У загородного отеля на двадцать номеров есть управляющая, администратор на ресепшене, бухгалтер на полставки и подрядчик, который ведёт сайт с бронированием. Когда владелец спрашивает «кто у нас отвечает за персональные данные гостей», все смотрят друг на друга. Паспорта гостей видит ресепшен, базу броней выгружает управляющая, сайт собирает заявки через форму подрядчика. Отвечают все понемногу, значит не отвечает никто.
Ст. 22.1 152-ФЗ решает этот вопрос прямо: оператор, который является юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Одного конкретного человека.
Чем этот человек занят
Закон называет три обязанности, и для малого бизнеса их полезно перевести на бытовой язык.
| Что в законе | Как это выглядит в отеле |
|---|---|
| Внутренний контроль за соблюдением закона | раз в квартал проверить, кто имеет доступ к базе броней, не лежат ли копии паспортов в общей папке, актуальна ли политика на сайте |
| Доведение требований до работников | новый администратор знакомится с правилами работы с данными гостей в первый же день |
| Приём и обработка обращений субъектов | гость пишет «удалите мои данные», и письмо попадает к одному человеку, а не теряется в общей почте |
Ответственный получает указания от руководителя организации и подотчётен ему. То есть это не независимый контролёр, а сотрудник с дополнительной зоной ответственности.
В реальности к этому добавляются ещё две вещи. Он держит в руках уведомление в Роскомнадзор: его ФИО и контакты указываются в форме, и когда что-то меняется, именно он вспоминает о письме об изменениях. Как подаётся уведомление, мы разбирали в статье про реестр операторов. И он первым разговаривает с инспектором, если приходит проверка.
Кого выбрать
Закон не требует конкретной должности или образования. Важно другое: у этого человека должно хватать полномочий, чтобы сказать подрядчику «переделайте форму» или администратору «не фотографируйте паспорта на личный телефон», и его послушают.
Варианты для небольших компаний:
- Сам директор. В команде до десятка-другого человек это самое частое и разумное решение. Он и так видит все процессы.
- Управляющий или операционный директор. Хорошо, если директор-собственник далёк от рутины, как в нашем отеле.
- Кадровик или HR. Логично, если основной массив данных кадровый. Но клиентская часть (сайт, CRM, рассылки) тогда может выпасть из поля зрения.
- Юрист в штате. Удобно для документов, хуже для контроля, если юрист не видит повседневную работу.
Чего не советуем: назначать младшего сотрудника «потому что у него есть время». Формально можно, но при первом же конфликте с подрядчиком или коллегой у него не окажется рычагов.
Приказ
Строгой формы нет. В приказе обычно есть:
- Название организации, номер и дата.
- Ссылка на ст. 22.1 152-ФЗ как основание.
- ФИО и должность назначенного.
- Перечень обязанностей, хотя бы те три, что названы в законе.
- С какой даты действует назначение.
- Кто замещает на время отпуска или болезни.
- Подпись руководителя и подпись назначенного об ознакомлении.
Пункт про замещение часто забывают, и зря. Ответственный ушёл в отпуск на три недели, гость прислал требование удалить данные, а разбираться некому.
Дополнительно стоит внести эти обязанности в должностную инструкцию или трудовой договор через дополнительное соглашение. Закон этого не требует, но так проще показать, что назначение не формальное.
Готовый приказ о назначении ответственного есть в комплекте документов по 152-ФЗ, его остаётся заполнить своими данными.
Особые случаи
ИП. Ст. 22.1 прямо говорит об операторах-юрлицах. Индивидуальный предприниматель, который работает один, по сути и так сам отвечает за всё. Если у ИП есть сотрудники с доступом к данным клиентов, мы бы всё равно оформили распоряжение, кто и за что отвечает: при проверке это снимает лишние вопросы.
ООО, где директор единственный сотрудник. Директор подписывает приказ о назначении себя. Выглядит странно, но так документ существует и закрывает требование.
Группа компаний. Возьмём барбершоп, где два салона оформлены на два разных ООО. Каждое юрлицо отдельный оператор, поэтому и ответственный назначается в каждом своим приказом. Человек может быть один и тот же, если он работает в обеих компаниях, но приказов будет два, и в каждом уведомлении в РКН он указан отдельно.
Смена ответственного. Новый приказ, ознакомление, и обязательно проверить уведомление в реестре: если там старое ФИО и контакты, подавайте письмо об изменениях.
Ответственный и DPO
Если вы работаете с клиентами из Евросоюза, вам встретится DPO из GDPR. Это не то же самое. DPO обязателен только в отдельных случаях (масштабный мониторинг, спецкатегории данных, госорганы) и должен быть независимым. Российский ответственный нужен любому юрлицу-оператору и подчиняется руководителю. Подробное сравнение есть в статье GDPR и 152-ФЗ.
Первый месяц после назначения
Чтобы назначение не осталось бумагой, вот минимальный план для нового ответственного:
- составить список мест, где лежат персональные данные: CRM, таблицы, почта, облако, бумажные папки, сервисы подрядчиков;
- выписать, у кого из сотрудников и подрядчиков есть доступ, и убрать лишние;
- сверить политику на сайте с тем, что реально собирают формы;
- проверить, что в реестре Роскомнадзора актуальные сведения;
- завести один адрес или канал для обращений субъектов и сказать о нём ресепшену;
- провести короткий инструктаж для тех, кто работает с данными.
Отдельная большая зона это данные сотрудников: резюме, кадровые документы, передача в банк и страховую. Её мы подробно разобрали в статье про персональные данные работников, чтобы здесь не повторяться.