Защита персональных данных в мед. учреждении. чья это обязанность?

Согласно закона, на предприятии должно быть отдельное положение о защите персональных данных. и там должно быть указано, на кого руководитель имеет право эти обязанности возложить, т. е. перечислены должности (главбух/кадровик/кто-то еще), в должностных инструкциях по этим должностям изначально должна быть прописана возможность возложения этих обязанностей. а уж потом приказом назначается конкретный ответственный, занимающий какую-то из этих должностей, и человек в таком случае отказаться не может.
насколько я понимаю, в ди в конкретном случае такого не прописано, если руководитель ну очень хочет это повесить, он может изменить ди, предупредив об этом работника за 2 месяца. потом - либо согласие с изменениями, либо увольнение.