Если через сайт, форму заявки или CRM вы собираете у людей имя, телефон или email — это уже обработка персональных данных, и на организацию распространяются обязанности оператора по 152-ФЗ. Один пункт из этого списка обязанностей звучит конкретно: назначить ответственного за организацию обработки персональных данных отдельным приказом.
Зачем нужен приказ о назначении ответственного за обработку персональных данных
Закон обязывает оператора принимать меры, необходимые и достаточные для выполнения требований 152-ФЗ, — и сам называет, из чего состоит этот минимум. По ч. 1 ст. 18.1 закона таких мер шесть, и первая из них — назначение ответственного, если оператор является юридическим лицом.
Норма сформулирована прямо, без места для трактовок: «Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных» (ст. 22.1 ч. 1 152-ФЗ). То есть приказ — это не формальность «для порядка», а исполнение конкретной обязанности, которую называет закон.
Если непонятно, при чём тут вообще ваш сайт: что считается персональными данными — любая информация, которая прямо или косвенно относится к конкретному человеку: имя, телефон, email, адрес доставки. Форма обратной связи с полями «Имя» и «Телефон» уже делает организацию оператором ПДн со всеми вытекающими обязанностями.
Дальше разберём: чем приказ отличается от политики конфиденциальности и положения об обработке ПДн, обязателен ли он для ИП, что должно быть внутри документа и грозит ли штраф, если приказа нет.
Приказ, Положение и Политика конфиденциальности — три разных документа
На практике эти три документа часто путают, хотя у каждого своя задача. Политика конфиденциальности — публичный документ для сайта: она информирует посетителей, как вы обрабатываете их данные. Положение об обработке ПДн — внутренний регламент: по каждой цели обработки описывает состав данных, сроки хранения и порядок уничтожения. Приказ о назначении ответственного — узкий кадровый акт: он просто называет конкретного человека и его полномочия.
Важная оговорка: «Политика конфиденциальности» и «Положение об обработке ПДн» — устоявшиеся названия из практики делопроизводства, а не дословные термины закона. Сам 152-ФЗ говорит о «документе, определяющем политику оператора в отношении обработки персональных данных» (ст. 18.1 ч. 2) и о «локальных актах» (ст. 18.1 ч. 1 п. 2). Названия прижились в деловом обиходе, и в статье мы тоже будем ими пользоваться — просто держите в голове, что это не три отдельно поименованных законом сущности.
| Документ | Что регулирует | Норма-основание |
|---|---|---|
| Политика конфиденциальности | Публичный документ для сайта, информирует посетителей об обработке их ПДн | 152-ФЗ, ст. 18.1 ч. 2 |
| Положение об обработке ПДн | Внутренний регламент процессов по каждой цели обработки | 152-ФЗ, ст. 18.1 ч. 1 п. 2 («локальные акты») |
| Приказ о назначении ответственного | Кадровый акт: назначает конкретное лицо и его полномочия, может одновременно утверждать Положение | 152-ФЗ, ст. 18.1 ч. 1 п. 1 + ст. 22.1 |
На практике приказ часто оформляют не только как назначение ответственного, но и одновременно как документ, вводящий в действие («утверждающий») Положение, — это удобно и не запрещено. Мы отдельно разбирали, что должно быть в политике конфиденциальности — если ещё не сверяли свою, самое время это сделать.
Нужен ли приказ индивидуальному предпринимателю
По букве закона обязанность назначить ответственного адресована операторам-юридическим лицам. Прямого официального разъяснения РКН для ИП нет, но на практике безопаснее оформить приказ и ИП-оператору — в том числе назначив ответственным самого себя.
Это одна из самых частых болей малого бизнеса, и здесь стоит быть честными: однозначного ответа в законе нет. И ст. 18.1 ч. 1 п. 1, и ст. 22.1 ч. 1 152-ФЗ буквально говорят об операторе, «являющемся юридическим лицом». А ст. 3 того же закона прямо разделяет операторов на государственные органы, муниципальные органы и юридических или физических лиц — то есть закон различает эти категории не случайно. ИП с точки зрения гражданского права — физическое лицо, ведущее предпринимательскую деятельность, а не юридическое лицо.
Официального разъяснения Роскомнадзора, которое прямо снимало бы или, наоборот, подтверждало эту обязанность для ИП, найти не удалось. При этом многие консультанты — и, судя по всему, сами проверяющие на местах — исходят из того, что приказ нужен и предпринимателю. Практический вывод простой: спорить о букве закона во время проверки — плохая стратегия. Дешевле и безопаснее оформить назначение ответственного за ПДн заранее, благо это можно сделать за десять минут, назначив ответственным самого себя, если сотрудников нет.
Что должно быть в приказе: обязательные реквизиты
Хорошая новость: унифицированного бланка приказа закон не устанавливает. Оператор вправе составить документ в свободной форме — искать «официальный образец» на сайте РКН смысла нет, его там не существует.
При этом практика делопроизводства выработала понятный список реквизитов. Это не норма закона, а рекомендуемая структура — но именно её ожидают увидеть при проверке. Сверьтесь прямо сейчас, всё ли из этого есть в вашем приказе о назначении ответственного за обработку персональных данных:
- Номер и дата приказа.
- Основание — ссылка на ст. 18.1 и 22.1 152-ФЗ.
- Кого назначаем — ФИО и должность.
- Перечень обязанностей ответственного (или отсылка к должностной инструкции).
