Приказ о назначении ответственного за организацию обработки персональных данных: требования и штрафы

Обязательность обязателен для операторов-юридических лиц; обязанность по назначению не распространяется на индивидуальных предпринимателей в формулировке ч. 1 ст. 22.1 152-ФЗ
Нормативное основание ч. 1 ст. 22.1 Федерального закона № 152-ФЗ «О персональных данных» (обязанность назначить ответственного и передать ему сведения из ч. 3 ст. 22)
Форма акта локальный нормативный акт - приказ/распоряжение оператора; назначение исторически оформляют приказом организации
Публичность и реестр сам приказ обычно внутренний документ; ФИО и контактные данные назначенного вносятся в реестр операторов Роскомнадзора, реестр общедоступен
Кто утверждает/подписывает назначается приказом оператора, подписывает уполномоченное руководящее лицо (руководитель организации или уполномоченное им должностное лицо)
Область действия распространяется на организацию-оператора и все её структурные подразделения, где выполняется обработка персональных данных (включая порученную обработку)
Сроки внесения сведений в реестр сведения о назначенном ответственном вносятся в реестр Роскомнадзора в пределах, установленных законом (в том числе требование о внесении сведений в реестр в течение 30 дней от момента их получения)

01 Назначение

Приказ о назначении ответственного за организацию обработки персональных данных

Короткое руководство по назначению, содержанию приказа, шагам внедрения и ключевым контрольным точкам для оператора-юридического лица

Зачем издавать приказ и на кого он распространяется. Приказ формализует назначение ответственного за организацию обработки персональных данных в организации-операторе, закрепляет лицо и рамки его ответственности, а также служит основанием для передачи ответственному сведений, перечисленных в законе. Обязательство по назначению действует для юридических лиц и распространяется на все структурные подразделения, где выполняется обработка ПДн; индивидуальные предприниматели в формулировке обязанности не подпадают. Приказ остаётся внутренним локальным актом, однако сведения о ФИО и контактных данных назначенного подлежат внесению в общедоступный реестр операторов.

Что включить в текст приказа и формальные реквизиты. В приказе укажите ФИО и должность ответственного, круг полномочий и границы компетенций по обработке ПДн, подотчётность перед исполнительным органом или руководителем, дату вступления в силу и реквизиты подписания. Рекомендуется также приложить описание обязанностей, контактные данные для реестра, перечень подразделений, на которые приказ распространяется, и место хранения распорядительной документации.

Практические шаги при подготовке, утверждении и публикации. Последовательность: подготовить проект приказа с указанием полномочий и зоны ответственности, согласовать с руководителем и юристом, оформить номер и дату, подписать уполномоченным лицом, зарегистрировать приказ в журнале локальных актов, довести текст до подразделений и ответственного, обеспечить внесение ФИО и контактов в реестр операторов и хранение копии приказа в личном деле ответственного. Одновременно зафиксируйте в сопроводительных документах перечень переданных сведений и порядок отчётности.

Типичные ошибки и ключевые контрольные точки. Частые ошибки: отсутствие чёткой подотчётности и границ полномочий, неполное указание контактных данных для реестра, оформление приказа только для части подразделений, отсутствие записи о переданных сведениях и месте хранения копии приказа. Проверьте наличие подписи уполномоченного руководителя, актуальность ФИО и контактов в реестре, а также соответствие текста приказа обязанностям, перечисленным в законе; за несоблюдение предусмотрена административная ответственность.

Раскрыть полностью

02 Ответственность

Ответственность за отсутствие приказа о назначении ответственного за организацию обработки ПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо (оператор) 150 000 - 300 000 ₽
Должностное лицо, принимавшее решения об обработке 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Суммы штрафов установлены в части 1 статьи 13.11 КоАП и применимы при установлении факта обработки персональных данных в случаях, не предусмотренных законом. Обязанность формально назначить ответственного лежит на операторе-юридическом лице; индивидуальные предприниматели в явной форме этой обязанности не подпадают, но при фактической обработке без правового основания ответственные лица и оператор могут привлекаться по КоАП. Типичные ошибки операторов: отсутствие регистрационного отражения назначения в локальных актах, несвоевременное внесение ФИО и контактов в реестр операторов, путаница с тем, к кому применяется обязанность (юрлицо против ИП). Наличие или отсутствие приказа оценивается как один из доказательств при рассмотрении административного дела, само по себе отсутствие приказа не всегда образует состав правонарушения без сопутствующих фактов обработки без оснований.

