Проверка защиты персональных данных

Полезная информация в статье: "Проверка защиты персональных данных" с полным раскрытием темы. Если все же вы не нашли ответа на интересующий вопрос, то можно всегда обратиться к дежурному специалисту.

Приложение. Акт проведения проверки соответствия обработки персональных данных требованиям к защите персональных данных

ГАРАНТ:

См. данную форму в редакторе MS-Word

к Правилам осуществления внутреннего контроля

соответствия обработки персональных данных

требованиям к защите персональных данных

Возможные нарушения требований к защите персональных данных (ПДн)

Соблюдение пользователями информационных систем ПДн антивирусной политики (работа с ПДн на рабочем месте, не защищенном антивирусной программой)

Обработка ПДн сотрудниками, не включенными в перечень допущенных к обработке ПДн

Отсутствие или неактуальность перечня сотрудников, допущенных к обработке ПДн

Обработка ПДн после достижения цели обработки ПДн

Отсутствие записей в журнале учета электронных носителей ПДн при использовании самих носителей

Отсутствие подписанных обязательств о неразглашении ПДн

Хранение файлов на рабочей станции сотрудника, содержащих ПДн

Соблюдение пользователями информационных систем персональных данных парольной политики (доступность логина, пароля для доступа в информационные системы ПДн для посторонних)

Возможность считывания информации с экрана монитора для посторонних

Соблюдение порядка доступа в помещение, в котором ведется обработка ПДн

Отсутствие записей в журнале учета уничтожения ПДн

>
N 4. Правила работы с обезличенными данными в случае обезличивания персональных данных в службе архитектуры Иркутской области
Содержание
Приказ Службы архитектуры Иркутской области от 23 июля 2019 г. N 82-7-спр «О принятии мер, направленных на обеспечение.

Откройте актуальную версию документа прямо сейчас или получите полный доступ к системе ГАРАНТ на 3 дня бесплатно!

Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.

© ООО «НПП «ГАРАНТ-СЕРВИС», 2020. Система ГАРАНТ выпускается с 1990 года. Компания «Гарант» и ее партнеры являются участниками Российской ассоциации правовой информации ГАРАНТ.

Источник: http://base.garant.ru/72360130/6d3817b76f7c7d3dbacd5d714146a107/

Приложение N 2. План внутренних проверок режима защиты персональных данных в администрации города Иркутска

к распоряжению администрации города Иркутска

от 02.03.2015 N 031-10-124/5

План внутренних проверок режима защиты персональных данных в администрации города Иркутска

1. Общие положения

1.1. План внутренних проверок режима защиты персональных данных в администрации города Иркутска (далее — План) содержит перечень мероприятий (внутренних проверок) по проверке режима защиты персональных данных в администрации города Иркутска.

1.2. План содержит следующую информацию:

— название проводимого мероприятия;

1.3. План распространяется на все структурные подразделения администрации города Иркутска, в которых осуществляется обработка персональных данных либо имеется доступ к персональным данным.

Руководители структурных подразделений администрации города Иркутска доводят до сведения работников, назначенных ответственными за организацию обработки персональных данных в соответствующем структурном подразделении администрации города Иркутска, настоящий План под роспись.

2. Мероприятия по проверке режима защиты персональных данных

2.1. Мероприятия по проверке режима защиты персональных данных имеют следующую периодичность:

— ежедневные мероприятия — мероприятия, предусматривающие постоянный контроль за выполнением требований действующего законодательства ответственным за организацию обработки персональных данных в соответствующем структурном подразделении администрации города Иркутска (далее — ответственный исполнитель) и незамедлительное реагирование на инциденты информационной безопасности;

— еженедельные и ежемесячные мероприятия — мероприятия, предусматривающие проведение мероприятий ответственными исполнителями в один и тот же день недели или месяца. Факт проведения мероприятия должен быть зафиксирован в журнале, указанном в разделе 3 настоящего Плана;

— ежегодные или проводимые раз в несколько лет — мероприятия, предусматривающие проведение мероприятий в четко определенные ответственными исполнителями периоды времени. В ходе мероприятий должны быть учтены результаты проводимых ранее мероприятий по проверке режима защиты персональных данных в данном периоде.

3. Журнал учета мероприятий по контролю обеспечения защиты персональных данных

3.1. Информация о периодически проводимых мероприятиях и их результатах фиксируется в журнале учета мероприятий по контролю за соблюдением режима защиты персональных данных (далее — Журнал). Форма Журнала представлена в Приложении N 1 к настоящему Плану.

В Журнале отмечаются мероприятия в соответствии с Планом, носящие периодический характер.

В Журнал заносится следующая информация:

— название проведенного мероприятия;

— дата проведенного мероприятия;

— результат (отчет, действия) мероприятия (при необходимости).

