Ответственный за организацию обработки персональных данных: как принять эту роль
- Кого закон обязывает назначить ответственного
- Кому подотчётен человек в этой роли
- Какие обязанности названы в законе
- Что согласовать при назначении
- Какие сведения и полномочия получить на старте
- Как принять дела, если раньше всё было «на людях»
- Учебная ситуация: работник просит уточнить сведения
- Как убедиться, что работники знают порядок
- С чего начать регулярный контроль
- Вопросы и ответы
Кого закон обязывает назначить ответственного
В статье 22.1 Федерального закона о персональных данных обязанность сформулирована для оператора, являющегося юридическим лицом. В обычной компании оператором выступает сама организация, когда она организует обработку, определяет её цели и содержание. Сотрудники действуют в рамках своих полномочий. Формулировку о назначении юридическим лицом нельзя механически переносить на любого человека или ИП только потому, что у него есть контактные сведения клиентов.
Уточните, о какой роли идёт речь в предложении руководителя. «Отвечать за персональные данные» в бытовом разговоре может означать следить за кадровыми папками, настраивать защиту сервера или принимать запросы от работников. Это разные задачи. Предмет здесь — ответственное лицо за организацию обработки у оператора. Карьерный путь более широкого специалиста по защите персональных данных и содержание отдельной технической должности не определяют его полномочия автоматически.
Кому подотчётен человек в этой роли
Ответственный получает указания непосредственно от исполнительного органа организации и подотчётен ему. Практическое следствие легко увидеть на конфликте: подразделение хочет продолжать собирать избыточные сведения, а руководитель проекта требует закрыть вопрос без изменений. У ответственного должен быть понятный путь сообщить исполнительному органу о проблеме и о необходимом решении. Обычная переписка с тем же подразделением этот путь не заменяет.
Заранее договоритесь о форме представления существенных вопросов: можно использовать короткую записку с описанием процесса, ограничения, предложенного решения и требуемого действия. Это пример организации работы, а не форма, предписанная законом. Укажите, кто принимает решение и как ответственный узнаёт о результате. Иначе организационная роль превращается в почтовый ящик: сообщения туда поступают, но устранить препятствие никто не уполномочен.
Какие обязанности названы в законе
Первое направление — внутренний контроль за соблюдением законодательства о персональных данных оператором и его работниками, включая требования к защите. Контроль отличается от написания документа. Например, недостаточно увидеть положение о разграничении полномочий: нужно проверить, прекращается ли доступ после смены должности и имеет ли кто-то возможность исправить обнаруженное отступление.
Второе направление — доведение до работников применимых положений законодательства, локальных актов и требований к защите. Третье — организация приёма и обработки обращений и запросов субъектов или их представителей либо контроль этой работы. Перечень в законе сформулирован словами «в частности». Это не повод приписывать ответственному любую работу без оснований, но и превращать названные обязанности в исчерпывающий список удобных формальностей нельзя.
Что согласовать при назначении
Проверьте, какая организация является оператором, кем принято решение, кого оно касается, с какого момента действует и как взаимодействуют подразделения. Если человек работает в группе компаний, под одной вывеской могут быть разные юридические лица. Общая почта или общий отдел кадров ещё не означают, что назначение оформлено у каждого соответствующего оператора. Уточните объём поручения до начала самостоятельных ответов от имени компании.
Документ о назначении полезно читать вместе с должностными обязанностями и действующими локальными актами. Если кадровику добавляют работу, отдельно разберите с работодателем трудовое оформление, условия её выполнения и полномочия. Статья об ответственном не решает автоматически вопросы изменения трудовой функции. Не подписывайте бездумно универсальный образец, в котором одновременно обещаны неограниченный доступ ко всему и личная ответственность за действия всей организации.
Какие сведения и полномочия получить на старте
Закон обязывает оператора предоставить ответственному определённые сведения об обработке; точная отсылка приведена в самой статье. Для начала работы выясните, какие процессы есть у организации, для каких целей они действуют, какие подразделения их ведут и к кому обращаться при изменении. Не путайте описание состава данных с копией всех личных дел. Для решения организационной задачи не всегда нужны сами персональные сведения.
Удобна рабочая карта: процесс, владелец, цель, исходные документы, информационная система, получатель, основание доступа, способ остановить или скорректировать действие. Для роли кадровика это может быть оформление пропуска, ведение кадровых документов или передача согласованного набора данных уполномоченному исполнителю. Покажите границу между внутренним пользователем и внешним получателем. Чтобы проверить её на практике, используйте матрицу доступа к персональным данным и выясните, кто вправе назначать роли.