03 Синонимы и поисковые названия

Как ещё называют этот документ

В практике название приказа варьируется: используют более короткие формулировки или слово «распоряжение». Часто встречаются варианты, где в названии не указано, что речь об организации обработки персональных данных.

Приказ о назначении ответственного за организацию обработки персональных данных
Приказ о назначении ответственного за персональные данные
Приказ об ответственном за персональные данные
Распоряжение о назначении ответственного за персональные данные
Приказ о назначении ответственного по 152-ФЗ
Приказ о возложении обязанностей по персональным данным
Приказ о назначении контактного лица по вопросам персональных данных
Приказ о назначении ответственного за учет и передачу сведений о персональных данных

04 Обязательное содержание

Чеклист для приказа о назначении ответственного за организацию обработки ПДн

Список проверяемых элементов, которые должны быть в приказе и связанных с ним документах, чтобы акт работал на проверке. Для каждой позиции указано, какие документы и материалы и типичные ошибки ищет проверяющий.

Проверить правовой статус оператора Убедиться, что оператор - юридическое лицо: обязанность назначить ответственного установлена для операторов-юридических лиц (ч. 1 ст. 22.1 152-ФЗ); для индивидуальных предпринимателей обязательность в том же виде отсутствует. Результаты: выписка ЕГРЮЛ, устав, решение уполномоченного органа об издании приказа. Типичная ошибка: издание приказа без подтверждения статуса оператора.
Наличие оформленного приказа с обязательными реквизитами Приказ оформлен как локальный нормативный акт: есть наименование, правовое основание, дата, номер, подпись уполномоченного лица и фраза о вступлении в силу. В тексте зафиксированы цель назначения, сферa ответственности и ссылка на политику или иные локальные акты (п. 4 приказа № 178; п. 1 ч. 1 ст. 18.1 152-ФЗ). Типичные ошибки: отсутствие подписи, неопределённый круг полномочий, неуказан срок начала исполнения.
Фиксация сведений, передаваемых ответственному В приказе или приложении перечислены сведения и документы, которые оператор передаёт ответственному в силу ч. 3 ст. 22 152-ФЗ (состав сведений о себе и обработке). Ожидаемые документы и материалы: приложение с перечнем, акт передачи, протокол приёма обязанностей. Ошибка: устные передачи без подтверждающих записей.
Содержание обязанностей и полномочий В приказе или в сопроводящей инструкции явно перечислены полномочия по организации внутреннего контроля, приёму и обработке обращений субъектов, взаимодействию с регулятором, учёту и регистрации действий с ПДн, реагированию на инциденты и т. п. (ч. 4 ст. 22.1 152-ФЗ). Результат: инструкция ответственного с описанием процедур.
Требования к квалификации и совмещение функций Документ указывает требования к квалификации или ссылку на положение о должности; если функции совмещаются с другими обязанностями, в приказе приведено обоснование и меры по предотвращению конфликта интересов (ТТ ФСБ № 149, п. 2.6 - 2.7). Типичный пропуск: отсутствие обоснования совмещения ролей.
Ознакомление сотрудников и запись факта обучения В приказе указан порядок ознакомления сотрудников с обязанностями и локальными актами, обязаны храниться расписки или журналы учёта ознакомления и обучения (п. 2.9 ТТ ФСБ № 149; ст. 68 ТК РФ). Проверяющий ожидает журналы, протоколы обучения и расписанные приёмы под подпись.
Связь приказа с политикой и смежными документами Приказ должен ссылаться на политику оператора по обработке ПДн и на инструкции управления доступом, регламенты внутреннего контроля и порядок реагирования на инциденты; документ о политике должен быть опубликован и доступен работникам и субъектам (п. 1 ч. 1 ст. 18.1 152-ФЗ). Последствия непубликации описаны в материалах по ответственности (ч. 3 ст. 13.11 КоАП).
документы и материалы контроля и журналы, которые должен предоставить оператор Собрать и приложить к проверке: сам приказ и приложения, инструкцию ответственного, журнал учёта обращений субъектов, журналы контроля доступа и регистрации действий с ПДн, акты оценки вреда и акты оценки соответствия мер, записи о приёме и увольнении ответственного. Типичная проверочная задача - сверить содержание приказа с фактическими записями.
Граничные случаи и когда можно упростить оформление Малые организации и единоличные исполнители могут формально совмещать функции, но это должно быть документально обосновано; если обработка ведётся без средств автоматизации, применимы правила ПП РФ № 687 по особенностям хранения и обработке, однако обязанность назначения сохраняется для операторов-юридических лиц (ПП РФ № 687, п. 1; ч. 1 ст. 22.1 152-ФЗ). Ошибка - ссылаться на «малый масштаб» как основание полного отказа от документов.
Порядок внесения изменений и поддержание актуальности В приказе указан порядок изменения данных о ответственном и сроки обновления сопутствующих документов; при смене ответственного должны быть переработаны инструкции, реестры доступа и акты передачи обязанностей, опубликованы изменения в политике и при необходимости направлены уведомления регулятору в предусмотренных случаях (ч. 4 и ч. 4.1 ст. 22 152-ФЗ; Приказ РКН № 180). Типичная ошибка: изменение факта исполнения обязанностей без фиксации в локальных актах.

