Приказ о назначении ответственного лица по работе с ПД

1. Зачем нужен приказ и почему его нельзя заменить политикой на сайте

Приказ о назначении ответственного лица по работе с ПД — это внутренний распорядительный документ, которым руководитель организации закрепляет конкретного работника, отвечающего за организацию обработки персональных данных. В деловой переписке его часто называют проще: приказом по ПД, приказом по ПДн или приказом о назначении ответственного за персональные данные. Юридически точнее использовать формулировку из статьи 22.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: «лицо, ответственное за организацию обработки персональных данных».

Такой приказ нужен не для красоты и не только «на случай проверки». Он показывает, что оператор персональных данных не ограничился размещением политики на сайте, а распределил обязанности внутри организации. Статья 18.1 Закона № 152-ФЗ относит назначение ответственного лица к мерам, которые оператор принимает для выполнения обязанностей, предусмотренных законодательством о персональных данных. Статья 22.1 этого же закона прямо говорит, что оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.

Политика обработки персональных данных, согласия, уведомление Роскомнадзора, перечень лиц с доступом к ПД и приказ о назначении ответственного решают разные задачи. Политика объясняет субъектам, какие данные и зачем обрабатываются. Согласие подтверждает волю субъекта там, где оно требуется по статье 9 Закона № 152-ФЗ. Уведомление Роскомнадзора подается по правилам статьи 22 Закона № 152-ФЗ. А приказ отвечает на внутренний вопрос: кто именно в организации контролирует весь этот порядок.

Приказ о назначении ответственного лица по ПД не заменяет остальные документы по персональным данным. Он подтверждает, что у оператора есть конкретный человек, который организует контроль и взаимодействие по вопросам обработки ПД.

На практике приказ особенно важен для компаний, которые обрабатывают данные работников, клиентов, пользователей сайта, представителей контрагентов, соискателей, участников мероприятий или получателей рассылок. Если организация собирает заявки через онлайн-форму, ведет CRM, хранит копии паспортов работников или заключает договоры с физическими лицами, вопрос о назначении ответственного становится не формальностью, а частью обычной правовой безопасности.

Ошибочно думать, что достаточно скачать любой образец, заменить название организации и поставить подпись директора. Образец действительно помогает не забыть структуру, но готовый шаблон должен быть адаптирован под фактическую деятельность оператора. У кадрового агентства, медицинской клиники, интернет-магазина, управляющей компании и небольшой бухгалтерской фирмы разные потоки данных, разный уровень риска и разные обязанности подразделений. Поэтому даже хороший онлайн-конструктор лучше воспринимать как инструмент подготовки черновика, а не как гарантию соответствия закону.

2. Какие нормы закона подтверждают необходимость приказа

Главная норма для такого приказа — статья 22.1 Закона № 152-ФЗ. В ней установлено, что оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Там же закреплены его основные обязанности: внутренний контроль за соблюдением законодательства о ПД, доведение до работников положений закона и локальных актов, организация приема и обработки обращений субъектов персональных данных или их представителей.

Второй важный ориентир — статья 18.1 Закона № 152-ФЗ. Она перечисляет меры, которые оператор обязан принимать для выполнения требований закона. Среди таких мер — назначение ответственного лица, издание документов, определяющих политику оператора в отношении обработки ПД, применение правовых, организационных и технических мер, внутренний контроль и оценка вреда, который может быть причинен субъектам персональных данных.

Третья норма — статья 19 Закона № 152-ФЗ. Она регулирует меры по обеспечению безопасности персональных данных при их обработке. Ответственный по ПД не всегда является техническим специалистом, но он должен понимать, что безопасность данных — это не только пароли и антивирус. Это еще и ограничение доступа, учет носителей, контроль передачи данных, работа с подрядчиками, проверка локальных актов и обучение работников.

Если речь идет о персональных данных работников, обязательно учитываются статьи 86–90 Трудового кодекса РФ. Они регулируют получение, обработку, хранение, использование и передачу персональных данных работника. Для работодателя это особенно чувствительная зона, потому что в кадровых документах часто есть паспортные данные, адреса, сведения о семье, образовании, воинском учете, зарплате, больничных, отпусках, дисциплинарных взысканиях.

