Добрый день! Не так все просто с персональными данными. За все несет ответственность руководитель организации — это по общему правилу. В целях соблюдения Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» работодатели в организациях принимают локальные нормативные акты, которые регулируют сбор, обработку и хранение персональных данных и назначаются ответственные лица за это, то есть работники. В этом случае будет ответственность на работнике по КОАП РФ.
Статья 13.11. Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)
Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) — влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц — от пятисот до одной тысячи рублей; на юридических лиц — от пяти тысяч до десяти тысяч рублей.
Если у Вас не разработан все таки никакой порядок и не определены лица, ответственные по персональным данным, то в случае нарушения закона № 152-ФЗ руководитель будет нести административную ответственность.