Кто отвечает за обработку персональных данных

Чтобы понять, кто отвечает за персональные данные в организации, нужно различать оператора и лицо, ответственное за организацию их обработки. Оператор определяет, зачем нужны данные, какие сведения обрабатывать и какие действия с ними выполнять. Им может быть государственный или муниципальный орган, юридическое либо физическое лицо. Обработку оператор организует или осуществляет самостоятельно либо совместно с другими лицами — п. 2 ст. 3 152-ФЗ.

Если оператор — юридическое лицо, он обязан назначить ответственного за организацию обработки персональных данных. Это правило ч. 1 ст. 22.1 152-ФЗ. Здесь речь о специальной роли внутри организации: человек следит за соблюдением правил и за тем, как устроена работа с данными. При этом оператором остаётся организация, определяющая цели обработки, состав сведений и операции с ними. Для разграничения этих ролей нужно учитывать и ст. 3, и ст. 22.1 152-ФЗ.

Кому подчиняется ответственный? Указания он получает непосредственно от исполнительного органа организации и отчитывается перед ним. Такое подчинение закреплено в ч. 2 ст. 22.1 152-ФЗ. Когда в организации распределяют обязанности по работе с данными, нужно учитывать именно эту связь: назначенное лицо подотчётно исполнительному органу оператора, а не просто любому работнику, который занимается сбором сведений.

Что входит в контроль ответственного? Он проверяет, соблюдают ли организация и её работники законодательство о персональных данных, включая требования к их защите. Обработка охватывает гораздо больше, чем внесение сведений в компьютер: это также сбор, хранение, использование, передача, удаление и другие операции. Работа без автоматизации тоже относится к обработке. Поэтому круг контроля связан с действиями с данными, а не только с использованием программ — п. 3 ст. 3 и п. 1 ч. 4 ст. 22.1 152-ФЗ.

Работникам должны быть известны правила обращения с персональными данными. Доводить до них положения законодательства, локальных актов по вопросам обработки и требования к защите данных обязан назначенный ответственный. Это отдельная задача по п. 2 ч. 4 ст. 22.1 152-ФЗ: его работа включает не только контроль, но и информирование тех, кто обрабатывает сведения.

Если человек обращается по поводу своих данных, работа с его обращением также входит в обязанности ответственного. Закон называет такого человека субъектом персональных данных: это тот, к кому относятся сведения. Ответственный организует приём и обработку обращений и запросов таких людей или их представителей либо контролирует эту работу. Он может сочетать организацию и контроль; такую конструкцию предусматривает п. 3 ч. 4 ст. 22.1 152-ФЗ. Поэтому в вопросе о приёме запроса существенна именно эта обязанность назначенного лица.