Приложение N 2. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами Министерства жилищно-коммунального хозяйства Республики Башкортостан

Приложение N 2

к приказу Министерства

жилищно-коммунального хозяйства

Республики Башкортостан

от 5 ноября 2020 г. N 12/06-382

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами Министерства жилищно-коммунального хозяйства Республики Башкортостан

1. Настоящими Правилами определяются процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных Требованиям к защите персональных данных при их обработке в информационных системах персональных данных, утвержденным Постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119.

2. В целях осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Министерстве жилищно-коммунального хозяйства Республики Башкортостан (далее - Министерство) организовывается проведение плановых и внеплановых проверок условий обработки персональных данных на предмет соответствия Федеральному закону от 27 июля 2006 года N 152-ФЗ "О персональных данных", принятым в соответствии с ним нормативным правовым актам и локальными актами Министерства (далее - проверки).

3. Проверки проводятся в Министерстве на основании ежегодного плана (плановые проверки) или на основании поступившего в Министерство письменного заявления о нарушениях Правил обработки персональных данных (внеплановые проверки).

Ежегодный план проверок разрабатывается и утверждается комиссией Министерства (далее - Комиссия) в течение 10 рабочих дней после разработки плана внутренних проверок условий обработки персональных данных для осуществления внутреннего контроля соответствия обработки персональных данных требованиям, предусмотренным Федеральным законом "О персональных данных".

4. В ежегодном плане проверок по каждой проверке устанавливаются объект внутреннего контроля, проверяемый период, срок проведения проверки, ответственные исполнители.

5. Проверки проводятся Комиссией, создаваемой в соответствии с приказом Министерства. В проведении проверки не может участвовать гражданский служащий, прямо или косвенно заинтересованный в ее результатах.

6. Основанием для проведения внеплановой проверки является поступившее в Министерство письменное обращение субъекта персональных данных или его представителя о нарушении Правил обработки персональных данных.

7. Проведение внеплановой проверки организуется в течение пяти рабочих дней с момента поступления обращения.

8. Срок проведения проверки не может превышать месяц со дня принятия решения о ее проведении.

9. Члены Комиссии, получившие доступ к персональным данным субъектов персональных данных в ходе проведения проверки, обеспечивают конфиденциальность персональных данных субъектов персональных данных, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта персональных данных.

10. По результатам каждой проверки Комиссией проводится заседание. Решения, принятые на заседаниях Комиссии, оформляются протоколом.

11. По существу поставленных в обращении (жалобе) вопросов Комиссия в течение 5 рабочих дней со дня окончания проверки дает письменный ответ заявителю.

12. Внутренние проверки соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных" проводятся в следующих областях:

12.1. В области проверки обработки персональных данных с использованием средств автоматизации:

12.1.1. Соответствие полномочий пользователя матрице доступа.

12.1.2. Соблюдение пользователем информационных систем персональных данных Министерства парольной политики.

12.1.3. Соблюдение пользователями информационных систем персональных данных Министерства антивирусной политики.

12.1.4. Соблюдение пользователями информационных систем персональных данных Министерства Правил работы со съемными носителями персональных данных.

12.1.5. Соблюдение должностными лицами, ответственными за средства криптографической защиты информации, Правил работы с ними.

12.1.6. Соблюдение порядка доступа в помещения Министерства, где расположены элементы информационных систем персональных данных.

12.1.7. Соблюдение порядка резервирования баз данных и хранения резервных копий.

12.1.8. Соблюдение порядка работы со средствами защиты информации.

12.1.9. Осведомленность пользователей информационных систем персональных данных о своих действиях во внештатных ситуациях.

12.2. В области проверки обработки персональных данных без использования средств автоматизации:

12.2.1. Наличие избыточных требований к субъектам персональных данных.

12.2.2. Хранение бумажных носителей персональных данных.

12.2.3. Доступ к бумажным носителям персональных данных.

12.2.4. Доступ в помещения, где обрабатываются и хранятся бумажные носители персональных данных.

13. Протоколы хранятся у Ответственного за организацию обработки персональных данных Министерства (далее - Ответственный) в течение года с момента проведения проверки.

14. Уничтожение протоколов проводится Ответственным самостоятельно, либо с привлечением лица, ответственного за контроль исполнения требований законодательства по обработке персональных данных с использованием средств автоматизации и без использования средств автоматизации, в январе года, следующего за годом проверки.