4. План внутренних проверок режима защиты персональных данных

Источник: http://base.garant.ru/44079058/3bcb13c832352063ecaa1ae78b2ca0fe/

Приложение. Акт проведения проверки соответствия обработки персональных данных требованиям к защите персональных данных

к Правилам осуществления внутреннего контроля

соответствия обработки персональных данных

требованиям к защите персональных данных

в отделе кадровой работы управления кадровой

и правоохранительной работы аппарата

администрации города Иркутска

от 19.12.2014 N 031-10-903/14

Возможные нарушения требований к защите персональных данных (ПДн)

Соблюдение пользователями информационных систем ПДн антивирусной политики (работа с ПДн на рабочем месте, не защищенном антивирусной программой)

Обработка ПДн сотрудниками, не включенными в перечень допущенных в обработке ПДн

Отсутствие или неактуальность перечня сотрудников, допущенных к обработке ПДн

Обработка ПДн после достижения цели обработки ПДн

Отсутствие подписанных обязательств о неразглашении ПДн

Соблюдение пользователями информационных систем персональных данных парольной политики (доступность логина, пароля для доступа в информационные системы ПДн для посторонних)

Возможность считывания информации с экрана монитора для посторонних

Соблюдение порядка доступа в помещение, в котором ведется обработка ПДн

Отсутствие записей в журнале учета уничтожения ПДн

Заместитель мэра — руководитель аппарата
администрации города Иркутска

Заместитель начальника управления — начальник
отдела кадровой работы управления кадровой и
правоохранительной работы аппарата
администрации города Иркутска

>
N 4. Правила работы с обезличенными данными в отделе кадровой работы управления кадровой и правоохранительной работы аппарата.
Содержание
Распоряжение администрации города Иркутска от 19 декабря 2014 г. N 031-10-903/14 «О принятии мер, направленных на обеспечение.

Откройте актуальную версию документа прямо сейчас или получите полный доступ к системе ГАРАНТ на 3 дня бесплатно!

Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.

© ООО «НПП «ГАРАНТ-СЕРВИС», 2020. Система ГАРАНТ выпускается с 1990 года. Компания «Гарант» и ее партнеры являются участниками Российской ассоциации правовой информации ГАРАНТ.

Читайте так же:  Принципы судебного разбирательства в уголовном процессе

Источник: http://base.garant.ru/34774371/6d3817b76f7c7d3dbacd5d714146a107/

Как проводится проверка Роскомнадзора

Роскомнадзор проверяет соблюдение законов в области СМИ и информационных технологий. На основании ФЗ №293 проверка этим органом проводится раз в три года. Чаще осуществлять проверки без достаточных на то оснований запрещено. Эти временные промежутки позволят предпринимателю понять, когда примерно будет проводиться мониторинг. К проверке следует подготовиться.

Полномочия Роскомнадзора

У Роскомнадзора имеется целый ряд полномочий, установленных нормативными актами:

  1. Осуществление контроля за соблюдением законов в области СМИ и массовых коммуникаций.
  2. Надзор над предоставлением услуг в области связи.
  3. Аккредитация компаний, которые осуществляют экспертизу информационных продуктов.
  4. Ведение информационной системы, реестров операторов связи.
  5. Регистрация СМИ.
  6. Защита информации, являющейся государственной тайной.

Роскомнадзор осуществляет комплексную проверку всех направлений, связанных с информационными технологиями.

Разновидности проверок

Роскомнадзор осуществляет следующие формы проверок:

  • Плановая. О таких проверках руководитель предупреждается заблаговременно. За трое суток до проведения мероприятия компании отправляется уведомление, в котором указана дата проверки. Кроме того, план контрольных мероприятий расположен на сайте Роскомнадзора. На сайте руководитель может проверить, входит ли он в перечень ЮЛ, подлежащих проверке.
  • Внеплановая. Назначается в том случае, если в отношении компании поступили жалобы. Жалобы эти могут быть связаны, к примеру, с постоянными телефонными звонками. О внеплановом контрольном мероприятии фирма предупреждается за сутки.
  • Документарная. Роскомнадзор отправляет запрос в фирму с перечнем документов, которые нужно направить на проверку. Руководитель при получении такого запроса должен отправить в государственный орган копии бумаг.
  • Выездная. Проверка осуществляется на месте. То есть инспекторы сами приезжают в фирмы.

Даже в том случае, если проверка будет плановой, у руководителя остается очень мало времени на подготовку. По этой причине нужно готовится заблаговременно.

Что именно будут проверять

Государственный орган осуществляет надзор над операторами персональных данных. Также Роскомнадзору подконтрольны компании, которые выполняют сбор и обработку информации о лицах: посетителях, работниках, клиентах. Проще говоря, под надзор попадают все субъекты, в штате которых работают люди.

СПРАВКА! Персональные данные – это информация, нужная для исполнения служебных обязанностей. К примеру, это могут быть паспортные данные, сведения об образовании, семейном статусе.

Роскомнадзор осуществляет контроль над следующими направлениями:

  • Документы, в которых содержатся персональные данные. Также выполняется контроль над условиями их хранения.
  • Системы, осуществляющие обработку данных (ПК и программы).
  • Наличие локальных нормативных актов.
  • Исполнение положений этих актов.
  • Сайт организации.

Относительное нововведение – проверка сайтов. Нарушением, к примеру, будет являться сбор персональных данных без указания информации о том, как они будут использоваться.

Точного перечня бумаг, подлежащих надзору, не существует. Однако можно назвать примерный ряд бумаг:

  • Учредительная документация (ИНН, устав и прочее).
  • Уведомление о том, что фирма работает с ПД.
  • Перечень ПД, сбор которых осуществляется.
  • Перечень работников, у которых есть доступ к данным.
  • Приказ о допуске таких сотрудников к ПД.
  • Инструкции для специалистов, которые работают с данными.
  • Положение об ответственности сотрудников за разглашение ПД.
  • Документ об обработке ПД.
  • Бумаги, свидетельствующие о защите информации (план мероприятий и прочее).
  • Соглашение о неразглашении ПД.
  • Письменное согласие лиц на обработку.
  • Журналы инструктажей относительно мер безопасности.
  • Журналы учета носителей сведений.

