Распоряжение ОАО «РЖД» от 12.10.2016 № 2085р

«О контроле за соблюдением режима защиты персональных данных в ОАО „РЖД“»

ОТКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО «РОССИЙСКИЕ ЖЕЛЕЗНЫЕ ДОРОГИ»

РАСПОРЯЖЕНИЕ

от 12 октября 2016 г. № 2085р

О КОНТРОЛЕ ЗА СОБЛЮДЕНИЕМ РЕЖИМА ЗАЩИТЫ

В целях организации контроля за соответствием обработки персональных данных требованиям законодательства Российской Федерации и совершенствования мер по обеспечению защиты персональных данных в ОАО «РЖД»:

1. Утвердить прилагаемое Положение об организации контроля за соблюдением режима защиты персональных данных в ОАО «РЖД».

2. Руководителям подразделений аппарата управления, филиалов и структурных подразделений ОАО «РЖД»:

а) принять к руководству Положение, утвержденное настоящим распоряжением;

б) ознакомить под подпись с Положением, утвержденным настоящим распоряжением, ответственных за организацию обработки персональных данных и уполномоченных на обработку персональных данных.

3. Первому заместителю начальника Департамента управления дочерними и зависимыми обществами Кусту С.А.:

а) обеспечить доведение утвержденного настоящим распоряжением Положения до дочерних и зависимых обществ ОАО «РЖД»;

б) инициировать проведение дочерними и зависимыми обществами ОАО «РЖД» корпоративных процедур по разработке и утверждению соответствующих внутренних документов, подготовленных на основе Положения, утвержденного настоящим распоряжением.

4. Начальнику Управления по защите персональных данных Ерину Л.Т. обеспечить контроль за соблюдением режима защиты персональных данных в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД» в соответствии с Положением, утвержденным настоящим распоряжением.

5. Контроль за исполнением настоящего распоряжения возложить на вице-президента Федосеева Н.В.

ПОЛОЖЕНИЕ ОБ ОРГАНИЗАЦИИ КОНТРОЛЯ ЗА СОБЛЮДЕНИЕМ РЕЖИМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В ОАО «РЖД»

I. Общие положения

1. Настоящее Положение, разработанное в соответствии с федеральными законами «О персональных данных» и «Об информации, информационных технологиях и о защите информации», политикой ОАО «РЖД» по обработке и защите персональных данных, иными нормативными правовыми актами Российской Федерации и нормативными документами ОАО «РЖД», определяет порядок организации контроля за соблюдением режима защиты персональных данных в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД».

2. В настоящем Положении используются следующие термины и понятия:

1. информационная безопасность — состояние защищенности информации, при котором обеспечиваются такие ее характеристики, как конфиденциальность, целостность и доступность;

2. инциденты, связанные с нарушениями режима защиты персональных данных — одно или ряд нежелательных или непредвиденных событий, которые могут нарушить режим защиты персональных данных;

3. контроль процедур, связанных с компьютерной обработкой информации и информационными системами (компьютерный контроль) — контроль доступа, целостности, внесения изменений в информационные системы, обрабатывающие персональные данные, уровня защищенности персональных данных;

4. режим защиты персональных данных — нормативно установленные правила, определяющие ограничения доступа к персональным данным, порядок передачи и условия их хранения;

5. событие информационной безопасности — определенное проявление состояния системы, информационной службы (сервиса) или информационного ресурса, указывающее на возможные недостатки в политике информационной безопасности или недостатки мер защиты, или ранее неизвестную ситуацию, которая может повлиять на безопасность персональных данных;

6. средства защиты информации — технические, программные, программно-технические средства, предназначенные или используемые для защиты информации.

3. Контроль за соблюдением режима защиты персональных данных осуществляется путем мониторинга и проверок, организуемых ответственными за организацию обработки персональных данных в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД».

Контроль и координацию работы ответственных за организацию обработки персональных данных в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД» осуществляет Управление по защите персональных данных (далее — Управление).

