Приказ (по ПДн) о назначении ответственного за организацию обработки ПДн
Меры, которые оператор обязан принимать самостоятельно, подтверждаются только приказами: назначение ответственного за организацию обработки (ст. 18.1 и 22.1 152-ФЗ), издание политики, определение круга лиц с доступом, установление уровня защищённости по постановлению Правительства № 1119.
Что документ закрепляет
- Шапка приказа
- Назначение ответственного за организацию обработки персональных данных
- Утверждение перечня лиц, допущенных к обработке персональных данных
- Утверждение мест хранения носителей и перечня ИСПДн
- Установление уровня защищённости и утверждение модели угроз
- Введение в действие политики обработки персональных данных
- Назначение комиссии по уничтожению носителей персональных данных
Настраивается под вашу ситуацию
Ненужные пункты выключаются, условные — появляются сами по вашим ответам.
Что внутри документа
Бланк или готовый документПустой бланк — бесплатно
- Ответы подставятся в текст — от руки ничего писать не нужно
- Лишние пункты уберутся, нужные добавятся по вашим ответам
- Word, PDF, ODT и RTF без водяного знака — сразу после оплаты
PDF с прочерками — распечатать и заполнить от руки. Пришлём на почту.
Образец заполнения — смотреть на сайтеО документе
Меры, которые оператор обязан принимать самостоятельно, подтверждаются только приказами: назначение ответственного за организацию обработки (ст. 18.1 и 22.1 152-ФЗ), издание политики, определение круга лиц с доступом, установление уровня защищённости по постановлению Правительства № 1119. Именно эти приказы Роскомнадзор запрашивает первыми, а при утечке они же показывают, что режим защиты существовал не на бумаге.
Выберите вид приказа — в документ попадёт только соответствующая распорядительная часть с готовыми формулировками «ПРИКАЗЫВАЮ», сроками исполнения и назначением контроля. Перечень допущенных лиц, места хранения, перечень ИСПДн и состав комиссии заполняются таблицами. К приказу прилагаются лист ознакомления под подпись и обязательство о неразглашении для работника.
Ответственным назначен отдел, а не конкретный человек — назначение недействительно. Приказ издан позже даты фактического начала обработки — обработка велась без установленных мер. Перечень допущенных лиц не пересматривался после увольнений — у бывших работников остались доступы. Уровень защищённости занижен — весь комплекс технических мер подобран не под ту планку. Штраф по ст. 13.11 КоАП считается по каждому субъекту, поэтому «одно нарушение на всю базу» не бывает.
Комментарии юриста к пунктам
Как заполнить и применить документ. В готовый файл эти пояснения не попадают.
Назначение ответственного за организацию обработки персональных данных
Организационная и техническая зоны ответственности не совпадают: технической защитой лучше поручить заниматься отдельному работнику, а не ответственному за организацию обработки.
Установление уровня защищённости и утверждение модели угроз
Уровень защищённости выводится из связки «тип актуальных угроз + категория данных + число субъектов». Ошибка здесь дорого стоит: заниженный уровень означает, что весь комплекс технических мер подобран не под ту планку, и это вскрывается при первой же проверке.
Ознакомление работников с приказом
Работника, не ознакомленного с приказом под подпись, нельзя привлечь к ответственности за нарушение установленного им порядка – поэтому лист ознакомления обязателен.
Ответственность за нарушение требований о персональных данных
Штраф по статье 13.11 КоАП считается по каждому эпизоду и каждому субъекту, поэтому «одно нарушение на всю базу» не бывает: при утечке или проверке сумма умножается на число субъектов, чьи данные обрабатывались без основания.
По ст. 13.11 КоАП самостоятельными составами являются обработка без письменного согласия, когда оно обязательно, и обработка в целях, несовместимых с заявленными при сборе.
Частые вопросы
Какие приказы по ПДн обязательны?
Прежде всего о назначении ответственного за организацию обработки данных; также об утверждении политики, перечня допущенных лиц, мест хранения и внутреннего контроля.
Кто может быть ответственным за обработку данных?
Работник оператора, наделённый соответствующими полномочиями; у ИП эту функцию может выполнять сам предприниматель.
Нужно ли знакомить работников с приказом?
Да, причастных работников знакомят под подпись, особенно допущенных к обработке данных.
Зачем определять места хранения данных?
Для контроля и защиты материальных носителей и документов с персональными данными и ограничения доступа к ним.
Что такое внутренний контроль обработки?
Периодическая проверка соответствия обработки данных требованиям закона и внутренним документам оператора.
Нормативная база
-
152-ФЗ ст. 19 — Меры по обеспечению безопасности данных
-
ТК РФ ст. 86 — Общие требования при обработке данных работника
-
152-ФЗ ст. 18.1 — Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом
-
152-ФЗ ст. 22.1 — Лицо, ответственное за организацию обработки данных
-
152-ФЗ ст. 20 — Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных
-
152-ФЗ ст. 5 — Принципы обработки персональных данных
-
ТК РФ ст. 88 — Передача персональных данных работника
-
ТК РФ ст. 87 — Хранение и использование персональных данных
-
Постановление Правительства РФ № ст. 1119
-
Методика оценки угроз ФСТЭК от ст. 05.02.2021
-
152-ФЗ ст. 6 — Условия обработки персональных данных
-
152-ФЗ ст. 21 — Прекращение обработки и отзыв согласия
-
152-ФЗ ч. 3.1 ст. 21
-
ТК РФ ст. 192 — Дисциплинарные взыскания
-
152-ФЗ ст. 14 — Право субъекта персональных данных на доступ к его персональным данным
-
ТК РФ ст. 68 — Оформление приёма на работу
-
152-ФЗ ст. 7 — Конфиденциальность персональных данных
-
ТК РФ ст. 22 — Основные права и обязанности работодателя
-
КоАП РФ ст. 13.11 — Нарушение законодательства о персональных данных
-
152-ФЗ ст. 24 — Ответственность за нарушение закона о ПДн
-
ТК РФ ст. 90 — Ответственность за нарушение норм о данных работника
-
УК РФ ст. 272 — Неправомерный доступ к компьютерной информации
-
Закон об архивном деле ст. 17