Кого назначить ответственным за обработку персональных данных в компании

Статья 18.1 152-ФЗ обязывает оператора назначить сотрудника, ответственного за организацию обработки персональных данных. Разбираем, кого выбрать, как оформить приказ и что проверяет инспектор Роскомнадзора в первую очередь.

Статья 18.1 152-ФЗ обязывает оператора персональных данных назначить сотрудника, ответственного за организацию их обработки. На практике такого приказа нет в половине компаний, хотя инспектор Роскомнадзора на проверке спрашивает его одним из первых.

Кто обязан назначить ответственного

Обязанность касается любой компании и ИП, которые обрабатывают персональные данные: сотрудников, клиентов, подрядчиков, посетителей сайта. Размер бизнеса не освобождает от требования. Небольшой интернет-магазин с формой заказа на сайте попадает под ст. 18.1 152-ФЗ так же, как крупный оператор с собственным ЦОД.

Роль ответственного не сводится к формальности. Этот человек организует работу с персональными данными внутри компании и становится точкой контакта, когда приходит запрос от субъекта данных или проверка от Роскомнадзора.

Кого выбрать на эту роль

Отдельная штатная единица не нужна. Обязанности можно возложить на действующего сотрудника: юриста, специалиста по кадрам, айтишника или офис-менеджера, если он реально погружён в процессы работы с данными. В компании из трёх-пяти человек эту функцию часто берёт на себя директор.

Главное правило: ответственный — конкретный человек с фамилией, именем и должностью, а не отдел или подразделение целиком. Приказ на «отдел кадров» инспектор не примет: закон требует персональной ответственности одного сотрудника.

Как оформить приказ

Приказ о назначении составляют в свободной форме на бланке компании. В нём указывают:

• ФИО и должность сотрудника;
• дату назначения и основание — ссылку на ст. 18.1 152-ФЗ;
• перечень обязанностей ответственного;
• подпись руководителя.

Сотрудника знакомят с приказом под роспись. Обязанности по обработке персональных данных стоит продублировать в его должностной инструкции — тогда при смене руководителя или при проверке не придётся восстанавливать логику назначения по памяти.

Что входит в обязанности ответственного

Закон не даёт закрытого перечня, но на практике в обязанности включают организацию внутреннего порядка обработки персональных данных, приём и обработку обращений субъектов данных, контроль за соблюдением локальных актов компании — прежде всего политики обработки персональных данных, — а также участие во взаимодействии с Роскомнадзором при запросах и проверках.

Ответственный не обязан лично настраивать техническую защиту данных: этим занимается ИТ-служба или подрядчик. Его задача — следить, чтобы процессы в компании соответствовали тому, что написано во внутренних документах.

Что будет, если не назначить ответственного

Отсутствие приказа — одно из первых нарушений, которое инспектор фиксирует в акте проверки: документ запрашивают в числе первых, наравне с политикой обработки персональных данных и согласиями. Формальное нарушение ст. 18.1 152-ФЗ подпадает под ст. 13.11 КоАП РФ и может обернуться предписанием или штрафом.

Проверить, что у компании есть весь обязательный комплект документов, включая приказ об ответственном, можно с помощью сервиса

Чек-лист готовности к проверке Роскомнадзора

Частые вопросы

Нужен ли отдельный сотрудник только для этой роли?

Нет. Обязанности ответственного можно совместить с основной должностью — юриста, кадровика, айтишника или директора. Отдельная штатная единица требуется только очень крупным операторам с большим объёмом данных.

Может ли директор сам стать ответственным?

Да, и в небольших компаниях это обычная практика. Приказ в этом случае директор издаёт на самого себя, с той же формулировкой и ссылкой на ст. 18.1 152-ФЗ.

Нужно ли уведомлять Роскомнадзор о назначении ответственного?

Нет, отдельное уведомление не требуется. Приказ — внутренний документ компании, его предъявляют инспектору по запросу во время проверки, а не подают в Роскомнадзор заранее.

Что делать, если ответственный сотрудник увольняется?

Издать новый приказ и назначить преемника до увольнения прежнего сотрудника, чтобы не было периода, когда роль формально никем не занята. Обновлённые данные стоит сразу отразить в должностной инструкции нового ответственного.

Разобраться, какие ещё документы обязательны для оператора персональных данных, поможет

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд