Должностная инструкция ответственного за обработку ПДн

1.1. Настоящая должностная инструкция разработана в соответствии со статьёй 22.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), главой 14 Трудового кодекса Российской Федерации, постановлением Правительства Российской Федерации от 01.11.2012 № 1119, приказом ФСТЭК России от 18.02.2013 № 21 и иными нормативными правовыми актами в области персональных данных.

1.2. Ответственный за организацию обработки персональных данных (далее — Ответственный) назначается оператором — __________ — в соответствии с частью 1 статьи 22.1 Закона о персональных данных 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.3. На должность Ответственного назначается лицо, обладающее достаточными знаниями законодательства Российской Федерации о персональных данных, соответствующим опытом работы и деловыми качествами.

1.4. Ответственный назначается и освобождается от исполнения обязанностей приказом руководителя __________.

1.5. Обязанности Ответственного возложены на: __________ __________.

1.6. В своей деятельности Ответственный руководствуется Конституцией Российской Федерации, Законом о персональных данных, постановлением Правительства Российской Федерации от 01.11.2012 № 1119, приказом ФСТЭК России от 18.02.2013 № 21, иными нормативными правовыми актами в области персональных данных, учредительными документами и локальными актами __________, а также настоящей должностной инструкцией.

1.7. Ответственный получает указания непосредственно от исполнительного органа __________ и подотчётен ему; он вправе в установленном порядке взаимодействовать со всеми структурными подразделениями организации 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

2.1. Ответственный исполняет обязанности, установленные частью 4 статьи 22.1 Закона о персональных данных, по направлениям, указанным в настоящем разделе 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

2.2.1. Ответственный организует принятие правовых, организационных и технических мер по обеспечению безопасности персональных данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

2.2.2. Ответственный разрабатывает, актуализирует и представляет на утверждение руководителю организации локальные акты по обработке и защите персональных данных: политику обработки персональных данных, положения об обработке персональных данных работников и клиентов, инструкции, приказы и иные регламенты.

2.2.3. Ответственный организует разработку и внедрение системы защиты персональных данных в информационных системах __________ в объёме мер, определённых для установленного уровня защищённости Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

2.2.4. Ответственный инициирует определение уровня защищённости информационных систем, разработку и актуализацию модели угроз безопасности персональных данных с использованием методики оценки угроз и банка данных угроз ФСТЭК России.

2.2.5. Ответственный контролирует реализацию технических мер защиты: антивирусной защиты рабочих станций и серверов, межсетевого экранирования, резервного копирования данных, ведения журналов доступа и событий безопасности, физической защиты серверных помещений.

2.2.6. Ответственный обеспечивает соблюдение принципа минимизации: обрабатываются только те персональные данные, которые необходимы для достижения конкретной цели обработки 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

2.2.7. Ответственный организует уничтожение персональных данных по достижении целей обработки и по истечении сроков хранения, оформление и хранение документов, подтверждающих уничтожение 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

2.2.8. Ответственный ведёт журналы учёта машинных носителей, обращений субъектов персональных данных, инцидентов и уничтожения персональных данных.

2.3.1. Ответственный осуществляет внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, в том числе требований к защите персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

2.3.2. Ответственный ежегодно проводит плановую проверку обработки и защиты персональных данных во всех подразделениях __________, оформляет её результаты актом и представляет его руководителю организации.

2.3.3. Ответственный проводит внеплановые проверки при поступлении жалоб субъектов, выявлении инцидентов, изменении законодательства и иных значимых изменениях в деятельности организации.

2.3.4. Ответственный контролирует соответствие состава обрабатываемых персональных данных и целей их обработки требованиям закона, выявляет и фиксирует нарушения и разрабатывает меры по их устранению.

2.3.5. Ответственный ведёт журнал проверок в сфере обработки персональных данных и хранит акты проверок Роскомнадзора, ФСТЭК России и иных контролирующих органов.

2.3.6. При выявлении инцидента с персональными данными Ответственный незамедлительно организует реагирование, информирует руководителя организации и обеспечивает уведомление Роскомнадзора о факте инцидента в течение двадцати четырёх часов, а о результатах внутреннего расследования — в течение семидесяти двух часов 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

2.3.7. Ответственный обеспечивает своевременное направление в Роскомнадзор уведомления об обработке персональных данных и информации об изменении ранее сообщённых сведений 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных, а также уведомления о намерении осуществлять трансграничную передачу — до её начала 152-ФЗ ст. 12152-ФЗ ст. 12Трансграничная передача персональных данных.

2.3.8. Ответственный взаимодействует с Роскомнадзором, ФСТЭК России и органами прокуратуры при проведении проверок и обеспечивает представление запрашиваемых документов и сведений в установленные сроки.

2.4.1. Ответственный доводит до сведения работников оператора положения законодательства о персональных данных, локальных актов по вопросам обработки персональных данных и требований к их защите.

2.4.2. Ответственный организует ознакомление под подпись в журнале ознакомления всех работников, допускаемых к обработке персональных данных, с политикой обработки персональных данных, локальными актами в этой сфере и обязательством о неразглашении до предоставления им доступа.

2.4.3. Ответственный не реже одного раза в год проводит инструктаж работников, имеющих доступ к персональным данным, по правовым основам обработки персональных данных, правилам безопасной работы в информационных системах, порядку действий при инцидентах и ответственности за нарушение требований о персональных данных.

2.4.4. Ответственный информирует работников об изменениях законодательства и локальных актов в части, их касающейся.

2.4.5. Ответственный обеспечивает опубликование политики обработки персональных данных на сайте организации __________ и неограниченный доступ к ней 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

2.4.6. Ответственный ведёт журнал ознакомления работников с документами по персональным данным и обеспечивает подписание каждым работником, допущенным к обработке, обязательства о неразглашении.

2.5.1. Ответственный организует приём и обработку обращений и запросов субъектов персональных данных или их представителей и осуществляет контроль за приёмом и обработкой таких обращений 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

2.5.2. Обращения принимаются по электронной почте __________, по телефону __________, по почтовому адресу __________ и через форму обратной связи на сайте __________.

2.5.3. Каждое обращение регистрируется в журнале учёта обращений субъектов персональных данных не позднее одного рабочего дня с момента поступления.

2.5.4. Перед предоставлением сведений Ответственный устанавливает личность заявителя по документу, удостоверяющему личность, или иным надлежащим способом.

2.5.5. Запрос субъекта о предоставлении информации об обработке его персональных данных рассматривается в течение десяти рабочих дней с момента обращения; срок может быть продлён не более чем на пять рабочих дней с направлением субъекту мотивированного уведомления 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

2.5.6. Неполные, неточные или неактуальные персональные данные уточняются, а незаконно полученные или не являющиеся необходимыми для заявленной цели обработки уничтожаются в срок, не превышающий семи рабочих дней со дня представления субъектом подтверждающих сведений 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

2.5.7. При отзыве субъектом согласия обработка прекращается, а персональные данные уничтожаются в срок, не превышающий тридцати дней с даты поступления отзыва, если отсутствуют иные основания для обработки 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

2.5.8. Запрос Роскомнадзора исполняется в течение десяти рабочих дней с даты получения; срок может быть продлён не более чем на пять рабочих дней с направлением мотивированного уведомления 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

2.5.9. Субъекту предоставляются сведения, предусмотренные частью 7 статьи 14 Закона о персональных данных: подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, наименование и место нахождения оператора, сведения о лицах, которым данные могут быть раскрыты, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, порядок осуществления прав субъекта и иные сведения 152-ФЗ ст. 14152-ФЗ ст. 14Право субъекта персональных данных на доступ к его персональным данным.

2.5.10. Ответственный организует уточнение, блокирование и уничтожение персональных данных по обоснованным требованиям субъектов с оформлением соответствующих актов и записей в журнале уничтожения.

2.5.11. Мотивированный отказ в предоставлении сведений направляется только в случаях, предусмотренных частью 8 статьи 14 Закона о персональных данных, в том числе если доступ субъекта к его персональным данным нарушает права и законные интересы третьих лиц 152-ФЗ ст. 14152-ФЗ ст. 14Право субъекта персональных данных на доступ к его персональным данным.

2.5.12. Ответственный ведёт реестр субъектов, отозвавших согласие, чтобы исключить повторное использование их данных в целях, основанных на согласии.

3.1. Ответственный вправе:

3.2. запрашивать у всех структурных подразделений и работников организации документы, сведения и объяснения, необходимые для исполнения своих обязанностей

3.3. давать работникам __________ обязательные к исполнению указания по вопросам обработки и защиты персональных данных в пределах своей компетенции

3.4. требовать немедленного устранения выявленных нарушений требований законодательства о персональных данных

3.5. вносить руководителю организации предложения о привлечении к ответственности работников, допустивших нарушения требований о персональных данных

3.6. участвовать в совещаниях по вопросам, затрагивающим обработку персональных данных

3.7. обращаться в Роскомнадзор за разъяснениями по вопросам применения законодательства о персональных данных

3.8. в установленном порядке повышать квалификацию по вопросам информационной безопасности и защиты персональных данных

4.1. Ответственный несёт ответственность в соответствии с законодательством Российской Федерации:

4.2. дисциплинарную — за неисполнение или ненадлежащее исполнение должностных обязанностей ТК РФ ст. 192ТК РФ ст. 192Дисциплинарные взыскания

4.3. административную — за нарушение законодательства о персональных данных КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных

4.4. уголовную — за незаконное собирание или распространение сведений о частной жизни лица УК РФ ст. 137УК РФ ст. 137Нарушение неприкосновенности частной жизни

4.5. материальную — за ущерб, причинённый оператору, в порядке и пределах, установленных трудовым законодательством

4.6. Ответственный не несёт ответственности за действия (бездействие) иных работников организации, повлёкшие нарушение требований о персональных данных, если он надлежащим образом исполнял обязанности по контролю и своевременно информировал руководителя организации о выявленных нарушениях.

5.1. По вопросам обработки и защиты персональных данных Ответственный взаимодействует:

5.2. с руководителем __________ — по вопросам утверждения документов, принятия организационных решений и выделения ресурсов на защиту персональных данных

5.3. с кадровой службой — по вопросам ознакомления работников, ведения личных дел и хранения документов уволенных работников

5.4. с системным администратором — по вопросам реализации технических мер защиты информационных систем и ведения журналов доступа

5.5. с юридической службой или внешними юристами — по вопросам правовой оценки обращений субъектов и взаимодействия с контролирующими органами

5.6. с Роскомнадзором, ФСТЭК России и органами прокуратуры — в рамках проверок и иных форм взаимодействия

6.1. Настоящая должностная инструкция вступает в силу со дня её утверждения приказом руководителя __________ и действует до её отмены или замены новой редакцией.

6.2. Инструкция подлежит актуализации при изменении законодательства о персональных данных, структуры организации или обязанностей Ответственного.

6.3. Контактные данные Ответственного: __________ __________, e-mail: __________, тел.: __________.

6.4. Политика обработки персональных данных __________ опубликована на сайте: __________.

7.1. __________ _________________ / __________ /

7.2. С должностной инструкцией ознакомлен(а), один экземпляр получил(а):

7.3. __________ _________________ / __________ /

7.4. Дата ознакомления: «____» ______________ 20____ г.