Как оператору персональных данных облегчить себе жизнь с помощью обработчика

Закон 152-ФЗ «О персональных данных» в 2022 году ужесточился. Операторам стало еще труднее соответствовать всем требованиям. А штрафы за нарушения при этом повысились почти в два-три раза.
По закону у каждого есть возможность минимизировать риски при работе с ПД. Называется она поручением на обработку.

Что нужно знать

Любой оператор имеет право поручить обработку ПД третьим лицам, которые более квалифицированы в области персональных данных.
Это делается на основе договора. В договоре указывают:

• объем передаваемых сведений;
• какие действия будут проводиться с данными;
• цель обработки;
• ФИО и адрес оператора, который будет обрабатывать данные.

Обработчик обязан соблюдать все требования закона 152-ФЗ о персональных данных. В том числе, использовать только российские базы данных, обеспечивать защиту и конфиденциальность, сообщать об утечке.
После подписания договора ответственность за нарушения остается за оператором, но на деле он передает ее обработчику. Допустим, если возникла утечка данных, оператор взыщет с обработчика убыток на ту или иную сумму. Если Роскомнадзор нашел недочеты в работе сайта, то оператор потребует обработчика все устранить и выплатить штрафы.

Подробнее о том, кто такие операторы, читайте в статье "А вы — оператор персональных данных?"

Обработчик-сотрудник: плюсы и минусы

Ответственным за обработку часто назначают сотрудника компании-оператора, но это не всегда оправдано. В организации должен быть человек, отвечающий за обработку персональных данных. По закону это глава организации. Но он вправе делегировать полномочия одному из сотрудников, тем более, у руководителя есть дела поважнее. Обычно эти функции выполняет кадровик или секретарь. Нельзя назначать сразу нескольких ответственных, он должен быть один.
В приказе о назначении ответственного за обработку необходимо указать обязанности:

• следить за тем, чтобы сотрудники фирмы соблюдают закон о персональных данных;
• доводить до сотрудников положения закона 152-ФЗ;
• обрабатывать персональные данные в соответствии с законом.

Обязанности должны быть перечислены в трудовом договоре или должностной инструкции сотрудника. Строгих требований к оформлению приказа нет, здесь все отдается на откуп составителей. Фактически нагрузка на человека сильно вырастает, часто обработчики перестают справляться с прямыми обязанностями.
Поэтому удобнее выбрать в качестве обработчика юридическую или IT-компанию, которая предоставляет услуги для автоматизации бизнес-процессов. Например, облачный сервис для хранения и обработки данных может быть обработчиком, если с ним заключают договор. В этом случае все операции с данными проходят автоматически, а люди с обеих сторон лишь контролируют процесс.

Обработчик-сервис: плюсы и минусы

Учитывая все сложности, связанные с законом, иной раз проще поручить обработку данных стороннему обработчику. Это поможет не только сэкономить время, но и снизить риски при работе с данными.
Непрофессионалу будет сложно самому выполнить все требования закона из-за множества нюансов и запутанной правовой-нормативной базы.
Будучи оператором вы обязаны отчитываться перед Роскомнадзором, хотя даже встать на учет получается далеко не у всех. В результате чтобы зарегистрироваться и подготовить документы нужно обращаться к юристам и платить им немалые деньги.
Найти надежного оператора, который еще и зарегистрирован в РКН, трудно, и это единственный серьезный минус этого способа.