Инструкция ответственного за обработку персональных данных: обязанности + образец

Ответственный за организацию обработки персональных данных — это сотрудник, которого оператор назначает приказом, чтобы тот следил за соблюдением 152-ФЗ внутри компании. Его полномочия и задачи закрепляют отдельным документом — инструкцией (должностной инструкцией) ответственного. Она нужна, потому что сам закон (ст. 22.1 152-ФЗ) требует назначить такое лицо, а приказа о назначении без описания обязанностей недостаточно. Ниже — кто это, какие у него обязанности по закону, что включить в инструкцию, как её ввести и готовый образец для скачивания.

Кто такой ответственный и зачем инструкция

Статья 22.1 152-ФЗ обязывает оператора-юрлицо назначить ответственного за организацию обработки персональных данных. Это не отдельная должность, а функция, которую возлагают на действующего сотрудника (чаще — юриста, кадровика, руководителя или специалиста по комплаенсу) приказом. Обязанность установлена только для операторов — юридических лиц: ИП и физические лица назначать ответственного не обязаны, хотя могут сделать это по желанию. Его задача — следить, чтобы компания обрабатывала данные по закону: были документы, согласия, чтобы работники знали правила, а обращения субъектов не терялись.

Инструкция (её часто называют должностной инструкцией ответственного за обработку персональных данных или инструкцией ответственного за организацию обработки) — это документ, который описывает его обязанности, права и ответственность. Приказ только назначает лицо, а инструкция объясняет, что именно оно должно делать; поэтому их оформляют в паре.

Кого можно назначить

Закон не требует брать отдельного человека или специалиста с особым образованием — функцию возлагают на уже работающего сотрудника. На практике ответственным назначают того, кто и так ближе всего к теме: юриста, руководителя кадровой службы, специалиста по комплаенсу, иногда самого директора в небольшой компании. Главное — чтобы у человека были реальные полномочия и доступ, а не только строчка в приказе.

Несколько практических моментов:

• Совместительство функции. Это дополнительная функция к основной должности, а не новая штатная единица. Её фиксируют приказом и инструкцией (или дополнением к трудовому договору).
• Подчинение напрямую руководителю. По смыслу ст. 22.1 ответственный подотчётен непосредственно руководителю организации — чтобы мог поднимать проблемы с обработкой данных, минуя промежуточные согласования.
• Один или несколько. В крупной компании с филиалами ответственных может быть несколько, с распределением зон; в малом бизнесе достаточно одного.
• Нельзя назначить «пустую» должность. Назначение должно быть реальным: человек должен знать о своих обязанностях (ознакомление под подпись) и иметь возможность их исполнять.

Обязанности по закону

Базовый набор обязанностей задан прямо в ч. 4 ст. 22.1 152-ФЗ. Их три, и инструкция каждую конкретизирует:

• Внутренний контроль за соблюдением закона. Ответственный следит, чтобы и сама компания, и её работники обрабатывали данные по 152-ФЗ, включая требования к защите. На практике это значит: проверять, что на сайте есть политика и согласия, что данные не собираются «про запас», что доступ к базам имеют только уполномоченные, что подрядчикам данные передаются по договору.
• Доведение правил до работников. Ответственный объясняет сотрудникам положения закона, внутренние акты и требования к защите — проводит инструктажи, знакомит под подпись с Положением и обязательством о неразглашении, отвечает на вопросы. Это не разовое действие, а постоянная работа: при приёме новых людей, при изменении процессов.
• Организация работы с обращениями субъектов. Ответственный выстраивает приём и обработку запросов граждан — о доступе к их данным, об уточнении, удалении, отзыве согласия — и контролирует, чтобы на них отвечали в установленный срок. Потерянный или просроченный запрос — это уже повод для жалобы в Роскомнадзор.

Этот минимум из закона инструкция может расширять, но не сужать. Типичные дополнительные задачи, которые прописывают: поддержание документов и согласий в актуальном состоянии, участие во внутренних проверках, взаимодействие с Роскомнадзором, участие в расследовании инцидентов и уведомлении об утечках.

Что ответственный делает на практике

Чтобы роль не осталась «строчкой в приказе», полезно понимать её в виде регулярных задач. Обычно ответственный:

• ведёт и обновляет пакет документов по персональным данным (политика, согласия, положение, приказы) и следит, чтобы он соответствовал реальным процессам;
• контролирует формы на сайте и в офисе: есть ли согласие, не собираются ли лишние данные;
• принимает и отрабатывает обращения субъектов в срок, хранит переписку как доказательство;
• проводит инструктажи для новых сотрудников и напоминает правила при изменении процессов;
• проверяет договоры с подрядчиками, которым передаются данные (поручение на обработку);
• реагирует на инциденты: фиксирует, оценивает, участвует в уведомлении Роскомнадзора при утечке;
• готовит компанию к проверкам и отвечает на запросы надзорного органа.

Что включить в инструкцию

Как назначить и ввести в действие

Частые ошибки

По теме

Частые вопросы