Ответственный за обработку персональных данных: кого назначить и что он делает
Кто обязан назначить ответственного за обработку персональных данных, кого можно назначить, что он делает по статье 22.1 закона № 152-ФЗ, как указать его в уведомлении и что делать ИП. Без выдуманных требований к обучению.
Коротко: юридическое лицо обязано назначить ответственного за организацию обработки персональных данных (ч. 1 ст. 22.1 закона № 152-ФЗ). Он получает указания напрямую от исполнительного органа организации (директора или коллегиального органа), подотчётен ему и отвечает за внутренний контроль, доведение правил до работников и приём обращений людей. ИП назначать ответственного статья 22.1 не обязывает, но поле об ответственном есть в форме уведомления. Закон не требует от ответственного ни особого образования, ни курса, ни удостоверения.
Главное об ответственном
- Назначить обязано юрлицо (ч. 1 ст. 22.1 и п. 1 ч. 1 ст. 18.1). У ИП такой обязанности в статье 22.1 нет.
- Подчинение прямое: указания от исполнительного органа организации, отчёт перед ним (ч. 2 ст. 22.1).
- Три задачи по закону: внутренний контроль, доведение правил до работников, приём обращений субъектов (ч. 4 ст. 22.1). Перечень открытый, слова «в частности».
- Его данные идут в уведомление вместе с телефоном, почтовым адресом и почтой (п. 7.1 ч. 3 ст. 22). Реестр общедоступен.
- Сменился человек — подайте изменения до 15-го числа следующего месяца (ч. 7 ст. 22).
- Требований к образованию и обучению ответственного в статье 22.1 нет.
Кто обязан назначить ответственного
Статья 22.1 начинается с одной фразы: оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. То же самое названо в числе мер оператора в пункте 1 части 1 статьи 18.1. Критерий один: форма оператора. Размер, число сотрудников и наличие сайта значения не имеют.
| Кто вы | Обязаны назначить | Что важно |
|---|---|---|
| ООО, АО, учреждение, НКО (юридическое лицо) | Да | ч. 1 ст. 22.1. Разбор для ООО: уведомление для ООО, для АО и НКО: уведомление для АО и НКО |
| ИП | Нет по статье 22.1 | В форме уведомления поле об ответственном есть. Подробнее в разделе об ИП ниже |
| Физическое лицо, в том числе самозанятый | Нет, статья говорит только о юрлицах | Вопрос, когда самозанятый вообще становится оператором, разобран в статье о самозанятых и персональных данных |
Государственные и муниципальные органы отдельно упомянуты в части 3 статьи 18.1: перечень мер для них устанавливает Правительство. Здесь этот случай не разбираем.
Кого можно назначить
Статья 22.1 говорит просто «лицо». Ограничений по должности, образованию, стажу или гражданству в ней нет. Единственное, что следует из текста: ответственный получает указания от исполнительного органа и подотчётен ему (ч. 2). Значит, он должен быть встроен в управление организацией так, чтобы руководитель мог ставить ему задачи и спрашивать с него.
| Кандидат | Что по закону | Наша рекомендация |
|---|---|---|
| Работник организации | Не запрещено. Это самый частый вариант | Подходит человек, у которого есть время и доступ к руководителю: юрист, руководитель кадров, офис-менеджер |
| Сам руководитель | Статья 22.1 такой случай не разбирает. Ответственный должен получать указания от исполнительного органа и быть ему подотчётен | Лучше назначить другого человека. Прямого разъяснения Роскомнадзора по этому случаю в проверенных источниках нет |
| Внешняя организация | В пункте 7.1 части 3 статьи 22 названы «физическое лицо или юридическое лицо». Руководство Роскомнадзора по заполнению формы описывает вариант «сторонняя организация», которой оператор поручил обработку по договору | Внутренним контролем и подотчётностью руководителю занимается человек внутри организации. Внешний юрист помогает, но не заменяет его |
Трудовая сторона. Если обязанность ответственного добавляется работнику, у которого её нет в трудовом договоре, это вопрос трудового права, а не закона о персональных данных. Статья 60 ТК запрещает требовать работу, не обусловленную договором. Дополнительную работу по статье 60.2 поручают с письменного согласия работника и за доплату (ст. 151 ТК). Относится ли роль ответственного к «дополнительной работе» или входит в его должность, закон не говорит, это решает работодатель. Мы советуем зафиксировать согласие работника и обязанности письменно.
