Ответственный за персональные данные: кто и зачем нужен

Разбираемся, кто должен быть ответственным за обработку персональных данных в компании по 152-ФЗ, какие у него задачи и как оформить приказ.

Зачем компании нужен ответственный за персональные данные

Если организация обрабатывает персональные данные — сотрудников, клиентов, посетителей сайта — она автоматически становится оператором в терминах 152-ФЗ простыми словами. Закон требует, чтобы оператор — юридическое лицо назначил конкретного человека, который отвечает за то, как в компании организована обработка этих данных. Это не формальность «для галочки»: именно этот сотрудник должен знать, какие данные собираются, где они хранятся, кто имеет к ним доступ и что делать в случае утечки или запроса от регулятора.

На практике этим человеком часто становится юрист, специалист по информационной безопасности, HR-директор или отдельный сотрудник, если компания крупная и данных много. Главное — чтобы у него были реальные полномочия влиять на процессы, а не только подписанная бумага.

Какие задачи решает ответственный за обработку персональных данных

Закон не даёт исчерпывающего перечня обязанностей, но исходя из практики и требований регулятора ответственный обычно занимается следующим:

• организует внутренний контроль за соблюдением требований к обработке персональных данных;
• доводит до сотрудников положения законодательства и внутренних актов компании;
• рассматривает обращения и запросы субъектов персональных данных, включая просьбы удалить или уточнить данные;
• участвует в подготовке и актуализации политики обработки персональных данных;
• взаимодействует с Роскомнадзором, в том числе по вопросам уведомления в Роскомнадзор о начале обработки данных;
• следит за тем, чтобы формы на сайте собирали корректное согласие на обработку персональных данных.

По сути, этот человек становится точкой сборки всей истории про персональные данные внутри компании — от юридических документов до технических настроек сайта.

Что грозит компании, если ответственного нет

Формально отсутствие назначенного ответственного — это нарушение требований 152-ФЗ, и оно может стать одним из пунктов при проверке. Даже если прямого штрафа именно за это упущение не выписывают отдельно, оно создаёт цепочку проблем: без ответственного лица никто системно не следит за согласиями, сроками хранения данных, обработкой обращений пользователей. В итоге компания рискует получить претензии уже по другим основаниям — например, за отсутствие политики обработки данных или некорректно оформленные согласия, а это уже прямо связано с штрафами по 152-ФЗ.

Есть и репутационный момент: если клиент или партнёр присылает запрос на удаление своих данных, а в компании нет человека, который знает, как на это реагировать, ответ может затянуться или вовсе потеряться. Это подрывает доверие и может стать поводом для жалобы в Роскомнадзор.

Как правильно назначить ответственного

Процедура достаточно простая, но требует аккуратного оформления:

1. Издать приказ о назначении сотрудника ответственным за организацию обработки персональных данных.
2. Разработать и утвердить положение, где прописаны конкретные обязанности, права и зона ответственности этого сотрудника.
3. Ознакомить назначенного сотрудника с внутренними документами компании, касающимися персональных данных, и с требованиями 152-ФЗ.
4. Обеспечить ему доступ к базам данных, CRM, сайту и другим системам, где обрабатываются персональные данные, чтобы он мог реально контролировать процессы, а не только числиться на бумаге.
5. Периодически пересматривать положение и обязанности, особенно если меняются процессы обработки данных или появляются новые сервисы на сайте.

Отдельно стоит обратить внимание на сайт компании: именно там чаще всего происходит сбор персональных данных через формы обратной связи, авторизацию, подписки на рассылку. Ответственному сотруднику полезно регулярно проверять, что на сайте корректно настроен cookie-баннер, а формы содержат правильно оформленное согласие.

Как быстро понять, готов ли сайт к требованиям закона

Назначить ответственного — только часть работы. Важно понимать, соответствует ли сайт компании актуальным требованиям 152-ФЗ уже сейчас: есть ли политика обработки персональных данных, корректно ли оформлены формы согласия, настроен ли cookie-баннер. Сервис pdnrisk.ru позволяет бесплатно проверить сайт по ключевым пунктам и получить понятный отчёт с рекомендациями — это удобная отправная точка для ответственного сотрудника, который только приступает к своим обязанностям.

Автор: Андронов Юрий, руководитель ПДн.Риск. Материал носит информационный характер и не является юридической консультацией.