Журнал внутренних проверок обработки ПДн

Оператор обязан самостоятельно контролировать соответствие своей обработки персональных данных требованиям закона и принятым локальным актам. Внутренний контроль — одна из обязательных мер, которые оператор должен принять и уметь подтвердить документально.

Журнал фиксирует, что контроль действительно проводился: даты, предмет проверки, выявленные нарушения, принятые меры и сроки их устранения.

Оценка эффективности принятых мер по обеспечению безопасности персональных данных проводится не реже одного раза в три года. Плановые внутренние проверки в настоящей организации проводятся __________.

Программу проверок утверждает руководитель организации приказом № __________, и она определяет проверяемые процессы, состав комиссии и сроки.

Технические меры защиты проверяются с учётом состава мер, установленных приказом ФСТЭК России от 18.02.2013 № 21 для информационных систем персональных данных.

При проверке надзорного органа журнал предъявляется первым: он показывает, что оператор работает с рисками системно, а не оформил документы одним днём.

Плановый внутренний аудит — проводится по утверждённой программе с периодичностью __________;

Внеплановый внутренний аудит — при обращении субъекта персональных данных, при смене ответственного, при изменении состава обрабатываемых данных или после инцидента;

Проверка Роскомнадзора — плановая или внеплановая, в рамках государственного контроля за обработкой персональных данных;

Проверка ФСТЭК России или ФСБ России — по вопросам технической и криптографической защиты информации;

Оценка эффективности мер защиты — не реже одного раза в три года, с оформлением отдельного заключения;

Проверка после инцидента (утечки) — с фиксацией того, какие данные затронуты и кто уведомлён.

Запись создаётся в день начала проверки, а результат и меры вносятся по её окончании, не позднее пяти рабочих дней.

Графа «Что проверялось» заполняется предметно: перечень обрабатываемых данных, согласия субъектов, сроки хранения и уничтожения, доступ работников, договоры с обработчиками, уведомление в Роскомнадзор, парольная политика, резервные копии.

В графе «Результат» одинаково важно фиксировать и отсутствие нарушений, и найденные недостатки: журнал без единого замечания за несколько лет выглядит формальным.

Каждому нарушению соответствует мера и срок устранения, и без отметки об устранении проверка считается незакрытой.

Ошибочная запись зачёркивается одной чертой, рядом пишется верный текст с отметкой «Исправленному верить», датой и подписью ответственного.

Строки не пропускаются, а свободное место в конце страницы прочёркивается.

По результатам аудита дополнительно оформляется акт (заключение), реквизиты которого указываются в графе «Основание» или «Результат».

Проверку организует ответственный за организацию обработки персональных данных — __________ __________, назначенный приказом руководителя.

Состав комиссии: __________

Записи в журнале вносит и подписывает ответственный за организацию обработки персональных данных; результаты аудита утверждает руководитель организации.

Титульный лист и лист-заверитель подписывает руководитель; журнал скрепляется печатью при её наличии.

Работники, которых касаются выявленные нарушения, знакомятся с результатами проверки под подпись в листе ознакомления.

Ответственный за обработку персональных данных: ______________________ / __________ /

Руководитель организации: ______________________ / ______________________ /

Журнал хранится по адресу __________, __________, с ограниченным доступом: сведения о недостатках защиты сами по себе являются чувствительной информацией.

Срок хранения журнала и материалов внутренних проверок — 5 лет с даты последней записи; акты и заключения по результатам аудитов хранятся вместе с журналом.

Материалы проверок надзорных органов и переписка с ними хранятся 5 лет со дня завершения проверки.

Заполненный журнал закрывается: на титульном листе проставляется дата закрытия, оформляется лист-заверитель, журнал передаётся на хранение ответственному за обработку персональных данных.

По истечении срока хранения журнал уничтожается по акту; уничтожение до истечения срока приравнивается к отсутствию внутреннего контроля.

Электронная копия журнала хранится в защищённом каталоге с ограничением доступа и включается в резервное копирование.