Инструкция ответственного за ПДн

Ответственным назначается работник организации приказом руководителя. Закон не устанавливает жёстких квалификационных требований к этой должности, но здравый смысл и практика подсказывают: это должен быть человек, способный разобраться и в юридической стороне вопроса, и во внутренних процессах компании — обработке заявок, работе с ИТ-системами, кадровым документооборотом.

Часто ответственным назначают юриста, руководителя службы безопасности или ИТ-директора, в зависимости от того, какой блок задач в организации более трудоёмкий. В небольшой компании эту роль может совмещать генеральный директор, но тогда он лично несёт все обязанности, перечисленные в ст. 22.1.

Приказ о назначении должен содержать не только ФИО и должность ответственного, но и ссылку на то, что назначение производится во исполнение ч. 1 ст. 22.1 закона 152-ФЗ.

Часть 3 ст. 22.1 закона 152-ФЗ прямо перечисляет обязанности ответственного. В инструкции их стоит расшифровать применительно к реальным процессам организации.

Контроль не сводится к разовой проверке при вступлении в должность — это регулярная функция: ответственный периодически проверяет, соблюдается ли утверждённая инструкция по обработке ПДн на практике, а не только на бумаге.

Ответственный — точка входа для взаимодействия организации с Роскомнадзором по вопросам обработки персональных данных. В его обязанности входит подготовка и подача уведомления об обработке персональных данных, если оператор обязан его направлять по ст. 22 закона 152-ФЗ, а также актуализация сведений в уведомлении при изменении целей или состава обрабатываемых данных.

При получении запроса или предписания от Роскомнадзора именно ответственный организует подготовку ответа, собирает необходимые документы — политику обработки, реестр согласий, журнал обращений субъектов — и следит за соблюдением сроков.

Если в организации проводится плановая или внеплановая проверка, ответственный, как правило, выступает основным контактным лицом со стороны оператора и координирует предоставление документов проверяющим.

Обязанность доводить до работников требования законодательства реализуется через регулярное обучение, а не разовый инструктаж при трудоустройстве. Инструкция должна закреплять периодичность: например, ознакомление с актуальной редакцией внутренних документов не реже одного раза в год, а также при существенном изменении процессов обработки данных.

Ответственный проводит выборочные внутренние проверки: смотрит, как хранятся бумажные носители, есть ли лишние копии данных на рабочих столах сотрудников, соблюдается ли парольная политика в информационных системах. По итогам проверки составляется справка с перечнем выявленных недостатков и сроком их устранения.

Отдельное направление — контроль за подрядчиками, которым данные передаются на обработку по поручению оператора: ответственный проверяет, что с ними заключены договоры с условиями обработки, предусмотренными ст. 6 закона 152-ФЗ.

Обучение стоит строить не как формальную лекцию, а как разбор конкретных ситуаций из практики организации: что делать при звонке клиента с просьбой удалить данные, как реагировать на письмо, похожее на запрос регулятора, куда сообщать о подозрении на утечку. Такой формат запоминается лучше, чем пересказ статей закона.

Назначение ответственного не снимает ответственность с оператора как юридического лица — перед субъектами персональных данных и регулятором по-прежнему отвечает организация. Но за ненадлежащее исполнение своих обязанностей ответственный может нести дисциплинарную ответственность в рамках трудовых отношений с работодателем.

Инструкция должна чётко описывать, какие решения ответственный принимает самостоятельно, а какие — только по согласованию с руководителем.

Полезно предусмотреть замещение на период отпуска или болезни ответственного — с указанием, кто временно принимает на себя эти обязанности, чтобы функция контроля не прерывалась.