Приложение N 3. Правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами оператора в министерстве экономического развития Саратовской области

Приложение N 3
к приказу министерства экономического
развития Саратовской области
от 20.12.2018 N 2866

Правила
осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами оператора в министерстве экономического развития Саратовской области

1. Настоящие Правила (далее - Правила) определяют порядок, формы и методы осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами оператора в министерстве экономического развития Саратовской области (далее - министерство).

2. В целях осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами оператора в министерстве проводятся периодические проверки условий обработки персональных данных (далее - проверки).

Организация и проведение проверок осуществляется ответственным за организацию обработки персональных данных в министерстве (далее - ответственный за организацию обработки персональных данных).

3. Проверки проводятся на основании утвержденного приказом руководителя министерства ежегодного плана осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям (плановые проверки) или на основании поступившего письменного заявления субъекта персональных данных о нарушениях правил обработки персональных данных (внеплановые проверки).

4. При проведении проверок должны быть полностью, объективно и всесторонне установлены:

порядок и условия применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

порядок и условия применения средств защиты информации;

эффективность принимаемых мер по обеспечению безопасности персональных данных;

соблюдение правил доступа к персональным данным;

наличие (отсутствие) фактов несанкционированного доступа к персональным данным и принятие необходимых мер;

мероприятия по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

осуществление мероприятий по обеспечению целостности персональных данных.

5. Ответственный за организацию обработки персональных данных при проведении проверки имеет право:

запрашивать у сотрудников министерства информацию, необходимую для реализации полномочий;

требовать от сотрудников министерства, непосредственно осуществляющих обработку персональных данных, уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

вносить руководителю министерства предложения по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

вносить руководителю министерства предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке, а также предложения о привлечении к дисциплинарной ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

6. Ответственный за организацию обработки персональных данных при проведении проверок должен обеспечивать конфиденциальность ставших ему известными в ходе проведения мероприятий внутреннего контроля персональных данных.

7. Проверка должна быть завершена не позднее 30 календарных дней со дня принятия решения о ее проведении.

8. По результатам проведенной проверки ответственный за организацию обработки персональных данных представляет руководителю министерства письменное заключение о результатах проведенной проверки с указанием мер, необходимых для устранения выявленных нарушений.