05 Применимость

Сфера применения приказа о назначении ответственного за организацию обработки ПДн

Кратко о том, кому нужен приказ, в каких случаях его оформляют и какие последствия связаны с отсутствием назначения.

Обязателен для операторов-юридических лиц Требование о назначении ответственного за организацию обработки персональных данных распространяется на операторов, являющихся юридическими лицами. Идентификация обязанностей включает передачу сведений, перечисленных в ч. 3 ст. 22.1 закона о персональных данных.
Не обязателен для индивидуальных предпринимателей в формулировке закона В формулировке ч. 1 ст. 22.1 федерального закона требование о назначении ответственного не распространяется на индивидуальных предпринимателей; для ИП назначение может оставаться практической мерой управления, но это не требование указанной нормы.
Когда оформляют приказ Назначение обычно оформляют локальным нормативным актом оператора - приказом или распоряжением. Приказ целесообразно издавать при первом назначении, при изменении обязанностей или контактных данных назначенного, а также при реорганизации структурных подразделений.
Кто утверждает и подписывает Приказ издаёт и подписывает уполномоченное руководящее лицо организации - руководитель или должностное лицо, которому поручены такие полномочия. В тексте приказа фиксируют ФИО, должность и контактные данные назначенного.
Область действия приказа Приказ распространяется на всю организацию-оператора и её структурные подразделения, в которых выполняется обработка персональных данных, включая случаи обработки, порученной по договору.
Публичность и реестр Роскомнадзора Сам приказ обычно является внутренним документом организации. Одновременно ФИО и контактные данные назначенного вносятся в реестр операторов Роскомнадзора; сведения из реестра доступны общественности.
Риски при отсутствии назначения Отсутствие назначения ответственного может повлечь административную ответственность в соответствии с нормами КоАП, предусмотренными для нарушений в сфере персональных данных.

06 Нормативная база

Нормативная основа для приказа о назначении ответственного за организацию обработки ПДн

