Ответственный за обработку персональных данных: кого назначить и что он делает

В приказах о защите персональных данных то и дело путают две разные роли: ответственного за организацию обработки ПД и ответственного за информационную безопасность. Это разные функции с разными обязанностями, и закон называет обязательной только одну из них. Разберём, кого закон требует назначить, что этот человек обязан делать на практике и кому эта обязанность вообще адресована.

Что говорит закон: юрлица назначают, ИП указывает себя

Статья 22.1 152-ФЗ называется прямо: «Лица, ответственные за организацию обработки персональных данных в организациях». Часть 1 формулирует обязанность без оговорок: «Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных». Формулировка адресована именно юридическим лицам — про индивидуальных предпринимателей в этой норме ничего не сказано.

Для ИП тема этим не закрывается — ответственный нужен и ему, только основание другое. Уведомление о начале обработки ПД обязано содержать «фамилию, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных» (ст. 22 ч. 3 п. 7.1), и раздел 4 формы уведомления «Ответственное лицо» (приказ РКН от 28.10.2022 № 180) заполняют все операторы без оговорки о форме. Подаёт уведомление почти весь малый бизнес с сайтом или CRM: исключения по ст. 22 ч. 2 узкие, например обработка целиком без средств автоматизации. Тот же человек нужен при оценке вреда субъектам: по приказу РКН от 27.10.2022 № 178 оценку проводит ответственный за организацию обработки либо комиссия (п. 1), а вариант, когда это лицо не является штатным сотрудником, приказ прямо относит к низкому риску (п. 2.3) — это как раз случай ИП без работников. И при инциденте в уведомлении РКН указываются «сведения о лице, уполномоченном оператором на взаимодействие» (ст. 21 ч. 3.1 п. 1). Поэтому механизм назначения по ст. 22.1 — через подчинение исполнительному органу — касается юрлиц, а определить ответственного обязан каждый оператор: ИП чаще всего указывает себя. Приказ о назначении для ИП фиксирует именно это самоназначение, чтобы не формулировать его заново в каждом уведомлении.

Кого назначать в небольшой компании

Закон не устанавливает требований к квалификации или должности ответственного — только к тому, кому он подчиняется: часть 2 ст. 22.1 говорит, что он «получает указания непосредственно от исполнительного органа организации... и подотчетен ему». Для компании из нескольких человек это обычно означает: либо директор берёт функцию на себя, либо назначает бухгалтера, кадровика или офис-менеджера — того, кто и так работает с базами клиентов и сотрудников.

Прямого запрета совмещать эту роль с директорской должностью в законе нет — часть 2 ст. 22.1, наоборот, описывает подчинённость руководителю, не исключая, что ответственный и руководитель могут быть одним и тем же человеком. На практике для микробизнеса это самый частый вариант: приказ в этом случае формально короче, но всё равно нужен — он фиксирует факт назначения и даёт ответ на вопрос проверяющего «кто у вас отвечает за персональные данные».

Сам приказ о назначении — с должностными обязанностями и листом ознакомления — не нужно писать с нуля: он входит в комплект документов ПдПро, который собирается по вашему ИНН за 15 минут.

Что реально делает ответственный

Часть 4 ст. 22.1 перечисляет три обязанности — не абстрактные пункты для галочки, а рабочие процессы, которые в компании кто-то должен вести:

Внутренний контроль. Следить, что компания и её сотрудники соблюдают законодательство о персональных данных, включая требования к защите. На практике — раз в год-два сверять, не изменился ли состав обрабатываемых данных, действуют ли актуальные документы, не завели ли отдел продаж новую CRM без договора поручения.
Информирование работников. Доводить до сотрудников положения закона о ПД, локальных актов компании и требований к защите данных. Это не разовая рассылка при трудоустройстве, а постоянная функция: новый сотрудник, новая система хранения данных — новое ознакомление.
Работа с обращениями субъектов. Организовать приём и обработку запросов от клиентов, сотрудников или других людей, чьи данные обрабатывает компания (например, запрос «покажите, какие мои данные у вас есть» или «удалите мои данные»), либо контролировать, как эти обращения обрабатываются, если ими занимается кто-то другой.

Третий пункт — не формальность. Срок ответа на такой запрос установлен статьёй 14 152-ФЗ, а если ответ не дать вовремя или дать неполный, штраф идёт по ч. 4 ст. 13.11 КоАП (для юрлиц 40 000–80 000 ₽), а за невыполненное в срок уточнение, блокирование или уничтожение данных по требованию субъекта — по ч. 5 той же статьи (для юрлиц 50 000–90 000 ₽). Именно поэтому ответственный — это не просто имя в приказе, а тот, кто в компании реально должен успевать отвечать на такие запросы.