- Порядок замещения на время отсутствия ответственного.
- Подпись руководителя.
- Отметка об ознакомлении назначенного лица под подпись.
Ещё раз: этот список — не цитата из 152-ФЗ, а сложившаяся практика оформления кадровых документов. Но если приказ уже просят на проверке, разумнее ориентироваться именно на неё.
Пока наводите порядок во внутренних документах, заодно бесплатно проверьте сам сайт на соответствие 152-ФЗ — увидите, каких пунктов не хватает снаружи.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтКакие обязанности возлагаются на ответственного по закону
Закон не оставляет обязанности назначенного лица на усмотрение работодателя — они прямо перечислены в ст. 22.1 ч. 4 152-ФЗ. Ответственный обязан:
- осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к их защите;
- доводить до сведения работников оператора положения законодательства о ПДн, локальных актов по вопросам обработки ПДн и требований к защите персональных данных;
- организовывать приём и обработку обращений и запросов субъектов персональных данных (или их представителей) либо контролировать этот процесс.
Важный нюанс формулировки: закон говорит именно о «приёме и обработке обращений субъектов ПДн», а не о «взаимодействии с Роскомнадзором» напрямую — это разные вещи, и приписывать закону формулировку, которой в нём нет, не стоит.
Ответственный подчиняется непосредственно исполнительному органу организации и подотчётен ему (ст. 22.1 ч. 2). А оператор, в свою очередь, обязан снабжать его нужной информацией — о составе ПДн, целях и способах обработки, применяемых мерах защиты (ст. 22.1 ч. 3 со ссылкой на ст. 22 ч. 3), — по сути теми же сведениями, что подаются в уведомлении в РКН.
Требований к квалификации ответственного закон не устанавливает — дипломов и сертификатов не спрашивает. На практике эту роль поручают HR-специалисту, юристу, специалисту по информационной безопасности или главному бухгалтеру, но это сложившаяся практика, а не требование 152-ФЗ.
Грозит ли штраф за отсутствие приказа: разбираем миф
Вот факт, который многих удивляет: в статье 13.11 КоАП РФ — а в ней сейчас 18 частей — нет отдельного состава правонарушения именно за то, что не назначен ответственный за организацию обработки ПДн. Специального штрафа за сам факт отсутствия приказа не существует.
В интернете часто пишут, что «штраф за отсутствие приказа — по ч. 3 ст. 13.11 КоАП» (30 000–60 000 ₽ для юрлиц). Это ошибка: состав ч. 3 — про неопубликование или необеспечение доступа к политике обработки ПДн (публичному документу для сайта), а не про отсутствие кадрового приказа о назначении ответственного лица. Это два разных обязательства оператора.
Важно: нет приказа — не значит, что риска нет. Отсутствие назначенного ответственного почти всегда означает, что в организации не выстроены и другие обязательные меры по ст. 18.1 — а вот штрафы за них уже реальные. Например, обработка персональных данных не по заявленным целям обойдётся юрлицу в 150 000–300 000 ₽ по ч. 1 ст. 13.11 КоАП.
| Нарушение | Юрлица | Статья |
|---|---|---|
| Обработка ПДн не по заявленным целям или основаниям | 150 000–300 000 ₽ | ст. 13.11 ч. 1 КоАП |
| Неопубликование или недоступность политики обработки ПДн | 30 000–60 000 ₽ | ст. 13.11 ч. 3 КоАП |
| Непредставление документа по запросу госоргана (в т. ч. при проверке) | 3 000–5 000 ₽ либо предупреждение | ст. 19.7 КоАП |
| Неназначение ответственного за организацию обработки ПДн | отдельного состава и суммы не найдено | — |
Приказ всё равно стоит оформить — по трём причинам. Во-первых, это документ, который Роскомнадзор запрашивает в числе стандартного пакета по ПДн при проверках. Во-вторых, отсутствие назначенного ответственного обычно означает, что в компании не выстроены и другие обязательные меры — обучение сотрудников, внутренний контроль, работа с обращениями субъектов ПДн, — а вот за них штрафы уже реальные и немаленькие (см. таблицу выше). В-третьих, есть узкий косвенный риск по ст. 19.7 КоАП — непредставление документа по запросу госоргана при проверке: для юрлиц это 3 000–5 000 ₽ либо предупреждение. Это отдельный состав именно за сам факт непредоставления запрошенного документа, а не санкция за отсутствие приказа как таковую — но если инспектор попросит показать приказ, а его нет, штраф за нерасторопность вполне реален.
Что делать: как навести порядок в документах по ПДн
Даже без отдельного штрафа «за сам факт» оформить приказ стоит — это часть стандартного пакета документов, который проверяет РКН, и основа для остальных обязательных мер.
- Издайте приказ по чек-листу из раздела выше — в свободной форме, но со всеми обязательными реквизитами.
- Ознакомьте назначенное лицо с приказом под подпись.
- Сверьте приказ с Положением об обработке ПДн (если оно уже есть или готовится) и с публичной политикой конфиденциальности на сайте — документы не должны противоречить друг другу.
Приказ — оргдокумент, и автоматическая проверка сайта на 152-ФЗ его не увидит. Но она увидит то, что реально видно снаружи: саму политику конфиденциальности, чекбоксы согласия на обработку ПДн в формах и другие требования Роскомнадзора к сайту — а это ровно то, из-за чего чаще всего штрафуют на практике.