Роскомнадзор также может затребовать и другие документы.

Продолжительность проверки

Мероприятие длится на протяжении 20 рабочих дней. При наличии сопутствующих обстоятельств этот срок может быть продлен еще на 20 дней. Однако продление актуально только для тех случаев, когда на это есть серьезные основания. Плановые выездные проверки не могут длиться более 50 часов в отношении компаний, в которых работает до 100 сотрудников. Продолжительность этих проверок для малых фирм со штатом до 15 сотрудников составляет 15 часов.

Особенности подготовки к проверке

Для успешного прохождения проверки рекомендуется нанять сотрудника, который будет отвечать за верность оформления всех документов, связанных с информационным направлением. Необходимость эта связана с тем, что для подготовки нужно проверять правильность огромного объема документации. Проще озаботиться этим вопросом заранее. Однако вариант с наймом сотрудника актуален только для больших предприятий.

Маленьким компаниям можно воспользоваться услугами стороннего эксперта. Рассмотрим план по подготовке к проверке:

  1. Установление наличия уведомления о работе с ПД, направленного в Роскомнадзор. Отправлять это уведомление нужно перед началом работы с данными.
  2. Проверка соответствия деятельности информации, прописанной в едином реестре.
  3. Назначение лица, ответственного за работу с ПД.
  4. Составление Политики фирмы в отношении обработки ПД.
  5. Подготовка сотрудников к контрольному мероприятию. В ходе нее работники знакомятся с бумагами, касающимися обработки данных, устанавливаются правила поведения.
  6. Проверка правильности хранения документов, ограниченности доступа к ним.
  7. Проверка системы безопасности: наличие замков и сейфов.

Для подготовки бумаг можно использовать специальные онлайн-сервисы.

Как осуществляется проверка

Сначала в компанию направляется уведомление о предстоящей проверке. В документе нужно указать сроки проведения, а также реквизиты приказа, на основании которого осуществляется мероприятие. Сначала инспекторы проверяют документы, связанные с информационным направлением. Затем в компанию направляется запрос. Ответить на него нужно на протяжении 10 дней. Руководитель должен направить в контролирующий орган копии документов. Их требуется заверить подписью.

Если в процессе проверки были обнаружены недочеты, назначается выездная проверка. В компанию приезжает минимум два инспектора. Они должны предъявить удостоверение, а также копию приказа, на основании которого проводится мероприятие.

Результаты проверки

В результате проверки оформляется акт. Если в ходе мероприятия были обнаружены ошибки, информация о них включается в документ. Ответственное лицо компании лично знакомят с актом. Альтернативный вариант – отправка документа заказным письмом. Об итогах проверки руководитель может узнать на сайте надзорного органа.

Можно ли обжаловать результаты проверки?

Результаты контрольного мероприятия можно обжаловать в течение 15 дней. Для этого в Управление отсылаются возражения. Руководителю для успешного исхода дела нужно подготовить обоснованные аргументы в защиту своей позиции. Он может сослаться на отсутствие уведомления в срок, привлечение к мероприятию специалистов без аккредитации, нарушение сроков проведения. Жалоба будет рассмотрена в течение 30 дней.

Источник: http://assistentus.ru/proverki/roskomnadzora/

Опыт прохождения проверки Роскомнадзора по персональным данным

Как показывает практика, проверка Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) в области обработки персональных данных (ПДн) является сравнительно редким событием.Например, в 2013 году в Центральном федеральном округе проведено всего 26 (!) проверок, из которых 22 выездных и 4 документарных. В свете малочисленности подобных мероприятий они и сейчас интересны специалистам по информационной безопасности, так как практика выполнения требований ФЗ-152 от 27.06.2006 «О персональных данных» и подзаконных актов еще до конца не сформировалась. Об этом факте свидетельствуют периодически появляющиеся разъяснения контролирующего органа (по персональным данным работников, биометрическим персональным данным). Эти разъяснения выпускаются Роскомнадзором совместно с экспертами для того, чтобы помочь организациям (операторам) выполнить требования и привести все свои структурные подразделения к единому пониманию существующих нормативных правовых актов, касающихся обработки персональных данных. В данной статье описывается опыт прохождения проверки Роскомнадзора, который может оказаться полезным другим организациям при выполнении работ по защите ПДн.

Читайте так же:  Судебное разбирательство является основной стадией уголовного процесса

В конце прошлого года компания АйТи стала консультантом «Эльдорадо» при прохождении проверки Роскомнадзора по персональным данным.

«Нашим главным критерием при выборе компании являлось наличие опыта прохождения таких проверок. Нам необходимы были определенные гарантии, поскольку мы не могли рисковать своей репутацией», – комментирует Константин Коротнев, менеджер по информационной безопасности Компании «Эльдорадо».

Перед нами поставили задачу – пройти проверку с минимальными замечаниями. Забегая немного вперед, скажу, что нам это удалось. Теперь обо всем по порядку.

РАЗМИНКА

Днем «Х» было 5 ноября, согласно «Плану проведения проверок». Какая предполагается проверка, начало, а также сроки ее проведения, можно посмотреть на сайте Управления Роскомнадзора по соответствующему федеральному округу, в нашем случае это Центральный федеральный округ.

