Приложение 2. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в комитете по финансам, налоговой и кредитной политике города Барнаула

Приложение 2
к приказу комитета
от 25.08.2021 N 134

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в комитете по финансам, налоговой и кредитной политике города Барнаула

1. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в комитете по финансам, налоговой и кредитной политике города Барнаула (далее - Правила) разработаны в соответствии с требованиями Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", постановлений Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами", 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" и определяют процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, основания, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в комитете по финансам, налоговой и кредитной политике города Барнаула (далее - комитет).

2. В целях осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в комитете организовывается проведение внутренних плановых и внеплановых проверок условий обработки персональных данных на предмет соответствия Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актам в сфере персональных данных (далее - проверки).

3. Проверки проводятся в комитете не реже одного раза в год на основании ежегодного плана внутренних проверок соответствия обработки персональных данных требованиям к защите персональных данных в комитете (далее - ежегодный план проверок), составляемого по форме согласно приложению 1 к Правилам, или на основании поступившего в комитет письменного обращения (заявления) о нарушениях правил обработки персональных данных (внеплановые проверки).

Ежегодный план проверок разрабатывается лицом, ответственным за организацию обработки персональных данных в комитете, и утверждается председателем комитета.

4. Проверки проводятся лицом, ответственным за организацию обработки персональных данных в комитете, непосредственно на месте обработки персональных данных путем опроса либо путем осмотра рабочих мест муниципальных служащих и лиц, не являющихся муниципальными служащими, комитета, осуществляющими обработку персональных данных (далее - операторы).

5. Основанием для проведения внеплановой проверки является поступившее в комитет письменное обращение (заявление) субъекта персональных данных или его представителя о нарушении правил обработки персональных данных.

6. Обращения (заявления), не позволяющие установить лицо, обратившееся в комитет, а также обращения (заявления), не содержащие сведений о фактах нарушения законодательства Российской Федерации в области персональных данных, не могут служить основанием для проведения внеплановой проверки.

7. Проведение внеплановой проверки организуется не позднее трех рабочих дней с даты поступления в комитет письменного обращения (заявления), указанного в пункте 5 Правил.

8. Срок проведения проверки не может превышать один месяц со дня принятия решения о ее проведении.

9. При проведении проверки лицо, ответственное за организацию обработки персональных данных в комитете, в пределах своей компетенции вправе:

запрашивать и получать от структурных подразделений комитета необходимые документы (сведения) для достижения целей проведения внутреннего контроля;

получать доступ к информационным системам персональных данных;

принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушениями требований законодательства Российской Федерации в области персональных данных;

требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

выдавать обязательные для исполнения оператором предписания об устранении выявленных нарушений в области персональных данных;

вносить на рассмотрение председателю комитета предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в области персональных данных, о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке;

осуществлять иные права, предусмотренные законодательством Российской Федерации и нормативными правовыми актами в сфере персональных данных.

10. При проведении проверки лицо, ответственное за организацию обработки персональных данных в комитете, не вправе:

требовать предоставления документов и информации, которые не относятся к предмету проверки;

нарушать режим конфиденциальности персональных данных субъектов персональных данных, раскрывать третьим лицам и распрост