Приказ о назначении ответственного лица по работе с ПД

1. Что оформляет приказ о назначении ответственного лица по работе с персональными данными

Приказ о назначении ответственного лица по работе с персональными данными — внутренний распорядительный документ, которым руководитель называет конкретного человека, отвечающего за организацию обработки персональных данных в компании. Закон использует более длинную формулировку: «лицо, ответственное за организацию обработки персональных данных». В обиходе говорят проще — «ответственный за ПД», и в названии документа на сайте сохранена именно эта привычная версия.

Основание — статья 22.1 Федерального закона № 152-ФЗ «О персональных данных». Она появилась в 2011 году и состоит всего из четырёх частей: кто назначает, кому подчиняется ответственный, какие сведения ему обязаны давать и что он должен делать. Вторая опора — пункт 1 части 1 статьи 18.1 того же закона, который называет назначение ответственного первой в перечне мер, подтверждающих, что оператор выполняет закон всерьёз, а не на бумаге.

Важно понимать, чего приказ не делает. Он не разрешает обрабатывать данные, не заменяет согласия граждан и не является политикой оператора. Это кадровое и управленческое решение: за систему работы с данными отвечает не «вся компания в целом», а названный человек с понятными полномочиями. Именно этот документ проверяющие просят одним из первых, потому что по нему видно, есть ли у оператора хозяин процесса.

2. Кому приказ обязателен, а кому — по желанию?

Прямая обязанность установлена для оператора, являющегося юридическим лицом. Форма собственности и размер значения не имеют: ООО с тремя сотрудниками, акционерное общество, некоммерческая организация, частная клиника или школа — все они обрабатывают как минимум данные работников и поэтому становятся операторами. Отдельного порога по числу субъектов или объёму базы закон не вводит, поэтому приказ о назначении ответственного за персональные данные нужен каждой организации.

Индивидуальный предприниматель и гражданин тоже могут быть операторами — пункт 2 статьи 3 Закона № 152-ФЗ прямо это допускает. Но часть 1 статьи 22.1 адресована только юридическим лицам, поэтому у ИП нет обязанности издавать такой приказ. При этом статья 18.1 оставляет оператору право самому выбирать меры, достаточные для соблюдения закона. Если у предпринимателя есть наёмный персонал, клиентская база или интернет-магазин, назначить ответственного — разумный способ показать проверяющим, что процесс кем-то управляется.

Для государственных и муниципальных органов действует свой порядок: часть 3 статьи 18.1 поручает Правительству утвердить для них отдельный перечень мер. Этот конструктор рассчитан на коммерческие и некоммерческие организации и предпринимателей, а не на органы власти.

3. Юридическое лицо или ИП: что меняет первый вопрос конструктора

Первый вопрос — правовой статус работодателя. От ответа зависит шапка документа, преамбула и блок подписи, поэтому выбрать его стоит до заполнения остальных полей.

При варианте «Юридическое лицо» в шапке указываются полное и сокращённое наименование, ОГРН, ИНН и КПП, а подписывает документ директор или генеральный директор — должность выбирается в поле подписанта. Преамбула ссылается на статьи 18.1 и 22.1 Закона № 152-ФЗ: для организации это исполнение прямой обязанности.

При варианте «Индивидуальный предприниматель» вместо реквизитов организации появляются ФИО, ОГРНИП и ИНН, а подписывает сам предприниматель. Для ИП приказ — добровольная мера из статьи 18.1: часть 1 статьи 22.1 адресована организациям, поэтому для предпринимателя правовая опора — именно статья 18.1. Если предприниматель сам ведёт всю работу с данными, приказ можно не издавать; если с данными работают наёмные сотрудники, назначение ответственного снимает с ИП часть рутины.

Номер приказа присваивается по внутреннему журналу распорядительных документов. Дату издания важно проставить явно: от неё отсчитываются полномочия ответственного и сроки уведомления Роскомнадзора об изменениях.

4. Кого можно назначить ответственным?