Видео (кликните для воспроизведения).

Проверка предполагалась плановая выездная, все в соответствии с ФЗ-294 от 26.12.2008 «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля».

До начала проверки у нас было Уведомление о проведении плановой выездной проверки ООО «Эльдорадо» вместе с перечнем документов, который необходимо предоставить сотрудникам Роскомнадзора.

Всего запрашивался 31 документ, из основных и значимых можно выделить следующие (пункты касались как автоматизированной обработки, так и неавтоматизированной):

  • Уведомление об обработке ПДн
  • Документ, определяющий ответственного за организацию обработки ПДн
  • Перечень сотрудников, допущенных к обработке ПДн
  • Документ, определяющие места хранения ПДн
  • Справка об обработке специальных и биометрических категорий ПДн
  • Справка об осуществлении трансграничной передачи ПДн
  • Типовые формы документов с ПДн
  • Порядок уничтожения ПДн
  • Порядок передачи ПДн третьим лицам
  • Типовая форма согласия на обработку ПДн
  • Порядок учета обращений субъектов ПДн
  • Перечень информационных систем персональных данных (ИСПДн)
  • Документы, регламентирующие резервирование данных в ИСПДн
  • Перечень используемых средств защиты информации
  • Матрица доступа
  • Модель угроз
  • Документ, определяющий уровни защищенности для каждой ИСПДн в соответствии с ПП-1119 от 01.11.2012 «Об утверждении требований к защите персональных данных при их обработки в информационных системах персональных данных»
  • Журнал учета машинных носителей ПДн

Совместно с коллегами из «Эльдорадо» мы подготовили все документы. Все организационно-распорядительные документы уже были сделаны, мы готовили только справки, выписки или копии документов. Комплект получился настолько внушительный, что в итоге сотрудникам Роскомнадзора пришлось делить его на двоих. Кроме того был подготовлен реестр документов, в котором сотрудник РКН должен расписываться за каждый полученный документ. Очень удобная вещь, позволяющая отследить все переданные документы и иметь подтверждение о передаче всех запрошенных документов в Роскомнадзор.

Помимо подготовки документов мы провели инструктаж для сотрудников центрального офиса, участвующих в проверке и взаимодействующих с представителями РКН.:

Сами сотрудники не первый раз сталкиваются с информационной безопасностью (в «Эльдорадо» внедрены процессы менеджмента ИБ и есть действующий сертификат ISO 27001). Они и до этого были подготовлены, освежили информацию в голове, вспомнили нужные определения, перечитали имеющиеся регламенты и инструкции по ПДн, навели порядок на столе. Сотрудники были готовы к предстоящей проверке.

ПОСТАНОВКА В ЧЕТЫРЕХ АКТАХ

Плановая выездная проверка должна была проводиться с 5 по 29 ноября. Надо понимать, что РКН не будет все это время находиться у Оператора, в этом нет особого смысла. Всего было 4 встречи с представителями РКН на территории «Эльдорадо».

Первая встреча состоялась 5 ноября, как и планировалось. Сотрудники Роскомнадзора привезли бумажную версию Уведомления о проведении плановой выездной проверки ООО «Эльдорадо», договорились о дате следующей встречи, очертили масштаб проверки (сразу сказали, что будут проверять центральный офис и несколько магазинов, в итоге остановились на двух) и уехали.

Вторая встреча была основной. В первую очередь сотрудники РКН посмотрели Уведомление оператора и внесенные изменения, среди значимых комментариев были следующие:

  • Обработка персональных данных начинается с момента создания организации (то есть регистрации в ФНС), а не с момента подачи Уведомления в Роскомнадзор
  • В Уведомлении необходимо указывать все физические адреса Оператора (если они относят к данному юридическому лицу), где ведется обработка ПДн, даже если они находятся в других федеральных округах РФ
  • В случае изменения сведений, указанных в Уведомлении, необходимо в течение десяти рабочих дней донести эту информацию до РКН (ФЗ-152, ст. 22, п. 7)

Специалисты Роскомнадзора задавали вопросы по основным отделам, в которых ведется обработка ПДн, для понимания целей обработки в целом. Затем прошлись по всем компаниям, с которыми возникает обмен персональными данными – ЧОП, кадровые агентства, банки, операторы связи, архивное хранение документов. Остановились на камерах видеонаблюдения, мы упомянули новые разъяснения Роскомнадзора, сослались на то, что идентификация человека не производится (соответственно, это не биометрические персональные данные), коллеги из Роскомнадзора согласились, правда, попросили повесить табличку «Ведется видеонаблюдение». Через 10 минут на входе висела табличка с соответствующей надписью.

По информационным системам персональных данных (ИСПДн) запросили перечень, модели угроз на ИСПДн, проект по созданию системы защиты персональных данных и сертификаты на средства защиты информации. Также был вопрос по трансграничной передаче информации по каналам связи. Сотрудники Роскомнадзора понимают, что осуществить обмен зашифрованными данными по каналам, используя ГОСТ 28147-89, с зарубежным государством практически невозможно, поэтому им было достаточно понять, что осуществляется шифрование, и информация не передается в открытом виде.

