Ответственный за организацию обработки персональных данных

Кого и как назначить ответственным за организацию обработки персональных данных: обязанности ответственного, приказ и должностная инструкция, внутренний контроль, запросы субъектов, проверка Роскомнадзора и ответственность за нарушения.

Написать в мессенджер

Telegram MAX WhatsApp

Адвокат Константин Вруцкий — защита по уголовным делам, Москва — Адвокат · рег. № 78/8790

Коротко

Ответственный за организацию обработки персональных данных — лицо, которое оператор, являющийся юридическим лицом, назначает по ч. 1 ст. 22.1 Закона № 152-ФЗ. Это лицо получает указания непосредственно от исполнительного органа организации и подотчётно ему (ч. 2 ст. 22.1 Закона № 152-ФЗ). Ответственный за обработку персональных данных обязан, в частности, вести внутренний контроль за соблюдением закона оператором и работниками, доводить до работников требования закона и локальных актов и организовывать приём обращений и запросов субъектов (ч. 4 ст. 22.1 Закона № 152-ФЗ).

Что делать сейчас: ответственный за организацию обработки персональных данных

Ситуации, когда вопрос об ответственном встаёт срочно, и первые шаги.

Позвонить сейчас

Пришёл запрос субъекта персональных данных, а ответственный в организации не назначен

Назначьте лицо, ответственное за организацию обработки персональных данных, — этого требует ч. 1 ст. 22.1 Закона № 152-ФЗ от оператора, являющегося юридическим лицом.
Поручите ему организовать приём и обработку запроса или контроль за ответом — п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ.
Если субъект возражает против решения, принятого на основании исключительно автоматизированной обработки, зафиксируйте дату получения: рассмотреть возражение и уведомить о результатах нужно в течение тридцати дней, ч. 4 ст. 16 Закона № 152-ФЗ.

ч. 1, п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ; ч. 4 ст. 16 Закона № 152-ФЗ

Роскомнадзор начал проверку и спрашивает, кто ответственный за обработку персональных данных

Найдите документ о назначении и проверьте, что ответственный получает указания непосредственно от исполнительного органа и подотчётен ему — ч. 2 ст. 22.1 Закона № 152-ФЗ.
Соберите подтверждения внутреннего контроля и ознакомления работников с локальными актами — п. 1 и 2 ч. 4 ст. 22.1 Закона № 152-ФЗ.
По запросу органа оператор обязан представить документы и локальные акты о принятых мерах или иным образом подтвердить их принятие — ч. 4 ст. 18.1 Закона № 152-ФЗ.
Предмет контроля (надзора) — соблюдение операторами обязательных требований, ч. 2 ст. 23.1 Закона № 152-ФЗ.

ч. 2, ч. 4 ст. 22.1 Закона № 152-ФЗ; ч. 4 ст. 18.1 Закона № 152-ФЗ; ч. 2 ст. 23.1 Закона № 152-ФЗ

Ответственный за обработку персональных данных уволился, а замена не назначена

Назначьте новое лицо: обязанность назначить ответственного по ч. 1 ст. 22.1 Закона № 152-ФЗ лежит на операторе, а не на ушедшем работнике.
Передайте новому ответственному сведения, которые оператор обязан ему предоставлять по ч. 3 ст. 22.1 Закона № 152-ФЗ, и незакрытые обращения субъектов.
Доведите до работников, кто теперь принимает обращения и запросы субъектов, — п. 2 и 3 ч. 4 ст. 22.1 Закона № 152-ФЗ.

ч. 1, ч. 3, ч. 4 ст. 22.1 Закона № 152-ФЗ

Чего делать нельзя: ответственный за организацию обработки персональных данных

Ошибки при назначении ответственного и их цена.

