Когда в компании выявляются нарушения в обработке или защите персональных данных, важно не только их устранить, но и документально подтвердить выполненную работу. Отчётность позволяет продемонстрировать, что оператор действует в соответствии с требованиями ФЗ-152 и реально управляет рисками.
Обоснование по законодательству
- ФЗ-152, ст. 19 — предписывает оператору обеспечивать внутренний контроль и принимать меры по предотвращению и устранению нарушений.
- ФЗ-152, ст. 18.1, ч. 1, п. 7 — оператор обязан принимать меры, направленные на предотвращение нарушений законодательства о ПДн.
- Приказ ФСТЭК № 21 от 18.02.2013 — требует документировать результаты проверок и мероприятий по обеспечению защиты информации.
Документы, которые формируют отчётность по устранению нарушений
- Акт проверки или выявления нарушения — фиксирует, что именно было нарушено и на каком этапе.
- План корректирующих мероприятий — определяет, какие шаги необходимо предпринять для устранения нарушения, сроки и ответственных лиц.
- Приказ о проведении корректирующих мероприятий (опционально) — может утверждать план и назначать ответственных.
- Отчёт об устранении нарушения — отдельный документ или итоговая часть плана, где фиксируется, что меры выполнены.
- Акты или протоколы выполненных действий — например, акт об уничтожении ПДн, приказ о внесении изменений в документы, отчёт об обновлении ПО.
- Журнал нарушений (если ведётся) — в нём фиксируется факт устранения с датой и подписью ответственного.
Практика проверок Роскомнадзора
Инспекторы часто требуют показать не только акты проверок, но и документы, подтверждающие исправление нарушений. Если у компании есть план, акты выполнения и итоговый отчёт, это демонстрирует системность работы. Если нарушения фиксируются без документального подтверждения устранения, оператор рискует получить предписание и штраф.
Что важно учитывать
- Отчёт об устранении нарушений должен быть подписан ответственным лицом или комиссией.
- Все документы должны храниться вместе с материалами проверки.
- Желательно оформлять итоговый сводный отчёт (например, раз в год), где указываются все выявленные и устранённые нарушения.
Рекомендации и выводы
Для подтверждения устранения нарушений по ПДн организация должна иметь: акт проверки, план корректирующих мероприятий, итоговый отчёт с актами выполненных действий и отметкой об исполнении. Такая документация снижает риски при проверках Роскомнадзора и показывает, что компания реально управляет безопасностью данных.