Как принять дела, если раньше всё было «на людях»
Попросите не только папку с правилами, но и сведения о незавершённых обращениях, выданных поручениях, обнаруженных замечаниях и сроках. Важно узнать, где фактически появляется новое обращение: в общей почте, у секретаря, в электронном сервисе или непосредственно в кадровом отделе. Если ответственный проверяет один канал, а письмо попадает в другой, наличие правильной инструкции не спасёт процесс.
Выберите одно недавнее действие и проследите весь путь без раскрытия лишних данных. Кто получил запрос, как он был распознан, куда передан, на каком основании исполнитель получил сведения и где зафиксирован результат? Если в середине маршрута ответ «обычно об этом знает коллега», у вас обнаружился конкретный риск передачи дел. Запишите его вместе с фактическим владельцем решения и договоритесь, как устранить зависимость от памяти человека.
Учебная ситуация: работник просит уточнить сведения
Представим, что работник заметил неверный адрес в документах и написал в общий почтовый ящик. Ответственный не должен немедленно рассылать карточку работника всем подразделениям с просьбой внести изменения. Сначала запрос регистрируют по действующему порядку, устанавливают его вид, проверяют личность или полномочия обратившегося допустимым способом и определяют, какая информация необходима для решения.
| Этап | Кто участвует | Какой результат остаётся |
|---|---|---|
| Приём | Уполномоченный получатель сообщения | Запрос зарегистрирован и передан по нужному маршруту |
| Разбор | Ответственный и владелец кадрового процесса | Установлены предмет, компетентный исполнитель и применимый срок |
| Исполнение и контроль | Уполномоченный специалист, затем контролирующий | Проверены основание, конкретное действие и исходящий ответ |
Наличие сообщения не доказывает, что любое названное человеком значение нужно сразу заменить. Уточните, где данные действительно используются, какие подтверждения нужны для исправления и кому должно быть сообщено о результате. Срок ответа определяется видом обращения и применимой нормой: универсальная пометка «ответить при возможности» не годится, как и произвольно выбранный одинаковый срок для всех случаев.
Как убедиться, что работники знают порядок
Пересказ длинного положения на собрании часто не отвечает на главный вопрос сотрудника: что делать, если документ попал не по адресу или незнакомый человек просит чужой телефон? Разберите типовую ситуацию из конкретного подразделения. Сотрудник должен понимать границу допустимого действия, канал передачи вопроса и место, где находится актуальное правило. Порядок закрепляют в согласованных документах, а не только в сообщении внутреннего чата.
Проверьте положение об обработке персональных данных работников на соответствие фактическим маршрутам. Если в нём указан отдел, который уже не принимает запросы, организационная задача состоит в исправлении процесса или документа в установленном порядке. Не ставьте положительную отметку о контроле только потому, что файл существует и подписан. Удобный критерий — другой уполномоченный сотрудник способен найти действующий порядок и пройти его без устных подсказок.
С чего начать регулярный контроль
Составьте перечень проверяемых процессов и сначала возьмите те, где недавно изменились система, подрядчик, круг пользователей или порядок работы. Выбор объясняйте риском и изменением обстоятельств. Зафиксируйте проверенный факт, расхождение и последующее решение. Формулировка «нарушений нет» без указания, какой именно участок проверялся, мало помогает следующему ответственному.
Работа выстроена, когда руководитель получает существенные вопросы, подразделения знают свои действия, а по запросу можно восстановить историю решения. На курсе по защите персональных данных эти задачи разбираются вместе с документами и внутренними процессами работодателя. Самостоятельную подготовку начните с небольшого проверяемого результата: проведите одно учебное обращение по реальному маршруту, не используя для тренировки данные настоящего работника.
Вопросы и ответы
- Ответственный и оператор — одно лицо?
Нет. Когда оператором является организация, назначение сотрудника не переносит на него статус и все обязанности юридического лица. Его отдельная роль — организовать работу и контроль.
- Кому подотчётен ответственный?
Исполнительному органу организации-оператора. Закон указывает, что ответственный получает указания непосредственно от него; обычное место должности в штатной структуре не должно лишать такой возможности.
- Должен ли он лично выполнять все технические настройки?
Нет. Закон определяет организационные обязанности. Конкретные настройки могут выполнять уполномоченные специалисты, а ответственный контролирует, что правила работают и проблему устранили.
- Можно ли назначить кадровика и ограничиться приказом?
Назначение и реальная возможность исполнять обязанности — разные вопросы. Определите задачи и полномочия, проверьте трудовое оформление поручения, обеспечьте доступ к необходимым сведениям и маршрут обращений.
- Нужно ли автоматически выдавать ответственному полный доступ ко всем базам?
Нет. Начните с необходимых сведений, целей контроля и допустимых полномочий. Для проверки роли, маршрута или исправления часто достаточно ограниченной выборки, журнала либо обезличенного примера.
