По закону прямой обязанности для ответственного за ПДн проходить обучение нет.
В 152-ФЗ «О персональных данных» (ст. 22.1) закреплено, что оператор обязан назначить лицо, ответственное за организацию обработки ПДн, но требования к его образованию или обязательному обучению не установлены.
Однако:
-
Роскомнадзор в своих разъяснениях указывает, что ответственное лицо должно знать законодательство и уметь применять его на практике. При проверке инспекторы могут задавать ответственному вопросы — и если он не разбирается в обязанностях, это трактуется как нарушение.
-
Трудовой кодекс РФ (ст. 196) обязывает работодателя обучать работников безопасным методам работы и подготовке для исполнения должностных обязанностей. Это распространяется и на ответственного за ПДн.
-
На практике часто оформляют внутренний инструктаж или направляют сотрудника на внешние курсы по 152-ФЗ. Это снижает риски претензий и помогает при проверке показать сертификаты об обучении.
Обоснование по законодательству
-
152-ФЗ «О персональных данных»:
-
ст. 22.1 — ответственное лицо обеспечивает соблюдение требований и информирует работников (а значит, должно знать закон).
-
-
ТК РФ, ст. 196 — работодатель обязан обучать работников, если это необходимо для выполнения обязанностей.
-
Разъяснения Роскомнадзора — оператор обязан организовать обучение сотрудников, включая ответственного, по вопросам защиты ПДн.
Типичные ошибки организаций
-
Назначают ответственным бухгалтера или кадровика, но не объясняют ему обязанности и не обучают.
-
Не фиксируют факт обучения документально (нет приказа, журнала инструктажа или сертификата).
-
Считают, что наличие приказа о назначении уже достаточно для проверки.
Особенности применения на практике
-
В малых организациях проводят инструктаж силами юриста или руководителя.
-
В средних и крупных компаниях ответственного направляют на специализированные курсы («Специалист по защите ПДн», «152-ФЗ на практике» и т.д.).
-
При проверке наличие сертификата или акта об инструктаже — большой плюс, так как подтверждает компетентность.
Рекомендации и выводы
-
По закону формального требования к обучению нет, но ответственный обязан знать 152-ФЗ и локальные акты.
-
Организация должна провести хотя бы внутренний инструктаж и оформить его документально.
-
Желательно направить ответственного на курсы — это повышает его компетенцию и снижает риски штрафов.
-
Наличие подтверждения обучения (журнал, сертификат) — аргумент для Роскомнадзора при проверке.
Если вы хотите, чтобы ваш ответственный за ПДн был подготовлен к проверкам и реально знал, как исполнять свои обязанности, специалисты ICTech подготовят для вас полный пакет документов по обработке персональных данных и проведут обучение ответственного и сотрудников. Это даст уверенность и защитит компанию от штрафов.
