Нужен ли приказ об ответственном за обработку персональных данных

Если организация решает, нужен ли приказ об ответственном за обработку персональных данных, начать нужно с назначения конкретного лица. Для оператора — юридического лица это обязанность по ч. 1 ст. 22.1 152-ФЗ. Оператором здесь является организация, которая обрабатывает персональные данные. Назначение ответственного также включено в перечень мер по выполнению обязанностей оператора — п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ.

Приказом можно зафиксировать, кому поручена организация обработки. В таком документе целесообразно использовать полное название функции: ответственный за организацию обработки персональных данных. Это помогает связать поручение с задачами из ст. 22.1 152-ФЗ. Содержание решения должно позволять понять, какое лицо назначено и за какую работу оно отвечает. При этом обязательное требование закона касается назначения, а приказ служит способом его оформления.

При определении подотчётности учитывайте, от кого ответственный будет получать указания. Он получает их непосредственно от исполнительного органа организации и отчитывается перед ним. Эту связь нужно учитывать при закреплении функций, чтобы ответственный мог обращаться к тому органу, которому подотчётен по ч. 2 ст. 22.1 152-ФЗ, а порученная работа соответствовала установленному порядку управления.

В обязанности ответственного входит внутренний контроль: он проверяет соблюдение правил обработки организацией и её работниками, включая требования к защите персональных данных. Значит, поручение должно охватывать контроль работы с такими сведениями, а не сводиться к упоминанию фамилии в документе. Основание для этой задачи — п. 1 ч. 4 ст. 22.1 152-ФЗ.

Отдельная задача касается работников. Ответственный доводит до них правила законодательства, локальных актов организации и требования к защите персональных данных. Локальные акты — это внутренние документы организации по вопросам обработки. При закреплении этой функции учитывайте, какие правила действуют для сотрудников при работе со сведениями о людях: именно с ними связано информирование по п. 2 ч. 4 ст. 22.1 152-ФЗ.

Нужно также определить участие ответственного в работе с обращениями. Человек, чьи персональные данные обрабатываются, или его представитель может направить запрос либо обращение. Ответственный организует их приём и обработку, контролирует эту работу либо совмещает обе функции. Такое распределение задач предусмотрено п. 3 ч. 4 ст. 22.1 152-ФЗ и должно быть согласовано с поручением конкретному лицу.

После назначения продолжайте работу с документами об обработке. Для юридического лица предусмотрены политика и локальные акты, а также внутренний контроль и ознакомление работников с правилами — ч. 1 ст. 18.1 Закона № 152-ФЗ. Сопоставьте задачи ответственного с этими документами. По запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан представить документы либо иначе подтвердить принятие мер согласно ч. 4 той же статьи.