Первый пункт — внутренний контроль — на практике не требует ежедневного внимания: для небольшой компании достаточно раз в год пройтись по списку обрабатываемых данных и действующих документов и свериться, не появились ли новые каналы сбора (новая форма на сайте, новый сервис рассылок), которые в документах ещё не отражены.

Есть и встречная обязанность у самой компании: оператор обязан предоставлять ответственному сведения, входящие в уведомление РКН, — цели обработки, категории данных, меры защиты (ст. 22.1 ч. 3). Назначить человека и не дать ему информацию — назначение только на бумаге.

Не путать с другими «ответственными»

В одной компании может быть несколько разных «ответственных» с приставкой «за персональные данные» или созвучным названием, и закон не требует, чтобы это был один и тот же человек:

Ответственный за организацию обработки ПД (ст. 22.1 152-ФЗ) — тот, о ком статья. Отвечает за соблюдение закона, информирование сотрудников, работу с обращениями.
Ответственный за обеспечение безопасности ПД — техническая роль: следит за паролями, доступами, антивирусами, резервным копированием. 152-ФЗ прямо её не называет, но она фигурирует в перечне мер защиты (ст. 19) и обычно закрепляется отдельным пунктом положения о защите ПД или должностной инструкцией IT-специалиста.
Ответственный за воинский учёт — отдельная должность по совершенно другому закону (Положение о воинском учёте, приказ Генштаба), не имеющая отношения к персональным данным вообще. У работодателя вполне может быть два разных приказа и два разных человека: один отвечает за клиентские базы и обращения субъектов ПД, другой — за карточки военнообязанных сотрудников. Подробнее о том, как оформляется этот второй приказ и кого туда назначают, — в статье «Приказ об организации воинского учёта и ответственный».

Путаница возникает именно из-за похожих названий: «ответственный за ПД сотрудников» из воинского учёта и «ответственный за организацию обработки ПД» из 152-ФЗ — это не один и тот же документ, и приказ на одну роль не закрывает требование по другой.

Как оформить назначение

Закон не задаёт унифицированной формы приказа о назначении ответственного по 152-ФЗ (в отличие, например, от приказа по воинскому учёту, для которого есть образец Генштаба). Минимальный состав документа: кого назначают, с какой даты, ссылка на ст. 22.1 152-ФЗ как основание, перечень обязанностей по части 4 статьи (можно продублировать текстом или сослаться на должностную инструкцию), подпись руководителя и ознакомление назначенного лица.

Приказ о назначении ответственного входит в базовый пакет документов конструктора — вместе с положением об обработке ПД и перечнем ПД и информационных систем, где ответственный указывается как контактное лицо. Три документа связаны: в перечне ПД фиксируется, какие данные обрабатываются, в приказе — кто за это отвечает, в положении — как организован сам процесс.

Частые вопросы

Нужно ли уведомлять РКН отдельно о назначении ответственного? Отдельного уведомления нет — сведения об ответственном идут одним из пунктов общего уведомления о начале обработки персональных данных (ст. 22 ч. 3 п. 7.1). Если ответственный сменился, обновлённые сведения нужно направить в РКН не позднее 15-го числа месяца, следующего за месяцем изменения (ст. 22 ч. 7).

Ответственный уволился — что делать? Издать новый приказ на другого сотрудника и обновить сведения в уведомлении РКН в срок из предыдущего ответа. Пока новый приказ не издан, обязанности ст. 22.1 формально не закрыты никем.

Нужна ли доплата за эту функцию? Это вопрос трудового права, а не 152-ФЗ: закон об ответственном за ПД доплату не регулирует. Если обязанности возлагаются дополнительно к основной должности, оформление и оплата — по правилам Трудового кодекса (соглашение сторон, приказ о совмещении).

Итог

Для юридических лиц назначение ответственного за организацию обработки персональных данных — прямая обязанность по ст. 22.1 152-ФЗ, а не рекомендация. Для ИП механизм назначения по ст. 22.1 не действует, но ответственного он определяет тоже: его данные нужны в уведомлении в РКН (ст. 22 ч. 3 п. 7.1, раздел 4 формы по приказу № 180) и при оценке вреда (приказ № 178), поэтому предприниматель обычно указывает себя, а приказ фиксирует это самоназначение. Не путайте эту роль с ответственным за безопасность данных или ответственным за воинский учёт — это три разных документа для разных законов. Приказ о назначении и должностные обязанности ответственного собирает конструктор документов вместе с остальным пакетом по 152-ФЗ; полный список того, что нужно компании, — в перечне документов по 152-ФЗ.

Собрать пакет документов по 152-ФЗ →