Для информационных систем персональных данных имеет значение постановление Правительства РФ от 01.11.2012 № 1119, утвердившее требования к защите персональных данных при их обработке в информационных системах. Организационные и технические меры защиты также связаны с приказом ФСТЭК России от 18.02.2013 № 21. Если ПД обрабатываются без автоматизации, например в бумажных анкетах, личных делах и журналах, применяется постановление Правительства РФ от 15.09.2008 № 687.

В приказе не нужно перечислять все возможные акты подряд. Достаточно ссылаться на те, которые действительно связаны с деятельностью оператора. Универсальная преамбула может выглядеть так: «В целях соблюдения требований Федерального закона от 27.07.2006 № 152-ФЗ “О персональных данных”, статей 86–90 Трудового кодекса Российской Федерации и локальных актов Общества в области обработки и защиты персональных данных приказываю…». Если документ составляется для организации, которая не имеет работников или не обрабатывает ПД работников, блок ТК РФ можно не акцентировать.

3. Что показывает судебная практика по спорам о персональных данных

Судебная практика по персональным данным строится вокруг простой идеи: оператор должен подтвердить не только наличие документов, но и реальное исполнение обязанностей. При рассмотрении дел о нарушениях по статье 13.11 КоАП РФ суды обычно оценивают, были ли правовые основания обработки, корректно ли оформлено согласие, опубликована ли политика, соблюдены ли сроки ответа субъекту, были ли приняты организационные меры и ограничен ли доступ к данным.

Приказ о назначении ответственного лица сам по себе не гарантирует отсутствия штрафа. Если организация назначила ответственного, но продолжает собирать лишние данные через сайт, не отвечает на запросы граждан, использует устаревшие согласия или передает ПД подрядчику без понятного основания, приказ не спасет. Но при наличии нормальной системы документов он является важным доказательством того, что оператор принимал меры, предусмотренные статьей 18.1 Закона № 152-ФЗ.

Для темы персональных данных также имеет значение разъяснение Верховного Суда РФ о защите нематериальных благ. В постановлении Пленума Верховного Суда РФ от 24.02.2005 № 3 разъяснялись вопросы защиты чести, достоинства, деловой репутации и права на неприкосновенность частной жизни. Это не специальный акт по ПД, но он используется как общий ориентир: сведения о частной жизни гражданина не должны распространяться без законного основания. В постановлении Пленума Верховного Суда РФ от 15.11.2022 № 33 по вопросам компенсации морального вреда также раскрыт общий подход к защите нематериальных благ, который может применяться при незаконной обработке или распространении сведений о гражданине.

Если нарушение связано не просто с формальной ошибкой в документах, а с незаконным собиранием или распространением сведений о частной жизни, может возникать риск по статье 137 УК РФ. В постановлении Пленума Верховного Суда РФ от 25.12.2018 № 46 по делам о преступлениях против конституционных прав и свобод человека и гражданина разъяснялись вопросы применения норм, связанных с нарушением неприкосновенности частной жизни. Для обычного приказа по ПД это не центральная тема, но она показывает, почему нельзя относиться к персональным данным как к обычной служебной информации.

Из судебной практики по административным делам следует практический вывод: суды смотрят на доказательства. Если оператор утверждает, что работники ознакомлены с правилами, нужны листы ознакомления или электронные подтверждения. Если оператор говорит, что ответил субъекту ПД, важны регистрация обращения, текст ответа и подтверждение направления. Если компания ссылается на согласие, нужен текст согласия и доказательство его получения. Если оператор назначил ответственного, нужен приказ и документы, подтверждающие, что это лицо реально выполняло функции.

В споре по персональным данным выигрывает не тот, у кого больше документов, а тот, у кого документы совпадают с фактической обработкой данных.

4. Кого можно назначить ответственным лицом

Закон № 152-ФЗ не требует, чтобы ответственным по ПД был обязательно юрист, специалист по информационной безопасности или работник с отдельным дипломом по защите информации. Главное, чтобы назначенное лицо могло организовывать процесс, взаимодействовать с подразделениями, контролировать документы и докладывать руководителю. В небольшой компании это может быть кадровик, бухгалтер, офис-менеджер, юрист или заместитель директора. В средней и крупной организации чаще назначают начальника юридического отдела, специалиста по комплаенсу, руководителя службы безопасности, специалиста по защите информации или руководителя административного блока.