Не назначать ответственного, пока «данных немного». Обязанность назначить лицо, ответственное за организацию обработки персональных данных, ч. 1 ст. 22.1 Закона № 152-ФЗ возлагает на оператора, являющегося юридическим лицом, и не связывает её с объёмом или видом данных. Цена — при проверке в организации не окажется лица, которое ведёт внутренний контроль и отвечает за приём обращений.
Подчинять ответственного начальнику отдела. По ч. 2 ст. 22.1 Закона № 152-ФЗ ответственный получает указания непосредственно от исполнительного органа организации и подотчётен ему. Промежуточный руководитель в этой цепочке — расхождение с нормой, которое видно из самого приказа о назначении.
Не передавать ответственному сведения. Оператор обязан предоставлять ответственному сведения, указанные в законе, — ч. 3 ст. 22.1 Закона № 152-ФЗ. Без них внутренний контроль по п. 1 ч. 4 ст. 22.1 Закона № 152-ФЗ ведётся вслепую, а ответы субъектам готовятся без понимания, что и зачем обрабатывается.
Оставлять обращения субъектов без порядка приёма. Организация приёма и обработки обращений и запросов субъектов или их представителей — обязанность ответственного по п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ. На возражение против решения, принятого на основании исключительно автоматизированной обработки, оператору дано тридцать дней со дня получения, ч. 4 ст. 16 Закона № 152-ФЗ; потерянное письмо съедает этот срок.
Сводить роль к подписи под приказом. Перечень в ч. 4 ст. 22.1 Закона № 152-ФЗ открыт словами «в частности»: внутренний контроль, доведение требований до работников, работа с обращениями. Приказ без инструкции, актов контроля и подтверждений ознакомления работников не показывает, что эти обязанности исполняются.
Считать, что за всё отвечает один ответственный. Лица, виновные в нарушении законодательства о персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности — ст. 90 ТК РФ. Руководители и другие работники организаций, совершившие правонарушение в связи с организационно-распорядительными функциями, отвечают как должностные лица — ст. 2.4 КоАП РФ.

Когда нужна помощь юриста: ответственный за организацию обработки персональных данных

С чем обращаются по этой роли.

Нужно назначить ответственного за организацию обработки персональных данных и подготовить приказ и должностную инструкцию под обязанности из закона.ч. 1, ч. 4 ст. 22.1 Закона № 152-ФЗ
Контролирующий орган проверяет соблюдение обязательных требований и запрашивает документы об ответственном.ч. 2 ст. 23.1 Закона № 152-ФЗ
Субъект или его представитель направил запрос или возражение, и приём и ответ нужно выстроить в срок.п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ; ч. 4 ст. 16 Закона № 152-ФЗ
Работника привлекают к ответственности за нарушение при обработке персональных данных работников, и организации нужно определить вид ответственности.ст. 90 ТК РФ

Кто участвует: ответственный за организацию обработки персональных данных

Кто назначает, кому подотчётен ответственный и с кем он работает.

Участник	Обязанность или право	Норма
Оператор — юридическое лицо	Назначает лицо, ответственное за организацию обработки персональных данных, и обязан предоставлять ему сведения, указанные в законе	ч. 1, ч. 3 ст. 22.1 Закона № 152-ФЗ
Исполнительный орган организации	Даёт ответственному указания непосредственно; ответственный подотчётен ему	ч. 2 ст. 22.1 Закона № 152-ФЗ
Лицо, ответственное за организацию обработки персональных данных	Осуществляет внутренний контроль, доводит до работников требования закона и локальных актов, организует приём и обработку обращений и запросов субъектов и (или) контролирует их	ч. 4 ст. 22.1 Закона № 152-ФЗ
Работники оператора	Получают от ответственного положения законодательства, локальных актов и требования к защите; виновные в нарушениях при обработке данных работника привлекаются к ответственности	п. 2 ч. 4 ст. 22.1 Закона № 152-ФЗ; ч. 1 ст. 90 ТК РФ
Субъекты персональных данных и их представители	Направляют обращения и запросы; вправе заявить возражение против решения, принятого на основании исключительно автоматизированной обработки	п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ; ч. 3 ст. 16 Закона № 152-ФЗ
Роскомнадзор	Как федеральный орган исполнительной власти ведёт контроль (надзор) за соблюдением операторами обязательных требований в области персональных данных; по его запросу оператор подтверждает принятые меры	ч. 1, ч. 2 ст. 23.1 Закона № 152-ФЗ; ч. 4 ст. 18.1 Закона № 152-ФЗ

Показать всех участниковСвернуть

Что это значит: ответственный за организацию обработки персональных данных

Место ответственного между оператором, исполнительным органом и работниками.

