Приложение N 2. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных"

Приложение N 2

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных"
(утв. постановлением Администрации Хасынского городского округа
от 17 февраля 2016 г. N 116)

1. Общие положения

1. Настоящие Правила разработаны в целях исполнения Федерального закона о 27.07.2006 N 152-Ф "О персональных данных", постановления Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечении выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актами, операторами, являющимися государственными или муниципальными органами", постановления Правительства Российской Федерации от 01.11.2012 N 1119 "О утверждении требований к защит персональных данных при и обработке в информационных системах персональных данных".

2. Настоящими Правилами определяются процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных.

2. Тематика проведения внутреннего контроля

2.1. Тематика проверки обработки персональных данных с использованием средств автоматизации:

- соблюдение пользователями информационных систем персональных данных Администрации Хасынского городского округа парольной политики;

- соблюдение пользователям информационных систем персональных данных Администрации Хасынского городского округа антивирусной политики;

- соблюдение пользователям информационных систем персональных данных Администрации Хасынского городского округа правил работы со съемными носителями персональных данных;

- соблюдение ответственными за криптографические средства защиты информации правил работы с ними;

- соблюдение порядка доступа в помещения Администрации Хасынского городского округа, где расположены элементы информационных систем персональных данных;

- соблюдение порядка резервирования баз данных и хранения резервных копий;

- соблюдение порядка работы со средствами защиты информации;

- знание пользователей информационных систем персональных данных о своих действиях во внештатных ситуациях.

2.2. Тематика проверки обработки персональных данных без использования средств автоматизации:

- хранение бумажных носителей с персональными данными;

- доступ к бумажному носителю с персональными данными;

- доступ в помещения, где обрабатываются и хранятся бумажные носители с персональными данными.

3. Порядок проведения внутренних проверок

3.1. В целях осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Администрации Хасынского городского округа организовывается проведение плановых и внеплановых проверок условий обработки персональных данных на предмет соответствия Федеральному закону от 27.07.2006 N 152-ФЗ "О персональных данных" (далее- Федеральным законом "О персональных данных", принятым в соответствии с ним нормативными правовыми актами.

3.2. Проверки в Администрации Хасынского городского округа осуществляются ответственным за организацию обработки персональных данных (далее- ответственный) либо комиссией, образуемой постановлением Администрации Хасынского городского округа, на основании ежегодного плана или на основании поступившего в Администрацию Хасынского городского округа письменного заявления о нарушениях правил обработки персональных данных (внеплановые проверки).

Ежегодный план проверок разрабатывается и утверждается Комиссией для осуществления внутреннего контроля соответствия обработки персональных данных требованиям, предусмотренным Федеральным законом "О персональных данных" (далее - Комиссия).

3.3. В плане по каждой проверке устанавливается объект внутреннего контроля, проверяемый период, срок проведения проверки, ответственные исполнители (согласно приложению N 1 к Правилам).

3.4. Проверки проводятся Комиссией, утвержденной постановлением Администрации Хасынского городского округа. В проведении проверки не может участвовать работник, прямо или косвенно заинтересованный в ее результатах.

3.5. Проверка осуществляется ответственным либо комиссией непосредственно на месте обработки персональных данных путём опроса, либо, при необходимости, путём осмотра рабочих мест сотрудников, участвующим в процесс обработки персональных данных.

3.6. Основанием для проведения внеплановой проверки является поступившее в Администрацию Хасынского городского округа письменное обращение субъекта персональных данных или его представителя о нарушении правил обработки персональных данных.

3.7. Проведение внеплановой проверки организуется в течение 5 рабочих дней с момента поступления обращения. По существу, поставленных в обращении (жалобе) вопросов Комиссия в течение 5 рабочих дней со дня окончания проверки дает письменный ответ заявителю.

3.8. Срок проведения проверки не может превышать месяц со дня принятия решения о ее проведении.

3.9. Члены Комиссии, получившие доступ к персональным данным субъектов персональных данных, в ходе проведения проверки, обеспечивают конфиденциальность персональных данных субъектов персональных данных, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта персональных данных.

3.10. По результатам каждой проверки Комиссией проводится заседание. Решения, принятые на заседаниях Комиссии, оформляются протоколом (согласно приложению N 2 к Правилам). При выявлении в ходе проверки нарушений, ответственным либо председателем комиссии в протоколе делается запись о мероприятиях по устранению нарушений и сроках исполнения.

3.11. Протоколы хранятся у ответственного либо председателя комиссии в течение текущего года. Уничтожение протоколов проводится ответственным либо комиссией самостоятельно в январе месяце, следующим за проверочным годом.