Статья 27. Обеспечение оператором и держателем персональных данных конфиденциальности и безопасности персональных данныхПостановление № 48-9 Межпарламентской Ассамблеи государств-участников СНГ

Оператор (держатель) персональных данных при обороте и (или) обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним (если персональные данные не являются общедоступными), уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных или с их использованием.

Оператор (держатель) персональных данных в целях обеспечения безопасности персональных данных:

• определяет угрозы безопасности персональных данных при их обработке или обороте;
• применяет необходимые для выполнения установленных законодательством требований к защите персональных данных организационные и технические меры по обеспечению безопасности персональных данных при их обработке или обороте;
• применяет установленную в национальном законодательстве процедуру оценки соответствия средств защиты информации, если это предусмотрено национальным законодательством;
• производит оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы, базы персональных данных;
• осуществляет учет машинных (в том числе электронных) носителей персональных данных и контроль за их использованием;
• выявляет факты неправомерного доступа к персональным данным и принимает меры для восстановления режима конфиденциальности и безопасности персональных данных, а также для устранения вреда, нанесенного в результате неправомерного доступа к персональным данным;
• осуществляет восстановление персональных данных, модифицированных или уничтоженных вследствие неправомерного доступа к ним;
• устанавливает правила доступа к персональным данным, обрабатываемым в информационной системе, базе персональных данных, а также в определенных законом случаях обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе, базе персональных данных;

- осуществляет контроль за принимаемыми мерами по обеспечению безопасности персональных данных и соответствующего уровня защищенности информационных систем, баз персональных данных.