Также: аутсорсинг ответственного за ПДн, DPO как услуга, внешний ответственный за организацию обработки ПДн
Внешний ответственный за обработку персональных данных – специалист или организация, которые по договору ведут вопросы закона о ПДн у оператора и поддерживают исполнение его обязанностей.
Юридическое лицо обязано назначить лицо, ответственное за организацию обработки ПДн (ст. 22.1 152-ФЗ). В небольших компаниях нет специалиста с нужной компетенцией и временем, поэтому часть функций передают внешнему исполнителю. Услуга нужна компаниям без штатного специалиста по ПДн, в период роста, после замечаний проверки и когда штатный сотрудник уходит.
- Первичный разбор: что есть, чего не хватает, приоритеты и план работ.
- Оформление ответственности: приказ о назначении, договор, регламент взаимодействия, подотчетность руководителю.
- Ведение документов: политика, перечни, согласия, поручения, журналы; обновление при изменениях.
- Обработка обращений субъектов: прием, регистрация, подготовка ответов в установленные законом сроки.
- Внутренний контроль: плановые проверки и отчет руководителю.
- Обучение и ознакомление работников, консультации по новым процессам и договорам.
- Взаимодействие с Роскомнадзором и подготовка к проверкам: запросы, уведомления, ответы.
Регулярные отчеты руководителю, актуальный комплект документов, журналы обращений и контроля, протоколы обучения, план работ и реестр рисков по ПДн.
Привлекают юридическую или консалтинговую компанию либо индивидуального специалиста по ПДн; для технической части – специалиста по защите информации. Со стороны оператора остаются руководитель, владельцы процессов и ИТ: решения об обработке ПДн принимает оператор.
Должность и обязанности ответственного описаны в ст. 22.1 152-ФЗ: он получает указания непосредственно от исполнительного органа организации-оператора и подотчетен ему, осуществляет внутренний контроль, доводит требования до работников и организует обработку обращений субъектов. Допустимость и условия передачи этой функции внешнему исполнителю стоит подтвердить консультацией юриста; практичный вариант – назначить штатного работника ответственным и привлечь внешнего специалиста как консультанта и исполнителя отдельных функций.
Технические меры защиты ИСПДн по приказу ФСТЭК № 21 ответственный за обработку ПДн не реализует сам: он следит за их наличием и организует выполнение вместе с ИТ и специалистом по защите информации. Если нужна техническая часть, ее оформляют отдельными услугами.
- Опыт: тип и число клиентов, примеры по проверкам, порядок обновления знаний о требованиях.
- Договор: предмет услуг, перечень функций, отчетность, ответственность, конфиденциальность, порядок доступа к ПДн и системам.
- Подотчетность: как исполнитель подотчетен руководителю и как оформлено назначение.
- Доступность: график контактов, замещение при отпуске и болезни, порядок реакции на запросы регулятора.
- Передача знаний: документы остаются у оператора, процессы описаны, возможен возврат к штатному ответственному.
Приказ о назначении ответственного и его полномочия, подотчетность руководителю, договор и регламент, подтверждения выполнения (отчеты, журналы, обучение, внутренние проверки), доступ ответственного к сведениям об обработке. Типичные ошибки: внешний специалист назначен формально без реальной работы; ответственный не получает информацию о новых системах; нет отчетов руководителю.
Примеры (3)
- Небольшая клиника без штатного юриста передает ведение документов по ПДн и обращений внешнему специалисту.
- ИТ-компания растет: внутренний ответственный совмещает роли, а внешний специалист берет на себя контроль и обучение.
- Образовательная организация привлекает внешнего консультанта после замечаний проверки на период их устранения.
Связанные понятия
Как это проверяют на аудите: курс «Аудитор ИСПДн 2.0» Все мероприятия
Материал: Школа персональных данных № 1. Обновлено 02.10.2026