Закон не устанавливает ни квалификационных требований, ни обязательной должности. Ответственным может быть юрист, специалист по кадрам, руководитель административного отдела, сотрудник службы информационной безопасности. В небольших компаниях эту роль нередко берёт на себя сам директор: прямого запрета нет, хотя формулировка о подотчётности исполнительному органу в таком случае замыкается на одном человеке.

Практичные критерии выбора такие:

• у человека есть полномочия запрашивать информацию у других подразделений и давать им обязательные указания по вопросам данных;
• он понимает, какие данные, где и зачем обрабатывает компания, а не только отвечает за компьютерную технику;
• он не является единственным исполнителем, чью работу сам же будет проверять, иначе внутренний контроль превращается в самоконтроль;
• у него есть время на эту работу, а в должностной инструкции или дополнительном соглашении эта функция закреплена;
• он доступен для граждан и надзорного органа: его контакты попадут в уведомление Роскомнадзора.

Можно ли поручить функцию сторонней организации? Пункт 7.1 части 3 статьи 22 предусматривает указание в уведомлении как ФИО физического лица, так и наименования юридического лица, ответственного за организацию обработки. Это даёт основание привлекать внешнего специалиста по договору. Но подчинение руководителю оператора из части 2 статьи 22.1 тогда нужно выстроить договором, и безопаснее, чтобы внутри компании всё равно оставался работник, который координирует процесс и отвечает на запросы в срок.

5. Подчинение руководителю: почему это не формальность

Часть 2 статьи 22.1 определяет место ответственного в структуре компании:

Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от исполнительного органа организации, являющейся оператором, и подотчетно ему (ч. 2 ст. 22.1 Закона № 152-ФЗ).

Смысл нормы — вывести ответственного из цепочки промежуточных начальников. Если он подчиняется руководителю отдела продаж, а продажи собирают базу клиентов, контролировать их объективно не получится. Прямая линия к директору позволяет поднять вопрос об остановке рискованной рассылки или выгрузки данных подрядчику без согласования с тем, кто в этой выгрузке заинтересован.

Встречная обязанность оператора — часть 3 той же статьи: компания должна давать ответственному сведения, которые входят в уведомление Роскомнадзора. Это цели обработки, меры защиты, сведения о трансграничной передаче, место нахождения баз данных. На практике это означает право ответственного запрашивать у ИТ-службы, кадров и бухгалтерии информацию о том, какие системы и носители используются, и получать её без специальной визы директора на каждый запрос.

Строка «Контроль за исполнением приказа оставляю за собой» в документе есть всегда. Она не просто традиционная концовка: руководитель фиксирует, что назначенный работник отчитывается именно ему, как требует закон.

6. Три обязанности по закону и пункт «Детализировать функции»

Часть 4 статьи 22.1 перечисляет минимальный набор задач ответственного. Он обязан:

1. осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, включая требования к защите;
2. доводить до сведения работников положения законодательства, локальных актов по обработке данных и требований к их защите;
3. организовывать приём и обработку обращений и запросов граждан или их представителей и (или) контролировать эту работу.

В конструкторе есть вопрос «Детализировать функции ответственного сотрудника». При ответе «Да» в приказ попадают три пункта, построенные по этой статье. При ответе «Нет» документ только называет ответственного, а обязанности вытекают из закона напрямую — слова «в частности» в статье показывают, что перечень открыт, но и без приказа он действует. Детализация всё же полезна: работник знакомится с конкретными задачами под подпись и не сможет сослаться на то, что не знал о них.

Третья обязанность по закону касается обращений и запросов субъектов данных и их представителей: именно их ответственный организует принимать и обрабатывать. На ответ гражданину, запросившему сведения о своих данных, у оператора десять рабочих дней, и продлить срок можно не более чем на пять рабочих дней с мотивированным уведомлением (ч. 1 ст. 20 Закона № 152-ФЗ).

