Назначение ответственного за обработку персональных данных — это не формальность, а прямая обязанность большинства операторов по 152-ФЗ. Если в вашей компании обрабатываются персональные данные (а они обрабатываются практически у всех, кто ведёт бизнес в России), закон требует назначить конкретного сотрудника, который будет отвечать за организацию обработки. Разберёмся, кого и как назначать, какие обязанности возлагаются на этого человека и что будет, если проигнорировать требование.
Кто обязан назначить ответственного за обработку персональных данных
Согласно 152-ФЗ, ответственный за обработку персональных данных назначается в обязательном порядке, если компания или ИП является оператором персональных данных. Оператор — это любой, кто организует и (или) осуществляет обработку персональных данных, а также определяет цели и состав такой обработки. Проще говоря, если вы собираете, храните, используете или передаёте данные клиентов, сотрудников или посетителей сайта — вы оператор.
Исключение из этого правила составляет только случай, когда оператор является государственным или муниципальным органом — для них порядок назначения регулируется отдельными ведомственными актами. Для всех остальных коммерческих организаций, некоммерческих организаций и индивидуальных предпринимателей назначение ответственного — прямая норма закона (статья 22.1 152-ФЗ).
Важно понимать: даже если обработка данных минимальна (например, вы ведёте базу контактов клиентов в CRM), вы всё равно обязаны назначить ответственного. Закон не делает исключений для малого бизнеса или микропредприятий.
Как назначить ответственного: пошаговая инструкция
Процесс назначения включает несколько этапов — от выбора подходящего сотрудника до оформления приказа и внесения сведений в уведомление Роскомнадзора.
Кого можно назначить
Закон не требует, чтобы ответственный за обработку персональных данных был юристом или имел специальное образование. Главное требование — сотрудник должен обладать достаточной компетенцией для выполнения возложенных обязанностей. На практике чаще всего назначают:
- Руководителя отдела кадров (если компания небольшая и обрабатывает в основном данные сотрудников)
- IT-специалиста или системного администратора (если основной объём данных обрабатывается в информационных системах)
- Специалиста по безопасности или compliance-менеджера
- Генерального директора (в очень маленьких компаниях, где нет других сотрудников)
Важное ограничение: ответственный не может быть лицом, которое само непосредственно осуществляет обработку персональных данных в качестве основной функции. То есть нельзя назначить, например, бухгалтера, который ежедневно вносит данные в 1С — он уже является непосредственным обработчиком. Ответственный должен выполнять именно контрольную и организационную функцию.
Как составить приказ о назначении
Приказ о назначении ответственного за обработку персональных данных — это внутренний организационно-распорядительный документ. Унифицированной формы нет, но приказ должен содержать:
- Наименование организации и дату составления
- ФИО и должность назначаемого сотрудника
- Дату, с которой он приступает к исполнению обязанностей
- Перечень основных обязанностей (можно сделать ссылку на отдельное положение или должностную инструкцию)
- Подпись руководителя организации
- Отметку об ознакомлении сотрудника с приказом
Примерная структура приказа:
- Шапка с названием организации и словом «ПРИКАЗ»
- Номер и дата
- Преамбула: «В соответствии с требованиями статьи 22.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» ПРИКАЗЫВАЮ:»
- Пункт о назначении ответственного (ФИО, должность)
- Пункт о возложении обязанностей (с перечнем или ссылкой на должностную инструкцию)
- Пункт о контроле за исполнением приказа (обычно возлагается на руководителя)
- Подпись руководителя
Нужно ли уведомлять Роскомнадзор
Само по себе назначение ответственного за обработку персональных данных не требует отдельного уведомления Роскомнадзора. Однако сведения о назначенном ответственном лице должны быть указаны в уведомлении о начале обработки персональных данных, которое оператор обязан подать в РКН до начала обработки (форма по приказу РКН от 28.10.2022 №180, рассмотрение — 30 дней).
Если вы уже подавали такое уведомление и в нём не указан ответственный, или назначили нового сотрудника — необходимо направить в РКН информационное письмо об изменении сведений. Сделать это можно через портал pd.rkn.gov.ru или через Госуслуги.
Обязанности ответственного за обработку персональных данных
Ответственный за обработку персональных данных выполняет широкий круг задач — от контроля за соблюдением закона до взаимодействия с Роскомнадзором. Вот основные обязанности, которые прямо перечислены в 152-ФЗ и вытекают из него:
Внутренний контроль и организация
- Контроль за соблюдением законодательства о персональных данных в организации. Это означает, что ответственный должен регулярно проверять, как сотрудники обрабатывают данные, соответствуют ли процессы требованиям 152-ФЗ.
- Разработка и актуализация локальных нормативных актов по обработке персональных данных: политики обработки, положения, инструкции для сотрудников.
- Организация обучения сотрудников, которые непосредственно работают с персональными данными. Ответственный должен обеспечить, чтобы каждый такой сотрудник знал свои обязанности и требования закона.
