Назначение и область применения приказа. Приказ утверждает перечень категорий персональных данных и конкретных носителей, обработка которых осуществляется без средств автоматизации. Приказ действует во всех подразделениях организации, утверждается руководителем и определяет ответственность за организацию обработки персональных данных и порядок учёта таких носителей.
Содержание перечня и обязательные реквизиты. Перечень должен содержать: наименование категории ПДн, точное описание носителя и его мест хранения, цель обработки, список работников с доступом и основания доступа, а также указание на раздельное хранение носителей при обработке в разных целях. Объём включаемых данных не должен быть избыточен по целям обработки.
Триггеры для создания и внесения изменений. Приказ или приложение-перечень обновляют при появлении новых бумажных форм, изменении мест хранения носителей, изменении круга лиц с доступом, при миграции носителей в информационную систему и при изменении целей обработки. Решение об изменении инициирует ответственный за организацию обработки персональных данных и оформляется локальным актом.
Практические шаги по внедрению. Алгоритм: ответственный за организацию обработки подготавливает проект перечня с приложением-инвентаризацией носителей, согласует с руководителем подразделений, после утверждения приказом организует доведение до сотрудников и маркировку носителей; фиксирует выдачу и хранение бумажных носителей в журнале. Внедряют правила доставки, хранения и доступа к носителям и обучают работников процедурам безопасной работы с носителями.
Типичные ошибки проверяющих и контрольный список. Частые замечания: отсутствие указания мест хранения, неполные списки лиц с доступом, смешение носителей разных целей обработки, включение избыточных данных. При проверке полезно сверить наличие приказа и приложения-инвентаризации, отметки о маркировке носителей, регистрацию выдачи и протоколы обучения сотрудников.
Позвонить