Вариант «Свой вариант» позволяет расширить функции под реальную деятельность. Чаще всего добавляют:

• ведение перечня информационных систем и мест хранения данных, актуализацию его при появлении новых сервисов;
• согласование договоров, по которым данные передаются подрядчикам, облачным сервисам или партнёрам;
• координацию действий при утечке и подготовку уведомлений Роскомнадзору;
• организацию обучения работников и ведение журнала ознакомления с локальными актами;
• подготовку ответов на запросы надзорного органа и участие в проверках.

7. Инструкция ответственного: включать ли пункт об её утверждении

Второй вопрос конструктора — «Включить пункт об утверждении инструкции ответственного лица за обработку ПД». Варианты: «Нет», «Да», «Свой вариант».

При ответе «Да» приказ утверждает и вводит в действие инструкцию ответственного. Это удобно, когда функции слишком объёмны для самого приказа: в инструкции описывают порядок проверок, формы отчётов руководителю, порядок работы с обращениями, взаимодействие с ИТ-службой. Но пункт работает только тогда, когда инструкция существует на дату подписания и прилагается к приказу. Утвердить документ, которого нет, — типичная ошибка, которую проверяющие видят сразу.

Ответ «Нет» подходит небольшой компании, где функции исчерпываются тремя обязанностями по закону и детализированы в самом приказе или в должностной инструкции работника. «Свой вариант» используют, когда инструкция уже утверждена раньше и нужно лишь сослаться на неё с реквизитами либо поручить ответственному разработать её к конкретной дате.

Инструкция ответственного — не то же самое, что положение о защите данных работников. Инструкция описывает работу одного человека, положение — правила для всей организации. О втором документе подробно рассказано на странице положения о защите персональных данных.

8. Сотрудники, клиенты или оба: чьи данные указать

Вопрос «Чьи персональные данные обрабатываются» определяет, за какой массив данных отвечает назначенный работник. Варианты: «Сотрудников», «Клиентов или контрагентов», «Оба варианта», «Свой вариант». При выборе клиентов в тексте можно уточнить формулировку: клиенты, контрагенты или клиенты и контрагенты.

Вариант «Сотрудников» подходит, когда назначенному работнику поручают только кадровые данные: учтите, что ФИО и контакты представителей партнёров-юрлиц — тоже персональные данные. Для кадровых данных к закону о персональных данных добавляется глава 14 Трудового кодекса: доступ к данным работников разрешён только специально уполномоченным лицам и только в объёме, нужном для их функций (ст. 88 ТК РФ).

Вариант «Клиентов или контрагентов» уместен редко — работники есть почти у всех. Его выбирают, когда кадровые данные уже закреплены за другим ответственным приказом, а новый документ распределяет зону клиентских баз. Для контрагентов-юрлиц персональными данными являются сведения об их представителях: ФИО, телефоны, должности подписантов.

«Оба варианта» — самый частый выбор: один человек отвечает за всю систему. В крупной организации допустимо назначить двух ответственных с разными зонами, но тогда важно исключить разрыв: кто из них отвечает за соискателей, бывших работников, посетителей офиса. «Свой вариант» как раз позволяет перечислить категории явно — например, пациенты, ученики и их законные представители, участники программы лояльности.

9. Ответственный за организацию обработки и другие «ответственные»

В документах о персональных данных встречается как минимум три разные роли, и их часто сливают в одну. Это ошибка: у каждой роли своё основание и свой объём задач.

Требования № 1119 для первого, самого высокого, уровня защищённости идут дальше: нужно создать структурное подразделение, ответственное за безопасность данных в информационной системе, или возложить эти функции на одно из подразделений (п. 16). Для четвёртого уровня отдельного ответственного за безопасность не требуется, но руководитель должен утвердить перечень лиц, которым доступ к данным в системе нужен для работы (подп. «в» п. 13).

Совмещать роли можно, если человек реально справляется: в компании из двадцати человек ответственным за организацию обработки и за безопасность нередко выступает один работник. Но в приказе лучше разделить формулировки, чтобы при проверке было видно, что каждое требование закрыто. Конструктор позволяет это сделать через отдельные пункты о месте хранения и технических средствах.

