Приказ о назначении ответственных лиц

На что обратить внимание

Юрист отметил в этом документе:

• Ответственный за организацию обработки персональных данных (статья 22.1 Федерального закона № 152-ФЗ) и ответственный за обеспечение безопасности персональных данных в информационной системе (пункты 14 и 15 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119) — разные роли с разным объёмом обязанностей. Первая обязательна для любого оператора — юридического лица независимо от того, есть ли у него информационные системы; вторая возникает при обработке персональных данных в информационной системе и прямо требуется начиная с третьего уровня защищённости. Совмещение ролей в одном работнике допустимо, но в приказе должно быть указано прямо.
• Возложение обязанностей ответственного за организацию обработки персональных данных на работника приказом само по себе недостаточно, если такие обязанности не предусмотрены его трудовым договором и должностной инструкцией: по статье 60.2 Трудового кодекса Российской Федерации дополнительная работа поручается только с письменного согласия работника, а по статье 151 Трудового кодекса Российской Федерации подлежит оплате. Приказ фиксирует назначение и объём полномочий, но не заменяет письменное соглашение сторон и изменение должностной инструкции.
• Смягчающее обстоятельство по части 3.4-2 статьи 4.1 КоАП РФ применяется, если оператор три года подряд тратил на защиту информации не менее 0,1 процента совокупного годового размера выручки и не ранее чем за двенадцать месяцев до инцидента подтвердил соответствие требованиям проверкой. Документы внутреннего контроля — прямое доказательство этого обстоятельства, и вести их следует с первого дня работы назначенных лиц.
• Ответственность за нарушения в области персональных данных ужесточена с 30 мая 2025 года Федеральным законом от 30.11.2024 № 420-ФЗ. Для юридического лица по статье 13.11 КоАП РФ: неуведомление Роскомнадзора об инциденте (часть 11) — от 1 до 3 млн рублей, для должностных лиц от 400 до 800 тыс. рублей; утечка данных от 1 000 до 10 000 субъектов (часть 12) — от 3 до 5 млн рублей; от 10 000 до 100 000 субъектов (часть 13) — от 5 до 10 млн рублей; свыше 100 000 субъектов (часть 14) — от 10 до 15 млн рублей; специальные категории персональных данных (часть 16) — от 10 до 15 млн рублей; биометрические персональные данные (часть 17) — от 15 до 20 млн рублей. Повторная утечка после частей 12–14 (часть 15) и повторная утечка специальных категорий или биометрии после частей 16 и 17 (часть 18) влекут оборотный штраф от 1 до 3 процентов совокупного размера выручки за предшествующий год, но не менее 20 млн и не более 500 млн рублей.
• Уголовная ответственность по статье 272.1 Уголовного кодекса Российской Федерации введена Федеральным законом от 30.11.2024 № 421-ФЗ: часть 1 — до четырёх лет лишения свободы, часть 2 (персональные данные несовершеннолетних, специальные категории, биометрия) — до пяти лет, часть 3 — до шести лет, часть 4 (трансграничная передача) — до восьми лет, часть 5 (тяжкие последствия, организованная группа) — до десяти лет. Ответственность несёт физическое лицо — в том числе тот работник, которого назначает настоящий приказ, поэтому объём его полномочий должен быть описан точно.
• Журнал поэкземплярного учёта средств криптографической защиты информации ведётся по типовой форме приложения № 2 к Инструкции, утверждённой приказом ФАПСИ от 13.06.2001 № 152, — для обладателя конфиденциальной информации. Приложение № 1 предназначено для органа криптографической защиты, и обычному оператору оно не подходит: выбор неверной формы — типовая ошибка, которую фиксирует проверка ФСБ России.
• Оценка эффективности принятых мер по обеспечению безопасности персональных данных проводится не реже одного раза в три года (пункт 6 приказа ФСТЭК России от 18.02.2013 № 21). Периодичность внутреннего контроля соответствия обработки требованиям закона оператор определяет сам, но её следует установить в приказе: отсутствие подтверждённых документами проверок лишает оператора возможности ссылаться на смягчающее обстоятельство по части 3.4-2 статьи 4.1 КоАП РФ.