Назначение документа. Акт фиксирует результат профессиональной оценки того, какой вред может быть причинён субъектам персональных данных при конкретных операциях обработки и в конкретной информационной системе. На его основе принимают решение о наборе и соразмерности мер защиты и документируют ответственность за их реализацию; акт служит подтверждением для внутреннего и внешнего контроля.
Область применимости и границы. Акт применяется к операциям обработки и информационным системам, где возможен вред субъектам ПДн, в том числе при запуске новых сервисов, значительных изменениях процессов, интеграции с внешними сервисами или изменении условий доступа. Для рутинных операций документ должен ссылаться на соответствующие типовые оценки, если такие закреплены во внутренних регламентах.
Роли и ответственные. Подготовку выполняют профильные специалисты подразделений, сотрудники по защите персональных данных и при необходимости экспертная комиссия; итог утверждает ответственный за организацию обработки персональных данных или специально назначенная комиссия. В акте указывайте исполнителей, утверждающего, дату утверждения и способ хранения версии акта.
Структура и обязательные реквизиты. Акт должен содержать описание операции обработки, критерии оценки, вывод о степени вреда, обоснование выбора степени и перечень рекомендуемых мер. Нормативный акт устанавливает обязательный набор реквизитов, поэтому при оформлении сверяйтесь с перечнем реквизитов и не пропускайте обязательные поля.
Методика оценки степени вреда. Оценка проводится по предписанной шкале с тремя степенями вреда и по закрытым перечням типичных ситуаций; при применимости разных степеней выбирают более высокую и дают аргументацию. Результат сопоставляют с мерами защиты, чтобы подтвердить их соразмерность выявленному уровню вреда.
Актуализация и сопровождение акта. Периодичность нормативно не установлена; актуализация запускается при изменении условий обработки, внедрении новых технологий, масштабировании операций или появлении новой нормативной практики. Внутренний регламент должен закрепить ответственного за мониторинг триггеров, порядок рассмотрения изменений и формат фиксации новой редакции.
Типичные ошибки и вопросы проверяющему. Частые ошибки - неполное описание операции, отсутствие обоснования выбора степени вреда, несоответствие рекомендованных мер выявленным рискам и отсутствие утверждения с датой. При проверке спросите, приведены ли аргументы для выбранной степени вреда, сохранена ли история версий, отражены ли ответственные за внедрение мер и имеются ли ссылки на подтверждающие материалы.
Позвонить