Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных", принятыми в соответствии с ним актами государственной жилищной инспекции по Оренбургской области

Приложение N 3 к приказу
от 10.12.2020 N 97/од

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных", принятыми в соответствии с ним актами государственной жилищной инспекции по Оренбургской области

1. Настоящими Правилами определяются процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, в том числе при их обработке в информационных системах персональных данных.

2. В целях осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, в инспекции организовывается проведение плановых и внеплановых проверок условий обработки персональных данных на предмет соответствия Федеральному закону от 27 июля 2006 года N 152-ФЗ "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами, локальными актами государственной жилищной инспекции по Оренбургской области (далее - инспекция).

3. При осуществлении внутреннего контроля соответствия обработки персональных данных установленным требованиям к защите персональных данных проверка проводится по следующим вопросам:

соблюдения принципов обработки персональных данных в инспекции;

соответствия локальных актов в области персональных данных инспекции действующему законодательству Российской Федерации;

выполнения государственными гражданскими служащими и специалистами по обеспечению деятельности инспекции требований и правил (в том числе особых) обработки персональных данных, осуществляемой в информационных системах персональных данных и без использования средств автоматизации;

полноты перечня персональных данных, используемого для решения задач и выполнения функций структурными подразделениями инспекции и необходимости обработки персональных данных в информационных системах персональных данных и без использования средств автоматизации;

правильности осуществления сбора, систематизации, записи, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, удаления, уничтожения персональных данных в каждой информационной системе персональных данных инспекции, а также при обработке без использования средств автоматизации;

актуальности перечня должностей государственных гражданских служащих, специалистов по обеспечению деятельности инспекции, замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным;

актуальности перечня должностей государственных гражданских служащих, специалистов по обеспечению деятельности инспекции, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных;

соблюдения прав субъектов персональных данных, чьи персональные данные обрабатываются в информационных системах персональных данных и без использования средств автоматизации;

порядка взаимодействия с субъектами персональных данных, чьи персональные данные обрабатываются в инспекции, в том числе: соблюдения сроков обработки персональных данных, предусмотренных действующим законодательством, соблюдения требований по уведомлениям, порядка разъяснения субъектам персональных данных необходимой информации, порядка реагирования на обращения субъектов персональных данных, порядка действий при достижении целей обработки персональных данных и отзыве согласий субъектами персональных данных;

наличия необходимых согласий субъектов персональных данных, чьи персональные данные обрабатываются в инспекции;

актуальности перечня информационных систем персональных данных в инспекции;

знания и соблюдения государственными гражданскими служащими, специалистами по обеспечению деятельности инспекции положений действующего законодательства Российской Федерации в области персональных данных;

знания и соблюдения государственными гражданскими служащими, специалистами по обеспечению деятельности инспекции положений локальных актов инспекции в области обработки и обеспечения безопасности персональных данных;

знания и соблюдения инструкций, руководств и иных эксплуатационных документов на применяемые средства автоматизации, в том числе программное обеспечение, и средства защиты информации;

соблюдения государственными гражданскими служащими, специалистами по обеспечению деятельности инспекции конфиденциальности персональных данных;

соблюдения государственными гражданскими служащими, специалистами по обеспечению деятельности инспекции порядка доступа в помещения, в которых ведется обработка персональных данных.

4. Проверки проводятся на основании приказа инспекции, в котором определяется проверяемый период, срок проведения проверки.

5. Срок проведения проверки не может превышать тридцати дней со дня издания приказа инспекции о ее проведении.

6. Проверки проводятся комиссией по организации обработки и защиты персональных данных инспекции (далее - комиссия), состав которой определяется приказом о проведении проверки.

7. В проведении проверки не может участвовать государственный гражданский служащий, специалист по обеспечению деятельности инспекции, прямо или косвенно заинтересованный в ее результатах.

8. Члены комиссии, получившие доступ к персональным данным субъектов персональных данных в ходе проведения проверки, обеспечивают конфиденциальность персональных данных субъектов персональных данных, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта персональных данных.

9. Плановая проверка осуществляется не реже 1 раза в год.

10. Основанием для проведения внеплановой проверки является поступившее в инспекцию письменное обращение субъекта персональных данных или его представителя о нарушении правил обработки персональных данных.

11. Проведение внеплановой проверки организуется в течение пяти рабочих дней с момента поступления обращения.

12. О результатах проведенной проверки и мерах, необходимых для устранения выявленных нарушений, начальнику инспекции докладывает ответственный за организацию обработки персональных данных, либо председатель комиссии, в форме письменного акта. Акты проверок хранятся у ответственного за организацию обработки персональных данных в инспекции.