Кто должен быть ответственным за обработку персональных данных

Политика обработки, согласия, внутренние регламенты — это правила. Ответственный — это человек, который следит, что правила реально соблюдаются: контролирует доступ к данным, реагирует на запросы субъектов данных (например, если клиент просит удалить свои данные), организует уничтожение данных по истечении срока хранения.

При проверке Роскомнадзора первый вопрос обычно не «покажите документы», а «кто у вас отвечает за это направление» — и если ответить нечего, формально оформленные документы не спасают: получается, что компания знает правила, но не назначила того, кто их исполняет.

Закон не требует отдельной штатной единицы или специального образования. Ответственным можно назначить любого сотрудника — часто это сам руководитель (особенно у ИП без сотрудников), офис-менеджер, бухгалтер или тот, кто и так работает с базой клиентов. Главное — не формальность на бумаге, а человек, который реально понимает, какие данные и где хранятся в компании.

У ИП без сотрудников ответственным чаще всего становится сам предприниматель — но это тоже нужно оформить документально, а не просто подразумевать.

Организация обработки персональных данных в соответствии с законом, информирование сотрудников о требованиях 152-ФЗ, организация приёма и обработки обращений субъектов персональных данных, внутренний контроль за соблюдением законодательства. Это не разовая бумажка, а постоянная роль — поэтому вместе с назначением нужна инструкция, где написано, что именно человек должен делать в конкретных ситуациях (запрос на удаление данных, подозрение на утечку, проверка со стороны РКН).

Формально отсутствие назначенного ответственного — само по себе основание для замечаний при проверке, а на практике оно означает, что и остальные процессы (реагирование на инциденты, работа с обращениями) в компании никем не контролируются — то есть даже готовые документы работают не так, как должны.