Юридическое лицо обязано назначить ответственного за организацию обработки персональных данных. Но приказ с фамилией сам по себе ничего не меняет. Человеку нужны полномочия, доступ к информации и понятный список задач.
Что требует закон
По статье 22.1 Федерального закона № 152-ФЗ ответственный получает указания непосредственно от исполнительного органа организации и подотчетен ему. В его основные обязанности входят:
- внутренний контроль за соблюдением закона и требований к защите;
- доведение до работников правил и локальных актов;
- организация приема и обработки обращений людей либо контроль этой работы.
Компания должна предоставить ответственному сведения о своих процессах. Нельзя требовать контроля, если отделы не сообщают о новой CRM, форме на сайте или подрядчике.
Кого можно назначить
Закон не устанавливает универсальную должность или отдельное требование к диплому. В небольшой компании эту роль может выполнять юрист, специалист по комплаенсу, руководитель административного блока или другой работник, который понимает процессы и может обращаться к руководству.
| Критерий | Что проверить |
|---|---|
| Доступ к руководству | Может ли человек сообщить о риске и получить решение |
| Знание процессов | Видит ли он сайт, кадры, продажи, IT и подрядчиков |
| Полномочия | Может ли запросить документы, остановить опасную передачу и назначить исправление |
| Время и ресурсы | Не остается ли роль формальной нагрузкой без возможности работать |
| Замещение | Кто примет запрос или сообщение об утечке во время отпуска |
Техническую защиту может вести IT-специалист, но организационная роль шире. Она включает цели, основания, документы, обращения, обучение и контроль подрядчиков.
Какие документы оформить
Минимально стоит подготовить:
- Приказ о назначении.
- Положение или дополнение к должностной инструкции.
- Перечень полномочий и канал прямой отчетности руководителю.
- План внутреннего контроля.
- Порядок взаимодействия с IT, кадрами, продажами и подрядчиками.
- Схему замещения.
- Подтверждение ознакомления и обучения.
Новый процесс → сообщение ответственному → оценка цели и риска → документы и настройки → запуск → контроль → исправление найденных нарушений.
Что ответственный проверяет регулярно
- появились ли новые формы, сервисы и подрядчики;
- совпадает ли уведомление Роскомнадзора с реальностью;
- закрыты ли доступы бывших работников;
- соблюдаются ли сроки ответов и уничтожения;
- готовы ли сотрудники к инциденту;
- выполнены ли прошлые корректирующие меры.
Тейк юриста: ответственный не должен лично нажимать каждую кнопку. Его задача - сделать так, чтобы у каждого действия был владелец, срок и подтверждение.
Формальная фамилия в приказе не снижает риски. Работающая роль помогает компании заниматься основной деятельностью, замечать проблему до жалобы и не собирать доказательства в спешке перед проверкой Роскомнадзора.