План внутреннего контроля обработки и защиты персональных данных
График проверок на период: какие мероприятия, в какие сроки, кто отвечает и где отметка о выполнении. Документ, который переводит правила контроля из намерения в расписание с датами.
Зачем нужен документ
Правила внутреннего контроля описывают, как проверять, но не отвечают на вопрос «когда». План закрывает именно его: он раскладывает контрольные мероприятия по календарю, назначает каждому ответственного и оставляет место для отметки о выполнении. Без плана контроль остаётся благим намерением — все знают, что проверять надо, но конкретная проверка не привязана ни к дате, ни к человеку и потому не происходит.
У этой позиции комплекта есть особенность, заметная уже по названию: план охватывает контроль и обработки, и защиты — то есть обе процедуры сразу. Организационный контроль по ст. 18.1 (основания, согласия, сроки, обращения) и технический по ПП № 1119 (меры безопасности в ИСПДн) сводятся в один график. Это удобно как единое расписание, но требует аккуратности: у двух контролей разная периодичность, и в плане это должно быть видно.
Практический смысл плана — в двух графах, которые заполняются постфактум: «дата фактического выполнения» и «результат». Именно они превращают документ из декларации в доказательство. План, где все мероприятия расписаны, но ни одно не отмечено как выполненное, при проверке работает против оператора: он показывает, что организация сама себе назначила контроль и сама же его не провела.
Чем грозит отсутствие
Отдельного штрафа за отсутствие плана нет — как и за отсутствие самого внутреннего контроля, всё идёт по общей ч. 1 ст. 13.11. Значение плана в другом: он либо доказывает, что контроль ведётся системно, либо своим отсутствием показывает обратное.
Что должно быть в документе
План — это таблица мероприятий с датами и ответственными, а не текст. Ниже графы, без которых он не выполняет свою функцию.
Требования законодательства
Как связан с другими документами
Что спросит проверяющий
План смотрят вместе с актами: сходятся ли обещанные мероприятия с проведёнными.
Разбор эксперта
План внутреннего контроля — документ, который живёт или умирает в одной графе. Если «отметка о выполнении» заполняется по ходу года, план работает: он показывает ритм проверок и служит доказательством системности. Если эта графа пустая, план превращается в улику — организация письменно запланировала контроль и письменно его не провела. Второй вариант мы встречаем чаще первого.
Отдельно стоит сказать про совмещение двух контролей. Название позиции — «обработки и защиты» — подталкивает свести всё в один план, и это правильно, но с оговоркой. Организационный контроль хочется проводить хотя бы раз в год, технический закон разрешает раз в три года. Если не разметить мероприятия по видам, весь план незаметно сползает к трёхлетнему ритму, и организационная часть проверяется непозволительно редко. Разметка по видам и разные плановые сроки решают это на месте.
И практическое: план полезнее, когда он короткий и висит на виду у ответственного, а не лежит подшитым в папке. Десяток строк с датами и фамилиями, заполняемых в течение года, приносят больше пользы, чем детальный документ на двадцать страниц, который открывают один раз — при утверждении.
Составляйте план на год таблицей: мероприятие, вид контроля, срок, ответственный, отметка о выполнении, результат. Технические мероприятия размечайте отдельно и выдерживайте для них трёхлетний минимум, организационные ставьте чаще. И заведите привычку закрывать графу выполнения сразу после проверки — именно эта дисциплина, а не качество формулировок, отличает работающий контроль от бумажного.
Частые вопросы
Закон требует проводить контроль, а не иметь именно план. Но контроль без графика на практике не проводится, а системность нужно доказать. Отдельный план с отметками о выполнении — самый наглядный способ показать проверяющему, что проверки идут по расписанию, а не появляются задним числом.
Обычно на календарный год, с утверждением до его начала. Технические мероприятия при этом планируются с учётом трёхлетнего минимума из ПП № 1119 — они могут попадать не в каждый годовой план, но должны быть видны в горизонте трёх лет.
Разметить мероприятия по видам и задать им разные сроки. Организационный контроль ставится чаще (как правило, ежегодно), технический — не реже раза в три года. Без такой разметки план сползает к общему трёхлетнему ритму, и организационная часть проверяется слишком редко.
Зафиксировать перенос с причиной и провести при первой возможности. Молча оставить пустую графу хуже: при сверке плана с актами это выглядит как невыполнение собственного документа. Систематические переносы — сигнал, что план оторван от ресурсов.
Утверждает руководитель организации, готовит ответственный за организацию обработки. Исполнители мероприятий знакомятся с планом под подпись — иначе ответственность за конкретную проверку ни на кого не ложится.
Да. Планы прошлых периодов с заполненными отметками о выполнении — это и есть доказательство, что контроль ведётся не первый год. Их хранят вместе с актами проверок в течение установленного организацией срока.
Да, её удобно включать как техническое мероприятие: оценка эффективности по приказу ФСТЭК № 21 проводится не реже раза в три года, и в едином плане она встаёт рядом с остальным техническим контролем. Так один документ показывает, что и организационная, и техническая часть проверяются по расписанию.