Ответственный за организацию обработки персональных данных
Основание. Статья 22.1 152-ФЗ: оператор — юридическое лицо назначает лицо, ответственное за организацию обработки персональных данных. Такой сотрудник получает указания непосредственно от исполнительного органа организации и подотчётен ему.
Обязанности
Закон закрепляет за ответственным контрольную и разъяснительную функцию:
- контролировать соблюдение оператором требований 152-ФЗ и принятых внутренних документов;
- доводить до сотрудников положения закона, требования к защите данных, локальные акты и разъяснять их;
- организовывать приём и обработку обращений и запросов субъектов персональных данных и контролировать ответы на них.
На практике к этому добавляется вся операционка: перечень ИСПДн, контроль сроков хранения и уничтожения, ревизия согласий, сопровождение проверок и реагирование на инциденты.
Кого назначают
- Требований к образованию и стажу закон не устанавливает.
- В небольшой компании это обычно юрист, бухгалтер, HR или сам директор.
- Ответственный за организацию обработки и ответственный за техническую защиту — разные роли. Первая — управленческая, вторая — про ИБ и уровень защищённости. Совмещать можно, но обязанности лучше развести.
- Индивидуальный предприниматель отдельного ответственного не назначает — требование адресовано юридическим лицам, см. 152-ФЗ для ИП.
Как оформить
- Приказ о назначении ответственного за организацию обработки персональных данных — с ФИО, должностью и датой.
- Раздел с обязанностями в должностной инструкции или отдельное положение.
- Ознакомление сотрудника под подпись.
- Контакты ответственного в политике конфиденциальности и в форме обратной связи для обращений субъектов.
- Обновление приказа при смене сотрудника — устаревший приказ с уволенным ответственным при проверке выглядит хуже, чем его отсутствие.
Приказ входит в базовый комплект документов оператора — весь список собран в статье Документы по 152-ФЗ: полный перечень.