Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных

Приложение N 3
к приказу комитета по управлению
имуществом Саратовской области
от 3 августа 2018 года N 76

Правила
осуществления внутреннего контроля соответствия обработки персональных данных

1. Настоящими Правилами осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных в комитете по управлению имуществом Саратовской области (далее - Правила) определяются процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных; основания, порядок, формы и методы проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных.

В настоящих Правилах используются основные понятия, определенные в статье 3 Федерального закона "О персональных данных".

2. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям в комитете по управлению имуществом Саратовской области организовывается проведение периодических проверок условий обработки персональных данных.

Проверки проводятся ответственным за организацию обработки персональных данных в комитете по управлению имуществом Саратовской области (далее - ответственный за организацию обработки персональных данных), либо комиссией, образуемой приказом комитета по управлению имуществом Саратовской области (далее комиссия).

3. В проведении проверки не может участвовать государственный гражданский служащий комитета по управлению имуществом Саратовской области, прямо или косвенно заинтересованный в ее результатах.

Проверки соответствия обработки персональных данных установленным требованиям проводятся на основании утвержденного министром области - председателем комитета по управлению имуществом Саратовской области ежегодного плана осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям или на основании поступившего письменного заявления субъекта персональных данных о нарушениях правил обработки персональных данных (внеплановые проверки).

4. Проведение внеплановой проверки организуется в течение пяти рабочих дней с момента поступления соответствующего заявления.

5. При проведении проверки соответствия обработки персональных данных установленным требованиям должны быть полностью, объективно и всесторонне установлены:

порядок и условия применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

порядок и условия применения средств защиты информации;

эффективность принимаемых мер по обеспечению безопасности персональных данных;

состояние учета машинных носителей персональных данных;

соблюдение правил доступа к персональным данным;

наличие (отсутствие) фактов несанкционированного доступа к персональным данным и принятие необходимых мер;

мероприятия по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

осуществление мероприятий по обеспечению целостности персональных данных.

6. Ответственный за организацию обработки персональных данных (комиссия) при проведении проверки условий обработки персональных данных имеют право:

запрашивать у государственных гражданских служащих комитета по управлению имуществом Саратовской области, работников, занимающих должности, не являющиеся должностями государственной гражданской службы, работодателем которых является министр области - председатель комитет по управлению имуществом Саратовской области, осуществляющих обработку персональных данных либо доступ к ним, информацию, необходимую для реализации полномочий;

требовать от государственных гражданских служащих комитета по управлению имуществом Саратовской области, работников, занимающих должности, не являющиеся должностями государственной гражданской службы, работодателем которых является министр области - председатель комитет по управлению имуществом Саратовской области, осуществляющих обработку персональных данных либо доступ к ним, уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

вносить министру области - председателю комитета по управлению имуществом Саратовской области предложения по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

вносить министру области - председателю комитета по управлению имуществом Саратовской области предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке, а также предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

7. Ответственный за организацию обработки персональных данных (комиссия) при проведении проверки условий обработки персональных данных должны обеспечивать конфиденциальность ставших им известными в ходе проведения мероприятий внутреннего контроля персональных данных.

8. Проверка условий обработки персональных данных должна быть завершена не позднее чем через 30 календарных дней со дня принятия решения об ее проведении.

9. По результатам проведенной проверки условий обработки персональных данных ответственный за организацию обработки персональных данных, либо председатель комиссии представляют министру области - председателю комитета по управлению имуществом Саратовской области письменное заключение о результатах проведенной проверки с указанием мер, необходимых для устранения выявленных нарушений.