Ответ на требование налоговой о предоставлении пояснений
Коммерческие предприятия довольно часто сталкиваются с необходимостью предоставить в налоговую инспекцию пояснения по какому-либо вопросу. Для того, чтобы эти пояснения не привели к дальнейшим проверкам со стороны надзорного органа, к составлению ответа следует относится крайне внимательно, скрупулезно и не затягивать с его отправкой.
Внимание! Этот документ можно скачать в КонсультантПлюс.
- Бланк и образец
- Онлайн просмотр
- Бесплатная загрузка
- Безопасно
Наиболее частые вопросы от налоговой
Обычно требование предоставить пояснения поступает через некоторое время после сдачи всевозможных отчетов и деклараций, так что поводом для них может стать любая, даже самая незначительная ошибка или неточность в документах. Во многих случаях разъяснения требуются:
- по НДС, указанному к возмещению;
- из-за несоответствия сведений о налогооблагаемых базах в декларациях по налогу на прибыль и НДС;
- при расхождении данных у контрагентов.
Вопросы могут вызвать необоснованные убытки при проверке начисления налога на прибыль, подача уточненной декларации или расчета, в которых исправленная сумма налога к уплате меньше, чем в присланных первоначально и т.д.
Однако в редких случаях налоговики могут вызвать налогоплательщика на очную встречу для беседы в соответствии с п. 1 ст. 31 НК РФ.
В какой форме приходит требование
ФНС просит предоставить пояснение в требовании, которое формирует на специальном бланке унифицированного формата. Начиная с 2022 года налоговики присылают такие документы в основном в электронном виде через личный кабинет на официальном ресурсе или по э/п. Однако инспекция вправе отправить требование стандартной почтой. При этом налогоплательщик должен известить адресанта о том, что документ получен.
В соответствии с п. 6 ст. 88 НК РФ пояснение к декларации по НДС нужно подавать только в электронном виде по ТКС.
Порядок действий при получении требования
После того, как налогоплательщик получает требования о пояснениях, он должен сверить переданные в налоговую документы с имеющимися у него на руках данными. В первую очередь, при проверке декларации по НДС, анализу подвергаются указанные в ней суммы. Так, стоит проверить их на предмет соответствия суммам по всем входящим и исходящим счетам-фактурам. Далее аналогичным образом исследуют даты, номера счетов-фактур, и прочие реквизиты, например, ИНН, КПП, адреса и т.п.
Если вопросы возникли по декларации УСН или по налогу на прибыль, следует проанализировать все суммы расходов и доходов, которые были приняты для их расчета. Идентично приведенному алгоритму проверяются и все другие виды документов, вызвавшие вопросы у налоговой инспекции.
После того, как ошибка будет найдена, нужно передать в налоговую уточненную отчетность с исправленными данными, но это касается только сумм. Если же ошибка не относится к финансовой части, то «уточненку» сдавать не надо, достаточно предоставить необходимые пояснения.
Внимание: закон не говорит о том, что пояснения должны быть даны именно в письменной форме, то есть. это значит, что они могут быть предоставлены и устно. Однако во избежание дальнейших разногласий, лучше все-таки озаботиться составление письменного ответа.
Как поступить, когда требование налоговой несправедливо
Случается, что налоговая инспекция требует пояснений необоснованно, т.е. в отчетности не было допущено никаких ошибок. В таких ситуациях игнорировать письма от налоговой тоже нельзя. Налогоплательщик должен отправить вежливый ответ, который подтвердит безосновательность требования.
В частности, специалисты рекомендуют писать, что ошибок, противоречий и несоответствий в декларации не обнаружено, а соответственно нет и оснований для подачи «уточненки». При этом причину расхождений надо указать обязательно, объяснив почему это не ошибка. В качестве подтверждающих документов можно предоставить выписки из регистров.
Во избежание каких-либо санкций (в том числе и внезапных налоговых проверок) необходимо своевременно уведомить надзорную службу о том, что в соответствии с информацией предприятия, все предоставленные сведения верны.
В любом случае, при составлении ответа надо помнить, что для налоговой важно даже не столько содержание письма, сколько сам факт ответа на требование.
Как оформить ответ на требование налоговой о предоставлении пояснений
Оформить его можно либо на бумаге, написав «от руки», либо в электронном виде, напечатав на компьютере. При этом, если пояснение пересылается по обычной почте, то отправлять его надо заказным письмом с уведомлением о вручении, тогда риск того, что письмо затеряется, будет сведен к минимуму.