4. Ответственные за организацию обработки персональных данных в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД» представляют в Управление аналитическую справку, содержащую результаты мониторинга режима защиты персональных данных, с выводами о состоянии защищенности персональных данных и предложениями по повышению уровня их безопасности и совершенствованию режима защиты персональных данных, а также статистический отчет о контроле за соблюдением режима защиты персональных данных с пояснительной запиской к нему по форме согласно приложению № 1.

Указанные документы за первое полугодие направляются в Управление до 15 июля текущего года, за второе полугодие — до 15 января следующего года.

5. Управление для проведения проверок и контроля процедур, связанных с компьютерной обработкой информации и информационными системами, оценки причиненного (возможного) материального или иного вреда субъекту персональных данных, а также ущерба коммерческим интересам и минимизации имиджевых рисков ОАО «РЖД» может в установленном ОАО «РЖД» порядке привлекать подразделения аппарата управления, филиалы, структурные подразделения и дочерние и зависимые общества ОАО «РЖД» с учетом специфики их деятельности, а также на договорной основе юридических лиц и индивидуальных предпринимателей.

6. Контроль процедур, связанных с компьютерной обработкой информации и информационными системами, осуществляется в соответствии с пунктом 17 требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119, регулярно, не реже 1 раза в 3 года.

7. Целью контроля за соблюдением режима защиты персональных данных является оценка соответствия обработки персональных данных требованиям законодательства Российской Федерации в области обработки и защиты персональных данных, требованиям к защите персональных данных, политике ОАО «РЖД» по обработке и защите персональных данных и другим нормативным документам ОАО «РЖД».

8. Задачами контроля за соблюдением режима защиты персональных данных являются:

1. проверка выполнения требований законодательства Российской Федерации и нормативных документов ОАО «РЖД» в области обработки и защиты персональных данных;

2. проверка соблюдения прав субъектов персональных данных;

3. выявление недостатков и нарушений режима защиты персональных данных, установление причин их возникновения, а также выработка предложений, направленных на их устранение и предотвращение;

4. проверка уровня защищенности персональных данных;

5. проверка порядка и условий применения средств защиты информации, используемых в информационных системах, обрабатывающих персональные данные;

6. проверка порядка организации доступа к персональным данным;

7. проверка соблюдения требований конфиденциальности при обработке персональных данных;

8. проверка организации учета, хранения и использования материальных носителей персональных данных.

II. Мониторинг соблюдения режима защиты персональных данных

9. Мониторинг соблюдения режима защиты персональных данных (далее — мониторинг) представляет собой постоянное наблюдение за процессом обработки и защиты персональных данных в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД», а также сбор, анализ и обобщение результатов наблюдения с целью определения его текущего состояния и соответствия законодательству Российской Федерации и нормативным документам ОАО «РЖД».

10. Мониторингу подлежат:

1. своевременность назначения ответственного за организацию обработки персональных данных;

2. актуальность списков работников, уполномоченных на обработку персональных данных;

3. включение обязанностей ответственных за организацию обработки персональных данных, а также уполномоченных на обработку персональных данных в их должностные инструкции;

4. актуальность перечней помещений, в которых хранятся материальные носители персональных данных;

5. учет машинных носителей персональных данных;

6. порядок организации доступа к персональным данным;

7. порядок и условия применения средств защиты информации, используемых в информационных системах, обрабатывающих персональные данные;

8. соблюдение требований конфиденциальности при обработке персональных данных;

9. рассмотрение обращений субъектов персональных данных по вопросам нарушений обработки персональных данных;

10. иные события информационной безопасности, которые могут повлиять на соблюдение режима защиты персональных данных.

11. По факту выявленных в процессе мониторинга инцидентов, связанных с нарушениями режима защиты персональных данных, проводится проверка и принимаются меры к их устранению.

По результатам проверки осуществляется анализ причин возникновения инцидентов и проводятся мероприятия по их недопущению в дальнейшем.

12. Мониторинг соблюдения режима защиты персональных данных, обрабатываемых в информационных системах, проводится с помощью программного обеспечения, применяемого в этих информационных системах.

