Для работы с персональными данными ООО привлекает аутсорсинговую компанию, которой передает все обязанности по работе с персональными данными (предусмотренными ст. 18.1 закона № 152-ФЗ).
Согласно ч. 1 ст. 18.1 закона № 152-ФЗ оператор (ООО) обязан назначить лицо, ответственное за организацию обработки персональных данных. При этом в соответствии с ч. 3 ст. 6 закона № 152-ФЗ оператор (ООО) вправе среди прочего поручить аутсорсинговой компании назначить лицо, ответственное за организацию обработки персональных данных. То есть если это предусмотрено договором с аутсорсинговой компанией, лицо, ответственное за организацию обработки персональных данных, будет назначено не в ООО, а в аутсорсинговой компании.
Как следует из ст. 13.11 КоАП РФ, возможно привлечение к ответственности должностного лица за нарушение требований законодательства о персональных данных.
Должностное лицо ООО или аутсорсинговой компании может быть привлечено к административной ответственности в данном случае?
В соответствии с ч. 3 ст. 6 федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — Закон № 152‑ФЗ) оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта.
Законодатель не раскрывает статус такого обработчика, но в контексте Закона № 152‑ФЗ основными признаками, отличающими его от оператора персональных данных, являются: во‑первых, наличие самостоятельной правосубъектности, т. е. обработчик должен быть юридически независимым по отношению к оператору, и, во‑вторых, обработка им персональных данных должна осуществляться в интересах оператора.