Правила внутреннего контроля обработки персональных данных (общая форма)

1.1. Настоящие правила устанавливают порядок внутреннего контроля соответствия обработки персональных данных требованиям законодательства и локальным актам оператора.

1.2. Осуществление внутреннего контроля соответствия обработки персональных данных требованиям закона прямо отнесено к мерам, которые оператор обязан принимать 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.3. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей, установленных законодательством о персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.4. Контроль охватывает обработку данных как с использованием средств автоматизации, так и без их использования, во всех подразделениях оператора.

1.5. Целью контроля является выявление и устранение нарушений до того, как они станут предметом жалобы субъекта или проверки уполномоченного органа.

1.6. Организацию внутреннего контроля обеспечивает ответственный за организацию обработки персональных данных __________ __________ 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.7. Ответственный за организацию обработки персональных данных получает указания непосредственно от исполнительного органа оператора и подотчётен ему 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.8. Результаты контроля используются при пересмотре локальных актов, при уточнении перечней и модели угроз, а также при оценке эффективности мер защиты 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.9. Проведение контроля не заменяет оценку эффективности принимаемых мер по обеспечению безопасности данных, которая проводится оператором не реже одного раза в три года 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

2.1. Плановый контроль проводится __________ по плану, утверждаемому руководителем оператора __________.

2.2. Внеплановый контроль проводится при поступлении жалобы или обращения субъекта персональных данных, содержащего сведения о нарушении.

2.3. Внеплановый контроль проводится при выявлении инцидента безопасности персональных данных, включая утрату носителя и неправомерный доступ к данным.

2.4. Внеплановый контроль проводится при получении запроса, требования или предписания уполномоченного органа.

2.5. Внеплановый контроль проводится при изменении состава информационных систем, при вводе новых сервисов и при передаче обработки данных стороннему лицу.

2.6. Внеплановый контроль проводится при изменении законодательства о персональных данных, затрагивающем обработку, осуществляемую оператором.

2.7. Текущий контроль осуществляется ответственным за организацию обработки персональных данных постоянно и включает просмотр журналов доступа, контроль сроков ответов на обращения субъектов и контроль истечения сроков хранения данных.

2.8. Текущий контроль не оформляется актом, его результаты фиксируются в рабочих записях ответственного и учитываются при ближайшей плановой проверке.

3.1. Для проведения плановой проверки приказом руководителя оператора создаётся комиссия.

3.2. Председателем комиссии является __________.

3.3. Состав комиссии: __________.

3.4. В комиссию не включается работник, который проверяет собственный участок работы.

3.5. Комиссия вправе запрашивать у работников и руководителей подразделений документы, объяснения и сведения, необходимые для проверки.

3.6. Комиссия вправе получать доступ к настройкам прав доступа в информационных системах и к журналам событий безопасности в объёме, необходимом для проверки.

3.7. Комиссия вправе осматривать помещения и места хранения носителей персональных данных, включая шкафы, сейфы и архив.

3.8. Комиссия вправе привлекать к проверке работников, обладающих специальными знаниями, и внешних специалистов по договору.

3.9. Комиссия обязана не разглашать ставшие ей известными персональные данные и сведения о применяемых мерах защиты 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

3.10. Члены комиссии, проводящие проверку, знакомятся с локальными актами оператора о персональных данных и подписывают обязательство о неразглашении, если ранее его не подписывали.

3.11. Отказ работника представить комиссии запрошенные документы или объяснения фиксируется в акте проверки и рассматривается как самостоятельное нарушение.

4.1. План внутреннего контроля на год содержит перечень проверяемых подразделений и процессов, сроки проверок и ответственных исполнителей.

4.2. При составлении плана учитываются результаты предыдущих проверок, поступившие обращения субъектов, произошедшие инциденты и изменения в составе информационных систем.

4.3. Проведение проверки назначается приказом руководителя оператора с указанием состава комиссии, предмета, периода и сроков проверки.

4.4. Руководитель проверяемого подразделения уведомляется о плановой проверке не позднее чем за __________ рабочих дня до её начала.

4.5. Внеплановая проверка проводится без предварительного уведомления, если предварительное уведомление способно повлиять на её результат.

4.6. Продолжительность плановой проверки не превышает __________ рабочих дней.

4.7. Срок может быть продлён приказом руководителя при необходимости запроса дополнительных сведений.

4.8. Проверка проводится по проверочному листу, форма которого приведена в приложении к настоящим правилам.

4.9. Проверка включает изучение документов, осмотр мест хранения носителей, проверку настроек прав доступа и опрос работников, участвующих в обработке данных.

5.1. Вопросы, подлежащие проверке, их подтверждающие документы и результаты приведены в таблице.

5.2. Ответ на вопрос проверочного листа подтверждается конкретным документом.

5.3. Устные пояснения работников результатом проверки не являются.