После ознакомления с документами сотрудники РКН перешли к обследованию на местах. Вся наша большая команда пошла в отдел кадров. Проверяющие посмотрели, где хранятся личные дела и трудовые книжки, убедились, что личные дела действующих работников хранятся отдельно от личных дел уволенных. Руководитель отдела кадров рассказал, как набирают сотрудников, как хранят дела, как происходит удаление персональных данных и при каких обстоятельствах. После этого работникам Роскомнадзора показали, как работает сотрудник отдела кадров: вход/выход из операционной системы, вход/выход из ИСПДн. Также проверяющие попросили сделать скриншоты программ, используемых для обработки ПДн, для подтверждения информации об ИСПДн.

Читайте так же:  Сколько стоит подать исковое заявление в суд

Когда закончили проверять отдел кадров, решено было поехать в ближайший магазин «Эльдорадо» и проверить, как там производится обработка ПДн. В магазине ведется очень ограниченная обработка персональных данных, в основном это анкеты клиентов, которые хранятся в бумажном виде и заносятся в базу клиентов, которая не хранится локально. Анкеты хранятся в коробках, в защищаемых помещениях. Хранить каждую анкету в отдельном файле не нужно в соответствии с ПП-687 от 15.09.2008 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации». Затем работники Роскомнадзора посмотрели, как работает сотрудник магазина за компьютером: вход/выход из системы, вход/выход из ИСПДн, скриншоты используемых программ.

В рамках третьей встречи проверяли еще один магазин, который находился недалеко от Управления Роскомнадзора. Проверка проходила также как и в первом магазине, принципы организации магазинов «Эльдорадо» одинаковые, вне зависимости от размеров, поэтому подходы и способы обработки ПДн точно такие же. Проверяющие убедились в этом достаточно быстро, на этом проверка в магазине закончилась.

В ходе проверки было запрошено еще большее количество документов (чем изначальный перечень из 31 документа), это различные регламенты, справки, выписки, договоры, в итоге общее количество перевалило за сотню. Роскомнадзор был доволен, что под каждым словом был документ.

На этом проверка оператора заканчивается.

РЕЗУЛЬТАТЫ

По результатам проверки Роскомнадзора передал компании «Эльдорадо» следующие документы:

  • Акт проверки (с выявленными нарушениями)
  • Справка о результатах плановой выездной проверки
  • Предписание об устранении двух незначительных несоответствий, которое было исполнено в течение месяца после получения

«Результаты проверки оказались положительными. Роскомнадзор подтвердил, что мы выполняем требования ФЗ-152. Со своей стороны могу добавить, что мы понимаем, насколько важно обеспечить защиту персональных данных наших клиентов и работников компании, и прикладываем все усилия для создания современной и надежной системы управления информационной безопасностью, соответствующей как лучшим мировым практикам, так и нормативным актам РФ», — подытоживает Константин Коротнев, менеджер по информационной безопасности компании «Эльдорадо».

ВЫВОДЫ

Представители Роскомнадзора не ставят перед собой задачу закрыть компанию. Происходит конструктивный диалог, в рамках которого можно и нужно отстаивать свою позицию, для этого есть все необходимые инструменты в виде нормативных документов по персональным данным. Все в ваших руках.

Источник: http://bis-expert.ru/blog/5387/43953

Проверка защиты персональных данных

Что надо знать о проверках персональных данных Роскомнадзором

Собираете данные сотрудников или клиентов? Проверьте, не грозит ли вам проверка и не наработали ли вы на штраф Роскомнадзора.

  • Главная
  • Статьи
  • Что надо знать о проверках персональных данных Роскомнадзором

Что такое персональные данные

Закон от 27.07.2006 № 152-ФЗ «О персональных данных» относит к ним любую личную информацию о физическом лице. Но конкретных указаний, какие сведения нужно считать личными, он не дает.

Роскомнадзор в Методических рекомендациях, утвержденных приказом от 30.05.2017 №94 разъясняет, что к персональным данным относятся в частности:

паспортные данные: ФИО, дата и место рождения, адрес регистрации;

социальное и семейное положение;

имущество и размер дохода;

образование и профессия;

национальность, религия, политические взгляды;

биометрические данные, которые позволяют установить личность.

Но список не ограничен информацией в приказе №94. К личным данным относят и другие сведения, позволяющие идентифицировать человека. Например, номер телефона, если он принадлежит конкретному физическому лицу, заключившему договор с оператором связи.

Адрес электронной почты можно отнести к персональным данным, только если он включает в себя личную информацию, например: ФИО или дату рождения — например, адрес вида [email protected]

Все юридические и физические лица, которые собирают и обрабатывают личную информацию, называются операторами персональных данных. Их деятельность в этой области контролирует Роскомнадзор.

Как Роскомнадзор проверяет работу с персональными данными

Роскомнадзор проводит три вида проверок.

Выездные

Плановые проверки. Их график специалисты Роскомнадзора составляют до начала года. Скачайте его и можете заранее узнать, в каком месяце к вам придут контролеры — подготовитесь к проверке. Если вы не знали или забыли о такой возможности, проверяющие предупредят о визите за три дня.

В общем случае плановую проверку могут проводить не чаще, чем раз в три года. Для отдельных категорий операторов период сокращается до двух лет (пп. 6 и 7 правил, утвержденных постановлением Правительства РФ от 13.02.2019 №146). Более короткие промежутки между плановыми проверками предусмотрены, например, для тех, кто собирает биометрические данные или передает персональную информацию за границу.

