Внутренний контроль по персональным данным

Правила внутреннего контроля есть почти у всех, а актов проверок — почти ни у кого. Разбираем, что проверять и как это оформить.

Короткий ответ

Внутренний контроль — это регулярная самопроверка: соответствует ли то, как организация обращается с персональными данными, закону и её собственным документам. Проводит его ответственный за организацию обработки. Как часто — закон не устанавливает: организация определяет это сама и записывает в своих документах.

Нормы

Это пункт 4 части 1 статьи 18.1 закона № 152-ФЗ — одна из обязательных мер оператора. Кто его ведёт, сказано в статье 22.1:

Это первая из обязанностей ответственного за организацию обработки по части 4 статьи 22.1.

Почему периодичность выбираете вы

Часть 1 статьи 18.1 говорит, что оператор «самостоятельно определяет состав и перечень мер». Поэтому нормы «раз в квартал» в законе нет. Но раз вы её выбрали, она должна быть записана — в правилах внутреннего контроля и в плане проверок, — и проверки должны идти по этому плану.

Что проверяют на внутреннем контроле

• совпадает ли перечень данных и целей с тем, что происходит на деле;
• подписаны ли согласия и обязательства у новых сотрудников;
• ведутся ли журналы: обращения граждан, носители, инциденты;
• уничтожаются ли данные по истечении сроков;
• не изменились ли сведения в уведомлении в Роскомнадзор: изменения подаются не позднее 15-го числа следующего месяца (часть 7 статьи 22).

Итог проверки оформляется актом или отчётом с датой и подписью.

На чём попадаются

• Правила внутреннего контроля есть, а ни одного акта проверки нет.
• План составлен «на год», но ни одна проверка по нему не проведена.
• Ответственный назначен формально и о своих обязанностях не знает.

Как это проверяют

Вопрос 49 проверочного листа Роскомнадзора — исполняет ли ответственный обязанности по части 4 статьи 22.1, и вопрос 31 — по мерам статьи 18.1. По запросу Роскомнадзора документы и акты нужно представить (часть 4 статьи 18.1).

Ещё по теме