Приказ о назначении ответственного за организацию обработки персональных данных
Внутренний документ, которым организация назначает конкретного сотрудника ответственным за то, как в ней обращаются с персональными данными. Первая мера из перечня ст. 18.1 и единственное доказательство, что оператор её выполнил.
Зачем нужен документ
Закон требует от оператора не результата, а мер: ст. 18.1 перечисляет, что именно организация обязана сделать, чтобы выполнение 152-ФЗ было обеспечено. Первым пунктом этого перечня стоит назначение ответственного за организацию обработки персональных данных — и это единственная мера, у которой есть ровно одно доказательство. Политику можно показать файлом, обучение — журналом, а назначение подтверждается только распорядительным актом: приказом либо распоряжением руководителя.
Вторая функция приказа — создать фигуру, у которой есть полномочия. Ч. 2 ст. 22.1 выстраивает её подчинение напрямую: ответственный получает указания от исполнительного органа организации и подотчётен ему, а не начальнику отдела, в котором он числится. Это не формальность. Человек, который обязан контролировать соблюдение закона всей компанией, включая собственное руководство среднего звена, работает только тогда, когда у него есть выход на директора, зафиксированный документом.
Отсюда практическое следствие, которое чаще всего игнорируют: назначение системного администратора или кадровика «по остаточному принципу», без изменения подчинённости и без выделенного времени на задачу, даёт формально исполненную меру и полностью неработающую функцию. Проверяющий видит это за один вопрос — см. раздел 08.
Чем грозит отсутствие
Отдельного состава «не назначен ответственный за организацию обработки» в КоАП нет. Отсутствие приказа квалифицируется по общей ч. 1 ст. 13.11 — обработка персональных данных в случаях, не предусмотренных законодательством: организация обрабатывает данные, не приняв обязательную меру, которую закон связывает с правом эту обработку вести. Суммы действуют в редакции 420-ФЗ, применяемой с 30 мая 2025 года.
Повторное нарушение в течение года по ч. 1.1: юридические лица — от 300 000 до 500 000 ₽, должностные — от 100 000 до 200 000 ₽, граждане — от 15 000 до 30 000 ₽. Практический смысл этой части в том, что первое постановление превращает любую неустранённую мелочь в кратно дороже стоящую.
Как ещё называют этот документ
Что должно быть в документе
Формы приказа закон не устанавливает: это обычный распорядительный документ организации. Обязателен не бланк, а состав сведений — из него проверяющий восстанавливает, кто, с какого числа и в каком объёме отвечает.
Требования законодательства
Как связан с другими документами
Приказ — верхняя точка организационного контура: он создаёт роль, а её содержание раскрывают соседние документы. Разрыв любой из этих связей обесценивает сам приказ.
Когда обновлять документ
Приказ бессрочный, но он привязан к конкретному человеку и к структуре организации. Переиздают его не по календарю, а по событию.
Что спросит проверяющий
Приказ почти всегда предъявляют первым — он короткий и подтверждает исполнение меры одним листом. Именно поэтому вопросы к нему идут не о тексте, а о том, что за ним стоит.
Разбор эксперта
Приказ о назначении ответственного есть почти у всех, кто вообще занимался 152-ФЗ. Поэтому интересен не факт его наличия, а три вещи, которые за ним всплывают.
Первая — совмещение ролей. В приказ вписывают системного администратора и называют его ответственным «за обработку и защиту». Дальше происходит предсказуемое: человек занимается техникой, потому что это его профессия, а организационная часть — основания обработки, сроки хранения, ответы субъектам, актуальность политики — не делается вообще. Формально мера исполнена, фактически функции нет. Если роли совмещаются по размеру организации, лучше двумя приказами: разные основания, разные обязанности, и при проверке разговор идёт по существу, а не о том, что имелось в виду.
Вторая — подотчётность. Ч. 2 ст. 22.1 написана не случайно: ответственный обязан контролировать соблюдение закона оператором и его работниками, а это значит иногда фиксировать нарушения тех, кто выше его по линейной иерархии. Когда приказ ставит его в подчинение начальнику отдела, конструкция ломается на первом же конфликте интересов, и держится это ровно до первой жалобы субъекта.
Третья — разрывы во времени. Ответственный увольняется, приказ на нового издают через месяц-другой, когда вспомнят. В этом промежутке обязанности ст. 22.1 не исполняет никто, и если на него попадает обращение субъекта или запрос Роскомнадзора, спорить не о чем. Помогает простое: в приказе — пункт о замещении на период отсутствия, а в процедуре увольнения — шаг «переиздать приказ по ПДн», наравне с передачей дел и отзывом доступов.
Назначайте того, у кого есть доступ к процессам и вес в организации, — юриста, начальника кадровой службы, руководителя административного блока. Технического специалиста ставьте вторым приказом на безопасность в ИСПДн. И сразу после подписания сверьте ФИО с тем, что заявлено в реестре операторов: расхождение реестра со штатом сегодня — самая дешёвая для проверяющего и самая неприятная для оператора находка.
Частые вопросы
Нет. Ч. 1 ст. 22.1 адресована оператору, являющемуся юридическим лицом, — у ИП такой обязанности нет и приказ издавать не требуется. Остальные меры ст. 18.1 и требования ст. 19 предприниматель выполняет в полном объёме, а в уведомлении в Роскомнадзор в поле об ответственном указывает себя.
Можно, закон этого не запрещает, и для небольшой организации это рабочий вариант. Условность одна: подотчётность по ч. 2 ст. 22.1 становится формальной — директор подотчётен сам себе. При росте штата функцию обычно передают отдельному сотруднику.
Можно, если развести в тексте две роли: разные основания (ст. 22.1 и ст. 19) и разные обязанности. Мы советуем два приказа — при проверке и при смене одного из сотрудников это экономит время и не создаёт путаницы в зонах ответственности.
Да. ФИО и контакты ответственного входят в состав сведений уведомления по п. 7.1 ч. 3 ст. 22 и находятся в общедоступном реестре операторов. Об изменении сообщается не позднее 15-го числа месяца, следующего за месяцем, в котором изменение произошло (ч. 7 ст. 22).
Нет. Приказ издан от имени организации, а не от имени конкретного руководителя, и продолжает действовать. Переиздание требуется при смене самого ответственного, при реорганизации или изменении наименования юридического лица.
Издать приказ о временном возложении обязанностей — на заместителя, руководителя подразделения или на самого директора, до назначения постоянного. Промежуток без ответственного означает, что обязанности ч. 4 ст. 22.1 не исполняются, и это самостоятельное нарушение независимо от причин кадровой паузы.
Формально обязанности установлены самим законом, и меру ст. 18.1 приказ исполняет. Но проверяют не назначение, а исполнение: инструкция задаёт периодичность контроля, форму отчёта руководителю и порядок работы с обращениями субъектов — то есть то, чем ответственный подтверждает свою работу.