Лицо, ответственное за организацию обработки персональных данных, — отдельная роль внутри оператора. Оператор, являющийся юридическим лицом, его назначает (ч. 1 ст. 22.1 Закона № 152-ФЗ), а само лицо получает указания непосредственно от исполнительного органа организации и подотчётно ему (ч. 2 ст. 22.1 Закона № 152-ФЗ).

Обязанности закон перечисляет открытым списком — «в частности» (ч. 4 ст. 22.1 Закона № 152-ФЗ): внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к защите; доведение до работников положений законодательства, локальных актов и требований к защите; организация приёма и обработки обращений и запросов субъектов или их представителей и (или) контроль за этим.

Встречная обязанность лежит на операторе: он предоставляет ответственному сведения, указанные в законе (ч. 3 ст. 22.1 Закона № 152-ФЗ). Форму назначения норма не задаёт — приказ и должностная инструкция фиксируют, кто назначен, кому подотчётен и что делает.

Назначение ответственного — первая из мер оператора по п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ. Состав мер оператор определяет сам, если иное не предусмотрено федеральными законами; среди них — локальные акты, внутренний контроль и (или) аудит, ознакомление работников (п. 2, 4, 6 ч. 1 ст. 18.1 Закона № 152-ФЗ). По запросу уполномоченного органа оператор представляет документы или иначе подтверждает меры (ч. 4 ст. 18.1 Закона № 152-ФЗ).

Внешний контроль (надзор) за соблюдением операторами обязательных требований ведёт федеральный орган исполнительной власти — Роскомнадзор (ч. 1 и 2 ст. 23.1 Закона № 152-ФЗ).

Что говорит закон: ответственный за организацию обработки персональных данных

Обязанности ответственного — дословно.

Лицо, ответственное за организацию обработки персональных данных, в частности, обязано: 1) осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных; 2) доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных; 3) организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.ч. 4 ст. 22.1 Закона № 152-ФЗ

Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790

Слова «в частности» делают перечень открытым: инструкция может расширить круг задач под процессы организации. Внутренний контроль охватывает не только оператора, но и его работников, включая требования к защите. По третьему пункту ответственный может сам организовывать приём обращений или контролировать, как их принимают другие, — союз «и (или)» допускает оба варианта.

Нормы по теме: ответственный за организацию обработки персональных данных

Статьи закона, на которых держится тема, — с названиями из официального текста

ст. 22.1 152-ФЗ Лица, ответственные за организацию обработки персональных данных в организациях

Официальный текст: О персональных данных

Виды дел: ответственный за организацию обработки персональных данных

С чем приходят организации.

Назначение с нуля

Организация обнаруживает, что ответственный не назначен или назначен формально. Готовлю приказ и должностную инструкцию по ч. 1 и 4 ст. 22.1 Закона № 152-ФЗ и проверяю подотчётность исполнительному органу по ч. 2 ст. 22.1 Закона № 152-ФЗ.

Проверка контролирующего органа

Роскомнадзор проверяет соблюдение обязательных требований в области персональных данных (ч. 2 ст. 23.1 Закона № 152-ФЗ) и спрашивает, кто ответственный. Собираю документы о назначении, внутреннем контроле и ознакомлении работников.

Запросы и возражения субъектов

Клиент или работник требует сведений о своих данных или возражает против автоматизированного решения. Выстраиваю организацию приёма и обработки обращений и запросов по п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ. Возражение оператор обязан рассмотреть в течение тридцати дней со дня его получения, ч. 4 ст. 16 Закона № 152-ФЗ.

Смена ответственного

Ответственный уволился или переведён, а преемника нет. Готовлю приказ о новом назначении по ч. 1 ст. 22.1 Закона № 152-ФЗ и передачу ему сведений, которые оператор обязан предоставлять лицу, ответственному за организацию обработки, по ч. 3 ст. 22.1 Закона № 152-ФЗ.

Нарушение с данными работников

После ошибки с данными работников организация решает, кого и как привлечь. Проверяю, чья вина установлена и какой вид ответственности применим по ст. 90 ТК РФ: дисциплинарная, материальная или иная по федеральным законам.