По согласованию с ответственным за организацию обработки персональных данных в ОАО «РЖД» для проведения мониторинга могут использоваться специальные программно-технические средства сбора, анализа событий информационной безопасности и уведомления об их возникновении.

13. Ответственные за организацию обработки персональных данных в филиалах и структурных подразделениях ОАО «РЖД» информируют Управление не позднее чем за месяц:

1. об определении уровня защищенности персональных данных при их обработке во вводимых в эксплуатацию новых информационных системах;

2. о вводе в эксплуатацию новых и модернизации эксплуатируемых информационных систем, обрабатывающих персональные данные, в соответствии с планом информатизации ОАО «РЖД»;

3. об изменении уровня защищенности персональных данных, обрабатываемых в информационной системе, в случае изменения состава, категорий, объема персональных данных, принадлежности персональных данных работникам ОАО «РЖД» или иным субъектам персональных данных;

4. об изменении состава средств защиты информации, применяемых в информационных системах, обрабатывающих персональные данные;

5. об аттестации по требованиям безопасности информации вводимых в эксплуатацию информационных систем, в которых планируется обработка персональных данных;

6. о переаттестации по требованиям безопасности информации информационных систем, обрабатывающих персональные данные, в случае окончания срока действия аттестата соответствия или модернизации информационных систем, вызывающей необходимость переаттестации.

III. Организация и проведение проверок соблюдения режима защиты персональных данных

14. Проверке соблюдения режима защиты персональных данных (далее — проверка) подлежат подразделения аппарата управления, филиалы и структурные подразделения ОАО «РЖД», в которых осуществляется обработка персональных данных.

15. Проверки могут организовываться:

1. в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД» — Управлением;

2. в филиалах и структурных подразделениях ОАО «РЖД» — ответственными за организацию обработки персональных данных в этих подразделениях.

16. Для проведения проверки приказом начальника Управления (руководителя филиала или структурного подразделения ОАО «РЖД») образуется комиссия численностью не менее 3 человек.

17. Основанием для проверки является предписание о ее проведении, составленное в 2 экземплярах по форме согласно приложению № 2, которое подписывается ответственным за организацию обработки персональных данных в ОАО «РЖД» (руководителем филиала или структурного подразделения ОАО «РЖД»).

Председатель комиссии представляет предписание о проведении проверки руководителю проверяемого подразделения, который подписывает его. Второй экземпляр предписания остается у председателя комиссии.

18. Проверки подразделяются на плановые, внеплановые и контрольные.

Длительность проверки не может превышать 20 календарных дней.

19. План проверок на следующий год, проводимых Управлением, утверждается ответственным за организацию обработки персональных данных в ОАО «РЖД». Выписка из плана направляется руководителям проверяемых подразделений.

20. План проверок на следующий год, проводимых филиалами и структурными подразделениями ОАО «РЖД», утверждается руководителями этих подразделений. Копия плана направляется в Управление до 1 декабря текущего года, выписка из плана направляется руководителям проверяемых подразделений.

21. Руководитель проверяемого подразделения письменно уведомляется о плановой проверке не менее чем за 10 календарных дней до ее начала. В уведомлении указываются сроки проведения проверки, перечень вопросов, которые будут рассматриваться в ходе проверки, а также требования к организации и проведению проверки.

22. Внеплановая проверка в подразделениях аппарата управления, филиалах и структурных подразделениях ОАО «РЖД» проводится по указанию президента ОАО «РЖД», вице-президентов, а также руководителя филиала или структурного подразделения ОАО «РЖД» в случае наличия инцидента, связанного с нарушениями режима защиты персональных данных.

23. Контрольная проверка проводится для оценки полноты устранения нарушений, выявленных в ходе плановой или внеплановой проверки, после завершения мероприятий, предусмотренных планом устранения нарушений, но не позднее одного года с даты завершения проверки.