При выборе кандидата важно учитывать статью 22.1 Закона № 152-ФЗ: ответственное лицо получает указания непосредственно от исполнительного органа оператора и подотчетно ему. Это означает, что у работника должен быть прямой управленческий канал к директору или иному единоличному исполнительному органу. Если ответственный формально назначен, но не может запросить документы у отдела продаж, кадров, бухгалтерии или IT, приказ превращается в пустой документ.

Назначаемый сотрудник должен понимать хотя бы базовые вопросы:

• какие категории персональных данных обрабатывает организация;
• какие есть цели обработки и правовые основания;
• где хранятся бумажные и электронные документы;
• кто имеет доступ к ПД и на каком основании;
• как организация отвечает на обращения субъектов;
• какие локальные акты уже приняты и какие нужно обновить.

Можно ли назначить генерального директора? Прямого запрета нет, но это не всегда удачное решение. Статья 22.1 говорит о подотчетности ответственного лица исполнительному органу. Если директор назначает ответственным самого себя, практический смысл контроля ослабевает. Для микробизнеса это иногда вынужденный вариант, но для организации с несколькими отделами лучше назначить отдельного работника и дать ему право обращаться к руководителю напрямую.

Можно ли поручить эту роль внешнему консультанту? Внешний юрист, специалист по информационной безопасности или подрядчик могут помочь составить приказ, провести аудит, подготовить образец политики, настроить конструктор документов, проверить сайт и согласия. Но внутреннее лицо, ответственное за организацию обработки ПД у юридического лица, лучше назначать из работников оператора. Иначе возникает проблема подотчетности, доступа к процессам и оперативного контроля внутри компании.

5. Какие обязанности нужно включить в приказ

Обязанности ответственного лица лучше формулировать не слишком узко и не слишком широко. Если написать только «отвечает за персональные данные», это не объяснит, что именно должен делать работник. Если написать «несет полную ответственность за любые нарушения законодательства», это будет чрезмерно и юридически некорректно, потому что оператором остается организация, а не один сотрудник.

В приказ стоит включить обязанности, прямо связанные со статьей 22.1 Закона № 152-ФЗ. Во-первых, внутренний контроль за соблюдением законодательства о персональных данных и локальных актов. Во-вторых, доведение до работников положений законодательства и внутренних документов. В-третьих, организация приема и обработки обращений субъектов ПД или их представителей. Эти три направления являются базой, которую не следует исключать из приказа.

Дополнительно можно закрепить следующие функции:

• участие в разработке и актуализации политики обработки персональных данных;
• контроль наличия правовых оснований обработки по статье 6 Закона № 152-ФЗ;
• контроль согласий субъектов в случаях, когда они требуются по статье 9 Закона № 152-ФЗ;
• участие в подготовке или обновлении уведомления Роскомнадзора по статье 22 Закона № 152-ФЗ;
• взаимодействие с лицами, отвечающими за информационную безопасность;
• контроль перечня работников, имеющих доступ к ПД;
• участие в проверке договоров с подрядчиками, которым передаются персональные данные.

Очень полезно включить в приказ право ответственного запрашивать у подразделений сведения и документы, необходимые для выполнения его функций. Без такого права ответственное лицо не сможет проверить, какие формы используются на сайте, какие данные собирает HR, какие базы ведет отдел продаж, кому бухгалтерия передает сведения работников и какие подрядчики имеют доступ к клиентским данным.

Ответственный по ПД должен иметь не только обязанности, но и полномочия. Иначе приказ будет выглядеть правильно, но работать не будет.

При этом не нужно назначать ответственного «крайним» за все. Руководители подразделений должны отвечать за соблюдение правил в своих процессах. Например, HR отвечает за корректность кадровых анкет и личных дел, бухгалтерия — за передачу данных в банк и налоговые органы, отдел продаж — за клиентскую базу, маркетинг — за рассылки и онлайн-формы, IT — за технические доступы. Ответственный по ПД координирует, контролирует и сообщает руководству о рисках.