5.4. Незаполненная графа проверочного листа приравнивается к невыполнению требования: проверяющий обязан либо зафиксировать подтверждение, либо указать нарушение.

5.5. Проверочный лист подписывается всеми членами комиссии и прилагается к акту проверки.

6.1. Локальные акты: наличие и актуальность политики обработки персональных данных, положений об обработке данных работников и клиентов, перечня информационных систем и перечня обрабатываемых данных, а также ознакомление работников с ними под подпись.

6.2. Правовые основания: наличие основания обработки по каждой цели, соответствие фактически обрабатываемых данных заявленным целям и отсутствие избыточных данных 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

6.3. Согласия субъектов: наличие согласий там, где они обязательны, соответствие их содержания требованиям закона, порядок хранения согласий и их отзыва 152-ФЗ ст. 9152-ФЗ ст. 9Согласие субъекта персональных данных на обработку его персональных данных.

6.4. Сроки хранения: соблюдение установленных сроков, отсутствие данных с истёкшим сроком хранения и достигнутой целью обработки 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

6.5. Уничтожение данных: наличие актов уничтожения, соответствие способа уничтожения требованию невосстановимости, уничтожение резервных копий наравне с основными данными.

6.6. Доступ к данным: соответствие фактических прав доступа в информационных системах утверждённому перечню допущенных лиц, отсутствие действующих учётных записей уволенных работников.

6.7. Защита данных: применение мер, соответствующих установленному уровню защищённости, ведение журналов событий безопасности, учёт машинных носителей 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

6.8. Уведомление уполномоченного органа: наличие уведомления об обработке персональных данных и соответствие содержащихся в нём сведений фактической обработке 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

6.9. Обращения субъектов: соблюдение порядка и сроков рассмотрения обращений и запросов, наличие журнала учёта обращений 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

6.10. Инциденты: наличие порядка действий при инциденте, журнала учёта инцидентов и соблюдение сроков уведомления уполномоченного органа 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

7.1. По результатам каждой проверки составляется акт в срок не более __________ рабочих дней со дня её завершения.

7.2. Акт содержит дату и место составления, состав комиссии, основание и предмет проверки, проверяемый период и перечень изученных документов и систем.

7.3. Акт содержит выявленные несоответствия со ссылкой на нарушенную норму или пункт локального акта оператора и указание на подтверждающие документы.

7.4. Акт содержит предлагаемые меры по устранению каждого выявленного нарушения и срок их выполнения.

7.5. Акт подписывается всеми членами комиссии.

7.6. Член комиссии, не согласный с выводами, подписывает акт с отметкой об особом мнении, которое прилагается к акту.

7.7. С актом под подпись знакомится руководитель проверяемого подразделения.

7.8. Отказ от ознакомления фиксируется в акте.

7.9. Акт утверждается руководителем оператора и регистрируется в журнале учёта проверок.

7.10. Акты проверок хранятся не менее __________ лет.

7.11. Вывод об отсутствии нарушений оформляется актом наравне с выводом о нарушениях.

7.12. Отсутствие акта означает, что проверка не проводилась.

9.1. Ответственный за организацию обработки персональных данных представляет руководителю оператора отчёт о результатах внутреннего контроля __________.

9.2. Отчёт содержит сведения о проведённых плановых и внеплановых проверках, о выявленных нарушениях и о состоянии их устранения.

9.3. Отчёт содержит сведения о поступивших обращениях субъектов персональных данных и о соблюдении сроков ответа на них: __________ рабочих дней.

9.4. Отчёт содержит сведения о произошедших инцидентах безопасности персональных данных и о принятых по ним мерах.

9.5. Отчёт содержит предложения по изменению локальных актов, состава мер защиты и перечня допущенных к обработке лиц.

9.6. По результатам рассмотрения отчёта руководитель оператора принимает решение о необходимых мероприятиях и о выделении ресурсов на их проведение.

9.7. Отчёт и решение руководителя хранятся вместе с актами проверок и предъявляются при проверке уполномоченного органа как подтверждение системности контроля.

11.1. Правила вводятся в действие со дня утверждения приказом руководителя оператора и действуют до утверждения новой редакции.

11.2. Правила доводятся до сведения работников, участвующих в обработке персональных данных, под подпись.

11.3. Работники обязаны представлять комиссии запрашиваемые документы и объяснения и обеспечивать доступ к местам хранения носителей.

11.4. Лица, виновные в нарушении требований законодательства о персональных данных, несут ответственность в порядке, установленном законодательством 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

11.5. Нарушение установленного законом порядка обработки персональных данных влечёт административную ответственность оператора и его должностных лиц КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

11.6. Неисполнение работником обязанностей, установленных настоящими правилами, является нарушением трудовых обязанностей ТК РФ ст. 192ТК РФ ст. 192Дисциплинарные взыскания.

11.7. Вопросы, не урегулированные настоящими правилами, разрешаются в соответствии с законодательством о персональных данных и локальными актами оператора.