Перечень информационных систем персональных данных (ИСПДн)

1.1. Настоящий перечень содержит сведения об информационных системах персональных данных оператора, о составе обрабатываемых в них данных, категориях субъектов, установленных уровнях защищённости и местах хранения данных.

1.2. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.3. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.4. Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.5. Требования к защите персональных данных при их обработке в информационных системах и уровни защищённости установлены постановлением Правительства ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

1.6. Перечень является учётным документом и основой для определения уровня защищённости каждой системы, разработки модели угроз, выбора мер защиты и подготовки уведомления об обработке персональных данных.

1.7. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определённых и законных целей, а содержание и объём данных должны им соответствовать 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

1.8. Обработка персональных данных ведётся на собственных технических средствах оператора; внешние площадки и облачные сервисы не используются.

2.1. Сведения об информационных системах персональных данных оператора приведены в таблице.

2.2. Система, не включённая в перечень, считается эксплуатируемой без установленных мер защиты: обработка персональных данных в ней подлежит прекращению до внесения системы в перечень.

2.3. В перечень включаются в том числе системы, не приобретавшиеся как программные продукты: электронные таблицы и файлы с базами клиентов и работников, сервисы рассылок, мессенджеры, используемые для передачи данных, системы видеонаблюдения и контроля доступа, кадровые и бухгалтерские программы.

2.4. Не включаются в перечень системы, в которых персональные данные не обрабатываются, а также обработка персональных данных, осуществляемая исключительно без использования средств автоматизации, — она учитывается отдельно.

3.1. Графа «Наименование системы» содержит название, под которым система известна работникам, и, при наличии, наименование программного продукта и его версию.

3.2. Графа «Назначение и цели обработки» содержит конкретную цель, ради которой данные обрабатываются в этой системе.

3.3. Формулировки «для работы» и «для уставной деятельности» цели не определяют и не допускаются 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

3.4. Графа «Категории субъектов» содержит группы людей, чьи данные обрабатываются: работники, кандидаты, клиенты, представители контрагентов, посетители, члены семьи работников.

3.5. Графа «Категории данных» содержит конкретный состав данных, а не их обобщённое название; отдельно отмечаются специальные категории и биометрические данные.

3.6. Графа «Объём» содержит фактическое или оценочное число субъектов: превышение ста тысяч субъектов влияет на определяемый уровень защищённости ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

3.7. Графа «Тип актуальных угроз» заполняется по результатам оценки угроз безопасности информации Метод. документ ФСТЭК от 05.02.2021Метод. документ ФСТЭК от 05.02.2021Методика оценки угроз безопасности информации и обосновывается в модели угроз, а не выбирается произвольно.

3.8. Графа «Уровень защищённости» заполняется по акту определения уровня защищённости и должна совпадать с ним.

3.9. Графа «Места хранения и серверы» содержит физическое размещение серверов и носителей, включая места хранения резервных копий, с указанием страны размещения.

3.10. Графа «Ответственное подразделение» содержит подразделение, которое эксплуатирует систему и отвечает за состав обрабатываемых в ней данных.

4.1. Ведение перечня обеспечивает __________.

4.2. Новая информационная система вносится в перечень в течение __________ рабочих дней со дня ввода её в эксплуатацию или начала обработки в ней персональных данных.

4.3. Изменения вносятся в перечень в тот же срок при изменении состава обрабатываемых данных, категорий субъектов, целей обработки, мест хранения данных или ответственного подразделения.

4.4. Плановая актуализация перечня проводится __________ независимо от наличия изменений; результат актуализации оформляется отметкой о проверке даже при отсутствии изменений.

4.5. Руководители подразделений сообщают ответственному за ведение перечня о планируемом вводе в эксплуатацию новой системы, о начале обработки в ней персональных данных и о любом изменении состава данных до фактического начала таких действий.

4.6. Ввод в эксплуатацию информационной системы, обрабатывающей персональные данные, без внесения её в перечень и без определения уровня защищённости не допускается.

4.7. Изменённая редакция перечня утверждается приказом руководителя оператора; редакция, утратившая силу, хранится вместе с приказом об утверждении новой редакции.

4.8. При изменении сведений, содержащихся в уведомлении об обработке персональных данных, оператор направляет в уполномоченный орган информацию об изменениях 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

4.9. Актуализация перечня проводится также по результатам внутреннего контроля соответствия обработки требованиям закона и по результатам проверок уполномоченного органа 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

7.1. Перечень хранится у ответственного за ведение перечня в бумажном и электронном виде.

7.2. Доступ к перечню предоставляется руководителю оператора, ответственному за организацию обработки персональных данных, работникам подразделения информационных технологий и работникам, участвующим во внутреннем контроле.

7.3. Перечень содержит сведения о структуре и защите информационных систем и не подлежит публикации и передаче третьим лицам, кроме случаев представления по требованию уполномоченного органа или суда.

7.4. Копия перечня предоставляется лицу, которому поручена обработка персональных данных, в части систем, к которым оно допущено.

7.5. Перечень и утратившие силу его редакции хранятся не менее пяти лет со дня утверждения новой редакции.

7.6. Работники, допущенные к обработке персональных данных, знакомятся с касающейся их частью перечня под подпись 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

7.7. Сведения о работниках, допущенных к каждой системе, ведутся отдельным перечнем и сверяются с фактическими правами доступа при внутреннем контроле.

9.1. Перечень утверждается приказом руководителя оператора от __________ № __________ и вводится в действие со дня утверждения.

9.2. Перечень доводится до ответственных работников под подпись в листе ознакомления Приложение № 1.

9.3. Изменения перечня оформляются в порядке, установленном для его утверждения, и фиксируются в листе учёта изменений Приложение № 2.

9.4. Перечень является приложением к политике оператора в отношении обработки персональных данных и применяется совместно с ней.

9.5. Контактные данные оператора для обращений субъектов персональных данных: __________, телефон __________, сайт __________, почтовый адрес __________.

9.6. Обращения субъектов персональных данных о составе обрабатываемых данных рассматриваются в порядке и в сроки, установленные законом 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

9.7. Вопросы, не урегулированные настоящим перечнем, разрешаются в соответствии с законодательством о персональных данных и локальными актами оператора.