Нужна ли должностная инструкция ответственного за обработку персональных данных

Если вы решаете, нужна ли должностная инструкция ответственного за обработку персональных данных, начните с организации его работы. Отдельную инструкцию можно использовать, чтобы собрать обязанности в одном документе. Обязательны назначение ответственного и выполнение требований к обработке данных. Состав организационных мер оператор выбирает самостоятельно с учетом требований закона — ч. 1 ст. 18.1 Закона № 152-ФЗ.

Оператор — организация, которая организует или осуществляет обработку персональных данных. Для оператора, являющегося юридическим лицом, назначение ответственного обязательно. Закон называет его ответственным за организацию обработки персональных данных. Это означает, что поручение должно охватывать организационные функции, а не сводиться к выполнению отдельных операций с данными. Основание назначения — ч. 1 ст. 22.1 152-ФЗ.

В документах о работе ответственного стоит отразить прямую подотчетность исполнительному органу организации. Именно от него ответственный получает указания. При выборе содержания должностной инструкции учитывайте эту связь: установленный внутри организации порядок взаимодействия должен позволять выполнять требование о непосредственном получении указаний и подотчетности — ч. 2 ст. 22.1 152-ФЗ.

Содержание обязанностей удобно строить вокруг трех направлений. Первое — внутренний контроль за тем, как организация и работники соблюдают законодательство и требования к защите данных. Второе — доведение до работников правил обработки, локальных актов и требований защиты. Третье — организация приема и обработки обращений людей, чьи данные обрабатываются, или их представителей, либо контроль этой работы. Эти функции закреплены в ч. 4 ст. 22.1 152-ФЗ.

Как описать работу с обращениями? Можно закрепить за ответственным организацию их приема и обработки либо контроль за тем, как эту работу выполняют другие работники. Выбор должен соответствовать фактическому распределению задач. Если обращения обрабатывают другие сотрудники, ответственному нужна возможность контролировать этот процесс: такой вариант прямо предусмотрен п. 3 ч. 4 ст. 22.1 152-ФЗ.

Должностную инструкцию следует согласовать с остальными документами об обработке данных. Организация издает политику и локальные акты, в которых определяет категории данных и людей для каждой цели обработки, способы и сроки обработки и хранения, порядок уничтожения. Также нужны процедуры предотвращения и выявления нарушений и устранения их последствий. Эти документы регулируют работу оператора в целом — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

При подготовке документов учитывайте и ознакомление работников, которые непосредственно обрабатывают данные, с законодательством, политикой и локальными актами, а также возможность их обучения. Эта организационная мера предусмотрена п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ. По запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан представить документы и локальные акты либо иначе подтвердить принятые меры — ч. 4 той же статьи. Выбранное оформление должно отражать реально организованную работу.