Внеплановые проверки. Их в графике нет. Такие проверки обычно назначают по жалобам сотрудников, клиентов и других лиц, которые считают, что их права нарушили. Также проверку вне графика могут провести по требованию прокурора или по решению руководителя территориального органа Роскомнадзора. В этом случае вы узнаете о проверке лишь накануне — за 24 часа до ее начала.

Здесь важно помнить, что общие ограничения по частоте проверок не распространяются на контроль в области персональных данных (пп. 20 п. 3.1 ст. 1 закона от 26.12.2008 № 294-ФЗ). Проще говоря, это означает, что внеплановых проверок Роскомнадзора может быть сколько угодно, и они никак не зависят от плановых. Теоретически контролеры могут прийти к вам с новой внеочередной проверкой на следующий день после завершения обычной.

Документарные

Эти проверки проходят без выхода на предприятие. Специалисты Роскомнадзора присылают письмо, в котором просят предоставить документы или дать пояснения по направленной ранее информации. Чтобы избежать наказания, в этом случае важно соблюсти установленный срок для ответа (пять рабочих дней). Документарные проверки могут быть только плановыми.

Текущий контроль

Если документарные проверки проводят без выхода на предприятие, то текущий контроль проводят вообще без какого-либо взаимодействия с проверяемой компанией.

Специалисты Роскомнадзора анализируют имеющуюся у них информацию о бизнесе, а также изучают сайт компании и другие сведения, размещенные в открытом доступе: например, рекламу в СМИ.

В этом случае вы узнаете о проверке, только если у вас найдут нарушения. Тогда Роскомнадзор пришлет требование об устранении недостатков, а если его не выполнить — наложит штраф.

Проверьте себя: самые частые нарушения, которые выявляет Роскомнадзор

Компания не направила в Роскомнадзор уведомление об обработке персональных данных.

Одно из самых распространенных нарушений, которые выявляют контролеры. Статья 22 закона № 152-ФЗ содержит перечень случаев, когда оператор может не уведомлять контролеров о работе с личной информацией. Например, к таким исключениям относится обработка персональных данных, связанных только с трудовыми отношениями. Поэтому некоторые бизнесмены считают, что могут не уведомлять Роскомнадзор, если работают только с кадровыми данными.

Читайте так же:  Определение суда постановление судьи

Но при проверке контролеры часто приходят к выводу, что работа с личной информацией выходит за рамки трудовых отношений. Например, компания обрабатывает персональные данные не только действующих сотрудников, но и кандидатов на вакансии.

Поэтому лучше подстраховаться и в любом случае уведомить Роскомнадзор. Для этого используйте форму на сайте ведомства. Информацию также следует продублировать в бумажном виде.

Источник: http://school.bigbird.ru/articles/chto-nado-znat-o-proverkah-personalnyh-dannyh-roskomnadzorom/

Чек-лист. Какие документы по персональным данным должны быть у юридического лица для успешного прохождения проверки Роскомнадзора? — DocShell 4.0

  • 20.06.2019
  • | Обработка ПДн
  • | 1 426

В последнее время скандалы, связанные с утечкой персональных данных, приобрели невиданный прежде масштаб. Подобные инциденты происходят все чаще. Финансовый и репутационный ущерб от их реализации становится все более ощутимым для компаний, а практика показывает, что даже у корпоративных гигантов отсутствует 100% уверенность в защищенности своей конфиденциальной информации.

Тем не менее, угроза эта касается не только крупных коммерческих организаций. Оператором персональных данных согласно российскому законодательству является любое юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных.

При этом исчерпывающего списка, что же является персональными данным, нет, но мы можем выделить самые важные из них:

адрес места регистрации и/или проживания;

номер банковской карты и/или лицевого счета.

Исходя из списка выше, можно понять, что в качестве оператора персональных данных может выступать любая организация, которая обрабатывает данные своих сотрудников. Следовательно, под проверку Роскомнадзора может попасть каждая организация.

Что первым проверит Роскомнадзор?

Роскомнадзор, конечно, не будет следить круглосуточно за вашей организацией. Первое, на что обратит внимание регулятор во время проверки, — наличие и актуальность документов, регламентирующих порядок сбора, хранения, обработки и уничтожения персональных данных граждан. Эта организационно-распорядительная документация является фундаментом успешной и эффективной системы защиты информации, и потому очень важна. ОРД определяет ответственных лиц, их обязанности, порядок работы с данными, уровень доступа, алгоритмы реагирования в случае возникновения инцидентов и другие важные нюансы.

Весь перечень документации, регламентирующей деятельность оператора ПДн, содержится более чем в 30 нормативно-правовых актах. Чтобы разобраться в них и выделить главное – понадобится большое количество времени. Для вашего удобства мы собрали весь список, требуемых законодательством документов по персональным данным, в единый чек-лист. Данный список поможет вам определить уровень готовности вашего пакета ОРД к проверкам регулятора.

Чек-лист готовности пакета документов к проверке Роскомнадзора для юридических лиц и индивидуальных предпринимателей.

