Внутренний контроль обработки персональных данных

Внутренний контроль обработки персональных данных — одна из обязательных мер оператора: внутренний контроль и (или) аудит соответствия обработки ПДн 152-ФЗ (п. 4 ч. 1 ст. 18.1). Цель — выявить нарушения в обработке ПДн ДО проверки Роскомнадзора. Контроль проводит ответственный за организацию обработки ПДн (ст. 22.1 152-ФЗ) или специально назначенная комиссия. Результат — акт внутреннего контроля с найденными нарушениями и планом устранения. Подробнее — в нашей статье «Внутренний контроль обработки ПДн».

Периодичность внутреннего контроля закон не задаёт: оператор устанавливает её сам в локальном акте (ч. 1 ст. 18.1 152-ФЗ). Контроль выполнения требований к защите ПДн в ИСПДн проводят не реже 1 раза в 3 года (п. 17 ПП-1119). Крупным операторам с большим объёмом ПДн (банки, операторы связи, медицинские учреждения) разумно проводить его раз в полгода или квартально. Регулярный внутренний контроль помогает документально подтвердить соблюдение требований к защите ПДн — это одно из трёх условий снижения оборотного штрафа (ч. 3.4-2 ст. 4.1 КоАП РФ). Также внеплановый контроль стоит провести после: смены ответственного за ПДн, инцидентов безопасности, существенных изменений в обработке (новые ИСПДн, новые подрядчики), изменений в НПА.

Полный чек-лист — 90+ пунктов по 152-ФЗ, ПП РФ №1119, Приказам ФСТЭК №21/№117. Основные группы: (1) Документы — политика обработки ПДн, согласия, приказы, регламенты. (2) Реестр обработок — соответствие фактической обработке. (3) ИСПДн — уровень защищённости, СЗИ с сертификатами ФСТЭК. (4) Сайт — чекбоксы, политика, согласия. (5) Подрядчики — договоры поручения по ст. 6 ч. 3. (6) Сотрудники — обучение, подписанные обязательства. (7) Журналы учёта — наличие и фактическое ведение. (8) Регламент реагирования на инциденты с уведомлением РКН 24/72 ч.

Стандартный пакет: (1) Акт внутреннего контроля обработки ПДн с найденными нарушениями. (2) План устранения с приоритетами и сроками. (3) Протокол проверки. (4) Объяснительные ответственных лиц при выявлении нарушений. (5) Презентация для руководства. Справки и акты внутреннего контроля хранят 5 лет — как документы проверок структурных подразделений (ст. 140 Перечня Росархива № 236). Они могут потребоваться при проверке РКН. Отсутствие документов внутреннего контроля — отдельное нарушение по п. 4 ч. 1 ст. 18.1 152-ФЗ.

Да, это типовая практика — внутренний контроль проводит ответственный за организацию обработки ПДн (ст. 22.1 152-ФЗ) или специальная комиссия из сотрудников. Преимущества: знание специфики организации, низкая стоимость, регулярность. Недостатки: возможна предвзятость, конфликт интересов, нехватка специальных компетенций. Оптимально — чередовать внутренний контроль штатными силами (квартально или раз в полгода) с внешним независимым аудитом (раз в год).

Внутренний контроль — одна из обязательных мер оператора: внутренний контроль и (или) аудит соответствия обработки ПДн 152-ФЗ (п. 4 ч. 1 ст. 18.1), проводится силами организации. Аудит — более широкая, обычно одноразовая проверка, проводится внешними экспертами с независимой оценкой. Внешний аудит 152-ФЗ не требует, если оператор проводит внутренний контроль: п. 4 ч. 1 ст. 18.1 допускает контроль и (или) аудит, а контроль защиты ПДн в ИСПДн оператор вправе проводить сам (п. 17 ПП-1119). На практике эффективная стратегия: внутренний контроль раз в полгода + внешний аудит раз в год + pentest для критичных систем.

Комплекс работ за 2-3 недели: (1) Подготовка к контролю — программа проверки, чек-лист, шаблоны документов. (2) Проведение контроля — выезд эксперта, интервью с ответственными, проверка ИСПДн и документов. (3) Подготовка акта с найденными нарушениями. (4) План устранения с приоритетами. (5) Обучение ответственных за ПДн методике проведения внутреннего контроля силами организации в будущем. (6) Сопровождение — консультации в течение 3 месяцев после поставки.

По п. 4 ч. 1 ст. 18.1 152-ФЗ внутренний контроль и (или) аудит — обязательная мера. Регулярный внутренний контроль помогает документально подтвердить соблюдение требований к защите ПДн — это одно из трёх условий снижения оборотного штрафа за повторную утечку (ч. 3.4-2 ст. 4.1 КоАП РФ). Сам этот штраф — 1–3 % выручки: по ч. 15 ст. 13.11 не менее 20 млн ₽, по ч. 18 — не менее 25 млн ₽, в обоих случаях не более 500 млн ₽.