора.

Эта же обязанность дублируется в перечне мер по статье 18.1. Пункт 1 части 1 статьи 18.1 прямо называет среди мер назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных. То есть назначение ответственного это элемент общей системы мер оператора, а не изолированное требование.

Какой у ответственного статус

Часть 2 статьи 22.1 задаёт линию подчинения, и это принципиальный момент. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от исполнительного органа организации, являющейся оператором, и подотчётно ему. Прямое подчинение исполнительному органу, то есть генеральному директору или иному единоличному исполнительному органу, а не начальнику отдела и не службе безопасности через несколько ступеней. Закон сознательно поднимает статус роли, чтобы ответственный мог влиять на процессы и не был зажат внутри одного подразделения.

Часть 3 статьи 22.1 закрепляет встречную обязанность оператора. Оператор обязан предоставлять ответственному сведения, указанные в части 3 статьи 22 закона. Это значит, что ответственному нельзя поручить контроль, но при этом лишить его доступа к информации об обработке. Оператор обязан снабжать его данными, без которых контроль невозможен.

Чем ответственный обязан заниматься

Часть 4 статьи 22.1 перечисляет обязанности ответственного, и перечень построен как, в частности, то есть это минимум, который может быть расширен. Названо три обязанности.

Пункт 1 это внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к защите данных. Ответственный смотрит внутрь компании и проверяет, как реально идёт обработка, соответствует ли она закону и собственным актам оператора.

Пункт 2 это доведение до сведения работников оператора положений законодательства о персональных данных, локальных актов по вопросам обработки и требований к защите данных. Просветительская функция. Ответственный не просто знает правила сам, он обязан донести их до тех, кто непосредственно работает с данными.

Пункт 3 это организация приёма и обработки обращений и запросов субъектов или их представителей и контроль за приёмом и обработкой таких обращений. Именно ответственный замыкает на себе работу с входящими запросами людей о их данных, и это связывает его роль с обязанностями оператора отвечать на запросы в установленные законом сроки.

На что смотрит надзорный орган

При проверке инспектор проверяет четыре вещи. Первое наличие документа о назначении. Статья 22.1 говорит назначает, а назначение фиксируется приказом или распоряжением. Второе статус назначенного. Из документа должно быть видно, что ответственный подотчётен исполнительному органу по части 2, а не растворён в иерархии. Третье закрепление функций. У ответственного должны быть зафиксированы обязанности, отражающие пункты 1 3 части 4. Четвёртое реальность роли. Проверяется, ведётся ли внутренний контроль, доводятся ли правила до работников, как организован приём обращений субъектов. Формальный приказ при отсутствии любых следов деятельности это распространённое слабое место.

Пример из практики

Компания назначила ответственным за обработку данных штатного юриста, но приказ ограничился одной фразой о назначении без описания функций, а сам юрист о роли узнал постфактум и никакого контроля не вёл. При проверке выяснилось, что обращения клиентов о их данных уходили в общий ящик и обрабатывались бессистемно. Здесь нарушена не столько часть 1, сколько содержательные требования. Не закреплены обязанности по части 4, не организован приём обращений по пункту 3. Правильная тактика это оформлять назначение содержательно. В приказе указать должность и подчинение исполнительному органу по части 2, отдельным актом или должностной инструкцией закрепить три обязанности из части 4, обеспечить ответственному доступ к сведениям по части 3 и наладить понятный маршрут обращений субъектов.

Частые ошибки

Первая ошибка считать, что назначение ответственного нужно только крупным компаниям. Статья 22.1 адресована оператору, являющемуся юридическим лицом, без оговорок о размере. Вторая смешивать ответственного за организацию обработки с лицом, отвечающим за техническую безопасность по статье 19, тогда как это разные роли. Третья назначить ответственного, но подчинить его не исполнительному органу вопреки части 2. Четвёртая ограничиться приказом без закрепления обязанностей из части 4. Пятая не давать ответственному сведения по части 3, из-за чего его контроль становится фиктивным.

Частые вопросы

Можно ли назначить ответственным внешнего подрядчика. Часть 2 требует прямого подчинения исполнительному органу организации и получения указаний непосредственно от него. Это указывает на лицо внутри организации, способное быть подотчётным руководству, поэтому внешняя фигура в эту конструкцию вписывается плохо.

Обязан ли ответственный лично отвечать на каждый запрос субъекта. Нет. Пункт 3 части 4 говорит об организации приёма и обработки обращений и о контроле за ними. Ответственный выстраивает и контролирует процесс, а не обязан лично готовить каждый ответ.

Нужен ли отдельный человек, или роль можно совместить. Закон не запрещает совмещение, он требует назначить ответственного и обеспечить ему статус по части 2 и функции по части 4. Главное, чтобы совмещение не превращало роль в формальность и не нарушало линию подчинения исполнительному органу.

Оформить назначение так, чтобы оно выдержало проверку и реально работало, помогает юридическое сопровождение по персональным данным. Обсудить структуру роли ответственного в вашей компании можно через контакты.