ТРЕБОВАНИЯ К ЛИЦУ, ОТВЕТСТВЕННОМУ ЗА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Персональные данные – это любая информация прямо или косвенно относящаяся к физическому лицу (субъекту персональных данных). Данные должны относиться к конкретному человеку. Например, Ф.И.О., банковские данные, паспортные данные, номер телефона и т.п. – это персональные данные. Если данные абстрактны, то они не являются персональными. Приведем сравнение в таблице 1.

Таблица 1.

Разница персональных данных и данных, не являющихся персональными

Статья 22.1 Федерального закона № 152 – ФЗ «О персональных данных» регламентирует, что каждый оператор, являющийся юридическим лицом, должен назначить лицо, которое будет организовывать обработку персональных данных и должно быть подотчетно оператору.

Оператор персональных данных – лицо (государственный или муниципальный орган, юридическое или физическое лицо), которое самостоятельно или совместно с другими лицами осуществляет обработку персональных данных [1].

Лицо ответственное за организацию обработки персональных данных – сотрудник организации (утвержденный приказом руководителя), выполняющий обязанности по соблюдению правил работы с личной (персональной) информацией.

Обязанностями лица, ответственного за обработку персональных данных являются:

• Осуществление внутреннего контроля за соблюдением законодательства Российской Федерации в области персональных данных (в том числе их защита);
• Доведение до сведения работников положений законодательства Российской Федерации, локальных актов и требований к защите в области персональных данных;
• Организация приема, обработки и контроля обращений и запросов субъектов персональных данных.

Конкретных требований, например, наличие профессионального или дополнительного образования, к лицу, ответственному за организацию обработки персональных данных в Федеральном законе № 152 не предусмотрено.

Большинство компаний, являющихся операторами персональных данных, назначают лицом, ответственным за обработку персональных данных, сотрудников, занимающихся кадровыми вопросами. Назначение сотрудника происходит посредством издания приказа о назначении.

При этом, для обработки персональных данных недостаточно знаний только Федерального закона №152. Лицу, ответственному за обработку персональных данных необходимо знать Трудовой Кодекс Российской Федерации (например, ст. 86 «Общие требования при обработке персональных данных работника и гарантии их защиты»), Постановление правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Уголовный Кодекс РФ (например, ст. 137 «Нарушение неприкосновенности частной жизни»).

Помимо этого, в статье 13.11 Кодекса Административных правонарушений «Нарушения законодательства Российской Федерации в области персональных данных» предусмотрено наложение штрафов на должностных лиц, т.е. на лиц, ответственных за обработку персональных данных [2].

То есть к выбору лица, ответственного за обработку персональных данных, необходимо подойти со всей осторожностью и внимательностью.

В связи с тем, что лицу, ответственному за обработку персональных данных, необходимо знать большое количество нормативно-правовой и локальной документации, целесообразно закрепить на законодательном уровне требования к лицу, ответственному за обработку персональных данных, а именно:

• Знания Федерального закона № 152 – ФЗ «О персональных данных»;
• Знания Трудового Кодекса в области требований при обработке персональных данных сотрудника;
• Знания Постановления правительства РФ № 1119 в области защиты и обработки персональных данных;
• Знания Кодекса Административных правонарушений в области нарушений трудового законодательства и персональных данных;
• Знания Уголовного кодекса в области ответственности за распространение персональных данных.

Все вышеперечисленные знания должны быть либо подтверждены документами о прохождении дополнительного обучения (курсы, тренинги, вебинары), либо для сотрудника, назначаемого лицом, ответственным за обработку персональных данных, должно проводиться регулярное тестирование в данной области, со стороны оператора.

Помимо этого, в штатном расписании оператора персональных данных должна быть должность ответственного за обработку персональных данных.