- Контроль за принятием организационных и технических мер по защите данных — разграничение доступа, антивирусная защита, шифрование и т.д.
Взаимодействие с субъектами данных
- Приём и обработка запросов субъектов персональных данных. Любой человек, чьи данные вы обрабатываете, имеет право запросить информацию о том, какие данные собраны, как они используются, и потребовать их удаления. Ответственный обязан организовать приём таких запросов и подготовку ответов.
- Обеспечение реализации прав субъектов: право на доступ к данным, на их уточнение, блокирование, уничтожение. Ответственный должен знать, в какие сроки и в каком порядке эти права реализуются.
- Организация получения согласий на обработку персональных данных и контроль за их действительностью. Если согласие отозвано — ответственный должен обеспечить уничтожение данных в течение 30 дней (продление ещё на 5 рабочих дней при мотивированном уведомлении).
Взаимодействие с Роскомнадзором
- Представление интересов оператора при проверках Роскомнадзора. Ответственный сопровождает проверяющих, предоставляет документы, даёт пояснения.
- Подготовка ответов на запросы и предписания РКН.
- Уведомление РКН об утечках персональных данных: 24 часа на первичное уведомление, 72 часа на детальное (с результатами внутреннего расследования). Порядок — приказ РКН от 14.11.2022 № 187.
- Актуализация сведений в уведомлении о начале обработки (при изменении ответственного лица, целей обработки и т.д.).
Документирование и отчётность
- Ведение журналов учёта обращений субъектов и запросов РКН.
- Хранение документов, связанных с обработкой персональных данных. Например, согласие на обработку ПДн как документ хранится 3 года с момента истечения/отзыва (перечень, приказ Росархива № 236). Документы по личному составу (архив) — 50 лет, если оформлены после 1.01.2003; 75 лет — если раньше (ст. 22.1 125-ФЗ «Об архивном деле»).
- Подготовка отчётов для руководства о состоянии дел с персональными данными.
Ответственность за отсутствие ответственного
Если в компании, которая обязана назначить ответственного за обработку персональных данных, этого не сделано, это является нарушением 152-ФЗ. Ответственность наступает по статье 13.11 КоАП РФ (размеры штрафов существенно выросли к 2024-2025, уточняйте актуальный размер на момент обращения). Важно понимать: отсутствие назначенного ответственного — это не единственное нарушение. Если без контроля этого сотрудника в компании происходят утечки, неправомерная обработка или другие нарушения, ответственность может быть значительно серьёзнее.
Кроме административных штрафов, возможна и уголовная ответственность. Например, если из-за отсутствия контроля со стороны ответственного произошла утечка данных с тяжкими последствиями, может быть применена статья 272.1 УК (действует с 11.12.2024) — незаконное использование/передача/сбор/хранение компьютерной информации с ПДн, полученной незаконным путём: штраф до 300 000₽, принудительные работы или лишение свободы до 4 лет (ч.1). Также возможна ответственность по ст. 274 УК — для сотрудника, нарушившего правила эксплуатации систем хранения/обработки ПДн, если это привело к уничтожению/блокированию/копированию данных.
Частые вопросы и ошибки
Можно ли назначить ответственным самого себя (директора)
Да, если компания небольшая и директор реально может выполнять эти функции. Но нужно учитывать: директор не должен быть непосредственным обработчиком данных (например, если он сам вносит данные в базу — это уже обработка, и он не может одновременно контролировать себя). Для микробизнеса это распространённая практика.
Нужно ли назначать отдельного человека, если компания передала обработку данных аутсорсеру
Да, даже если обработку данных фактически выполняет сторонняя организация (например, облачный сервис или аутсорсинговый бухгалтер), ответственность за соблюдение закона всё равно лежит на операторе. Назначить ответственного внутри компании необходимо.
Что делать, если ответственный уволился
Необходимо как можно быстрее назначить нового сотрудника и обновить сведения в уведомлении РКН. В период, когда ответственный отсутствует, его обязанности временно возлагаются на другого сотрудника (обычно на руководителя организации) отдельным приказом.
Может ли ответственный работать по совместительству
Да, закон не запрещает совмещение должностей. Главное, чтобы у сотрудника было достаточно времени для выполнения обязанностей и чтобы его основная работа не была связана с непосредственной обработкой персональных данных.
Резюме
Назначение ответственного за обработку персональных данных — это обязательное требование 152-ФЗ для всех операторов, кроме государственных органов. Процесс включает выбор подходящего сотрудника, издание приказа и, при необходимости, актуализацию уведомления в Роскомнадзоре. Ответственный выполняет широкий круг обязанностей: от внутреннего контроля до взаимодействия с РКН и субъектами данных. Игнорирование этого требования может привести к административной, а в некоторых случаях — и к уголовной ответственности. Поэтому не откладывайте назначение ответственного — это базовая мера защиты вашего бизнеса от претензий регулятора.