10. Место хранения данных и бумажные носители

Вопрос «Включить условие о месте хранения данных» добавляет в документ два пункта. Первый называет сотрудника, ответственного за определение мест хранения персональных данных. Второй возлагает на ответственное лицо обязанность обеспечить условия для защиты и сохранности данных на материальных носителях.

Эти пункты опираются на требования к обработке без средств автоматизации:

Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ (п. 13 Положения, утв. постановлением Правительства РФ от 15.09.2008 № 687).

Тот же документ требует раздельного хранения носителей, если данные обрабатываются в разных целях, и поручает оператору самому установить перечень мер и лиц, ответственных за их реализацию (п. 14, 15). Проще говоря, личные дела работников, анкеты участников акции и журнал посетителей не должны лежать в одной папке и в одном шкафу без замка.

Выбирать «Да» стоит всем, у кого есть бумажные личные дела, договоры с гражданами, медицинские карты, анкеты. Ответственным за места хранения обычно назначают того, кто физически работает с носителями: кадровика, делопроизводителя, администратора. Если в компании всё хранится только в электронном виде, можно ответить «Нет», но тогда стоит проверить, нет ли бумажных копий паспортов и трудовых договоров в шкафах подразделений.

11. Технические средства и два реестра доступа

Три следующих вопроса конструктора касаются электронной части работы с данными: пункт о технических средствах и два реестра — работников, имеющих доступ к персональным данным, и работников, имеющих доступ к техническим средствам, которые эти данные обрабатывают.

Пункт о технических средствах утверждает перечень оборудования и программ, через которые проходят данные: серверы, рабочие станции кадровиков, CRM, облачная бухгалтерия, сервис рассылок. Без такого перечня невозможно определить уровень защищённости и понять, на что распространяются меры безопасности.

Реестр работников с доступом к данным закрывает сразу два требования: статьи 88 Трудового кодекса о доступе только уполномоченных лиц и подпункта «в» пункта 13 Требований № 1119 об утверждённом руководителем перечне лиц. Реестр доступа к техническим средствам нужен прежде всего ИТ-службе: кто вправе администрировать систему, устанавливать обновления, делать резервные копии.

Для обоих реестров есть «Свой вариант». Им пользуются, чтобы утвердить реестр сразу приложением к приказу либо поручить ответственному составить его и представить руководителю к определённой дате. Второй путь честнее, если на момент назначения никто ещё не провёл инвентаризацию доступов. Главное — не утверждать реестр «задним числом» и обновлять его при каждом приёме и увольнении работника.

12. Кто заменяет ответственного во время отпуска?

Отпуск, больничный или командировка ответственного не останавливают сроки, которые закон отводит оператору. Утечку нужно сообщить Роскомнадзору в течение 24 часов с момента выявления, а итоги внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона № 152-ФЗ). В первом уведомлении указываются и сведения о лице, уполномоченном взаимодействовать с надзорным органом по этому инциденту. Если такого человека нет на месте, компания теряет драгоценные часы.

Поэтому в конструкторе есть вопрос «Включить условие об ответственном сотруднике на время отсутствия основного». При ответе «Да» в документе указываются ФИО и должность основного ответственного и того, кто его замещает. «Свой вариант» подходит, когда замещение должно наступать только в определённых случаях или когда замещающих несколько по разным направлениям.

Замещение — это дополнительная работа, поручаемая с письменного согласия работника и за доплату, если обязанности не входят в его трудовую функцию (ст. 60.2, 151 ТК РФ). Отдельный вопрос конструктора «Добавить подпись замещающего на время отпуска сотрудника» выводит под приказом строку ознакомления для второго работника. Её стоит включать всегда, когда назначен замещающий: без подписи трудно доказать, что он знал о своей роли.

13. Нужны ли согласие работника и доплата?