6. Как оформить приказ: реквизиты, подписи и ознакомление

Унифицированной обязательной формы приказа нет. Организация может создать свой шаблон или использовать типовой формат распорядительного документа. В приказе должны быть наименование организации, название документа, дата, номер, место составления, заголовок, преамбула, распорядительная часть, подпись руководителя. Если компания ведет электронный документооборот, приказ может быть оформлен и подписан в электронной системе с соблюдением правил применения электронной подписи.

Заголовок лучше формулировать точно: «О назначении лица, ответственного за организацию обработки персональных данных». Такая формулировка соответствует статье 22.1 Закона № 152-ФЗ. Менее точное название вроде «О назначении ответственного за ПД» допустимо для внутреннего оборота, но в финальном документе лучше использовать термин закона.

Назначенное лицо нужно ознакомить с приказом под подпись или через электронную систему кадрового документооборота. Если приказ затрагивает обязанности руководителей подразделений, их тоже следует ознакомить. В небольшой организации можно ознакомить всех работников, имеющих доступ к персональным данным. В крупной компании разумнее ознакомить руководителей подразделений и работников, для которых приказ устанавливает обязанности по взаимодействию.

Если у работника появляются новые регулярные функции, желательно проверить должностную инструкцию и трудовой договор. Сам приказ может назначить ответственное лицо, но если объем обязанностей серьезно меняется, безопаснее дополнить должностную инструкцию или оформить кадровые изменения по правилам ТК РФ. Это важно не только для проверки Роскомнадзора, но и для трудовых споров: сотрудник должен понимать, какие обязанности ему поручены.

Приказ можно подготовить на основе готового образца. Допустимо скачать шаблон из правовой базы или использовать онлайн-конструктор. Но перед подписанием нужно убрать лишние положения и добавить то, что реально есть в организации. Например, если в шаблоне говорится о трансграничной передаче данных, а компания ее не осуществляет, такая фраза будет лишней. Если организация использует сайт, CRM и сервис рассылок, но шаблон об этом молчит, его нужно доработать.

7. Как приказ связан с политикой, согласием и другими документами

Приказ — это только один элемент системы документов по персональным данным. Он должен быть согласован с политикой обработки ПД, положением об обработке и защите персональных данных, положением об обработке ПД работников, формами согласий, перечнем лиц с доступом к ПД, регламентом обработки обращений субъектов и правилами уничтожения или обезличивания данных.

Политика обработки персональных данных издается в рамках статьи 18.1 Закона № 152-ФЗ. Если оператор собирает персональные данные через сайт, политика обычно размещается онлайн. В ней указываются цели обработки, категории субъектов, категории данных, правовые основания, действия с данными, сроки обработки, права субъектов и порядок направления обращений. Ответственный, назначенный приказом, должен контролировать, чтобы политика не противоречила реальным процессам.

Согласие субъекта персональных данных регулируется статьей 9 Закона № 152-ФЗ. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Не во всех случаях согласие требуется: например, обработка может быть необходима для исполнения договора, стороной которого является субъект, или для исполнения обязанности, установленной законом. Но если согласие нужно, его текст должен быть точным. Нельзя просто взять типовой бланк и использовать его для всех целей сразу.

Положение об обработке ПД работников связано со статьями 86–90 ТК РФ. Работников необходимо знакомить с документами, устанавливающими порядок обработки их персональных данных. В положении стоит описать, какие данные работодатель получает, где они хранятся, кто имеет доступ, кому они передаются, как работник может получить информацию об обработке и как обеспечивается защита.

Приказ должен указывать, что ответственное лицо участвует в разработке и актуализации таких документов. Это особенно важно, если организация часто меняет процессы: запускает новый сайт, подключает онлайн-оплату, нанимает новых подрядчиков, начинает рекламную рассылку, создает личный кабинет, внедряет CRM или переводит кадровые документы в электронный вид.

8. Особенности для работников, клиентов, контрагентов и сайта

Обычно приказ о назначении ответственного лица один, но в нем можно перечислить основные направления обработки ПД. Это помогает показать, что организация понимает свои процессы. У многих операторов есть минимум четыре блока: персональные данные работников, данные клиентов, данные представителей контрагентов и данные пользователей сайта.