Что делает ответственный
Часть 4 статьи 22.1 перечисляет три обязанности, но со словами «в частности». Руководитель вправе добавить другие задачи.
| По закону (ч. 4 ст. 22.1) | Как это выглядит в работе (наша рекомендация) |
|---|---|
| Осуществлять внутренний контроль за соблюдением законодательства о персональных данных работниками и самим оператором, в том числе требований к защите | Раз в квартал сверять реальность с документами: кто имеет доступ, какие формы собирают данные, что стоит на сайте, совпадает ли это с уведомлением |
| Доводить до сведения работников положения законодательства, локальных актов и требований к защите | Вести лист ознакомления, проводить инструктаж новичкам, напоминать при изменениях. Подробнее в статье об обучении по персональным данным |
| Организовывать приём и обработку обращений и запросов субъектов данных и (или) контролировать их | Назначить адрес и срок ответа, вести журнал обращений, следить, чтобы запрос человека не потерялся в общей почте |
Ответственному нужны данные, чтобы работать. Поэтому часть 3 статьи 22.1 обязывает оператора предоставлять ему сведения, которые указываются в уведомлении (ч. 3 ст. 22): цели, меры защиты, место хранения базы и другое. Сам ответственный не должен узнавать об этом из реестра Роскомнадзора.
Какая ответственность у самого ответственного
Статья 22.1 не устанавливает личной ответственности ответственного. В тексте статьи 13.11 КоАП нет отдельного состава «не назначил ответственного за обработку». Если нарушения в работе с персональными данными найдут, административная ответственность распределяется по общим правилам статьи 13.11 и примечаний к ней: организация, а в некоторых частях должностное лицо; у ИП по частям 3–6 свои суммы, а по частям 1.1 и 8–18 он отвечает как юрлицо. Кто именно им считается, разобрано в материале о штрафах за персональные данные.
Если работник сам нарушил правила и разгласил данные, работодатель оценивает это по трудовому праву. Что говорят Трудовой кодекс (ст. 192, 243) и КоАП, написано в статье об ответственности работника за разглашение персональных данных.
Практический вывод такой: отсутствие ответственного не наказывается отдельной нормой, но оно видно. Сведения о нём входят в уведомление (п. 7.1 ч. 3 ст. 22), а на запрос Роскомнадзора оператор обязан подтвердить принятие мер из части 1 статьи 18.1 (ч. 4 ст. 18.1).
Ответственный в уведомлении Роскомнадзору
В уведомлении указывают фамилию, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки, а также номера телефонов, почтовые адреса и адреса электронной почты (п. 7.1 ч. 3 ст. 22). Сведения реестра, кроме данных о средствах защиты, общедоступны (ч. 4 ст. 22). Роскомнадзор предупреждает об этом и в руководстве по заполнению формы.
Поэтому лучше указывать рабочие контакты: общий телефон организации и ящик вроде privacy@ вашего домена, а не личный мобильный сотрудника.
Смена ответственного. Это изменение сведений из части 3 статьи 22. Оператор обязан уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменения (ч. 7 ст. 22). Пример: ответственного сменили 12 марта, изменения нужно подать до 15 апреля. Если сменились только телефон или почта, срок тот же. Как подаются изменения, описано в статье об изменении уведомления, общий порядок: как уведомить Роскомнадзор об обработке персональных данных.
Как оформить назначение
Форму назначения закон не устанавливает: статья 22.1 требует «назначить». Обычная практика (это не норма закона): приказ руководителя. Он нужен как доказательство, ведь оператор обязан по запросу Роскомнадзора подтвердить принятие мер (ч. 4 ст. 18.1).
Что должно быть в приказе, как выглядит образец с вымышленными данными и как оформить ознакомление под подпись, разобрано в статье о приказе о назначении ответственного.
Ответственный, политика и локальные акты
Назначение ответственного входит в одну группу мер статьи 18.1 с документами оператора. Юрлицо обязано издать политику в отношении обработки и локальные акты (п. 2 ч. 1 ст. 18.1), опубликовать политику (ч. 2) и ознакомить работников (п. 6 ч. 1). Ответственный обычно держит всё это в порядке.