Использование электронного формата возможно только при наличии у организации электронной цифровой подписи. К пояснению могут быть приложены какие-либо дополнительные документы – их наличие нужно отразить в содержании ответа, приложив опись вложения.
Что касается сроков ответа, то согласно п. 3 ст. 88 НК РФ, он составляет 5 дней с момента получения требования. Если последний день выпадает на выходной, то ответ надо отправить не позже следующего дня. Иначе ФНС накажет правонарушителя в соответствии со ст. 129.1 НК РФ на сумму от 5 000 до 20 000 рублей.
Образец составления ответа на требование налоговой о предоставлении пояснений
Как уже говорилось выше, унифицированной формы ответа для дачи пояснений налоговой нет, так что составлять его можно в произвольном виде. Стоит отметить, что форма ответа должна быть предельно корректной и стандартной с точки зрения правил оформления подобного рода бумаг.
Что касается содержания, то оно зависит от того, чего именно требует налоговая. В нашем примере это пояснение о понесенных убытках.
- Вначале слева или справа (не имеет значения) нужно указать адресата, т.е. именно ту налоговую инспекцию, куда отправляется ответ. Здесь нужно вписать ее номер, а также район и населенный пункт, к которому она относится.
- Далее указывается отправитель письма: пишется название предприятия, его адрес (фактический), а также номер телефона (на случай, если у налогового инспектора возникнут какие-либо дополнительные вопросы к пояснению).
- Далее в ответе следует сослаться на номер требования, дату его составления, а также коротко обозначить суть вопроса.
- После этого можно приступать непосредственно к даче пояснений. Их следует писать максимально подробно, со всеми нужными ссылками на документы, законы, нормативные акты и т.п. Чем тщательнее будет оформлена эта часть ответа, тем больше шансов на то, что налоговая будет им удовлетворена.
Ни в коем случае нельзя давать в ответе недостоверные или заведомо ложные сведения. Они будут быстро обнаружены и тогда последуют немедленные санкции со стороны налоговиков.
Способы исправления в бухгалтерском учете и отчетности
Что такое существенная ошибка в бухгалтерском учете?
Основной нормативный акт, регулирующий порядок исправления ошибок в учете — ПБУ 22/2010 «Исправление ошибок в бухгалтерском учете и отчетности» (утверждено приказом Минфина от 28.10.2010 № 63н). Согласно ПБУ ошибкой не может быть неточность в учете или отчетности, возникшая из-за появления сведений уже после внесения в учет факта хозяйственной деятельности.
ПБУ 22/2010 делит ошибки в учете на существенные и несущественные. Существенная ошибка — та, которая сама по себе или в совокупности с другими ошибками за отчетный период способна повлиять на экономические решения пользователей, принимаемых на основе бухотчетности за этот отчетный период.
Законодательство не устанавливает фиксированный размер существенной ошибки — налогоплательщик должен выявить его самостоятельно в абсолютном или процентном выражении. Уровень существенности, свыше которого ошибка считается существенной, должен быть указан в учетной политике.
Чиновники в некоторых нормативных актах рекомендовали установить уровень существенности равным 5% от показателя статьи отчетности или суммарного размера актива или обязательства (п. 1 приказа Минфина от 11.05.2010 № 41н, п. 88 приказа Минфина от 28.12.2001 № 119н, в настоящее время эти приказы утратили силу). Мы предлагаем установить одновременно и абсолютный, и относительный показатель определения существенной ошибки. Абсолютный показатель фирма может установить в произвольном размере.
Пример формулировки для учетной политики:
Ошибка признается существенной, если сумма искажений превышает … тыс. руб. или величина ошибки составляет 5% от общего размера актива (обязательства), значения показателя бухгалтерской отчетности.
О том, чем нужно руководствоваться при составлении бухгалтерской учетной политики, читайте в материале «ПБУ 1/2008 «Учетная политика организации» (нюансы)».
Если отдельная ошибка не является существенной, согласно установленному критерию, но в отчетном периоде аналогичных ошибок много — например, бухгалтер неправильно принимает к учету средства индивидуальной защиты, — то рассматривать эти ошибки нужно в совокупности, поскольку суммарно они могут быть признаны существенными.
