Кто отвечает за защиту персональных данных в организации и как выбрать ответственное лицо?

Обязательно ли назначать ответственного за обработку персональных данных?

Да, это прямая обязанность, а не добровольная инициатива. Ст. 22.1 закона №152-ФЗ обязывает любое юридическое лицо назначить ответственного за организацию обработки ПДн.

Формулировка в законе однозначная: «Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных». Отсутствие такого человека является нарушением ст. 18.1 и 22.1, и при первой же проверке РКН это зафиксирует.

Для ИП закон прямо не требует назначать отдельное лицо, но это не значит, что ИП освобожден от соблюдения 152-ФЗ. Все обязанности оператора по-прежнему лежат на нем самом. Разница только в том, что составлять отдельный приказ о назначении самого себя не нужно.

Кто может быть ответственным за обработку ПДн и как правильно его назначить?

Ответственным может стать сотрудник организации, на которого возложены соответствующие функции. На практике вопрос о том, как назначить ответственного за обработку персональных данных, сводится к выбору подходящего работника, закреплению его обязанностей приказом и определению необходимых полномочий. При этом важно учитывать требования к его подчинённости: сотрудник должен получать указания непосредственно от исполнительного органа организации и подчиняться ему напрямую.

Это требование нарушает большинство компаний, которые назначают ответственным начальника отдела кадров, старшего системного администратора или главного бухгалтера и оставляют его в прежней иерархии. Инспектор РКН при проверке смотрит именно на это: не просто факт назначения, а то, кому реально подчиняется этот человек. Кроме того, зачастую в качестве ответственного лица в уведомлении о начале обработки ПДн указывают генерального директора компании. Однако в действительности директор часто не имеет временного ресурса и достаточного уровня для организации системы обработки персональных данных в компании.

Важно не ошибиться с выбором кандидата для этой роли. Наиболее частые кандидаты и риски при их назначении представлены в таблице.

Как только кандидат выбран, нужно оформить назначение. Никаких устных договоренностей — только письменные документы.

Шаг 1. Издать приказ о назначении ответственного за организацию обработки ПДн. В приказе следует указать ФИО, должность, дату, ссылку на ст. 22.1 закона №152-ФЗ и перечень полномочий.

Шаг 2. Внести изменения в должностную инструкцию сотрудника, добавив соответствующие обязанности.

Шаг 3. Ознакомить сотрудника с приказом, должностной инструкцией и всеми локальными актами по ПДн под подпись.

Шаг 4. Убедиться, что в организационной структуре сотрудник подчиняется непосредственно директору, а не через промежуточных руководителей.

За что реально отвечает ответственный за ПДн и чего не стоит бояться?

Закон (ст. 22.1 ч. 4 152-ФЗ) определяет три конкретные обязанности ответственного:

• Осуществлять внутренний контроль за соблюдением законодательства о ПДн оператором и его работниками.
• Доводить до сведения сотрудников положения законодательства, локальных актов и требований к защите ПДн. Проводить инструктажи, собирать подписи об ознакомлении с Положением о ПДн.
• Организовывать прием и обработку обращений субъектов ПДн — клиентов и сотрудников, которые хотят узнать о своих данных, отозвать согласие или попросить удалить информацию.

Отдельно стоит рассмотреть вопрос об ответственности. Если менеджер по продажам скопировал базу клиентов и слил ее конкурентам, то отвечать будет и этот менеджер, и компания как юридическое лицо. Ответственного за ПДн привлекут только в одном случае: если в ходе проверки докажут, что он не ознакомил менеджера с Положением об обработке ПДн под подпись, то есть не выполнил свою прямую задачу — информирование. За техническую утечку, плохой антивирус или взлом сервера он не отвечает.

Может ли внешняя компания быть ответственной за обработку персональных данных?

Да. Федеральный закон №152-ФЗ не требует, чтобы ответственный за ПДн был штатным сотрудником. Эту функцию можно передать внешнему специалисту или компании.

Это не очевидная, но важная деталь закона: ст. 22.1 говорит о «лице», а не о «работнике». Юридически ничто не запрещает оператору заключить договор с внешним консультантом или аутсорсинговой компанией, которая возьмет на себя функции ответственного за организацию обработки ПДн.

Важно отличать эту роль от «поручителя» по ст. 6 152-ФЗ. Поручителем является компания, которой оператор передает данные для обработки (например, колл-центр или облачный сервис). Внешний ответственный за ПДн — это консультант, который помогает оператору выстроить систему и контролирует ее изнутри. Поручитель работает с самими данными, а внешний ответственный берет на себя задачи по документам и процессам.

Аутсорсинг этой функции оправдан в нескольких случаях: в компании нет юриста или специалиста по безопасности, штат небольшой и держать отдельного человека под эту задачу нецелесообразно, или проще и дешевле привлечь профессионала, чем учить кого-то из сотрудников с нуля.

Что грозит, если ответственного нет или он назначен формально?

Отсутствие ответственного является нарушением ст. 22.1 Федерального закона №152-ФЗ. Однако формально штраф за отсутствие ответственного за обработку персональных данных напрямую не предусмотрен ст. 13.11 КоАП РФ. Однако обратим внимание, что указание назначенного ответственного лица является обязательным при подаче уведомления о намерении осуществлять обработку персональных данных. Если такие сведения не указать, то уведомление РКН не примет и не включит вас в реестр операторов персональных данных. А неподача уведомления уже влеет наложение штрафа.Но хотим отметить, что формальное назначение ответственного опаснее его отсутствия.

Если при проверке выясняется, что ответственный назначен по приказу, но не знает своих обязанностей, не проводил инструктажей, не подписывал актов об ознакомлении сотрудников с Положением о ПДн, не разрабатывал локальные номативные акты, то РКН фиксирует системные нарушения. Это уже может быть повлечь образование несколько составов по КоАП РФ: ненадлежащая организация обработки, некорректное оформление сайта с точки зрения 152-ФЗ, отсутствие необходимых локальных нормативных актов. ,

Ответственность за нарушение требований к организации обработки ПДн наступает по ч. 1 ст. 13.11 КоАП РФ, штраф по которой составляет 150 000–300 000 рублей для юридических лиц. При выявлении сопутствующих нарушений (отсутствие политики конфиденциальности, некорректные согласия, нарушение сроков реагирования на обращения субъектов) штрафы накапливаются по каждому составу отдельно.

Заключение

По закону 152-ФЗ каждое юридическое лицо обязано назначить ответственного за организацию обработки персональных данных. Компания, в которой есть реальный ответственный с понятными обязанностями, работающими документами и знающими сотрудниками, проходит проверку РКН принципиально по-другому, чем та, где приказ подписан «для галочки».

Главное помнить, что ответственный — это не человек, которого можно сделать виноватым за любую утечку, а внутренний аудитор и организатор системы. И именно от того, как выстроена эта система, зависит, будет ли в компании выстроена реальная защита персональных данных и будет ли она готова к проверке со стороны РКН или нет.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

129 публикаций на сайте

Подробнее о специалисте