Всё зависит от того, входит ли функция в трудовую обязанность работника. Трудовой кодекс запрещает требовать работу, не обусловленную трудовым договором (ст. 60 ТК РФ). Если обязанности ответственного уже прописаны в трудовом договоре или должностной инструкции, с которой работник ознакомлен, приказ лишь конкретизирует их, и отдельного согласия не требуется.

Если же юрист или кадровик до сих пор этим не занимался, у работодателя два законных пути. Первый — изменить трудовую функцию соглашением сторон, оформив дополнительное соглашение к трудовому договору и обновив должностную инструкцию. Второй — поручить дополнительную работу в порядке совмещения: с письменного согласия работника, с указанием срока, содержания и объёма и с доплатой, размер которой стороны определяют сами (ст. 60.2 и 151 ТК РФ). При совмещении обе стороны могут досрочно отказаться от поручения, письменно предупредив другую не позднее чем за три рабочих дня.

Для нового работника, которого берут именно на эту роль, функцию сразу включают в трудовой договор. Вопрос конструктора «Добавить подпись назначенного лица» выводит под приказом строку «С приказом от … ознакомлен» с полем для подписи и ФИО. Выбирайте «Да»: подпись доказывает, что работник знает о поручении, а если приказ утверждает инструкцию, знакомить с ней под подпись обязывает статья 22 ТК РФ как с локальным нормативным актом.

14. Сведения об ответственном в уведомлении Роскомнадзора

Перед началом обработки оператор направляет в Роскомнадзор уведомление, и сведения об ответственном — его обязательная часть:

Уведомление должно содержать следующие сведения: … фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты (п. 7.1 ч. 3 ст. 22 Закона № 152-ФЗ).

Эти данные попадают в реестр операторов, который в основной части общедоступен. Поэтому лучше указывать рабочие контакты — служебный телефон и корпоративную почту, а не личный мобильный.

Без уведомления можно обходиться, в частности, при обработке данных исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Но если в компании есть хотя бы кадровая программа или бухгалтерия в электронном виде, это исключение, как правило, не работает. Невыполнение обязанности уведомить о намерении обрабатывать данные теперь наказывается отдельно — штрафом для коммерческих организаций от 100 до 300 тысяч рублей (ч. 10 ст. 13.11 КоАП РФ).

Приказ и уведомление должны совпадать. Если в реестре операторов значится один человек, а приказом назначен другой, на проверке это выглядит как признак формального подхода и требует пояснений.

15. Что делать, если ответственный уволился?

Увольнение или перевод ответственного — самый частый повод вернуться к документу. Полномочия уходящего работника прекращаются вместе с трудовыми отношениями, а обязанность иметь ответственного у организации остаётся. Порядок действий такой:

1. Издать новый приказ о назначении ответственного и в нём же указать, что прежний приказ утрачивает силу. Лучше, чтобы дата нового приказа не отставала от последнего рабочего дня уходящего сотрудника.
2. Получить подпись нового ответственного об ознакомлении и, если функция не входит в его трудовую функцию, оформить согласие на совмещение или дополнительное соглашение.
3. Ещё до ухода прежнего ответственного организовать передачу дел: реестры доступа, журнал обращений граждан, переписку с Роскомнадзором, незакрытые запросы с их сроками.
4. Отозвать у уходящего работника доступы к системам и носителям с данными и исключить его из реестров.
5. Направить в Роскомнадзор сведения об изменении — не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения (ч. 7 ст. 22 Закона № 152-ФЗ).
6. Обновить контакты ответственного в документах, где они указаны для граждан, — например, в политике оператора на сайте.

Уведомлять Роскомнадзор нужно и тогда, когда человек остался прежним, но сменились его рабочий телефон, почтовый адрес или электронная почта: для реестра операторов это тоже изменение сведений.

16. Что грозит компании и самому ответственному?