Для существенных ошибок в бухгалтерском учете установлены отдельные правила исправления.
Исправление ошибок в бухгалтерской документации
Алгоритм исправления неточностей в бухучете зависит от того, где была совершена ошибка — в первичке и регистрах или в самой отчетности, сроков выявления ошибки и от того, является ли она существенной.
Существуют следующие способы исправления в первичке и регистрах:
- Корректурный — используется в бумажных документах; неправильные сведения зачеркивают так, чтобы можно было прочесть первоначальную информацию, и рядом делают верную запись. Исправление должно быть заверено Ф. И. О. и подписью ответственного лица, датой и печатью компании (п. 7 ст. 9 закона «О бухгалтерском учете» от 06.12.2011 № 402-ФЗ).
ВНИМАНИЕ! Есть ряд документов, исправления в которых недопустимы. К ним относятся кассовые и банковские документы.
- «Красное сторно» — применяется в случае неправильной проводки счетов. При рукописном вводе ошибочная проводка повторяется красными чернилами, при этом выделенные красным суммы при подсчете итогов нужно вычитать. В итоге неверная запись аннулируется, а вместо нее нужно сделать новую проводку с верными счетами и суммой. Если учет ведется в типовой компьютерной программе, то обычно достаточно сделать проводку с той же корреспонденцией, но сумму указать со знаком минус. Запись в регистрах будет вычитаться и нивелировать неверную проводку. Далее следует сделать верную.
- Дополнительная проводка — используется если первоначальная корреспонденция счетов была правильной, но с неверной суммой, либо если операция не была зафиксирована вовремя. Компания на недостающую сумму составляет дополнительную проводку, а если первоначальная сумма была завышена, то делает проводку на необходимую разницу с применением красного сторно. Также бухгалтер обязан составить справку-пояснение о причине исправления.
Способы исправления ошибок в бухгалтерском учете за 2022 год
Порядок исправлений зависит от существенности ошибки и периода выявления:
- Ошибки 2022 года, выявленные до конца 2022 года, исправляем в том месяце, в котором они были выявлены.
- Несущественную ошибку, допущенную в 2021 году, но выявленную в 2022-м, уже после утверждения отчетности за 2021 год, исправляем записями по соответствующим счетам бухучета в том месяце 2022 года, в котором ошибку выявили; прибыль или убыток, полученные в результате исправления ошибки, относим на счет 91.
- Ошибка 2022 года, которую обнаружили в 2023 году, но до даты подписания бухотчетности за 2022 год, исправляем путем внесения записи в операции бухучета за декабрь 2022 года. Аналогично исправляются и существенные ошибки в учете, которые были обнаружены после подписания отчетности за 2022 год, но до даты ее предоставления госоргану или собственникам (акционерам).
- Если ошибка 2022 года существенная, а отчетность за 2022 год уже подписана и предоставлена собственникам (акционерам) и госорганам, но не утверждена, исправляем ее учетными записями, которые будут датированы декабрем 2022 года. При этом в новом варианте бухотчетности нужно указать, что эта отчетность заменяет первоначально предоставленную и указать основания для замены.
ВНИМАНИЕ! Новую отчетность нужно обязательно представить всем адресатам, кому представлялась предыдущая неисправленная отчетность.
- Существенная ошибка за 2022 год выявлена после утверждения бухотчетности за 2022 год — исправляем записями по счетам бухучета уже в 2023 году. В проводках будет задействован счет 84.
Бухгалтер ООО «Перспектива» в мае 2023 года обнаружил, что не отразил в операциях за 2022 год арендную плату в размере 100 000 руб. Это существенная ошибка согласно учетной политике ООО «Перспектива», к тому же она выявлена после утверждения отчетности за 2022 год. Бухгалтер сделает проводку:
Дт 84 Кт 76 на сумму 100 000 руб. — выявлен ошибочно не отраженный расход за 2022 год.
Кроме того, ООО «Перспектива» должно сдать уточненку по налогу на прибыль за 2022 год.
Также при исправлении существенной ошибки, обнаруженной после утверждения годовой отчетности, нужно произвести ретроспективный перерасчет показателей бухгалтерской отчетности — это процедура приведения показателей отчетности в соответствующий вид так, как будто ошибка не была допущена. Например, если после ретроспективного пересчета данных показатель прибыли за 2022 год уменьшился с 200 000 руб. до 100 000 руб., то в отчетах 2023 года в графах сравнительных данных за 2022 год следует указывать уже не 200 000 руб. (по утвержденному отчету), а 100 000 руб. (по исправлению). Эту процедуру разрешено не делать компаниям, применяющим упрощенные способы ведения бухучета.