Оспаривание решения органа

Организация не согласна с решением органа по итогам проверки. Готовлю заявление по ст. 199 АПК РФ; подать его можно в течение трёх месяцев со дня, когда стало известно о нарушении прав, если иное не установлено федеральным законом, ч. 4 ст. 198 АПК РФ.

Ответственность: ответственный за организацию обработки персональных данных

Кто и как отвечает за нарушения, связанные с ролью ответственного.

Нарушение	Кто отвечает	Санкция	Норма
Нарушение законодательства о персональных данных при обработке персональных данных работника	Лица, виновные в нарушении	Дисциплинарная и материальная — в порядке ТК РФ и иных федеральных законов; гражданско-правовая, административная и уголовная — в порядке федеральных законов	ч. 1 ст. 90 ТК РФ
Невыполнение оператором обязанности предоставить субъекту информацию, касающуюся обработки его персональных данных	Должностное лицо, ИП, юридическое лицо	Штраф на должностных лиц — от восьми тысяч до двенадцати тысяч рублей; на ИП — от двадцати тысяч до тридцати тысяч рублей; на юридических лиц — от сорока тысяч до восьмидесяти тысяч рублей	ч. 4 ст. 13.11 КоАП РФ
Невыполнение в установленные сроки требования субъекта, его представителя или уполномоченного органа об уточнении, блокировании или уничтожении персональных данных	Должностное лицо, ИП, юридическое лицо	Штраф на должностных лиц — от восьми тысяч до двадцати тысяч рублей; на ИП — от двадцати тысяч до сорока тысяч рублей; на юридических лиц — от пятидесяти тысяч до девяноста тысяч рублей	ч. 5 ст. 13.11 КоАП РФ
Правонарушение в связи с организационно-распорядительными или административно-хозяйственными функциями	Руководители и другие работники организации	Ответственность как должностных лиц	ст. 2.4 КоАП РФ

Отдельной части о неназначении ответственного в ст. 13.11 КоАП РФ нет; назначение — одна из мер оператора по п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ. В ч. 10–18 ст. 13.11 КоАП РФ под должностным лицом понимается только должностное лицо государственного или муниципального органа либо некоммерческой организации.

Возможные исходы: ответственный за организацию обработки персональных данных

Оператор обязан назначить ответственное лицо — ч. 1 ст. 22.1 Закона № 152-ФЗ.

Лицо назначено, подотчётно исполнительному органу и получает от оператора нужные сведения — обязанности по ч. 1–3 ст. 22.1 Закона № 152-ФЗ исполнены.
Контроль (надзор) по ч. 2 ст. 23.1 Закона № 152-ФЗ касается соблюдения оператором обязательных требований; его итог зависит от того, подтверждены ли документами назначение, внутренний контроль и работа с обращениями.
Виновного работника привлекают к дисциплинарной или материальной ответственности, а при наличии оснований — к гражданско-правовой, административной или уголовной, ст. 90 ТК РФ.
Оператор не предоставил субъекту информацию об обработке его данных или не выполнил в срок требование об уточнении, блокировании или уничтожении — штраф по ч. 4 или ч. 5 ст. 13.11 КоАП РФ; руководитель или работник отвечает как должностное лицо по ст. 2.4 КоАП РФ.

Показать всёСкрыть

По истечении одного года со дня совершения правонарушения в области персональных данных постановление по делу вынесено быть не может — ч. 1 ст. 4.5 КоАП РФ; при длящемся правонарушении срок считают со дня обнаружения, ч. 2 ст. 4.5 КоАП РФ.
Для оспаривания решения органа ч. 4 ст. 198 АПК РФ отводит организации три месяца, если иное не установлено федеральным законом. Организация, пропустившая срок подачи заявления по уважительной причине, может получить его восстановление судом.

Не откладывайте правовую оценку

Обсудите задачу компании до следующего действия

Получили документ, готовите решение или возник спор? Позвоните или напишите: разберу обстоятельства, проверю применимый порядок и сроки, объясню возможные действия и риски для компании.