Персональные данные работников требуют особого внимания, потому что регулируются не только Законом № 152-ФЗ, но и Трудовым кодексом РФ. Работодатель получает данные работника в связи с трудовыми отношениями, ведет кадровый учет, передает сведения в государственные органы, банки, фонды и иные организации в предусмотренных законом случаях. Приказ может поручить ответственному контролировать актуальность положения о ПД работников, порядок доступа к личным делам и соблюдение правил передачи данных.

Клиентские данные зависят от вида бизнеса. Интернет-магазин обрабатывает имя, телефон, адрес доставки, email, состав заказа. Сервисная компания может хранить обращения и историю обслуживания. Образовательный центр обрабатывает данные слушателей. Медицинская организация имеет дело со специальными категориями данных, связанными со здоровьем, и здесь требования будут строже. Поэтому один и тот же типовой приказ нельзя бездумно применять для всех отраслей.

Данные представителей контрагентов часто недооцениваются. Сделка может заключаться между юридическими лицами, но в договоре почти всегда есть ФИО директора, должность, подпись, телефон, email менеджера, доверенность представителя. Это персональные данные конкретных людей. При сделках между физическими лицами объем сведений обычно еще больше: паспортные данные, адреса, банковские реквизиты, сведения о предмете договора. Поэтому ответственный по ПД должен учитывать не только клиентов-граждан, но и договорной документооборот.

Сайт и онлайн-сервисы — отдельная зона риска. Если на сайте есть форма обратной связи, заявка на звонок, личный кабинет, подписка на новости, чат, cookies-баннер, онлайн-оплата или анкета, организация обрабатывает ПД или как минимум должна проверить, происходит ли такая обработка. Конструктор сайта, CRM или сервис рассылки не снимают с компании статус оператора, если именно компания определяет цели и состав обработки. Поэтому приказ может прямо закреплять обязанность согласовывать новые онлайн-формы с ответственным лицом.

9. Уведомление Роскомнадзора и внутренний контроль

Статья 22 Закона № 152-ФЗ устанавливает обязанность оператора уведомить Роскомнадзор о намерении осуществлять обработку персональных данных, если применимые исключения не позволяют обойтись без уведомления. После изменений законодательства последних лет организациям стало сложнее ссылаться на исключения, поэтому вопрос уведомления нужно проверять отдельно. Приказ о назначении ответственного лица не заменяет уведомление, но помогает определить, кто готовит и актуализирует сведения.

В уведомлении указываются цели обработки, категории персональных данных, категории субъектов, правовые основания, перечень действий с данными, меры защиты, сведения о трансграничной передаче и иная информация, предусмотренная законом. Если фактические процессы отличаются от уведомления, это может стать проблемой. Например, в уведомлении нет рассылок, а компания активно ведет email-маркетинг. Или в уведомлении не отражены данные пользователей сайта, хотя онлайн-форма давно собирает телефоны и адреса электронной почты.

Ответственному лицу стоит поручить контроль за актуальностью сведений, направляемых в Роскомнадзор. Это не значит, что он один заполняет все формы. Но он должен знать, когда нужно инициировать обновление: появилась новая цель обработки, изменился состав данных, подключен новый сервис, началась передача данных иному лицу, изменились меры защиты, появились новые категории субъектов.

Внутренний контроль лучше проводить не разово, а периодически. В приказе можно написать, что ответственное лицо организует проверку актуальности локальных актов не реже одного раза в год или при существенном изменении процессов обработки. Такой подход выглядит практичнее, чем обещание «постоянно контролировать все действия работников». Контроль должен быть реальным и документируемым: служебные записки, акты проверки, перечни замечаний, планы устранения нарушений.

Отдельно стоит помнить о статье 21 Закона № 152-ФЗ. Она регулирует обязанности оператора по уточнению, блокированию или уничтожению персональных данных в определенных случаях. Если субъект требует удалить данные, а организация не понимает, кто должен рассмотреть такое обращение, срок легко нарушить. Поэтому в приказе полезно закрепить, что ответственное лицо контролирует порядок рассмотрения обращений по уточнению, блокированию и уничтожению ПД.

10. Ответственность за нарушения и роль приказа при проверке

Административная ответственность за нарушения в сфере персональных данных установлена статьей 13.11 КоАП РФ. В ней предусмотрены отдельные составы за обработку ПД в случаях, не предусмотренных законодательством, обработку без согласия, если оно необходимо, нарушение требований к письменному согласию, неопубликование политики, нарушение сроков ответа субъекту, невыполнение обязанности по уточнению, блокированию или уничтожению данных и другие нарушения. Размер штрафа зависит от конкретной части статьи, статуса нарушителя и повторности.

