Однако важно понимать: даже если приказом назначен ответственный, конечная ответственность всегда лежит на руководителе организации. Это означает, что директор обязан контролировать, чтобы документы были своевременно обновлены и соответствовали фактическим процессам.
Обоснование по законодательству
- Ст. 18.1 ФЗ-152, ч. 1 п. 1 — оператор обязан назначить лицо, ответственное за организацию обработки ПДн.
- Ст. 19 ФЗ-152, ч. 1 п. 2 — оператор обязан принимать меры по обеспечению безопасности ПДн, включая актуализацию документов.
- Постановление Правительства РФ № 1119 — закрепляет обязанность документировать и поддерживать в актуальном состоянии меры защиты ПДн.
Практика проверок Роскомнадзора
Инспекторы проверяют не только наличие документов, но и дату их утверждения и обновления. Были случаи, когда политика по ПДн оставалась без изменений много лет, хотя законодательство изменилось. Роскомнадзор счёл это нарушением, так как документы не отражали актуальные процессы. В рекомендациях ведомство подчёркивает: документы должны обновляться при изменении законодательства или бизнес-процессов.
Что нужно учитывать организациям
- Ответственный за ПДн должен регулярно проверять актуальность документов.
- При изменении законов (например, введении новых требований к обезличиванию) пакет необходимо пересматривать.
- Обновления оформляются приказами руководителя, а не просто правкой текста документа.
Рекомендации и выводы
Актуальность документов по ПДн — зона ответственности всей компании, но формально её курирует назначенный приказом ответственный. Чтобы избежать штрафов и претензий:
- Назначьте ответственное лицо и закрепите его обязанности приказом.
- Ведите реестр локальных актов и следите за сроками их обновления.
- Обновляйте документы при любых изменениях процессов обработки или требований закона.
- Фиксируйте изменения приказами, чтобы у проверяющих не было сомнений в корректности работы.
Компания ICTech может взять на себя аудит ваших документов и помочь их своевременно актуализировать. Это позволит вашей организации всегда соответствовать требованиям ФЗ-152 и быть готовой к проверке Роскомнадзора.