    1. Акт установления уровня защищенности информационных систем персональных данных.
    2. Акт классификации государственной информационной системы или муниципальной информационной системы.
    3. Журнал регистрации письменных запросов граждан на доступ к своим персональным данным.
    4. Журнал регистрации обращений граждан для получения доступа к своим персональным данным.
    5. Журнал регистрации инцидентов информационной безопасности.
    6. Заключение об оценке вреда субъектам персональных данных.
    7. Инструкция об осуществлении контроля выполнения требования по защите персональных данных.
    8. Инструкция по допуску лиц в помещения, в которых ведется обработка персональных данных.
    9. Инструкция по учёту машинных носителей и регистрации их выдачи.
    10. Модель угроз.
    11. Отзыв согласия субъекта персональных данных.
    12. Перечень информационных систем персональных данных.
    13. Перечень мероприятий по защите персональных данных.
    14. План внутренних проверок состояния защиты персональных данных.
    15. Политика обработки персональных данных.
    16. Положение об ответственном за организацию обработки персональных данных.
    17. Положение о порядке обработки персональных данных.
    18. Положение по работе с инцидентами информационной безопасности.
    19. Приказ «О ведении журнала ознакомления работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных и обучения указанных сотрудников.
    20. Приказ «О журнале учета посетителей».
    21. Приказ «О журнале регистрации инцидентов информационной безопасности».
    22. Приказ «О журнале учёта проверок юридического лица, индивидуального предпринимателя, проводимых органами государственного контроля (надзора), органами муниципального контроля».
    23. Приказ «О назначении ответственного за организацию обработки персональных данных».
    24. Приказ «О назначении комиссии по работе с инцидентами информационной безопасности».
    25. Приказ «О создании комиссии по установлению уровня защищенности персональных данных в информационных системах персональных данных».
    26. Приказ «Об организации мероприятий по защите персональных данных».
    27. Приказ «Об ответственности за обработку и защиту персональных данных».
    28. Приказ «Об установлении границ контролируемой зоны объектов информатизации».
    29. Приказ «Об утверждении мест хранения материальных носителей персональных данных».
    30. Приказ «Об утверждении перечня лиц, имеющих право доступа в помещения, где размещены используемые средства криптографической защиты информации (СКЗИ), хранятся СКЗИ и (или) носители ключевой и аутентифицирующей и парольной информации СКЗИ».
    31. Приказ «Об утверждении типового обязательства работника о неразглашении персональных данных субъектов персональных данных».
    32. Приказ «Об утверждении типовой формы разъяснения субъекту персональных данных юридических последствий отказа предоставить свои персональные данные».
    33. Приказ «Об утверждении форм актов уничтожения персональных данных».
    34. Приказ «Об утверждении форм согласий на обработку персональных данных».
    35. Приказ «Об утверждении типовой формы поручения обработки персональных данных».
    36. Типовая форма поручения обработки персональных данных.
    37. Уведомление об обработке персональных данных.
Скачать чек-лист
Что делать, если ваш пакет ОРД неполный или ненадлежащего качества?

Естественно, организационно-распорядительную документацию необходимо привести в порядок – дополнить недостающими документами и актуализировать имеющиеся. Но разрабатывать документацию вручную — трудоемкий и длительный процесс. Автоматизируйте его! Воспользуйтесь системой DocShell. Узнайте, как она работает.

Оставьте заявку на подключение бесплатного тестового доступа к системе по бесплатному номеру телефона 8-800-770-01-31.

Источник: http://docshell.ru/personal-data/check_list_docs_proverka_rkn_pdn_urlitso/

Защита персональных данных: как пройти проверку РКН

Личностные сведения граждан оберегает Федеральный закон 152 «О персональных данных». В феврале 2019 года вышло Постановление, которое вносит изменения и уточнения в процедуру проверок операторов персональных данных.

Оператор персональных данных — это любая организация или физлицо, которое организует или производит обработку персональных данных, а также определяет цели обработки, конкретные действия и состав личностных сведений.

Таким образом операторы персональных данных — это абсолютно все организации и предприниматели-работодатели, так как в процессе работы они обрабатывают личностные сведения сотрудников, а некоторые — и клиентов.

Источник: http://profkadrovik.ru/articles/work-with-documents/zashchita-personalnyh-dannyh/

Проверка защиты персональных данных роскомнадзором

Далеко не каждый работодатель считает нужным заботиться о тайне персональных данных своего сотрудника. Причиной тому является непонимание, какой ущерб разглашение информации может нанести репутации сотрудника и какое наказание за это самому работодателю может грозить.
Читайте так же:  Компенсация морального вреда по трудовым спорам

Работник в таком случае точно окажется прав – это подтвердит любой суд. Работодатель же окажется в проигравших и будет обязан выплатить своему сотруднику круглую сумму за моральный ущерб.

Именно во избежание таких ситуаций и проводятся Роскомнадзором регулярные проверки защиты персональных данных на предприятии.

Что такое персональные данные

Для точного определения того, что представляют собой персональные данные, стоит обратиться к ТК РФ. Трудовой кодекс определяет персональные данные, как сведения, необходимые к передаче работодателю для выполнения рабочих обязанностей.

Большинство данных, предоставляемых нанимателю, являются персональными – это и паспортные данные (этот вид сведений должен находиться под особой защитой организации, так как паспорт является идентификатором личности гражданина), автобиографические сведения (к которым может относиться, например, уровень образования, квалификация).

Распространение подобной информации (или неспособность защитить ее конфиденциальность организацией – оператором) и является наиболее частой причиной обращения сотрудника в суд.

Если человек, скажем, перенес тяжелое заболевание, этот биографический факт может принести ему множество проблем при устройстве на работу – естественно, в такой ситуации ему ничего не остается, кроме как защищать собственные интересы в суде.