Позвонить сейчас

Комментарий адвоката Вруцкого

адвокат · рег. № 78/8790

Чаще всего я вижу не отсутствие приказа, а приказ без работы за ним. Ответственный за организацию обработки персональных данных назначен, но не знает, какие данные и где обрабатываются. Оператор не предоставляет лицу, ответственному за организацию обработки, сведения, которые обязан предоставлять по ч. 3 ст. 22.1 Закона № 152-ФЗ. Обращения субъектов при этом уходят в общую почту без учёта.

Первое, что я проверяю, — линию подотчётности. Часть 2 ст. 22.1 Закона № 152-ФЗ требует, чтобы ответственный получал указания непосредственно от исполнительного органа. Если между ними стоит начальник отдела, приказ я переписываю до проверки, а не после неё.

Второе — следы внутреннего контроля и ознакомления работников. Должностная инструкция ответственного за обработку персональных данных без актов проверок и листов ознакомления мало что доказывает. Я готовлю инструкцию, журнал обращений и график контроля одним комплектом, чтобы каждая обязанность из ч. 4 ст. 22.1 Закона № 152-ФЗ подтверждалась документом.

Порядок действий: ответственный за организацию обработки персональных данных

Назначение ответственного по шагам.

1
Выбор кандидатаОпределите сотрудника, ответственного за обработку персональных данных, которому исполнительный орган может давать указания напрямую: по ч. 2 ст. 22.1 Закона № 152-ФЗ ответственный получает их непосредственно от исполнительного органа и подотчётен ему. Норма не перечисляет требований к должности, поэтому важны доступ к процессам и время на контроль.
2
Приказ о назначенииОператор оформляет назначение, которого требует ч. 1 ст. 22.1 Закона № 152-ФЗ; закон называет его первой мерой оператора, п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ. В приказе об ответственном за обработку персональных данных указываются лицо, его подотчётность исполнительному органу и инструкция, по которой он работает.
3
Должностная инструкцияИнструкция ответственного за организацию обработки персональных данных раскрывает обязанности из ч. 4 ст. 22.1 Закона № 152-ФЗ: внутренний контроль, доведение требований до работников, приём и обработка обращений субъектов или контроль за ними. Список в законе открыт, поэтому инструкция дополняет его под процессы организации.
4
Передача сведенийОператор передаёт ответственному сведения, которые обязан ему предоставлять по ч. 3 ст. 22.1 Закона № 152-ФЗ, и обновляет их при изменениях. Без этого ответственный не видит, что, зачем и где обрабатывается.
5
Ознакомление работниковОтветственный доводит до работников положения законодательства о персональных данных, локальных актов и требования к защите — п. 2 ч. 4 ст. 22.1 Закона № 152-ФЗ. Работников, непосредственно обрабатывающих данные, оператор знакомит с законодательством, политикой и локальными актами и (или) обучает, п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ. Подтверждения ознакомления сохраните: ими оператор по запросу органа подтверждает принятие мер, ч. 4 ст. 18.1 Закона № 152-ФЗ.
6
Обращения и внутренний контрольЗакрепите канал приёма обращений и запросов субъектов и журнал их учёта (п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ); на возражение против автоматизированного решения — тридцать дней со дня получения (ч. 4 ст. 16 Закона № 152-ФЗ). Внутренний контроль проводите по графику и фиксируйте результаты (п. 1 ч. 4 ст. 22.1 Закона № 152-ФЗ).

Документы: ответственный за организацию обработки персональных данных

Чем организация подтверждает назначение и работу ответственного.

Документ	Зачем	Кто подписывает, форма
Приказ о назначении ответственного	Подтверждает исполнение обязанности назначить лицо, ч. 1 ст. 22.1 Закона № 152-ФЗ	Исполнительный орган организации; письменный документ
Должностная инструкция ответственного	Закрепляет обязанности: внутренний контроль, доведение требований до работников, приём и обработку обращений субъектов — ч. 4 ст. 22.1 Закона № 152-ФЗ	Утверждает исполнительный орган, ответственный подписывает ознакомление
Локальные акты по обработке персональных данных	Мера оператора — юридического лица, п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ; не могут ограничивать права субъектов. Их положения ответственный доводит до работников, п. 2 ч. 4 ст. 22.1 Закона № 152-ФЗ	Издаёт оператор
Листы ознакомления работников	Показывают, что требования доведены до работников	Подписывают работники
Журнал обращений и запросов субъектов	Учёт приёма и обработки обращений, п. 3 ч. 4 ст. 22.1 Закона № 152-ФЗ, и срока по возражениям, ч. 4 ст. 16 Закона № 152-ФЗ	Ведёт ответственный или работник по его поручению
Акты внутреннего контроля	Фиксируют контроль за соблюдением закона оператором и работниками, п. 1 ч. 4 ст. 22.1 Закона № 152-ФЗ; внутренний контроль и (или) аудит — мера оператора, п. 4 ч. 1 ст. 18.1 Закона № 152-ФЗ	Составляет ответственный, получает исполнительный орган

