Приказ о назначении ответственного за обработку ПДн

Часть 1 статьи 22.1 закона 152-ФЗ обязывает оператора назначить ответственного за организацию обработки персональных данных. Из формулировки статьи следует, что обязанность распространяется на операторов независимо от организационно-правовой формы и масштаба деятельности — закон не делает исключения для малого бизнеса.

Если оператор — физическое лицо, включая индивидуального предпринимателя, обязанности ответственного вправе исполнять он сам. В организации эти обязанности можно возложить как на отдельного сотрудника, так и на руководителя, если он готов выполнять их лично.

Приказ о назначении ответственного подписывает то же лицо, которое вправе подписывать приказы об обработке персональных данных, — обычно руководитель организации. Если полномочия переданы по доверенности, ссылку на неё стоит включить в текст приказа.

Закон не устанавливает формальных квалификационных требований к ответственному, но предполагает, что это лицо, способное реально контролировать обработку данных в организации. На практике эту роль поручают:

• руководителю юридического отдела или юрисконсульту — если в компании нет отдельной ИТ-службы;
• руководителю ИТ-подразделения или системному администратору — если основной риск связан с информационными системами;
• HR-директору или руководителю отдела кадров — в компаниях, где основной массив ПДн относится к сотрудникам;
• отдельно нанятому специалисту по защите данных — в организациях с большим объёмом обработки.

Важно не столько формальная должность, сколько реальная возможность назначенного сотрудника влиять на процессы обработки данных и требовать их изменения.

Не стоит назначать ответственным сотрудника, который сам активно занят обработкой данных на линейном уровне — например, менеджера по продажам, ежедневно вносящего данные клиентов в CRM: контроль требует дистанции от операционных процессов.

Часть 2 статьи 22.1 закона 152-ФЗ прямо перечисляет функции ответственного:

1. осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к защите персональных данных;
2. доводить до сведения работников оператора положения законодательства о персональных данных, локальные акты по вопросам обработки персональных данных, требования к защите персональных данных;
3. организовывать приём и обработку обращений и запросов субъектов персональных данных или их представителей и осуществлять контроль за приёмом и обработкой таких обращений и запросов.

В приказе эти функции можно перечислить дословно либо детализировать применительно к структуре конкретной организации — например, указать конкретные каналы приёма обращений субъектов.

Помимо этих трёх функций на практике ответственному поручают согласование новых форм сбора данных перед их запуском и ведение реестра информационных систем персональных данных — это не обязательно по закону, но снижает риск запуска нового процесса обработки без проверки на соответствие 152-ФЗ.

Приказ о назначении ответственного должен содержать:

Сотрудника нужно ознакомить с приказом под подпись — это подтверждает, что он знает о возложенных обязанностях и согласен с назначением. Возражение или отказ от ознакомления стоит зафиксировать отдельным актом.

Если должностная инструкция для этой позиции уже действует, в приказе достаточно сослаться на неё. Если инструкции нет, обязанности стоит либо утвердить отдельным приложением, либо детально прописать в тексте приказа — иначе при проверке трудно доказать, что функции ответственного закреплены не только общей ссылкой на закон.

Пример формулировки распорядительной части приказа:

ПРИКАЗЫВАЮ:

1. Назначить ответственным за организацию обработки персональных данных Иванова И. И. с 01.01.2026.
2. Возложить на Иванова И. И. обязанности, предусмотренные ст. 22.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
3. Иванову И. И. подчиняться непосредственно генеральному директору ООО «Компания» и отчитываться о результатах контроля.
4. Контроль за исполнением приказа оставляю за собой.

Назначение ответственного не переносит на него административную или иную ответственность оператора перед третьими лицами и государственными органами — субъектом ответственности перед Роскомнадзором и субъектами персональных данных остаётся оператор как юридическое лицо или ИП.

Внутри организации ответственный отвечает перед работодателем за исполнение возложенных обязанностей — по общим правилам трудового законодательства, вплоть до дисциплинарного взыскания по ст. 192 ТК РФ за неисполнение или ненадлежащее исполнение должностных обязанностей.

Поэтому в трудовом договоре или должностной инструкции назначенного сотрудника имеет смысл прямо прописать обязанности по ст. 22.1 152-ФЗ — это упрощает применение дисциплинарных мер, если контроль за обработкой данных не ведётся фактически.

Оператору стоит учитывать: если ответственный назначен, но фактически не выполняет функции контроля — не проверяет обработку, не рассматривает обращения субъектов, — при проверке Роскомнадзор оценивает не факт назначения, а реальную работу. Формальный приказ без работающего контроля не снимает риск привлечения оператора к ответственности по ст. 13.11 КоАП РФ.