Кроме административной ответственности, возможны трудовые, гражданско-правовые и в исключительных случаях уголовно-правовые последствия. Статья 90 ТК РФ говорит, что лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, могут привлекаться к дисциплинарной и материальной ответственности. Статья 24 Закона № 152-ФЗ также указывает, что лица, виновные в нарушении требований закона о персональных данных, несут ответственность, предусмотренную законодательством РФ.

Приказ помогает при проверке, потому что показывает, что организация назначила ответственное лицо и определила его функции. Но он не освобождает оператора от обязанности доказать законность обработки. Проверяющий может запросить политику, согласия, уведомление Роскомнадзора, положение о ПД работников, перечень лиц с доступом, документы об ознакомлении сотрудников, порядок рассмотрения обращений, договоры с подрядчиками и подтверждение мер защиты.

Типичная ошибка — написать в приказе, что ответственный «несет полную ответственность за соблюдение законодательства о персональных данных в организации». Такая формулировка выглядит удобно для руководителя, но юридически неточна. Оператором остается организация, а руководители подразделений и работники отвечают в пределах своих обязанностей. Правильнее указать, что ответственное лицо организует внутренний контроль, координирует работу, запрашивает сведения, готовит предложения и докладывает руководителю о выявленных нарушениях.

Если спор дойдет до суда, значение будут иметь доказательства фактического исполнения. Приказ, лист ознакомления и план проверки создают более убедительную картину, чем один скачанный шаблон без следов применения. Именно поэтому приказ лучше делать не слишком декоративным, а рабочим: с конкретными обязанностями, полномочиями и маршрутом взаимодействия.

11. Частые ошибки при составлении приказа

Первая ошибка — использовать неподходящий образец. В интернете можно скачать документ для бюджетного учреждения, медицинской организации или крупной IT-компании и случайно перенести лишние обязанности в обычное ООО. Иногда шаблон содержит устаревшие формулировки, неправильные ссылки на закон или смешивает ответственного за организацию обработки ПД с администратором информационной системы.

Вторая ошибка — назначить человека без полномочий. Если ответственный не может запросить у отдела продаж список CRM-полей, у кадровика — формы анкет, у маркетолога — тексты согласий, а у IT — сведения о доступах, он не сможет выполнять обязанности. Поэтому в приказе нужно прямо указать обязанность подразделений взаимодействовать с ответственным лицом.

Третья ошибка — не связать приказ с другими локальными актами. Если в политике указан один порядок обращений, в положении о ПД работников другой, а приказ вообще ничего не говорит о запросах субъектов, возникает риск несогласованности. При проверке такие расхождения воспринимаются как признак формального документооборота.

Четвертая ошибка — забыть про кадровое оформление. Если работнику фактически поручают новые регулярные обязанности, лучше отразить это в должностной инструкции. Особенно если объем работы заметный: проведение проверок, обучение работников, подготовка ответов субъектам, участие в договорах с подрядчиками, взаимодействие с Роскомнадзором.

Пятая ошибка — не обновлять приказ после увольнения или перевода ответственного. Документ может лежать в папке несколько лет, а назначенный сотрудник уже давно не работает. Поэтому при кадровых изменениях нужно издать новый приказ или внести изменения. Внутренний контроль по ПД должен быть непрерывным, а не привязанным к человеку, который ушел из компании.

Короткий чек-лист перед подписанием:

• указано полное название роли по статье 22.1 Закона № 152-ФЗ;
• назначено конкретное лицо с должностью;
• прописана подотчетность руководителю;
• перечислены обязанности по внутреннему контролю, обучению и обращениям субъектов;
• закреплено право запрашивать документы у подразделений;
• приказ согласован с политикой и положениями по ПД;
• назначенное лицо ознакомлено с документом.

Шестая ошибка — пытаться одним приказом закрыть вообще все вопросы по персональным данным. Приказ не должен заменять положение, политику, согласия, инструкции и регламенты. Его задача — назначить лицо и определить основные организационные полномочия. Если нужно подробно описать порядок обработки, лучше создать отдельное положение или регламент.