Показать все документыСвернуть

По запросу уполномоченного органа оператор обязан представить документы и локальные акты о принятых мерах или иным образом подтвердить их принятие — ч. 4 ст. 18.1 Закона № 152-ФЗ.

Сроки: ответственный за организацию обработки персональных данных

Сроки, которые ответственному нужно держать под контролем.

Действие	Срок	С какого дня	Норма
Рассмотрение возражения против решения на основании исключительно автоматизированной обработки и уведомление субъекта	В течение тридцати дней	Со дня получения возражения	ч. 4 ст. 16 Закона № 152-ФЗ
Постановление по делу об административном правонарушении в области персональных данных	Один год; после его истечения вынесение постановления исключено	Со дня совершения правонарушения, ч. 1.1 ст. 4.5 КоАП РФ; при длящемся — со дня обнаружения, ч. 2 ст. 4.5 КоАП РФ	ч. 1 ст. 4.5 КоАП РФ
Подача организацией заявления об оспаривании решения органа в арбитражный суд	Для обращения организации — три месяца, если федеральный закон не устанавливает иного. Восстановление пропущенного срока подачи заявления возможно судом при уважительной причине пропуска	День получения организацией сведений о нарушении её прав и законных интересов	ч. 4 ст. 198 АПК РФ

Течение срока, определённого периодом времени, начинается на следующий день после календарной даты или наступления события, которыми определено его начало — ст. 191 ГК РФ.

Как я веду дело

Как адвокат ведёт поручение компании

1
Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
2
Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
3
Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
4
Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
5
Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
6
Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.

Сам или с адвокатом: ответственный за организацию обработки персональных данных

Что организация делает своими силами, а где нужен адвокат.

Справитесь сами

Назначить ответственного приказом и закрепить его подотчётность исполнительному органу, ч. 1 и 2 ст. 22.1 Закона № 152-ФЗ.
Ознакомить работников с локальными актами и сохранить подтверждения.
Вести журнал обращений и запросов субъектов персональных данных.

Нужен адвокат

Инструкция и локальные акты пишутся впервые или по итогам проверки выявлены нарушения.
Идёт проверка контролирующего органа или нужно оспорить его решение в арбитражном суде, ст. 198 АПК РФ.
Решается вопрос об ответственности работника за нарушение при обработке персональных данных работников, ст. 90 ТК РФ.

Типовое назначение под силу самой организации; спорные ситуации с органом и работниками разумнее вести с адвокатом.

Кто ведёт дело

Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение

Константин Александрович Вруцкий

№ 78/8790 · адвокат

Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.

Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.

Личное ведениеВеду дело сам — от первого разговора до исполнения. Доверитель — компания или индивидуальный предприниматель, работа идёт по письменному соглашению с адвокатом — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Честная оценкаНе обещаю результата: называю реальную перспективу и цену промедления в рублях. Если задача решается силами компании, говорю прямо. Обещать положительный результат адвокату запрещено — п. 2 ст. 10 Кодекса профессиональной этики адвоката.

Адвокатская тайнаСведения о компании, её сделках, контрагентах и финансах, полученные в связи с делом, охраняются законом — рассказать можно всё, включая неудобное. Это адвокатская тайна — ст. 8 ФЗ «Об адвокатской деятельности и адвокатуре».