О том, какую отчетность сдают компании, ведущие учет упрощенным способом, читайте в материале «Упрощенная бухгалтерская финансовая отчетность — КНД 0710096».
Информацию о выявленных существенных ошибках прошлых лет, которые были исправлены в отчетном периоде, нужно обязательно указывать в пояснительной записке к годовой бухотчетности. Юрлицо должно указать характер ошибки, сумму корректировки по каждой статье отчетности и корректировку вступительного сальдо. Если организация указывает информацию о прибыли, приходящейся на 1 акцию, то в пояснительной записке также указывается сумма корректировки по данным о базовой и разводненной прибыли на 1 акцию.
В соответствии с письмом Минфина от 22.01.2016 № 07-01-09/2235 организация имеет право самостоятельно разработать алгоритм исправления ошибок в учете и отчетности на основании действующего законодательства. Выбранный порядок рекомендуем закрепить в учетной политике.
Исправление ошибок в налоговом учете
Если положения ПБУ 22/2010 являются актуальными для юрлиц, поскольку самозанятое население не обязано вести бухучет, то порядок исправления ошибок в налоговом учете касается и предпринимателей, и организации.
Согласно ст. 314 НК РФ исправлять ошибки в налоговых регистрах нужно корректурным способом: должна быть подпись лица, исправившего регистр, дата и обоснование исправления.
Порядок исправления ошибок в налоговом учете подробно расписан в ст. 54 НК РФ.
Если ошибка в расчете налоговой базы за прошлые годы была обнаружена в текущем отчетном периоде, то нужно провести перерасчет налоговой базы и суммы налога за период совершения ошибки.
Если определить период совершения ошибки нельзя, то перерасчет производится в том отчетном периоде, в котором найдена ошибка.
Ошибки в налоговом учете, в результате чего налоговая база была занижена, а значит, и недоплачен налог в бюджет, нужно не только исправить, но и предоставить в ИФНС уточненку за период совершения ошибки (ст. 81 НК РФ). Однако если ошибка обнаружена в ходе налоговой проверки, то подавать уточненку не нужно. При этом сумма недоимки или переплаты будет зафиксирована в материалах проверки, и налоговики внесут эти данные в карточку лицевого счета компании. Если же фирма передаст в налоговый орган уточненку, то данные в карточке задвоятся.
Если на конец года имеет место спор с ИФНС и велика вероятность доначислений налогов (штрафных санкций), то в бухотчетности надо признать оценочное обязательство. Подробнее об этом – в материале «Налоговый спор = оценочное обязательство».
В том случае, когда компания переплатила налог из-за собственной ошибки, она может подать уточненку или же не исправлять ошибку (например, сумма переплаты незначительная). Еще один вариант, которым может воспользоваться фирма, — уменьшить налоговую базу в периоде обнаружения ошибки на величину завышения налоговой базы в предыдущем периоде. Так можно сделать при расчете транспортного налога, НДПИ, УСН и налога на прибыль.
ВНИМАНИЕ! Таким способом нельзя воспользоваться при выявлении ошибок по расчету НДС, поскольку исправлять завышенный НДС можно только путем сдачи уточненки за период совершения ошибки.
Если фирма работала в убыток и выявила ошибку в прошлом периоде, которая увеличит убыток, то эти расходы включать в расчет налога за нынешний период нельзя. Компании следует подать уточненку с новыми суммами расходов и убытка (письмо Минфина от 23.04.2010 № 03-02-07/1-188).
Что делать, если выявлены ошибки в первичных документах, детально разъяснили эксперты КонсультантПлюс. Получите пробный доступ к системе К+ и бесплатно переходите в Путеводитель по налогам.
Штрафы за ошибки в учете
Ошибки в бухгалтерском учете и при составлении отчетности чреваты для компании штрафом. Причем с 10.04.2016 размеры штрафов за неправильное ведение учета выросли — со вступлением в силу закона от 30.03.2016 № 77-ФЗ.
