Кто несёт ответственность за защиту персональных данных

За защиту персональных данных несёт ответственность оператор: обязанность обеспечить безопасность при обработке возложена именно на него. Для компании это означает необходимость организовать защиту сведений от незаконного или случайного доступа, уничтожения, изменения, копирования и распространения. Оператор принимает нужные меры либо обеспечивает их принятие. Назначение сотрудника, который занимается вопросами обработки, сохраняет эту обязанность компании — ч. 1 ст. 19 Закона № 152-ФЗ.

Кто отвечает за персональные данные внутри организации? Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию их обработки. Его задача — следить за соблюдением правил в работе компании и её сотрудников. Здесь различаются две роли: оператор обеспечивает защиту, а назначенное лицо организует внутренний контроль и выполняет другие обязанности, связанные с обработкой. Назначение предусмотрено ч. 1, а круг основных задач — ч. 4 ст. 22.1 152-ФЗ.

Ответственный за персональные данные в организации получает указания непосредственно от её исполнительного органа и ему же подотчётен. Такая подчинённость позволяет определить, перед кем он отчитывается за выполнение своих задач. Оператор обязан предоставлять этому лицу сведения об обработке, необходимые для исполнения предусмотренных законом обязанностей. Отношения между оператором и ответственным регулируют ч. 2 и 3 ст. 22.1 152-ФЗ.

На практике внутренний контроль охватывает и соблюдение требований к защите информации. Ответственный должен доводить до работников положения законодательства, внутренних актов компании по обработке и требования к защите. Значит, его работа связана не только с техническими средствами: сотрудники должны знать правила обращения с персональными данными. Эти обязанности закреплены в п. 1 и 2 ч. 4 ст. 22.1 152-ФЗ.

Если человек обращается по поводу своих персональных данных, организация работы с его обращением также входит в задачи ответственного лица. Оно организует приём и обработку обращений и запросов либо контролирует эту работу; возможны и оба направления одновременно. Это относится и к обращениям представителей людей, чьи сведения обрабатываются. Основание — п. 3 ч. 4 ст. 22.1 152-ФЗ.

Для защиты информационной системы оператор определяет угрозы, устанавливает правила доступа и обеспечивает регистрацию действий с данными. Кроме того, он учитывает машинные носители, оценивает эффективность мер до начала эксплуатации системы и контролирует защиту при дальнейшей работе. Эти задачи предусмотрены ч. 2 ст. 19 Закона № 152-ФЗ. Распределяя работу внутри компании, нужно охватить каждый из этих вопросов.

При обнаружении доступа без разрешения защита включает реагирование на инцидент и меры против последствий компьютерных атак. Изменённые или уничтоженные из-за такого доступа данные подлежат восстановлению. За организацию этих мер отвечает оператор по п. 6 и 7 ч. 2 ст. 19 Закона № 152-ФЗ; внутренний контроль назначенного лица охватывает соблюдение требований к защите по ст. 22.1 152-ФЗ.