Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным законодательством Российской Федерации в области персональных данных

Приложение N 3
к приказу министерства
финансов Красноярского края
от 14.06.2023 N 62

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным законодательством Российской Федерации в области персональных данных

1. Настоящие Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным законодательством Российской Федерации в области персональных данных (далее - внутренний контроль) определяют виды и порядок осуществления внутреннего контроля в министерстве финансов Красноярского края (далее - министерство).

2. В целях реализации внутреннего контроля осуществляется проведение плановых и внеплановых проверок соблюдения законодательства о персональных данных:

сотрудником министерства, ответственным за организацию обработки персональных данных в министерстве, в отношении сотрудников министерства, замещение должности которых предусматривает осуществление обработки персональных данных по соответствующим целям обработки персональных данных;

сотрудником министерства, ответственным за обеспечение безопасности персональных данных в информационных системах персональных данных министерства, в отношении оператора указанных информационных систем.

3. Плановые проверки проводятся на основании годового плана внутреннего контроля соответствия обработки персональных данных требованиям законодательства о персональных данных (далее - План).

План представляет собой перечень проверок, которые планируется провести в очередном календарном году.

По каждой цели обработки персональных данных плановая проверка проводится не реже чем 1 раз в 5 лет.

По каждой проверке в Плане указываются: предмет проверки, цель обработки персональных данных, период, срок проведения проверки, сотрудники, осуществляющие проверку.

План утверждается заместителем министра, курирующим вопросы информационной безопасности, по предложениям сотрудников министерства, ответственных за организацию обработки персональных данных в министерстве, сотрудников министерства, ответственных за обеспечение безопасности персональных данных в информационных системах персональных данных министерства.

4. Внеплановые проверки проводятся в случае выявления неправомерной обработки или факта неточности персональных данных, а также в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, при рассмотрении обращений и запросов субъектов персональных данных или их представителей в соответствии с Правилами рассмотрения обращений и запросов субъектов персональных данных или их представителей либо уполномоченного органа по защите прав субъектов персональных данных.

Внеплановые проверки проводятся сотрудником министерства, ответственным за организацию обработки персональных данных в министерстве по соответствующей цели обработки персональных данных, во взаимодействии с юридическим отделом.

Срок проведения внеплановой проверки не может превышать сроков, установленных для проведения внутреннего расследования выявленного инцидента в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", и сроков, установленных для рассмотрения обращений граждан в соответствии с Федеральным законом от 02.05.2006 N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".

5. Результаты проверки оформляются актом проверки.

Акт проверки должен содержать проведенные контрольные действия, выводы о наличии (отсутствии) выявленных нарушений с указанием документов (материалов), на основании которых сделаны выводы о нарушениях или их отсутствии, положения (с указанием статей, частей, пунктов, подпунктов) законодательных и иных нормативных актов, предложения об устранении выявленных нарушений.

Акт проверки подписывается сотрудником министерства, проводившим проверку, и представляется заместителю министра, курирующему вопросы информационной безопасности.