В законе нет требования указывать ответственного в тексте политики. Но если вы всё же называете его в политике или на сайте, данные должны совпадать с уведомлением. Это наша рекомендация: расхождения между сайтом и реестром видны с первого взгляда. Как готовить сайт, описано в статье о персональных данных на сайте.
Если вы ИП
Статья 22.1 и пункт 1 части 1 статьи 18.1 говорят только об операторе-юрлице. Обязанности назначить ответственного у ИП нет. Остальные обязанности оператора остаются: уведомление, политика, согласия там, где они нужны.
| Вопрос | Ответ |
|---|---|
| Нужен ли приказ о назначении? | По статье 22.1 нет. Приказ нужен, если вы сами решили поручить роль работнику |
| Что писать в уведомлении? | Поле об ответственном в электронной форме обязательное (п. 7.1 ч. 3 ст. 22). Запрета указать самого предпринимателя в статьях 22 и 22.1 нет. Прямого разъяснения Роскомнадзора для ИП без сотрудников в проверенных источниках мы не нашли |
| Нужно ли учиться? | Закон не требует. Если хотите разобраться, есть курс «Защита персональных данных» |
Отдельный разбор для предпринимателей: уведомление Роскомнадзору для ИП.
Не путайте с ответственным за безопасность
Это другая роль из другого документа. Постановление Правительства № 1119 требует для 3-го уровня защищённости персональных данных в информационных системах, чтобы было назначено должностное лицо (работник), ответственное за обеспечение безопасности персональных данных в информационной системе (п. 14). Требования 2-го и 1-го уровней включают требования предыдущего (пп. 15 и 16 вводят дополнительные требования «помимо» требований предыдущего пункта).
Ответственный за организацию обработки по статье 22.1 следит за законностью: основания, согласия, обращения, ознакомление. Ответственный по постановлению № 1119 отвечает за безопасность данных в информационной системе. Может ли это быть один человек, ни статья 22.1, ни пункт 14 не говорят. Решает оператор. Какой у вашей системы уровень защищённости, определяется по самому постановлению, и это не вопрос данной статьи.
Нужно ли ответственному учиться
Закон не обязывает ответственного проходить курс. Статья 22.1 не устанавливает ни форму, ни срок его подготовки. Пункт 6 части 1 статьи 18.1 называет мерой оператора ознакомление и (или) обучение работников, которые непосредственно обрабатывают данные. Закон не требует удостоверения и не задаёт периодичность.
Что подойдёт ответственному, если он раньше с персональными данными не работал, зависит от задач: хватит внутреннего инструктажа или лучше пройти программу. Один из способов, курс повышения квалификации ФТИ «Защита персональных данных»: 72 часа дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ). Курс не выдаёт готовых документов и не подаёт уведомление за вас. Все варианты и сравнение: обучение по персональным данным: что требует закон.
Частые ошибки
- Назначили для галочки, а в уведомлении указали другого человека или оставили пустое поле.
- Сотрудник уволился, а приказ и реестр не обновили. Срок на изменения считается от месяца, в котором это случилось: до 15-го числа следующего месяца (часть 7 статьи 22).
- Ответственный не знает, что обещано в политике. Обращения людей приходят на почту, которую никто не читает.
- Приказ есть, а ознакомления нет. Человек узнаёт о роли при проверке.
- Роль руководителя и ответственного слиты в одном лице, и никто не контролирует контролёра.
- Путают с ответственным за безопасность по постановлению № 1119.
- ИП думает, что ничего делать не нужно. Статья 22.1 его не касается, а остальные обязанности оператора есть.