Суд принимает сторону истца в таких делах в 99% случаев.

Ответственность за разглашение персональных данных

К сожалению, ответственность, которую несет фирма за неспособность гарантировать защиту персональных данных, только административная, следовательно, ничего, кроме штрафа, ей не угрожает.

Суммы штрафования также невелики – организация обязуется выплатить потерпевшему 5-10 тысяч рублей, а виновное лицо – еще добавить от 500 до 1000 рублей. Естественно, такие цифры точно не окупают того ущерба, который может быть нанесен сотруднику.

Однако компании важно иметь в виду еще несколько аспектов.

Денежные траты – не самые важные из тех, которые может принести нарушение тайны персональных данных. Главным образом это удар по репутации самой компании, которая из-за одной ошибки практически лишается возможности нанимать квалифицированный персонал.

Работать с такой фирмой профессиональные кадры, имеющие выбор, точно не будут.

Как Роскомнадзор проверяет защиту персональных данных

В рамках проверки организации защиты персональных данных Роскомнадзор руководствуется сразу несколькими нормативными актами, такими как Федеральный закон N152 «О персональных данных».

Проверка Роскомнадзора производится, как правило, в трех основных направлениях:

  • Связь.
  • Средства массовой информации.
  • Защита персональных данных.

Причин того, чтобы проверка «нагрянула внезапно», может быть несколько – возможно, организация проходила плановую проверку недавно, и нужно убедиться, насколько учтены вынесенные замечания.

Участие в государственных тендерах дает не только дает шанс заключить выгодную сделку, но и служит своего рода рекламой, которая обеспечивает успешность при общекоммерческих сделках. Подробнее о тендерах на закупку читайте в этой статье.

Также причиной могут быть многочисленные жалобы сотрудников или других лиц, имеющих отношение к организации.

Сама проверка по обработке персональных данных должны длиться не более 20 дней, однако, при необходимости и наличии веских оснований срок может быть продлен руководителем Роскомнадзора еще на 20 дней – это право предусмотрено законом.

При этом в последнее время проверяющие все меньше стали интересоваться документооборотом и все больше – организацией места хранения персональных данных.

Советы руководителям

Главным образом руководителю не стоит показывать свое пренебрежение проверкой Роскомнадзора – инспектор и директор должны работать вместе над обеспечением максимальной эффективности защиты персональных данных.

Еще до начала проверки инспектор должен ознакомить руководителя с подготовленным планом проведения мероприятия.

Также руководитель должен ознакомиться с копией приказа об осуществлении проверки и поставить на ней свою подпись – это дает право инспектору приступить к выполнению собственных обязанностей.

Федеральным законом руководителю даны следующие права при проверке Роскомнадзора по защите персональных данных:

  • Запрашивать у инспектора удостоверение сотрудника Роскомнадзора. Следует понимать, что только лица, указанные в приказе, могут быть допущены к проверке.
  • Присутствовать непосредственно при проверке, давая разъяснительные комментарии инспектору по той или иной ситуации.
  • Требовать у инспектора информацию, относящуюся к предмету проверки.
  • Оспаривать результаты проверки в суде в том случае, если результаты руководитель считает несправедливыми.

Этот документ также должен быть согласован с руководителем организации – если представитель проверяемого доступен для встречи, акт выдается ему под личную подпись, если же нет – документ отправляется на рабочую почту директора, который должен его распечатать, поставить подпись и отправить скан подписанного акта обратно.

При этом директор может приложить к акту документы, подтверждающие, что претензии инспектора к защите данных необоснованные – такие бумаги обязательно будут приняты во внимание.

Как подготовиться к проверке персональных данных Роскомнадзором

Есть несколько рекомендаций, позволяющих подготовиться к проверке организации защиты персональных данных быстро и эффективно.

Стоит правильно распределить внимание. Электронному документообороту едва ли будет уделено много внимания инспектором – такие проверки осуществляют другие организации. Инспектору будет сложно сориентироваться сразу в том комплексе программ, которые используются на предприятии.

На предприятии должны храниться заполненными бланки «согласия сотрудника на обработку персональных данных» (название может немного отличаться). Если таких бумаг нет, то можно предположить, что личные данные о сотрудниках были получены руководителем просто незаконно.

Инспектор может провести опрос среди персонала на предмет того, знают ли они, какие меры предпринимает фирма для защиты их персональных данных.

Естественно, если сотрудники не смогут ничего пояснить по этому поводу, при заполнении итогового акта организация получит «минус». Лучший способ избежать такой ситуации для руководителя – провести предварительный инструктаж по охране личных сведений.

Проблема нехватки времени решается если, если очному обучению предпочесть дистанционные курсы бухгалтерского учета, пройти которые получится при помощи Интернета.

Для того чтобы избежать мошенничества со стороны распадающейся или уже распавшейся фирмы, предусмотрена специальная процедура проверки организации на банкротство о которой можно узнать из этой статьи.

Отнестись к проверке Роскомнадзора нужно серьезно – многочисленные нарушения в охране персональных данных сотрудников на предприятии грозят временным прекращением деятельности и отзывом лицензии, который может стать окончательным, если ошибки в срочном режиме не будут исправлены.

Видео (кликните для воспроизведения).

Источник: http://tvoi.biz/biznes/personalnye-dannye/kak-projti-proverku-zashhity-personal.html

Проверка защиты персональных данных
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here