24. При проведении проверок федеральными органами исполнительной власти, осуществляющими контроль и надзор в области обработки и защиты персональных данных (Роскомнадзор, ФСТЭК России, ФСБ России), руководителям подразделений ОАО «РЖД» необходимо руководствоваться Положением о порядке действия подразделений ОАО «РЖД» при проведении проверок органами, уполномоченными на осуществление государственного контроля (надзора) и муниципального контроля, при исполнении и обжаловании актов и предписаний этих органов и устранении причин, послуживших основанием для привлечения ОАО «РЖД» к административной ответственности, утвержденным распоряжением ОАО «РЖД» от 9 марта 2016 г. № 375р.

При получении от указанных федеральных органов уведомления о планируемой проверке руководитель проверяемого подразделения в 3-дневный срок направляет в Управление копию уведомления, а после завершения проверки — копию акта проверки с соответствующим предписанием (при наличии).

IV. Права, обязанности и ответственность комиссии

25. Члены комиссии руководствуются при проведении проверки настоящим Положением и другими нормативными и методическими документами ОАО «РЖД».

26. Председатель комиссии:

1. организует взаимодействие с руководителем проверяемого подразделения по вопросам, рассматриваемым в ходе проверки;

2. устанавливает по согласованию с руководителем проверяемого подразделения время ежедневного пребывания членов комиссии в служебных помещениях в течение срока проверки с учетом режима работы подразделения;

3. по согласованию с начальником Управления (руководителем филиала или структурного подразделения ОАО «РЖД», подписавшим предписание о проведении проверки) может ознакомить руководителя проверяемого подразделения с проектом акта проверки и иными материалами проверки до ее завершения.

27. Члены комиссии имеют право:

1. входить в служебные помещения проверяемого подразделения в сопровождении работников проверяемого подразделения;

2. пользоваться необходимыми для проведения проверки техническими средствами;

3. запрашивать в проверяемом подразделении необходимые для проведения проверки документы (сведения);

4. проводить беседы и консультации с работниками проверяемого подразделения, требовать предоставления письменных справок, отчетов по вопросам, рассматриваемым в ходе проверки;

5. снимать копии с документов проверяемого подразделения для приобщения к материалам проверки;

6. знакомиться с документацией на используемые проверяемым подразделением автоматизированные рабочие места и информационные системы, обрабатывающие персональные данные;

7. запрашивать от работников проверяемого подразделения информацию о функционировании автоматизированных рабочих мест и информационных систем, обрабатывающих персональные данные;

8. требовать от работников проверяемого подразделения демонстрации своей работы на автоматизированных рабочих местах с информационными системами, обрабатывающими персональные данные, включая выборку необходимой информации;

9. направлять запросы в другие подразделения ОАО «РЖД» с целью получения дополнительной информации по вопросам, рассматриваемым в ходе проверки.

28. Члены комиссии несут ответственность в соответствии с законодательством Российской Федерации за разглашение полученных в ходе проверки сведений конфиденциального характера.

V. Обязанности руководителя и работников проверяемого подразделения

29. Руководитель проверяемого подразделения:

1. информирует работников о цели и характере проверки;

2. определяет работников подразделения, в число которых должен входить ответственный за организацию обработки персональных данных, для работы с членами комиссии;

3. обеспечивает доступ к документам (сведениям) в ходе проведения проверки, а также иные условия для проведения проверки.

30. Руководитель и работники проверяемого подразделения в период проверки обязаны:

1. содействовать комиссии в проведении проверки;

2. обеспечивать беспрепятственный доступ членов комиссии в служебные помещения проверяемого подразделения;

3. предоставлять при необходимости членам комиссии рабочие места в служебном помещении проверяемого подразделения;

4. демонстрировать членам комиссии свою работу на автоматизированных рабочих местах с информационными системами, содержащими персональные данные, включая выборку необходимой информации;

5. предоставлять документы (сведения), необходимые для проведения проверки, в сроки, установленные председателем комиссии.

В случае отсутствия документов (сведений), необходимых для проведения проверки, и (или) возникновения обстоятельств, препятствующих их предоставлению, руководитель проверяемого подразделения представляет председателю комиссии письменное объяснение о невозможности выполнения требований настоящего подпункта с указанием причин.

