договорам оказания услуг в соответствии с Положением и другими локальными
нормативными актами организации.
2. Порядок проведения внутреннего контроля
2.1. Внутренний контроль соответствия обработки персональных данных осуществляется
комиссией по плану мероприятий внутреннего контроля, утверждаемому ежегодно
директором образовательной организации.
2.2. Мероприятия внутреннего контроля могут быть внеплановыми по решению комиссии,
если есть фактические основания полагать, что процедура обработки персональных
данных в образовательной организации не соответствует требованиям законодательства
Российской Федерации.
2.3. Состав комиссии утверждается директором образовательной организации.
2.4. Мероприятия внутреннего контроля могут осуществляться как непосредственно на
рабочих местах исполнителей, участвующих в обработке персональных данных, так и
путем направления запросов и рассмотрения документов, необходимых для
осуществления внутреннего контроля.
2.5. При проведении мероприятия внутреннего контроля должны быть полностью,
объективно и всесторонне установлены:
порядок и условия применения организационных и технических мер по
обеспечению безопасности персональных данных при их обработке,
необходимых для выполнения требований к защите персональных данных,
исполнение которых обеспечивает установленные уровни защищенности
персональных данных;
порядок и условия применения средств защиты информации;
эффективность принимаемых мер по обеспечению безопасности персональных
данных;
состояние учета машинных носителей персональных данных;
соблюдение правил доступа к персональным данным;
наличие (отсутствие) фактов несанкционированного доступа к персональным
данным и принятие необходимых мер;
мероприятия по восстановлению персональных данных, модифицированных или
уничтоженных вследствие несанкционированного доступа к ним;
осуществление мероприятий по обеспечению целостности персональных данных.
2.6. Комиссия при проведении внутреннего контроля имеет право:
запрашивать у работников, осуществляющих обработку персональных данных,
информацию и (или) документы, необходимые для осуществления внутреннего
контроля;
требовать у ответственных за обработку персональных данных уточнения,
блокирования или уничтожения недостоверных или полученных незаконным
путем персональных данных;
принимать меры по приостановлению или прекращению обработки
персональных
данных,
осуществляемой
с
нарушением
требований
законодательства Российской Федерации;
вносить предложения о совершенствовании правового, технического и
организационного регулирования обеспечения безопасности персональных
данных при их обработке в образовательной организации;
вносить предложения о привлечении к дисциплинарной ответственности
работников, виновных в нарушении законодательства Российской Федерации в
отношении обработки персональных данных.
2.7. В отношении персональных данных, ставших известными в ходе проведения
мероприятий внутреннего контроля, должна обеспечиваться конфиденциальность.
2.8. Мероприятие внутреннего контроля не может длиться больше 10 рабочих дней. Срок
мероприятия может быть продлен распорядительным актом директора образовательной
организации при наличии оснований, не позволяющих закончить контрольное
мероприятие за 10 рабочих дней.
3. Оформление итогов внутреннего контроля
3.1. Результаты внутреннего контроля соответствия обработки персональных данных
оформляются комиссий в виде акта внутреннего контроля, составленного по форме
согласно Приложению к Положению. Члены комиссии обязаны составлять докладные
записки по итогам контрольных мероприятий, если это предусматривает план
мероприятий внутреннего контроля или распорядительный акт директора
образовательной организации.
3.2. Акт внутреннего контроля подписывается всеми членами комиссии.
3.3. Выявленные в ходе внутреннего контроля нарушения фиксируются в акте
внутреннего контроля с предложениями мероприятий по устранению нарушений и сроков
их выполнения.
3.4. О результатах внутреннего контроля и мерах, необходимых для устранения
выявленных нарушений, по мере необходимости комиссия докладывает на очередном
совещании при директоре образовательной организации, если иное не установлено
распорядительным актом директора образовательной организации.
3.5. Акты внутреннего контроля, докладные записки по итогам контрольных мероприятий
хранятся в запирающемся шкафу в кабинете заместителя директора образовательной
организации.
