Обрабатывающим персональные данные считается любой сотрудник, который в силу должностных обязанностей получает доступ к ПДн - вводит их, хранит, передает, изменяет или удаляет. Это не только кадровик и бухгалтер, но и руководитель, менеджеры по продажам с базой клиентов, IT-специалист с доступом к серверам, секретарь с журналом посетителей.
На практике список обычно шире, чем кажется на первый взгляд:
- кадровая служба - личные дела, трудовые договоры, зарплатные ведомости;
- бухгалтерия - реквизиты для выплат, данные для отчетности в налоговую и фонды;
- руководители - подписывают документы с ПДн, видят личные дела подчиненных;
- отдел продаж и маркетинга - база клиентов, контакты, история заказов;
- IT-отдел - администрирует базы данных, CRM, почтовые серверы;
- служба безопасности - видеонаблюдение, пропускной режим.
Для каждого такого сотрудника нужно оформить допуск к обработке персональных данных: включить в приказ о допуске или в перечень должностей, утвержденный руководителем, и взять подписанное обязательство о неразглашении. Без этого формально любой доступ сотрудника к базе клиентов или личным делам - нарушение, даже если человек ничего никуда не передавал.
Отдельно советую прописать в трудовом договоре или локальном акте условие о конфиденциальности персональных данных - это не обязательный документ по 152-ФЗ, но упрощает жизнь при проверке и при увольнении сотрудника, если возникнет спор о разглашении.