12. Практический алгоритм и пример формулировок

Перед подготовкой приказа стоит провести короткую инвентаризацию персональных данных. Нужно понять, чьи данные обрабатываются, зачем, где они хранятся, кто имеет доступ, кому они передаются, какие документы уже оформлены и чего не хватает. После этого составить приказ гораздо проще: становится ясно, какие обязанности действительно нужны ответственному лицу.

Рабочий алгоритм такой:

• определить основные процессы обработки ПД: работники, клиенты, сайт, контрагенты, соискатели, рассылки;
• выбрать сотрудника, который сможет координировать работу;
• проверить его должностную инструкцию и полномочия;
• подготовить приказ на основе адаптированного шаблона;
• ознакомить назначенное лицо и заинтересованных работников;
• связать приказ с политикой, положениями, согласиями и перечнем доступа;
• установить периодический контроль актуальности документов.

Пример формулировок можно использовать как основу:

«В целях соблюдения требований Федерального закона от 27.07.2006 № 152-ФЗ “О персональных данных”, статей 86–90 Трудового кодекса Российской Федерации, а также локальных актов Общества в области обработки и защиты персональных данных приказываю:

Назначить Иванова Ивана Ивановича, начальника юридического отдела, лицом, ответственным за организацию обработки персональных данных в ООО “Альфа”.

Установить, что лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от генерального директора Общества и подотчетно ему по вопросам соблюдения законодательства Российской Федерации о персональных данных.

Возложить на Иванова И.И. следующие обязанности:

3.1. Осуществлять внутренний контроль за соблюдением Обществом и его работниками законодательства Российской Федерации о персональных данных, включая требования к защите персональных данных.

3.2. Организовывать доведение до сведения работников положений законодательства Российской Федерации о персональных данных и локальных актов Общества по вопросам обработки персональных данных.

3.3. Организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей, а также контролировать сроки подготовки ответов.

3.4. Участвовать в разработке и актуализации политики обработки персональных данных, положений, согласий, регламентов и иных локальных актов Общества по вопросам ПД.

3.5. Запрашивать у структурных подразделений сведения и документы, необходимые для выполнения обязанностей, предусмотренных настоящим приказом.

Руководителям структурных подразделений обеспечивать взаимодействие с Ивановым И.И. по вопросам обработки персональных данных и своевременно информировать его о введении новых процессов обработки ПД, изменении целей, состава данных, способов обработки, лиц, имеющих доступ к данным, и лиц, которым данные передаются.
Контроль за исполнением настоящего приказа оставляю за собой».

Такой фрагмент — не единственно возможный образец, а основа, которую можно доработать. Если организация небольшая, текст можно сократить. Если компания ведет сайт, онлайн-продажи, рассылки, кадровый электронный документооборот и передает данные подрядчикам, приказ лучше расширить. В него можно добавить взаимодействие с IT, маркетингом, HR, бухгалтерией и юридическим отделом.

Если нужно быстро создать документ, можно использовать онлайн-конструктор или скачать типовой шаблон, но финальный текст должен пройти проверку на соответствие реальным процессам. Нельзя оставлять в приказе лишние блоки только потому, что они были в образце. И наоборот, нельзя удалять обязанности, прямо связанные со статьей 22.1 Закона № 152-ФЗ.

Итоговый вывод: приказ о назначении ответственного лица по работе с ПД нужен большинству юридических лиц, которые являются операторами персональных данных. Он должен ссылаться на Закон № 152-ФЗ, учитывать трудовое законодательство при обработке данных работников, быть связан с локальными актами и реально исполняться. Для отношений между юридическими лицами важно помнить о данных представителей сторон, а для сделок между физическими лицами — о более широком составе сведений, который обычно попадает в договоры. Хорошо подготовленный приказ помогает не только пройти проверку, но и создать понятный внутренний порядок: кто контролирует документы, кто отвечает на обращения, кто согласовывает новые онлайн-формы и кто сообщает руководителю о рисках. Поэтому образец, шаблон, скачать, конструктор, типовой формат и онлайн-сервисы полезны только как вспомогательные инструменты. Главная задача — составить документ так, чтобы он соответствовал закону, судебной практике и фактической работе организации.