Отдельного штрафа за отсутствие приказа Кодекс об административных правонарушениях не содержит. Но без ответственного обычно проваливаются обязанности, за которые штрафы есть: ответ гражданину на запрос о его данных (ч. 4 ст. 13.11 КоАП), уведомление о намерении обрабатывать данные (ч. 10), уведомление об утечке (ч. 11 — для коммерческих организаций от 1 до 3 млн рублей). Кроме того, по запросу Роскомнадзора оператор обязан представить документы и локальные акты либо иначе подтвердить принятые меры (ч. 4 ст. 18.1 Закона № 152-ФЗ), и приказ — первое, что в таком ответе показывают.

Личная ответственность назначенного работника зависит от состава. По части 1 и ряду других «старых» частей статьи 13.11 штраф для должностных лиц назначается и в коммерческих организациях: по примечанию к статье 2.4 КоАП как должностные лица отвечают работники, выполняющие организационно-распорядительные или административно-хозяйственные функции. Будет ли таким лицом конкретный ответственный, суды решают по его фактическим полномочиям. А вот в частях 10–18, введённых законом 2024 года, должностное лицо — только должностное лицо государственного или муниципального органа либо НКО, а юрлицо — только оператор, который не является таким органом или НКО (примечания 2 и 3 к ст. 13.11 КоАП). В коммерческой компании штрафы по утечкам и неуведомлению платит организация, в НКО — её должностное лицо, которым может оказаться и ответственный.

Внутри компании работник отвечает по Трудовому кодексу: дисциплинарно и материально, а за разглашение данных другого работника может быть уволен (подп. «в» п. 6 ч. 1 ст. 81, ст. 90 ТК РФ). Незаконное использование и передача компьютерной информации с персональными данными с конца 2024 года может квалифицироваться и по статье 272.1 Уголовного кодекса — но это уже ответственность за умышленные действия, а не за упущения в организации работы.

17. Первые шаги ответственного после назначения

Приказ запускает работу, но сам её не выполняет. Чтобы назначение не осталось формальностью, в первый месяц ответственному стоит:

• провести инвентаризацию: какие данные, о ком, в каких системах и на каких носителях обрабатываются, кто к ним имеет доступ;
• проверить, опубликована ли политика обработки персональных данных на сайте и соответствует ли она реальным целям обработки;
• сверить внутренние правила для работников — положение об обработке персональных данных или положение о защите данных работников;
• проверить, откуда берутся согласия на обработку персональных данных и хранятся ли они;
• подписать с работниками, у которых есть доступ к базам, соглашение о конфиденциальности;
• сверить сведения в реестре операторов Роскомнадзора с актуальным положением дел.

Если компания собирает данные через сайт, дополнительно понадобятся политика использования файлов cookie и политика конфиденциальности для пользователей. Внутренний контроль по пункту 4 части 1 статьи 18.1 закона ответственный проводит регулярно; для информационных систем Требования № 1119 устанавливают периодичность контроля не реже одного раза в три года (п. 17).

18. Как составить приказ в конструкторе

Документ собирается за несколько минут, если заранее решить, кто будет ответственным и кто его заместит. Порядок работы:

1. Выберите статус работодателя — юридическое лицо или индивидуальный предприниматель — и заполните реквизиты, номер и дату приказа.
2. Решите, утверждается ли вместе с приказом инструкция ответственного, и если да — подготовьте её как приложение.
3. Укажите, чьи данные обрабатываются, и впишите ФИО и должность ответственного.
4. Включите детализацию функций, чтобы работник под подпись ознакомился с тремя обязанностями по закону, при необходимости добавьте свои.
5. Отметьте нужные пункты о месте хранения, технических средствах и реестрах доступа, исходя из того, на бумаге или в электронном виде вы работаете с данными.
6. Назначьте замещающего на время отсутствия и добавьте строки ознакомления для обоих работников.

Готовый приказ о назначении ответственного за ПД подписывает руководитель, после чего с ним знакомятся назначенные работники. Затем проверьте, совпадают ли сведения об ответственном с уведомлением в Роскомнадзоре. Документ можно заполнить онлайн прямо на сайте или скачать в PDF или WORD и доработать на своём компьютере.

Автор статьи: Дарья Мельникова (юрист)