п. 1 ч. 1 ст. 18.1 152-ФЗ Назначение ответственного рассматривается как одна из обязательных организационных мер оператора по обеспечению безопасности ПДн. В тексте приказа полезно зафиксировать цель назначения, объём передаваемых полномочий и ссылку на политику или иные локальные акты, подтверждающие принятие мер.
ч. 1 ст. 22.1 152-ФЗ Обязанность назначить ответственного установлена для операторов-юридических лиц. При оформлении приказа нужно проверить статус субъекта (юрлицо или ИП) и указать, что назначение делается именно в рамках обязанностей оператора-юрлица; для ИП указание о назначении в приказе можно считать необязательным.
ч. 2 ст. 22.1 152-ФЗ Ответственный действует в пределах указаний уполномоченного исполнительного органа и подотчётен ему в части, определяемой законодательством. Приказ должен зафиксировать порядок подотчётности, канал взаимодействия с регулятором и поручения по исполнению предписаний органа контроля.
ч. 3 ст. 22.1 152-ФЗ Оператор обязан передать назначенному лицу сведения, перечисленные в ч. 3 ст. 22 ФЗ, например сведения об обработке и о мерах защиты. В приказе рекомендуется перечислить конкретные документы и дату передачи, а также фиксацию приёма - как документ проверки.
ч. 4 ст. 22.1 152-ФЗ Закон устанавливает набор обязанностей ответственного в общем виде, перечень носит открытый характер - «в частности». В приказе целесообразно чётко перечислить основные функции и полномочия, оставить ссылку на возможное расширение обязанностей локальными актами.
п. 7.1 ч. 3 ст. 22 152-ФЗ ФИО и контактные данные назначенного ответственного подлежат внесению в сведения оператора. Приказ должен содержать точные реквизиты ответственного и поручение о внесении этих данных в реестр оператора и об обеспечении доступности сведений при необходимости проверки.
ч. 1, ч. 1.1 ст. 13.11 КоАП Невыполнение обязанностей по организации обработки и обеспечению мер безопасности может влечь административную ответственность. Приказ рекомендуется оформлять и публиковать как доказательство организованных мер, а также хранить подтверждающие документы и материалы - копию приказа, журнал ознакомления и акт передачи полномочий.
ПП РФ от 21.03.2012 № 211 Для государственных и муниципальных органов установлен перечень обязательных мер обработки ПДн. В таких организациях приказ о назначении ответственного должен учитывать дополнительные требования ПП РФ № 211 и ссылаться на соответствующие регламенты или перечни мероприятий.

Образец документа

Приказ о назначении ответственного за организацию обработки персональных данных

Приказ закрепляет назначение ответственного за организацию обработки персональных данных, фиксирует ФИО и контактные данные, полномочия и порядок подотчётности, а также перечень сведений, переданных ответственному; документ подписывает уполномоченное руководящее лицо. При проверке обращают внимание на наличие актуальной редакции приказа, соответствие реквизитов данным в реестре операторов и полно…

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа о назначении ответственного за организацию обработки персональных данных

Краткий порядок от решения о назначении до первой проверки. Каждый шаг содержит исполнителя и конкретный документ на выходе: подписанный приказ, акт передачи сведений, обновлённая запись для реестра, инструкция и акт внутренней проверки.

1. Принятие приказа о назначении Руководитель или уполномоченное лицо принимает локальный акт - приказ о назначении ответственного за организацию обработки персональных данных, в котором фиксируются ФИО, должность, контактные данные и круг полномочий. Результат: подписанный документ 'Приказ о назначении ответственного за организацию обработки персональных данных'.
2. Передача ответственному сведений, предусмотренных законом Оперативная передача ответственному сведений, перечисленных в ч. 3 ст. 22.1 152-ФЗ, с фиксацией факта передачи в акте или служебной записке с подписью сторон. Результат: 'Акт передачи сведений ответственному'.
3. Обновление данных в реестре операторов Подготовить и направить в установленном порядке данные ФИО и контактные сведения назначенного лица для внесения в реестр операторов, а также зафиксировать обновление во внутреннем учёте. Результат: запись об обновлении реестра и копия подтверждения о внесении.
4. Оформление обязанностей и процедур для исполнения Разработать и утвердить документ, регламентирующий обязанности ответственного (Инструкция для ответственного) и при необходимости внести изменения в должностную инструкцию. Результат: утверждённая Инструкция для ответственного и обновлённая должностная инструкция.
5. Контроль внедрения и подготовка материалов для проверки Провести внутреннюю проверку наличия приказа, акта передачи и записи о внесении в реестр, оценить выполнение пунктов инструкции; составить акт внутренней проверки и направить его в службу внутреннего контроля. Результат: 'Акт внутренней проверки назначения'.

09 Актуализация

Поводы для переиздания или правки приказа о назначении ответственного за обработку ПДн

Приказ привязан к конкретному лицу и к юридическому лицу, поэтому переиздаётся не по календарю, а при изменении обстоятельств. Переиздание или правка нужна, если меняются назначенный человек, его реквизиты, статус организации или масштаб обработки; всегда сохраняйте историю и доказательства внесённых изменений.

