Что обязан делать ответственный за организацию обработки персональных данных

Ответственный за организацию обработки персональных данных занимается тем, как внутри организации соблюдаются правила обращения с такими данными. Статья 22.1 152-ФЗ связывает эту роль с тремя направлениями: внутренним контролем, информированием работников и работой с обращениями. Ответ на вопрос о его обязанностях нельзя свести к одному действию, например к ознакомлению сотрудников с правилами. Закон отдельно называет каждое направление. Они относятся к разным участникам обработки: самой организации, ее работникам и людям, чьи данные обрабатываются.

Сначала нужно определить, о какой организации идет речь. В ч. 1 ст. 22.1 152-ФЗ обязанность назначить ответственного установлена для оператора, являющегося юридическим лицом. В контексте этой статьи оператор — организация, которая обрабатывает персональные данные. Назначение ответственного и выполнение им обязанностей — разные вопросы. Сам факт появления такого лица еще не означает, что внутренний контроль осуществляется, работники знают правила, а обращения принимаются и обрабатываются. Содержание работы раскрывается в следующих частях статьи.

Первое направление — внутренний контроль за соблюдением законодательства о персональных данных. По п. 1 ч. 4 ст. 22.1 152-ФЗ он охватывает и оператора, и его работников. Это означает, что внимание ответственного обращено не только на действия отдельных сотрудников. Соблюдение правил самой организацией также входит в предмет контроля. Если обсуждаются обязанности ответственного, из этого направления нельзя исключать требования к защите персональных данных: закон прямо включает их в перечень того, за чем он должен следить.

Контроль и информирование сотрудников решают разные задачи. Контроль касается соблюдения требований, а информирование — доведения самих требований до работников. Знакомство сотрудников с правилами не заменяет контроль их исполнения. И наоборот, наличие внутреннего контроля не отменяет обязанности сообщать работникам, какие положения регулируют обработку данных. В ч. 4 ст. 22.1 152-ФЗ эти обязанности перечислены отдельно; при определении содержания работы ответственного следует учитывать обе, а не выбирать одну из них.

Второе направление включает несколько групп сведений. Пункт 2 ч. 4 ст. 22.1 152-ФЗ требует доводить до работников положения законодательства, локальных актов по вопросам обработки персональных данных и требования к защите данных. Локальные акты здесь — внутренние правила организации. Следовательно, содержание информирования не ограничивается общим сообщением о существовании закона. Работникам должны быть доведены и правила, принятые внутри оператора, и требования, относящиеся к защите данных. Для ответа на вопрос об обязанности существенны все перечисленные группы.

Третье направление связано с обращениями и запросами субъектов персональных данных. Субъект — человек, чьи персональные данные обрабатываются. Пункт 3 ч. 4 ст. 22.1 152-ФЗ распространяется также на обращения и запросы его представителей. Значит, организуя эту работу, ответственный не может ограничиться только обращениями самих людей, исключив обращения через представителя. При этом закон говорит и о приеме, и об обработке: организация одного лишь приема не исчерпывает названную обязанность.

Для работы с обращениями предусмотрены разные варианты участия ответственного. Он может организовывать их прием и обработку, контролировать эту работу либо сочетать оба направления. Именно такую возможность закрепляет п. 3 ч. 4 ст. 22.1 152-ФЗ. Лично принимать и обрабатывать каждое поступившее обращение ответственному не обязательно: он вправе контролировать прием и обработку другими работниками. Но если его участие состоит в контроле, предметом такого контроля остаются обе стадии работы. Свести обязанность только к получению входящих запросов нельзя.

Отдельно закон определяет подотчетность. По ч. 2 ст. 22.1 152-ФЗ указания ответственному дает непосредственно исполнительный орган организации, являющейся оператором. Перед этим же органом он отчитывается. Это правило отвечает на вопрос о связи ответственного с руководством: статья называет непосредственный источник указаний и того, кому он подотчетен. При описании должности следует учитывать эту связь наряду с перечнем обязанностей. Перечислить только контроль и работу с обращениями для полного описания роли недостаточно.

У самого оператора тоже есть обязанность в отношении ответственного. Часть 3 ст. 22.1 152-ФЗ требует предоставлять ему предусмотренные законом сведения. Следовательно, организация не только назначает лицо, но и должна снабжать его соответствующей информацией. Запросите у организации сведения, необходимые для исполнения этой обязанности. Для подготовки запроса уточните у исполнительного органа организации состав этих сведений и порядок их передачи. Произвольный набор документов вместо предусмотренных сведений не подойдет.

Наконец, перечень обязанностей в ч. 4 ст. 22.1 152-ФЗ введен словами «в частности». Считать три названных направления исчерпывающим описанием всей возможной работы ответственного было бы неверно. Ответственный обязан контролировать соблюдение требований, информировать работников и организовывать либо контролировать работу с обращениями. Когда нужно понять содержание этой роли, отправными вопросами будут соблюдение требований внутри организации, доведение правил до работников и организация либо контроль работы с обращениями. Подотчетность исполнительному органу и предоставление сведений оператором дополняют эту картину.