Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных в Государственном комитете Республики Башкортостан по информатизации и вопросам функционирования системы "Открытая Республика" требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных"

Приложение N 3

к приказу

Государственного комитета

Республики Башкортостан

по информатизации и вопросам

функционирования системы

"Открытая Республика"

от 27 декабря 2017 г. N 163-ОД

Правила
осуществления внутреннего контроля соответствия обработки персональных данных в Государственном комитете Республики Башкортостан по информатизации и вопросам функционирования системы "Открытая Республика" требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных"

I. Общие положения

1.1. Настоящие Правила осуществления внутреннего контроля соответствия обработки персональных данных в Государственном комитете Республики Башкортостан по информатизации и вопросам функционирования системы "Открытая Республика" требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных" (далее - Правила), разработаны в соответствии с Федеральным законом от 27 июля 2006 года N 152-ФЗ "О персональных данных", постановлением Правительства Российской Федерации от 21 марта 2012 года N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами" и определяют процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, основания, порядок и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных.

II. Порядок осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных

2.1. В целях осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в Государственном комитете Республики Башкортостан по информатизации и вопросам функционирования системы "Открытая Республика" (далее - Госкомитет РБ по информатизации) проводятся периодические проверки условий обработки персональных данных.

2.2. Проверка соответствия обработки персональных данных требованиям к защите персональных данных проводится ответственным за организацию обработки защищаемой информации, не содержащей сведения, составляющие государственную тайну, в Госкомитете РБ по информатизации.

2.3. Плановые проверки условий обработки персональных данных проводятся на основании утвержденного председателем Госкомитета РБ по информатизации ежегодного плана внутренних проверок режима защиты персональных данных (плановые проверки), представленного в приложении к Положению по организации и проведению работ по обеспечению безопасности защищаемой информации, не содержащей сведения, составляющие государственную тайну, при ее обработке в информационных системах Госкомитета РБ по информатизации.

2.4. Внеплановые проверки проводятся на основании поступившего в Госкомитет РБ по информатизации письменного обращения субъекта персональных данных или его представителя (далее - заявитель) о нарушениях правил обработки персональных данных. Проведение внеплановой проверки организуется в течение трех рабочих дней со дня поступления обращения о нарушениях правил обработки персональных данных.

2.5. В проведении проверки условий обработки персональных данных не могут участвовать сотрудники Госкомитета РБ по информатизации, прямо или косвенно заинтересованные в ее результатах.

2.6. Проверки условий обработки персональных данных осуществляются непосредственно на месте обработки персональных данных путем опроса либо, при необходимости, путем осмотра служебных мест сотрудников Госкомитета РБ по информатизации, участвующих в процессе обработки персональных данных.

2.7. При проведении проверки условий обработки персональных данных должны быть полностью, объективно всесторонне установлены:

- порядок и условия применения организационных и технических мер, необходимых для выполнения требований к защите персональных данных;

- порядок и условия соблюдения парольной защиты;

- порядок и условия соблюдения антивирусной защиты;

- порядок и условия обеспечения резервного копирования;

- эффективность принимаемых мер по обеспечению безопасности персональных данных до их ввода в информационные системы персональных данных;

- условия соблюдения режима защиты при подключении к сетям общего пользования и (или) международного обмена;

- порядок и условия обновления программного обеспечения и единообразия применяемого программного обеспечения на всех элементах информационной системы персональных данных;

- порядок и условия применения средств защиты информации;

- состояние учета носителей персональных данных;

- соблюдение правил доступа к персональным данным;

- соблюдение порядка доступа в помещения, в которых ведется обработка персональных данных;

- наличие (отсутствие) фактов несанкционированного доступа к персональным данным и принятие необходимых мер;

- мероприятия по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

2.8. Проверка условий обработки персональных данных должна быть завершена не позднее чем через тридцать календарных дней со дня принятия решения о ее проведении.

2.9. По результатам проведенной проверки условий обработки персональных данных, ответственный за организацию обработки защищаемой информации, не содержащей сведения, составляющие государственную тайну, предоставляет председателю Госкомитета РБ по информатизации письменное заключение с указанием мер, необходимых для устранения выявленных нарушений.

2.10. По существу поставленных в обращении (жалобе) вопросов, ответственный за организацию обработки защищаемой информации, в течение 5 рабочих дней со дня окончания проверки дает письменный ответ заявителю.