Понятные следующие шагиОбъясняю значение документа или решения и следующие действия компании. Представительство, обжалование и исполнение входят в согласованный объём помощи по соглашению — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Частые вопросы: ответственный за организацию обработки персональных данных

Назначение ответственного обязательно для оператора — юридического лица: ч. 1 ст. 22.1 Закона № 152-ФЗ.

Какой сотрудник может быть ответственным за обработку персональных данных?

Часть 1 ст. 22.1 Закона № 152-ФЗ обязывает оператора, являющегося юридическим лицом, назначить лицо, ответственное за организацию обработки персональных данных, но не называет должность. Условие одно: это лицо получает указания непосредственно от исполнительного органа организации и подотчётно ему (ч. 2 ст. 22.1 Закона № 152-ФЗ). Поэтому выбирают сотрудника с доступом к процессам и временем на контроль.

Может ли директор быть ответственным за обработку персональных данных?

Часть 1 ст. 22.1 Закона № 152-ФЗ требует назначить «лицо», ответственное за организацию обработки персональных данных, без требований к должности. Но ч. 2 ст. 22.1 Закона № 152-ФЗ строит подотчётность ответственного исполнительному органу. Если директор назначает самого себя, контролёр и тот, перед кем он отчитывается, совпадают, — это я обсуждаю с клиентом до подписания приказа.

Нужен ли приказ об ответственном за обработку персональных данных?

Закон требует назначить лицо (ч. 1 ст. 22.1 Закона № 152-ФЗ), а форму назначения не устанавливает. Приказ о назначении ответственного за обработку персональных данных показывает, что обязанность исполнена, кто назначен и кому он подотчётен. Без письменного документа это придётся доказывать иначе.

Что обязан делать ответственный за организацию обработки персональных данных?

По ч. 4 ст. 22.1 Закона № 152-ФЗ он, в частности, осуществляет внутренний контроль за соблюдением оператором и работниками законодательства о персональных данных, в том числе требований к защите; доводит до работников положения законодательства, локальных актов и требования к защите; организует приём и обработку обращений и запросов субъектов или их представителей и (или) контролирует их.

Показать все вопросыСвернуть

Нужна ли должностная инструкция ответственного за обработку персональных данных?

Обязанности по ч. 4 ст. 22.1 Закона № 152-ФЗ перечислены открытым списком, и инструкция ответственного за организацию обработки персональных данных фиксирует, что он делает в этой организации: как часто проводит контроль, как знакомит работников, кто ведёт журнал обращений.

Роскомнадзор: что проверяют у ответственного за обработку персональных данных?

Предмет контроля (надзора) — соблюдение операторами обязательных требований в области персональных данных (ч. 2 ст. 23.1 Закона № 152-ФЗ). Проверяется оператор, а не лично ответственный; назначение лица по ч. 1 ст. 22.1 Закона № 152-ФЗ — одно из таких требований. По запросу органа оператор представляет документы и локальные акты о мерах или иначе подтверждает их принятие (ч. 4 ст. 18.1 Закона № 152-ФЗ): приказ, инструкцию, акты контроля, журнал обращений.

Какая ответственность у ответственного за обработку персональных данных?

За нарушения при обработке персональных данных работника виновные лица привлекаются к дисциплинарной и материальной ответственности, а также к гражданско-правовой, административной и уголовной в порядке федеральных законов — ст. 90 ТК РФ. Руководитель или работник, совершивший административное правонарушение в связи с организационно-распорядительными функциями, отвечает как должностное лицо — ст. 2.4 КоАП РФ; штрафы — например, ч. 4 и 5 ст. 13.11 КоАП РФ.

Можно ли назначить несколько ответственных лиц за обработку персональных данных?

Часть 1 ст. 22.1 Закона № 152-ФЗ говорит о «лице», ответственном за организацию обработки, и ч. 2 ст. 22.1 Закона № 152-ФЗ — о его подотчётности исполнительному органу. Если работу делят, я закрепляю в приказе, кто ответственный по закону, а кто помогает ему по поручению.

Услуги и темы рядом: ответственный за организацию обработки персональных данных

Где нужна помощь адвоката и что прочитать дальше по этому вопросу

Показать всёСкрыть

Обсудите задачу до подписания и ответа

Запишитесь на консультацию

+7 (495) 198-70-77

Позвонить сейчас