Алексей Ветров
Эксперт по защите данных IC-TECH
Да, оформление протоколов проверки прав доступа сотрудников — это важная часть внутреннего контроля в сфере защиты персональных данных. Хотя прямого требования в ФЗ-152 о протоколах нет, обязанность документально фиксировать организационные меры по безопасности ПДн закреплена в законе и методических документах ФСТЭК и Роскомнадзора.
Обоснование по законодательству
- ФЗ-152, ст. 19 — оператор обязан принимать организационные и технические меры для защиты ПДн, в том числе контроль за доступом сотрудников.
- Приказ ФСТЭК России № 21 от 18.02.2013 (о составе и содержании организационных и технических мер защиты ПДн) — предписывает вести учёт и контроль прав доступа.
- Методические рекомендации Роскомнадзора — при проверках запрашиваются документы, подтверждающие разграничение и контроль прав доступа.
Практика проверок Роскомнадзора
На практике РКН проверяет не только факт назначения ответственных лиц и наличие положений о разграничении доступа, но и то, как компания фиксирует контроль. В одной из проверок оператор имел регламент по управлению доступом, но не вел протоколы проверок — в результате РКН указал на «отсутствие доказательств фактического контроля».
Что должно быть в протоколе
- Дата и время проверки.
- Список сотрудников и их права доступа к ИСПДн.
- Сравнение с утверждённым перечнем допущенных лиц.
- Выявленные нарушения (если есть).
- Подписи проверяющего и ответственного за ПДн.
Рекомендации и выводы
Формальное наличие регламента о разграничении доступа без протоколов проверки выглядит неполным при аудитах. Поэтому рекомендуется:
- Проводить проверки прав доступа не реже 1 раза в год (лучше — ежеквартально).
- Оформлять протоколы или акты по итогам каждой проверки.
- Хранить протоколы у ответственного за ПДн вместе с журналами доступа.
Компания ICTech может подготовить для вашей организации шаблоны протоколов проверки прав доступа и включить их в пакет документов по ФЗ-152, чтобы показать реальный контроль и минимизировать риски при проверках.
Хотите защитить себя от проверок и штрафов?
Разработаем полный пакет документации по обработке персональных данных для вашей организации.