4. Порядок проведения внутреннего аудита
4.1. Внутренний аудит соответствия обработки персональных данных проводится в
случаях, когда образовательная организация не может объективно оценить соответствие
обработки персональных данных в образовательной организации требованиям
законодательства в сфере обработки персональных данных.
4.2. Внутренний аудит организуется на основании распорядительного акта директора
образовательной организации.
4.3 Внутренний аудит проводит организация, которая в соответствии со своими
учредительными документами занимается оценкой рисков в обработке персональных
данных и возможного вреда, который может быть причинен субъектам персональных
данных в случае нарушения требований Федерального закона от 27.07.2006 № 152-ФЗ «О
персональных данных».
4.4. На время проведения внутреннего аудита директор образовательной организации
назначает ответственного, который должен взаимодействовать с организацией,
проводящей аудит (далее – аудитор).
4.5. Ответственный обязан:
обеспечить аудитора всей необходимой информацией;
организовать условия для работы;
оказывать помощь при возникновении трудностей;
контролировать работу аудитора;
принимать все отчеты аудитора и доводить их до сведения директора
образовательной организации.
4.6. Действия и обязанности аудитора определяются заключенным договором оказания
услуг по проведению внутреннего аудита.
4.7. Документы внутреннего аудита, в том числе итоговые отчеты, хранятся в
запирающемся шкафу в кабинете заместителя директора образовательной организации.
Образец
Приложение
к Положению о внутреннем контроле и (или) аудите
соответствия обработки персональных данных
в МБОУ «Гимназия № 5 города Кизилюрта» требованиям законодательства
в сфере обработки персональных данных
Акт № 1
от 24.01.2022
внутреннего контроля соответствия обработки персональных данных
в МБОУ «Гимназия №5 города Кизилюрта» требованиям законодательства
в сфере обработки персональных данных
Комиссия МБОУ «Гимназия № 5 города Кизилюрта» в составе:
Заместитель директора по безопасности
Гакджимурадов Г.З.
Специалист по кадрам
Муллаева Б.А.
Секретарь
Магомедова А.М.
Системный администратор
Алиев Г.А.
провела внутренний контроль соответствия обработки персональных данных в МБОУ
«Гимназия № 5 города Кизилюрта» требованиям законодательства в сфере обработки
персональных данных в соответствии с планом внутреннего контроля на 2022/2023
учебный год, утвержденным приказом директора МБОУ «Гимназия № 5 города
Кизилюрта».
В ходе контрольных мероприятий проверены:
документы, определяющие основания обработки персональных данных;
утвержденный перечень работников МБОУ «Гимназия № 5 города Кизилюрта»,
имеющих доступ к персональным данным в силу своих служебных
обязанностей;
своевременность мероприятий по уничтожению либо обезличиванию
персональных данных, обрабатываемых в МБОУ «Гимназия № 5 города
Кизилюрта», в связи с достижением целей обработки или утраты необходимости
в достижении этих целей;
отсутствие неправомерно размещенных персональных данных граждан на сайте
МБОУ «Гимназия № 5 города Кизилюрта» и иных общедоступных местах;
Выявленные нарушения:
1. Политика обработки персональных данных не соответствует требованиям
законодательства – нет положений о согласии на обработку персональных данных,
разрешенных субъектом персональных данных для распространения.
2. Меры по устранению нарушений:
1. Необходимо внести изменения в Политику обработки персональных данных и привести
нормы о согласии на обработку персональных данных в соответствие с действующим
законодательством.
3. Срок устранения нарушений: 07.10.2022.
Ответственный за исполнение: Алиев Г.А.
Подписи членов комиссии:
Заместитель директора по безопасности
24.01.2022
Гаджимурадов Г.З
Секретарь
24.01.2022
Магомедова А.М.
Специалист по кадрам
24.01.2022
Муллаева Б.А.
Системный администратор
24.01.2022
А.Г. Алиев