Как мы помогаем
ФТИ — учебный центр. Услуги по персональным данным ведёт юрист, работаем по всей России дистанционно. Что относится к теме ответственного:
| Что нужно | Что делаем | Цена |
|---|---|---|
| Документы по 152-ФЗ | Разбираем ваш бизнес, пишем политику, согласия и локальные акты, включая приказ об ответственном. Правки включены, пока вы не напишете «принимаю». Подскажем, как ознакомить сотрудников под подпись | 9 900 ₽ |
| Уведомление в Роскомнадзор под ключ | Заполняем по каждой цели, описываем меры защиты, вносим сведения об ответственном, подаём вместе с вами. Вход на портал делает руководитель, пароли и ключи нам не передаются | 4 900 ₽ |
| Сопровождение по персональным данным | Подаём сведения об изменениях в реестр в срок, обновляем документы, отвечаем на вопросы. Обучение сотрудников в подписку не входит | 1 990 ₽/мес или 19 900 ₽/год |
Уведомление, документы и документы для сайта вместе дают пакет «Старт» за 14 900 ₽ вместо 18 700 ₽, он описан на странице услуг ФТИ. Курс «Защита персональных данных» не заменяет ни документы, ни подачу уведомления: он учит, а не пишет за вас.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 22.1 — лица, ответственные за организацию обработки персональных данных в организациях
- Федеральный закон № 152-ФЗ, статья 22 — уведомление, пункт 7.1 части 3 и части 4 и 7
- Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, пункты 1, 2, 6 части 1 и часть 4
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных
- Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных, пункты 14–16
- Трудовой кодекс РФ, статья 60 — запрещение требовать работу, не обусловленную трудовым договором
- Трудовой кодекс РФ, статья 60.2 — совмещение профессий, дополнительная работа с письменного согласия работника
- Федеральный закон № 273-ФЗ «Об образовании», статья 76 — дополнительное профессиональное образование, часть 3 о допуске к программам
- Роскомнадзор — руководство по заполнению электронной формы уведомления, раздел об ответственном за организацию обработки (PDF)
Частые вопросы
Обязательно ли назначать ответственного за обработку персональных данных?
Юридическому лицу да: оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки (ч. 1 ст. 22.1 закона № 152-ФЗ). ИП и физическим лицам статья 22.1 такой обязанности не устанавливает.
Должен ли ИП назначать ответственного за персональные данные?
По статье 22.1 нет, она говорит только о юридических лицах. Но в форме уведомления Роскомнадзору поле об ответственном есть. Запрета указать самого предпринимателя в статьях 22 и 22.1 нет, прямого разъяснения Роскомнадзора для ИП без сотрудников мы не нашли.
Кто может быть ответственным за обработку персональных данных?
Статья 22.1 требований к должности и образованию не устанавливает. На практике это работник организации с доступом к руководителю: юрист, кадровик, офис-менеджер. Он получает указания от исполнительного органа и подотчётен ему (ч. 2 ст. 22.1).
Может ли директор быть ответственным за персональные данные?
Статья 22.1 этот случай прямо не разбирает. Ответственный получает указания от исполнительного органа и подотчётен ему, поэтому по нашему прочтению лучше назначить другого человека. Разъяснения Роскомнадзора по такой ситуации в проверенных источниках нет.
Какие обязанности у ответственного за обработку персональных данных?
По части 4 статьи 22.1 в частности три: внутренний контроль за соблюдением законодательства, доведение его положений и локальных актов до работников, организация приёма и обработки обращений субъектов данных. Руководитель может добавить другие задачи.
Как оформить назначение ответственного?
Форму закон не устанавливает. Обычно издаётся приказ руководителя, работник знакомится с ним под подпись. Образец с вымышленными данными разобран в статье о приказе о назначении ответственного. Если нужны документы под вашу организацию, пакет «Документы по 152-ФЗ» стоит 9 900 ₽, приказ об ответственном входит в локальные акты.
Нужно ли указывать ответственного в уведомлении Роскомнадзору?
Да. В уведомлении указываются сведения об ответственном и его контакты (п. 7.1 ч. 3 ст. 22). Реестр операторов общедоступен, кроме сведений о средствах защиты (ч. 4 ст. 22), поэтому лучше указывать рабочие телефон и почту.
Что делать, если ответственный уволился?
Назначить нового и подать в Роскомнадзор изменение сведений не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Если ответственный сменился 12 марта, срок до 15 апреля.
Должен ли ответственный пройти обучение или получить удостоверение?
Закон этого не требует. Пункт 6 части 1 статьи 18.1 называет мерой оператора ознакомление и (или) обучение работников, которые обрабатывают данные. Если выберете курс, у ФТИ есть повышение квалификации «Защита персональных данных»: 72 часа дистанционно, удостоверение с записью в ФИС ФРДО. Принимают с образованием не ниже среднего профессионального.
Ответственный за обработку и ответственный за безопасность — это одно и то же?
Нет, это разные роли. Первого требует статья 22.1 закона № 152-ФЗ. Второго постановление Правительства № 1119 называет среди требований для 3-го уровня защищённости (п. 14). Может ли это быть один человек, ни тот, ни другой документ прямо не говорят.