VI. Оформление результатов проверки

31. Результаты проверки подразделения отражаются в акте проверки, который составляется в 2 экземплярах по форме согласно приложению № 3 на бумажном носителе.

32. Аналитическая часть акта проверки содержит сведения:

1. о документах (сведениях), предоставленных и не предоставленных проверяемым подразделением в ходе проведения проверки;

2. о выполнении проверяемым подразделением требований законодательства Российской Федерации и нормативных документов ОАО «РЖД» в области обработки и защиты персональных данных, о принятых мерах по защите персональных данных;

3. о выявленных нарушениях режима защиты персональных данных с указанием места и времени совершения нарушений;

4. о невыполнении требований нормативных правовых актов Российской Федерации и нормативных документов ОАО «РЖД» в области обработки и защиты персональных данных;

5. об устранении проверяемым подразделением выявленных нарушений на дату завершения проверки.

Выявленные нарушения отражаются в акте проверки с учетом их значимости для оценки состояния режима защиты персональных данных.

33. Заключительная часть акта проверки содержит обобщенную информацию об основных результатах проверки и выводы комиссии по результатам ее проведения.

34. Акт проверки составляется не позднее 10 календарных дней с даты окончания проверки и подписывается председателем и членами комиссии.

В случае невозможности подписания акта проверки каким-либо членом комиссии (болезнь, отпуск, служебная командировка и иные объективные причины) председатель комиссии делает в акте соответствующую отметку.

35. Экземпляр акта проверки направляется руководителю проверяемого подразделения не позднее 10 календарных дней с даты окончания проверки.

36. Руководитель проверяемого подразделения не позднее 10 рабочих дней с даты получения акта проверки утверждает план устранения нарушений, который направляется в Управление (руководителю филиала или структурного подразделения ОАО «РЖД», подписавшему предписание о проведении проверки).

37. Сведения о проверке отражаются в журнале учета проверок соблюдения режима защиты персональных данных в ОАО «РЖД», который ведется в Управлении (филиале и структурном подразделении ОАО «РЖД») по форме согласно приложению № 4.

38. По результатам проверки председатель комиссии представляет начальнику Управления (руководителю филиала или структурного подразделения ОАО «РЖД») докладную записку с приложением акта проверки.

39. Начальник Управления информирует в установленном порядке ответственного за организацию обработки персональных данных в ОАО «РЖД» о результатах проведения проверки.

    о контроле за соблюдением режима защиты персональных данных

    в _________________________________________________________
                (наименование подразделения ОАО "РЖД")
    за ________________________________________________________
                               (период)

<*> Трансграничная передача - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.

ПОЯСНИТЕЛЬНАЯ ЗАПИСКА к статистическому отчету о контроле за соблюдением режима защиты персональных данных

К статистическому отчету прилагается пояснительная записка, содержащая следующую информацию:

по пункту 1 - указывается общее количество проверок, проведенных контролирующими и надзирающими органами;

по подпунктам 1.1 - 1.5 - указывается количество, вид, период проверок, мероприятия по контролю, проведенные в ходе проверок, информация об отсутствии или наличии нарушений с названием вида нарушения и нарушенных нормативно-правовых актов;

по подпунктам 2.1 - 2.5 - указывается количество полученных предписаний об устранении выявленных нарушений с содержанием нарушения и предписания, сроки устранения;

по подпунктам 3.1 - 3.5 - указывается количество полученных протоколов об административных правонарушениях, кем, в отношении кого составлен протокол, событие административного правонарушения со ссылкой на нарушенные нормы законодательства, результаты рассмотрения дела;

по пункту 4 - указывается количество, вид, период проверок, перечень вопросов рассмотренных в ходе проверки, результаты проверки;

по пункту 5 - излагается суть и результаты рассмотренных обращений (запросов) субъектов персональных данных или уполномоченного органа по защите прав субъектов персональных данных о нарушениях обработки персональных данных;

