Что должно быть в акте о блокировке ПДн
- Реквизиты документа — дата составления, номер, наименование организации.
- Основание блокировки — ссылка на обращение субъекта ПДн, требование Роскомнадзора, судебное решение или внутренний приказ.
- Перечень заблокированных данных — конкретные массивы или категории ПДн, доступ к которым приостановлен.
- Дата и время блокировки — когда обработка была прекращена.
- Ответственный исполнитель — сотрудник или подразделение, осуществившее блокировку.
- Меры, принятые для блокировки — ограничение доступа в информационных системах, изъятие бумажных носителей, приостановка передачи третьим лицам.
- Заключение — подтверждение, что обработка данных приостановлена до устранения нарушений или до отзыва блокировки.
- Подписи членов комиссии (при необходимости) и утверждение руководителем.
Обоснование по законодательству
- Ст. 21 ФЗ-152 — при подтверждении факта недостоверности ПДн оператор обязан заблокировать их с момента обращения субъекта или получения запроса на период проверки.
- Ст. 18.1 ФЗ-152 — оператор должен документировать процессы обработки и обеспечивать внутренний контроль.
- Ст. 19 ФЗ-152 — меры по безопасности включают в себя фиксацию всех действий с данными, включая блокировку.
Практика и подход Роскомнадзора
Роскомнадзор при проверках уделяет внимание тому, как оператор реагирует на обращения субъектов. В одном случае компания предоставила акты о блокировке данных при получении жалобы — это подтвердило правильность процедур. В другой организации блокировка выполнялась «устно», без оформления акта: проверяющие указали на нарушение ст. 21 ФЗ-152 и вынесли предписание.
Что важно учесть
- Блокировка — это не уничтожение, а временное прекращение любых действий с данными до выяснения обстоятельств.
- Форма акта может быть утверждена внутренним регламентом организации.
- Для системного подхода рекомендуется вести журнал блокировок, куда подшиваются все акты.
Рекомендации и выводы
Да, акт о блокировке ПДн нужен, чтобы доказать, что организация корректно реагирует на запросы субъектов и требования закона. Чтобы минимизировать риски:
- Разработайте форму акта блокировки и утвердите её приказом.
- Включите порядок блокировки ПДн в регламент обработки данных.
- Фиксируйте все случаи блокировки документально и храните акты в составе пакета документов по ФЗ-152.
Компания ICTech поможет вашей организации разработать готовый шаблон акта блокировки ПДн и внедрить его в документооборот. Это обеспечит прозрачность процессов и подтвердит соблюдение требований при проверках Роскомнадзора.
