Статья 18.1 152-ФЗ обязывает оператора персональных данных назначить лицо, ответственное за организацию обработки персональных данных, и опубликовать это назначение во внутренних документах. Формулировка не делает исключений по размеру компании — формально требование касается любого оператора, включая ИП с сайтом-визиткой и одной формой заявки.

Кто может быть ответственным

Закон не требует отдельной штатной единицы. Ответственным может быть сам руководитель организации, штатный сотрудник, для которого эта функция — часть должностных обязанностей (часто это совмещают с юристом, офис-менеджером или ИТ-специалистом), либо привлечённый специалист по договору. Для ИП без сотрудников ответственным обычно назначают самого предпринимателя.

Что реально должен делать ответственный

  • Организовывать получение согласий на обработку персональных данных и следить, чтобы они оформлялись правильно
  • Информировать сотрудников компании, которые работают с персональными данными, о требованиях законодательства
  • Организовывать приём и обработку обращений и запросов субъектов персональных данных (например, если клиент просит удалить свои данные)
  • Осуществлять внутренний контроль за соблюдением законодательства о персональных данных
  • Участвовать в рассмотрении обращений Роскомнадзора при проверках

Для маленькой компании эти обязанности редко требуют отдельного рабочего времени сверх пары часов в месяц — большая часть сводится к тому, чтобы формы на сайте были оформлены правильно один раз, а дальше периодически перепроверять, не изменилось ли что-то (новый сервис, новая форма, новая рассылка).

Как оформить назначение

Формально это внутренний документ компании — обычно приказ руководителя о назначении ответственного за организацию обработки персональных данных, с указанием ФИО, должности и краткого перечня обязанностей. Отдельно публиковать этот приказ на сайте не требуется — важно, чтобы он существовал как внутренний документ и предъявлялся по запросу при проверке.

В политике конфиденциальности на сайте обычно указывают контакты ответственного (или хотя бы общий адрес для обращений по вопросам персональных данных) — это отдельное, более заметное требование, и оно чаще проверяется, чем сам факт наличия внутреннего приказа.

Что будет, если ответственный не назначен

Формально отсутствие назначенного ответственного — часть более широкого состава «невыполнение оператором обязанностей, предусмотренных законодательством о персональных данных». На практике проверяющие редко фиксируют это как отдельное, изолированное нарушение — обычно оно всплывает в связке с другими находками при более широкой проверке, например когда выясняется, что компания вообще не знает, кто у неё отвечает за эти вопросы, а сайт при этом собирает данные без надлежащего согласия.

Практический совет для малого бизнеса: назначить ответственного — самая простая и бесплатная часть соответствия закону, которая при этом снимает вопрос при проверке. Гораздо больше времени обычно уходит на то, чтобы разобраться, что реально происходит на сайте технически, — какие сервисы подключены, куда уходят данные, — и это удобнее делать с помощью автоматической проверки, а не вручную пересматривать код каждой страницы.