Что говорит закон
Статья 22.1 обязывает оператора-юрлицо назначить лицо, ответственное за организацию обработки персональных данных. Его контактные данные указываются в уведомлении в Роскомнадзор — см. как подать уведомление.
Кого назначить
В небольшой компании это обычно руководитель, офис-менеджер, юрист или руководитель маркетинга. Важнее не должность, а доступ: человек должен знать, какие сервисы подключены к сайту, и иметь право остановить запуск новой формы.
Можно привлечь внешнего специалиста по договору, но формальная ответственность всё равно лежит на компании.
Обязанности на практике
Мы сводим обязанности к пяти регулярным действиям.
- —Согласовывать каждую новую форму, сервис и подрядчика с точки зрения данных.
- —Вести перечень обработок и обновлять политику.
- —Отвечать на обращения пользователей в срок — десять рабочих дней с возможностью продления.
- —Знать и при необходимости запускать план на случай утечки.
- —Раз в полгода проводить внутреннюю проверку — по шагам из статьи о проверке РКН.
Минимальный пакет внутренних документов
Приказ о назначении ответственного, приказ об утверждении политики, перечень обрабатываемых данных и лиц с доступом, положение об обработке, формы согласий и отзыва, журнал обращений, порядок реагирования на инциденты.
Не пытайтесь написать всё за один день. Начните с приказа о назначении и перечня — остальное вырастет из них. А чтобы понять, с чего начать именно вам, запустите бесплатную проверку сайта.