Правила внутреннего контроля за соответствием обработки персональных данных требованиям к защите персональных данных

На что обратить внимание

Юрист отметил в этом документе:

• Журнал внутреннего контроля имеет прямую денежную ценность: по части 3.4-2 статьи 4.1 Кодекса Российской Федерации об административных правонарушениях смягчающим обстоятельством признаются расходы на информационную безопасность не менее 0,1 процента годовой выручки три года подряд вместе с подтверждением соответствия проверкой, проведённой не ранее чем за 12 месяцев до инцидента. Без документов о проведённых проверках это смягчающее обстоятельство не применяется.
• Штрафы по статье 13.11 Кодекса Российской Федерации об административных правонарушениях для юридического лица: неуведомление о инциденте — от 1 до 3 миллионов рублей, утечка от 1 000 до 10 000 субъектов — от 3 до 5 миллионов, от 10 000 до 100 000 — от 5 до 10 миллионов, свыше 100 000 и специальные категории — от 10 до 15 миллионов, биометрия — от 15 до 20 миллионов. Повторная утечка — от 1 до 3 процентов годовой выручки, но не менее 20 и не более 500 миллионов рублей.
• Неправомерные сбор, передача, использование или хранение персональных данных, полученных незаконным путём, образуют состав преступления по статье 272.1 Уголовного кодекса Российской Федерации с наказанием до десяти лет лишения свободы по части 5. Ответственность здесь персональная — она ложится на конкретных работников оператора.
• Сроки, соблюдение которых проверяется: уведомление уполномоченного органа об инциденте — 24 часа с момента выявления и 72 часа на результаты внутреннего расследования; уведомление об изменении сведений — не позднее 15-го числа месяца, следующего за месяцем изменений; о прекращении обработки — 10 рабочих дней; ответ на запрос субъекта — 10 рабочих дней с продлением не более чем на 5 рабочих дней.
• Нотариального удостоверения и государственной регистрации документ не требует. Публикации подлежит только политика оператора в отношении обработки персональных данных; настоящие Правила размещению в открытом доступе не подлежат — они раскрывают организацию защиты.
• Перечень обязательных документов по постановлению Правительства Российской Федерации от 21.03.2012 № 211 установлен для операторов, являющихся государственными или муниципальными органами. Для остальных операторов он служит ориентиром, а обязанность вести внутренний контроль вытекает непосредственно из статьи 18.1 Федерального закона № 152-ФЗ.
• Внутренний контроль и оценка эффективности мер защиты — разные процедуры: первая проводится по настоящим Правилам с установленной в них периодичностью, вторая — не реже одного раза в три года по приказу ФСТЭК России от 18.02.2013 № 21. Подменять одну другой нельзя.