Приложение N 5. Правила осуществления в Департаменте дорожного хозяйства и транспорта Ивановской области внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных

Приложение N 5
к приказу
начальника Департамента
дорожного хозяйства и транспорта
Ивановской области
от 29.06.2020 N 313

Правила
осуществления в Департаменте дорожного хозяйства и транспорта Ивановской области внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных

Правила осуществления в Департаменте дорожного хозяйства и транспорта Ивановской области (далее - Департамент) внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", принятыми в соответствии с ним нормативными правовыми актами и локальными актами Департамента (далее - Правила), определяют основания и порядок проведения внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, установленным действующим законодательством (далее - внутренний контроль соответствия обработки персональных данных требованиям к защите персональных данных).

Настоящие Правила разработаны в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных", постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации", постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами".

Внутренний контроль соответствия обработки персональных данных требованиям к защите персональных данных в Департаменте осуществляется в форме плановых и внеплановых проверок условий обработки персональных данных (далее - проверки).

Проверки осуществляются комиссией по соблюдению требований, предъявляемых к обработке персональных данных (далее - комиссия), состав которой утверждается приказом Департамента.

В проведении проверки Департамента не может участвовать должностное лицо, прямо или косвенно заинтересованное в ее результатах.

Плановые проверки проводятся на основании ежегодного плана осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям к защите персональных данных, разработка которого обеспечивается ответственным за организацию обработки персональных данных и утверждаемого приказом Департамента. Плановые проверки проводятся не реже одного раза в год.

Основанием для проведения внеплановой проверки является поступившее в Департамент письменное заявление о нарушениях правил обработки персональных данных.

Проведение внеплановой проверки организуется ответственным за организацию обработки персональных данных в течение десяти рабочих дней с момента поступления в Департамент соответствующего заявления.

Решение о начале проведения проверки оформляется приказом Департамента.

При проведении проверок должны быть полностью, объективно и всесторонне установлены:

- порядок и условия применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

- порядок и условия применения средств защиты информации;

- эффективность принимаемых мер по обеспечению безопасности персональных данных;

- состояние учета машинных носителей персональных данных;

- соблюдение правил доступа к персональным данным;

- наличие (отсутствие) фактов несанкционированного доступа к персональным данным и принятие необходимых мер по их предотвращению;

- мероприятия по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- осуществление мероприятий по обеспечению целостности персональных данных.

Комиссия имеет право:

- запрашивать у должностных лиц Департамента информацию, необходимую для реализации полномочий;

- принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства Российской Федерации;

- вносить предложения о совершенствовании правового, технического и организационного регулирования обеспечения безопасности персональных данных при их обработке;

- вносить предложения о привлечении к ответственности лиц, виновных в нарушении законодательства Российской Федерации в отношении обработки персональных данных.

Срок проведения проверки не должен превышать тридцать календарных дней со дня начала проверки.

При наличии оснований срок проведения проверки может быть продлен на тридцать календарных дней начальником Департамента.

По результатам проведения проверки оформляется акт, в котором отражаются обстоятельства, установленные в ходе проверки, и меры, необходимые для устранения выявленных нарушений. Акт проверки подписывается председателем и членами комиссии и в течение двух рабочих дней со дня окончания проверки направляется начальником Департамента или его заместителем.