Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, политике оператора в отношении обработки персональных

Приложение N 3

Утверждены
постановлением
администрации
Елецкого муниципального района
от 10 сентября 2015 г. N 241

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, политике оператора в отношении обработки персональных

1. Настоящие Правила определяют основания, форму и порядок осуществления в администрации Елецкого муниципального района Липецкой области внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных и политике оператора в отношении обработки персональных данных, установленных Федеральным законом Российской Федерации от 27.07.2006 N 152-ФЗ "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами.

2. Настоящие Правила разработаны в соответствии с Федеральным законом Российской Федерации от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Федеральный закон N 152-ФЗ), постановлением Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" (далее - постановление Правительства N 1119).

3. Внутренний контроль осуществляется путем проведения проверок не реже одного раза в год.

4. Проверку проводит Комиссия, назначенная распоряжением главы администрации Елецкого муниципального района Липецкой области (далее - Организация или Оператор).

5. Состав Комиссии - не менее 3 человек, включая лицо, ответственное за организацию обработки персональных данных. Все члены комиссии при принятии решения обладают равными правами.

6. Комиссия при проведении проверки обязана:

- провести анализ реализации мер, направленных на обеспечение выполнения оператором обязанностей, предусмотренных Федеральным законом N 152-ФЗ (статья 18.1, статья 19) и принятыми в соответствии с ним локальными актами оператора, определяющими его политику в отношении обработки персональных данных;

- провести анализ выполнения оператором требований по определению и обеспечению уровня защищенности персональных данных, утвержденных постановлением Правительства N 1119;

- провести анализ реализации оператором организационных и технических мер по обеспечению безопасности персональных данных, утвержденных приказом ФСТЭК России от 18.02.2013 N 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";

- провести анализ состава оборудования, программных средств, включая средства защиты, входящих в состав информационной системы персональных данных, на соответствие Техническому паспорту информационной системы;

- своевременно и в полной мере исполнять предоставленные полномочия по предупреждению, выявлению и пресечению нарушений требований к защите персональных данных, установленных законодательством Российской Федерации;

- при проведении проверки соблюдать законодательство Российской Федерации, права и законные интересы оператора.

7. Комиссия при проведении проверки вправе:

- запрашивать и получать необходимые документы (сведения) для достижения целей проведения внутреннего контроля;

- получать доступ к информационным системам персональных данных, в части касающейся ее полномочий;

- принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований к защите персональных данных;

- вносить главе администрации предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении требований к защите персональных данных, установленных законодательными и нормативными правовыми актами Российской Федерации.

8. При проведении проверки члены Комиссии не вправе:

- требовать представления документов и сведений, не относящихся к предмету проверки;

- распространять информацию и сведения конфиденциального характера, полученные при проведении проверки.

9. По результатам проверки составляется Акт проверки, который подписывается членами комиссии и представляется руководителю организации для принятия соответствующего решения.

10. В Акте отражаются сведения о результатах проверки, в том числе о выявленных нарушениях обязательных требований законодательных и нормативных правовых актов Российской Федерации в области защиты персональных данных, об их характере и о лицах, допустивших указанные нарушения.

11. Акт должен содержать заключение о соответствии или несоответствии обработки персональных данных требованиям к защите персональных данных и политике оператора.

Глава администрации муниципального района

О.Н. Семенихин