Система соответствия и ответственный за организацию обработки

Часть 1 статьи 22.1 Федерального закона № 152-ФЗ требует, чтобы оператор — юридическое лицо назначил лицо, ответственное за организацию обработки персональных данных. Для индивидуального предпринимателя эта специальная формулировка не действует, но остальные обязанности оператора сохраняются.

В распорядительном документе указываются назначенное лицо и начало исполнения функции. Полномочия, взаимодействие и замещение необходимо раскрыть отдельно: название должности само по себе ничего не организует.

Российский ответственный не является автоматически DPO по GDPR. Если применяются обе правовые системы, статус и функции сопоставляются отдельно.

Договор с внешним консультантом также не заменяет внутреннюю организацию. Исполнительный орган должен обеспечить подотчётность, доступ к сведениям и принятие решений. Внешний юрист может сопровождать методологию, документы и контроль, но обязанности оператора по договору не передаются.

По статье 22.1 ответственное лицо получает указания непосредственно от исполнительного органа и подотчётно ему. Оператор предоставляет сведения, необходимые для выполнения функции. Поэтому доступ к информации должен быть рабочим, а не ограничиваться утверждёнными документами.

Внутренний акт закрепляет право запрашивать сведения о формах сбора, системах, интеграциях, получателях, странах, сроках хранения и доступе; участвовать в согласовании изменений; получать информацию об обращениях и инцидентах; выносить нарушения на рассмотрение руководства.

Ответственный организует и контролирует, но не заменяет исполнительный орган, юриста, ИТ и информационную безопасность. Решения о ресурсах, остановке процесса и технических мерах принимают уполномоченные лица.

Федеральный закон № 152-ФЗ не утверждает обязательную форму «реестра процессов». Это практический документ для исполнения статьи 18.1, актуализации уведомления и проверки каждой цели обработки.

Реестр нельзя составлять только по названиям документов. Архитектуру подтверждают ИТ и информационная безопасность, кадровые процессы — кадровая функция, а цели и получателей — назначенные ответственные лица за соответствующие процессы.

Статья 18.1 требует необходимых и достаточных мер, а не универсального архива шаблонов. Отдельно проверяются публичная политика оператора в отношении обработки персональных данных, внутренние локальные акты, права доступа, согласия на обработку персональных данных, договорные условия при порученной обработке, порядок обращений, уничтожения и действий при инциденте. Публичная политика оператора не заменяет локальные документы по данным работников.

Уведомление Роскомнадзора сопоставляется с реестром: цели, данные и субъекты, основания, действия, способы обработки, меры защиты, ответственный, местонахождение баз и трансграничная передача. Исключения применяются только после проверки части 2 статьи 22. Об изменении заявленных сведений оператор уведомляет не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения. Десять рабочих дней установлены для уведомления о прекращении обработки. Формы утверждены приказом Роскомнадзора № 180.

Внутренние документы определяют, кто предоставляет сведения, выполняет действие и подтверждает результат. Названия функций ниже — примеры; в небольшой компании их могут выполнять назначенные лица.

Статья 22.1 относит к функциям ответственного организацию приёма и обработки обращений субъектов или контроль этой работы. Нужны канал поступления, регистрация, проверка личности и полномочий представителя, квалификация требования, запрос сведений у подразделений, согласование ответа и подтверждение исполнения.

Срок зависит от вида обращения и нормы, поэтому один произвольный срок для всех запросов неверен. Отдельно описываются уточнение, блокирование, уничтожение, отзыв согласия и запрос сведений. Юридический ответ должен совпадать с действиями в системах и архивах: письмо не заменяет фактическое ограничение доступа или уничтожение.

Инцидент требует параллельной работы. ИТ и информационная безопасность ограничивают последствия и выясняют технические обстоятельства. Ответственный организует сбор фактов, юридическую квалификацию и уведомление Роскомнадзора, когда установлена передача, предоставление, распространение или доступ, повлекшие нарушение прав субъектов.

Часть 3.1 статьи 21 предусматривает первичное уведомление в течение 24 часов и результаты внутреннего расследования в течение 72 часов. Заранее определяются контакты, перечень сведений, согласование и способ подачи.

Нельзя ждать полного расследования перед первичным сообщением или выдавать предположение за факт. Разделяются известные обстоятельства, предполагаемые причины, вред, принятые меры и сведения для уточнения. Дополнительно применяется приказ № 187.

Повторный анализ нужен при изменении цели, состава данных или субъектов, системы, интеграции, получателя, государства, срока хранения, прав доступа или регулирования. Назначенное ответственное лицо за соответствующий процесс сообщает об изменении ответственному за организацию обработки до запуска. Затем определяют, нужно ли менять правовое основание, договор, согласие на обработку персональных данных, публичную политику оператора, внутренний локальный акт, уведомление Роскомнадзора, модель локализации или порядок трансграничной передачи. Технические меры оцениваются отдельно.

Закон не устанавливает для любого оператора обязательный полный аудит раз в год. Периодический контроль дополняет проверки по событию. Обычно проверяются реестр, уведомление, доступ, уничтожение, договоры с получателями, обращения, инциденты и исполнение рекомендаций.

По статье 22.1 ответственное лицо доводит до работников требования закона, локальных актов и защиты данных. Содержание зависит от функции: кадровому работнику, администратору и сотруднику поддержки нужны разные инструкции.

Работник должен понимать цель доступа, допустимые действия, получателей, правила хранения и порядок сообщения об ошибке или инциденте. Публичная политика оператора в отношении обработки персональных данных не заменяет рабочую инструкцию для конкретного процесса.

В докладе исполнительному органу отражаются изменения, обращения, инциденты, результаты контроля, неустранённые нарушения и потребность в ресурсах. Частоту устанавливает организация. Доклад должен содержать требуемые решения, исполнителей и контролируемый результат.