Увольнение, перевод или длительная нетрудоспособность назначенного Издайте новый приказ с датой вступления в силу не позже последнего рабочего дня прежнего ответственного, чтобы не образовался период без назначенного лица. В новом приказе зафиксируйте порядок передачи сведений и срок фактической передачи обязанностей. Издать приказ о назначении нового ответственного, оформить акт передачи сведений, обновить внутренние записи и подготовить пакет для подачи в реестр при необходимости.
Изменение ФИО или контактных данных назначенного Внести изменение в текст приказа и сообщить обновлённые ФИО и контакты в реестр операторов в установленные сроки; сохранить подтверждение подачи уведомления в деле приказа. Подготовить поправку к приказу или новый приказ с обновлёнными реквизитами, направить уведомление в реестр, приложить подтверждение в электронном деле.
Реорганизация, смена наименования или изменение правовой формы юрлица Издайте приказ от имени правопреемника или в обновлённом наименовании организации; при этом сохраните предыдущие приказы как историю исполнения обязанности и как доказательства непрерывности назначения. Оформить новый приказ от имени текущего юрлица, перенести в дело копии старых приказов, при необходимости обновить сведения в реестре.
Появление новых видов или значительное расширение обработки (ИСПДн, биометрия, трансграничная передача, порученная обработка) Оцените, достаточно ли одного назначенного лица и дополните перечень обязанностей в приказе при необходимости. При существенном расширении функций зафиксируйте дополнительные полномочия, обязанности и порядок взаимодействия с подрядчиками. Провести оценку объёма работ, при необходимости внести изменения в приказ или назначить дополнительных ответственных по зонам ответственности.
Появление обособленных подразделений или необходимость локального распределения обязанностей Решите, остаётся ли один ответственный на всё юрлицо или назначаются ответственные в отдельных подразделениях; в приказе зафиксируйте зоны ответственности, порядок подотчётности и механизм эскалации. Принять решение руководства, внести в приказ разграничение обязанностей по подразделениям и оформить служебные инструкции для местных ответственных.

10 Проверка

Инспектор проверит приказ о назначении ответственного за обработку ПДн

Документы и материалы проверки, которые инспектор затребует при проверке приказа о назначении ответственного за организацию обработки персональных данных.

Вопрос 01 «Предъявите приказ о назначении ответственного за организацию обработки персональных данных.»
Вопрос 02 «Предъявите документы, подтверждающие передачу назначенному лицу сведений, перечисленных в ч. 3 ст. 22.»
Вопрос 03 «Предъявите подтверждение внесения сведений о назначенном лице в реестр операторов.»
Вопрос 04 «Предъявите документы, определяющие подотчётность и подчинённость назначенного ответственного внутри организации.»
Вопрос 05 «Предъявите документы, подтверждающие полномочия лица, подписавшего приказ.»

Инспектор при проверке, может запросить:

приказ о назначении ответственного за организацию обработки персональных данных, с указанием ФИО назначенного, его должности, даты подписания и подписи уполномоченного руководящего лица
записи о передаче сведений, указанных в ч. 3 ст. 22, назначенному ответственному, например протокол передачи, служебная записка или электронная переписка с отметками о получении
выписка или скриншот записи из реестра операторов Роскомнадзора с ФИО и контактными данными назначенного ответственного
положение об уполномоченных лицах и/или должностная инструкция назначенного ответственного, приказы о делегировании полномочий или иные локальные акты, закрепляющие порядок подотчётности
приказ о делегировании полномочий или доверенность, документ об уполномочивании лица подписывать локальные нормативные акты

11 Экспертная позиция

Практический риск при назначении ответственного

Частая ошибка - формальное назначение ответственного без однозначного закрепления у него сведений и полномочий, перечисленных в законе, и без указания порядка подотчётности. В результате лицо формально назначено, но не получает доступа к необходимым сведениям и ресурсам для выполнения обязанностей, особенно при распределённой обработке и привлечении подрядчиков. В приказе полезно зафиксировать область действия - вся организация и структурные подразделения, порядок получения сведений из ч. 3 ст. 22 и механизм подотчётности исполнительному органу, а также контактные данные, которые попадут в реестр. Это снижает риск процессных разногласий и административных претензий по ст. 13.11 КоАП при отсутствии фактического исполнения обязанностей.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о назначении ответственного за обработку ПДн

Да. Обязанность назначить ответственного установлена для операторов-юридических лиц; назначение оформляют локальным актом организации, например приказом. Для индивидуальных предпринимателей указанная обязанность в данной формулировке не применяется.

Приказ о назначении ответственного за организацию обработки персональных данных