Ответственный за организацию обработки персональных данных - обязательная роль на любом сайте, который собирает данные пользователей: формы заявок, регистрацию, обратную связь, аналитику или рассылки. Требование закреплено в ст. 22.1 152-ФЗ и распространяется на операторов независимо от масштаба бизнеса. Ниже - кто должен занять эту роль, что входит в обязанности и как оформить назначение документально.
Коротко
- Назначение ответственного за обработку ПДн предусмотрено ст. 22.1 152-ФЗ и обязательно для операторов персональных данных.
- Ответственным может быть сотрудник компании или индивидуальный предприниматель - сам оператор, если работает без наёмного персонала.
- Назначение оформляется приказом руководителя, обязанности можно закрепить в должностной инструкции.
- Ответственный организует внутренний контроль, участвует в реагировании на обращения субъектов ПДн и на инциденты.
- Отсутствие назначенного ответственного - основание для претензий при проверке Роскомнадзора.
Кто и зачем назначает ответственного
Обязанность назначить ответственного распространяется на всех операторов персональных данных - юридических лиц и индивидуальных предпринимателей, которые собирают, хранят или обрабатывают данные посетителей сайта. Формулировка ст. 22.1 152-ФЗ не делает исключений для небольших компаний: если на сайте есть форма с именем и телефоном, оператор обязан выполнить это требование наравне с остальными.
Роль ответственного - не формальность для документов, а рабочая функция. Он выстраивает процессы внутри компании так, чтобы обработка ПДн соответствовала требованиям закона: от согласий на обработку до реагирования на запросы пользователей об удалении данных.
Обязанности ответственного по ст. 22.1
Перечень задач, закреплённых за ответственным, включает несколько направлений работы с персональными данными внутри организации.
| Направление | Что входит |
|---|---|
| Внутренний контроль | Проверка соответствия обработки ПДн требованиям 152-ФЗ и локальным актам компании |
| Работа с сотрудниками | Ознакомление персонала с нормами законодательства о ПДн и внутренними политиками |
| Обращения субъектов | Приём и обработка запросов физлиц по ст. 14 и ст. 20 152-ФЗ (уточнение, блокирование, удаление данных) |
| Взаимодействие с РКН | Организация ответов на запросы регулятора, участие в проверках |
| Документооборот | Актуализация политики обработки ПДн, согласий, уведомления в реестр операторов |
Отдельная зона ответственности - реагирование на инциденты. Если происходит утечка данных, именно ответственный обычно координирует уведомление Роскомнадзора: по ст. 21 ч. 4 и ст. 19 152-ФЗ оператор обязан сообщить о факте утечки в течение 24 часов, а затем в течение 72 часов направить результаты внутреннего расследования.
Кто может быть назначен: сотрудник или сам оператор
Для юридического лица ответственным чаще всего становится сотрудник - это может быть штатный юрист, специалист по информационной безопасности или менеджер, совмещающий эту функцию с основной должностью. Закон не требует отдельной штатной единицы или специальной сертификации для этой роли.
Если оператором является индивидуальный предприниматель без наёмных сотрудников, обязанности ответственного он выполняет лично. Это стоит зафиксировать во внутренних документах - например, в политике обработки персональных данных, - чтобы при проверке было понятно, кто отвечает за эту функцию.
Как оформить назначение документально
Формально закон не устанавливает жёсткий шаблон приказа о назначении ответственного, но на практике сложился понятный порядок оформления.
- Издаётся приказ руководителя организации о назначении сотрудника ответственным за организацию обработки ПДн.
- В приказе указываются ФИО, должность сотрудника и перечень обязанностей либо ссылка на должностную инструкцию.
- Сотрудника знакомят с приказом под подпись.
- Обязанности дополнительно фиксируются в должностной инструкции или трудовом договоре, если ранее их там не было.
- Информация об ответственном может быть указана в политике обработки персональных данных, размещённой на сайте.
Список необходимых документов для приведения сайта в соответствие 152-ФЗ, включая шаблоны приказа и политики, можно посмотреть в разделе документов.
Последствия отсутствия ответственного
Прямого штрафа именно за отсутствие приказа о назначении ответственного в КоАП не предусмотрено, но это обстоятельство усиливает риски по другим основаниям. При проверке Роскомнадзор оценивает всю систему обработки ПДн в компании, и отсутствие ответственного лица часто указывает на то, что внутренние процессы не выстроены в принципе - это повышает вероятность выявления сопутствующих нарушений.
Сопутствующие нарушения уже влекут ответственность по ст. 13.11 КоАП: обработка ПДн без согласия или с нарушением условий согласия - от 10 000 до 30 000 рублей для юрлица по ч. 1, а при повторном нарушении - от 60 000 до 100 000 рублей по ч. 2. Неуведомление об утечке персональных данных в течение 24 часов образует отдельный состав по ч. 3.2 - от 100 000 до 150 000 рублей. С 30 мая 2025 года за сами утечки персональных данных также действуют оборотные штрафы, рассчитываемые в процентах от выручки оператора, без фиксированной суммы.
Что проверить у себя на сайте
- Издан ли приказ о назначении ответственного за организацию обработки ПДн.
- Ознакомлен ли назначенный сотрудник с приказом под подпись.
- Отражены ли обязанности ответственного в должностной инструкции.
- Указана ли контактная информация ответственного лица в политике обработки ПДн на сайте.
- Есть ли у ответственного понятный порядок действий при обращении субъекта ПДн.
- Прописан ли регламент реагирования на инциденты и уведомления Роскомнадзора в течение 24 и 72 часов.
- Актуальны ли сведения об операторе в уведомлении, поданном в Роскомнадзор.
- Проверено ли согласие на обработку ПДн на формах сайта на соответствие ст. 9 152-ФЗ.
Частые вопросы
Нужно ли назначать ответственного, если на сайте только форма обратной связи?
Да. Даже одна форма с именем и контактными данными означает, что компания выступает оператором персональных данных и подпадает под требование ст. 22.1 152-ФЗ.
Можно ли назначить ответственным внешнего подрядчика?
Закон говорит о назначении лица, ответственного за организацию обработки ПДн внутри структуры оператора. На практике эту функцию можно совместить с задачами консультанта, но формальное назначение приказом обычно относится к штатному сотруднику или руководителю.
Обязательно ли указывать ответственного в политике обработки ПДн на сайте?
Прямого требования называть конкретное ФИО в открытой политике нет, но контактные данные для обращений субъектов ПДн должны быть доступны - это упрощает выполнение обязанностей по ст. 20 152-ФЗ.
Меняется ли ответственность оператора, если ответственный назначен, но допустил ошибку?
Назначение ответственного не снимает с оператора обязанностей по 152-ФЗ. Ответственность за нарушения, включая штрафы по ст. 13.11 КоАП, несёт оператор персональных данных как юридическое лицо или ИП.
С чего начать, если ответственный ещё не назначен?
Стоит начать с проверки текущего состояния сайта на соответствие 152-ФЗ, а затем оформить приказ и обновить документы. Проверить сайт можно через форму аудита.
Если процесс назначения ответственного и приведения документов в порядок кажется трудоёмким, можно начать с независимой проверки текущего состояния сайта - это покажет, какие пробелы стоит закрыть в первую очередь. Форма для быстрой проверки доступна по ссылке аудит сайта.