по пункту 6 - дается краткое описание выявленных нарушений режима защиты персональных данных как при автоматизированной, так и неавтоматизированной обработке персональных данных, с указанием со ссылкой на нарушенные нормы законодательства и нормативные документы ОАО "РЖД" в области обработки и защиты персональных данных, а также результаты проверки;

по подпунктам 7.1 - 7.3 - указываются сведения, содержащиеся в заключении о результатах проведенного служебного расследования по фактам утраты материальных носителей, разглашения персональных данных либо неправомерной обработки персональных данных;

по пункту 8 - указываются сведения о привлечении виновных работников ОАО "РЖД" к дисциплинарной и (или) материальной ответственности по результатам служебного расследования;

по пункту 9 - дается краткое описание материалов, направленных по инициативе руководителя подразделения ОАО "РЖД" в правоохранительные и контролирующие органы, в отношении лиц, допустивших утрату материальных носителей персональных данных, разглашение либо неправомерную обработку персональных данных субъектов персональных данных и требующих уголовно-правового, административного или иного преследования уполномоченными органами государства. Указываются также принятые по ним решения;

по пункту 10 - указываются сведения о договорах, заключенных с третьими лицами на обработку персональных данных, в том числе состав персональных данных субъектов персональных данных, перечень действий (операций) с персональными данными и цели обработки;

по пункту 11 - указываются названия иностранных государств, на территорию которых осуществлялась трансграничная передача, состав персональных данных субъектов персональных данных и цели трансграничной передачи.

Дополнительно при трансграничной передаче персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, указываются случаи осуществления трансграничной передачи в соответствии с пунктом 70 Порядка обработки и обеспечения режима защиты персональных данных работников ОАО "РЖД", утвержденного приказом ОАО "РЖД" от 20 июля 2016 г. N 60.

Приложение N 2 к Положению об организации контроля за соблюдением режима защиты персональных данных в ОАО "РЖД"

                   ОТКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО
                   "РОССИЙСКИЕ ЖЕЛЕЗНЫЕ ДОРОГИ"
                            (ОАО "РЖД")

ПРЕДПИСАНИЕ о проведении проверки

от «» ____________ 20 г. N _____

В соответствии с __________________________________________________________ (основание для проведения проверки)

комиссии в составе: председатель комиссии _____________________________________________________ (должность, Ф.И.О.) и члены комиссии: _________________________________________________________ (должность, Ф.И.О.) поручается провести проверку _____________________________________________. (наименование подразделения ОАО «РЖД») __________________________________________________________________________.

Вопросы, рассматриваемые в ходе проверки: _________________________________ __________________________________________________________________________.

Предписание действительно с «» _________ 20 г. до «» ________ 20 г.

  (должность)              (подпись)          (расшифровка подписи)

«» ____________ 20 г.

Печать

за соблюдением режима защиты персональных данных в ОАО «РЖД»

Экз. N _____

                   ОТКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО
                   "РОССИЙСКИЕ ЖЕЛЕЗНЫЕ ДОРОГИ"
                            (ОАО "РЖД")

АКТ ПРОВЕРКИ

Дата начала проверки «» ____________ 20 г. Дата окончания проверки «» ____________ 20 г.

Место проведения проверки ________________________________________________. (адрес проверяемого подразделения ОАО «РЖД»)

Настоящий акт составлен по результатам проверки ___________________________ __________________________________________________________________________, (наименование подразделения ОАО «РЖД»)

проведенной на основании __________________________________________________

__________________________________________________________________________. (аналитическая и заключительная части акта проверки)

Приложение: __________________________________________________ на ______ л. (с указанием прилагаемых документов и их копий)

Настоящий акт составлен в двух экземплярах.

Председатель комиссии               ___________ ___________________________
                                     (подпись)     (расшифровка подписи)

Члены комиссии:                     ___________ ___________________________
                                     (подпись)     (расшифровка подписи)

«» ____________ 20 г.

С актом проверки подразделения ознакомлен: