Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами министерства экономического развития и инвестиций Самарской области

Приложение N 3
к приказу министерства
экономического развития и инвестиций
Самарской области
от 14.06.2023 N 125

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами министерства экономического развития и инвестиций Самарской области

1. Внутренний контроль соответствия обработки персональных данных требованиям к защите персональных данных в министерстве экономического развития и инвестиций Самарской области (далее - Министерство) осуществляется в целях изучения и оценки фактического состояния защищенности персональных данных, своевременного реагирования на нарушения установленного порядка их обработки, а также в целях совершенствования этого порядка и обеспечения его соблюдения.

2. В целях исполнения мер, направленных на обеспечение выполнения обязанностей, предусмотренных пунктом 4 части 1 статьи 18.1 Федерального закона "О персональных данных", Министерство осуществляет внутренний контроль соответствия обработки персональных данных установленным требованиям к защите персональных данных в форме плановых и внеплановых проверок.

3. Проверки проводятся на основании утверждаемого министром экономического развития и инвестиций Самарской области (далее - Министр) плана или на основании поступившего в Министерство письменного заявления о нарушениях правил обработки персональных данных (внеплановые проверки).

В плане по каждой проверке устанавливается объект внутреннего контроля, проверяемый период, срок проведения проверки, ответственные исполнители. Проверка должна быть завершена не позднее чем через тридцать дней со дня принятия решения о её проведении.

Проведение внеплановой проверки организуется в течение трех рабочих дней с момента поступления соответствующего заявления.

4. Проверки осуществляются комиссией, образуемой по поручению Министра (далее - Комиссия), в состав которой включается ответственный за организацию обработки персональных данных в Министерстве.

5. Член Комиссии не может участвовать в проверке, если он прямо или косвенно заинтересован в ее результатах.

6. Проверки проводятся непосредственно на месте обработки персональных данных путем опроса сотрудников, участвующих в процессе обработки персональных данных либо, при необходимости, путем осмотра их рабочих мест.

7. Комиссия:

- запрашивает у сотрудников информацию, необходимую для реализации полномочий;

- требует от уполномоченных на обработку персональных данных должностных лиц уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

- принимает меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

- вносит Министру предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке;

- вносит Министру предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

8. Внутренний контроль соответствия обработки персональных данных требованиям к защите персональных данных включает проведение следующих работ:

- оценка актуальности нормативных правовых и иных актов Министерства по вопросам обработки персональных данных;

- оценка применения правовых, организационных и технических мер по обеспечению безопасности персональных данных;

- проверка ознакомления сотрудников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, нормативными правовыми и иными актами Министерства по вопросам обработки персональных данных;

- определение порядка и условий применения средств защиты информации;

- оценка состояния учета машинных носителей персональных данных;

- обеспечение соблюдения правил доступа к персональным данным;

- проверка наличия (отсутствия) фактов несанкционированного доступа к персональным данным и принятие необходимых мер;

- осуществление мероприятий по обеспечению целостности персональных данных;

- соблюдение порядка резервирования баз данных и храпения резервных копий;

- соблюдение порядка работы со средствами защиты информации;

- соблюдение порядка хранения бумажных носителей с персональными данными;

- осуществление доступа к бумажным носителям с персональными данными;

- выявление нарушений установленного порядка обработки персональных данных и своевременное предотвращение негативных последствий таких нарушений;

- разработка рекомендаций по совершенствованию порядка обработки и обеспечения безопасности персональных данных по результатам контроля.

9. О результатах проведенной проверки и мерах, необходимых для устранения выявленных нарушений, председатель Комиссии докладывает Министру.

10. Результаты проверок оформляются актами и являются основанием для разработки рекомендаций по совершенствованию порядка обработки и обеспечения безопасности персональных данных в Министерстве.

11. В случае, если проверка проводится на основании заявления о нарушениях правил обработки персональных данных, председатель Комиссии в течение 5 рабочих дней со дня окончания проверки дает письменный ответ заявителю по существу поставленных в заявлении вопросов.