Ст. 15.11 КоАП в новой редакции содержит следующий перечень нарушений и наказаний за них:
Новая редакция ст. 15.11 КоАП
Старая редакция (действует по нарушениям, совершенным до 10.04.2016)
Искажения в учете, которые привели к занижению налогов и сборов на 10% и больше
Искажения в учете, которые привели к занижению налогов и сборов на 10% и больше
Искажения любой статьи бухотчетности на 10% и больше
Искажения любой статьи бухотчетности на 10% и больше
Фиксация мнимого, притворного объекта бухучета или не совершившегося события
Ведение счетов бухучета вне регистров
Составление бухотчетности не на основе сведений из регистров бухучета
Отсутствие первички, регистров учета или аудиторского заключения
Штраф за нарушение, выявленное впервые: от 5 000 до 10 000 руб.
Штраф за нарушение, выявленное впервые: от 2 000 до 3 000 руб.
Штраф за повторное нарушение: от 10 000 до 20 000 руб. или дисквалификация ответственного должностного лица на срок до 2 лет
Оштрафовать могут в течение 2 лет с момента нарушения
Оштрафовать могут в течение 1 года с момента нарушения
Таким образом, чиновники расширили перечень нарушений в бухучете и отчетности, за которые будут отныне штрафовать, и увеличили санкции, а также срок, в течение которого компанию могут наказать.
Итоги
Ошибки в бухгалтерском и налоговом учете — головная боль бухгалтера, поскольку это означает перерасчет статей бухотчетности и сумм уплаченных налогов. А если ошибку выявили налоговики на проверке, то компания еще и заплатит штраф, а должностное лицо будет дисквалифицировано (в случае если нарушения выявлялись неоднократно).
Какие из приведенных нарушений касающихся несоответствия типовых форм документов сдо ржд
Утвердить прилагаемые изменения, которые вносятся в Порядок допуска локомотивов, принадлежащих ОАО «РЖД», на пути общего пользования в условиях полного сервисного обслуживания, утвержденного распоряжением ОАО «РЖД» от 10 сентября 2014 года N 2148р (в редакции от 11 марта 2015 г. N 593р).
Вице-президент ОАО «РЖД» О. ВАЛИНСКИЙ
Пункт 2. 6 изложить в следующей редакции:
«Подтверждение технической готовности локомотивов по техническому состоянию, в том числе подтверждение наличия и исправности устройств безопасности, радиосвязи, систем пожаротушения, иного оборудования, осуществляется единым актом технического состояния и допуска к эксплуатации на железнодорожных путях общего пользования локомотива, моторвагонного подвижного состава после изготовления, модернизации, ремонта (далее — Акт), составленным по форме, приведенной в приложении N 2 к настоящему Порядку. Акт составляется уполномоченным работником депо сервисного обслуживания не реже одного раза в месяц для локомотива, допускаемого к следованию в поездах по железнодорожным путям общего пользования, и не реже одного раза в 6 месяцев — для локомотивов, выходящих с железнодорожных путей необщего пользования на железнодорожные пути общего пользования железнодорожных станций и с железнодорожных путей общего пользования железнодорожных станций на железнодорожные пути необщего пользования вне зависимости от принадлежности. Акт составляется в двух экземплярах, заверяется подписью уполномоченного работника эксплуатационного локомотивного депо и печатью эксплуатационного локомотивного депо, а также подписью и печатью уполномоченного работника депо сервисного обслуживания, производящего техническое обслуживание или ремонт локомотива. Заверенный Акт вклеивается мастером (бригадиром) депо сервисного обслуживания, производящего техническое обслуживание или ремонт локомотивов, на первую страницу бортового журнала формы ТУ-152, при этом предыдущий акт из журнала удаляется. Второй экземпляр хранится в архиве технического отдела эксплуатационного локомотивного депо на протяжении трех лет с момента заполнения. В качестве уполномоченных начальниками эксплуатационного и сервисного локомотивных депо могут назначаться инженерно-технические работники или другие работники, имеющие необходимые компетенции. Контроль за сроками подтверждения технического состояния локомотива возлагается на мастера (бригадира) депо сервисного обслуживания. Сервисное локомотивное депо несет ответственность за подтверждение технического состояния локомотива в установленные сроки. Эксплуатационное локомотивное депо несет ответственность за выдачу локомотива с путей необщего пользования на пути общего пользования. Производственные участки региональных дирекций по ремонту тягового подвижного состава обязаны предоставлять информацию в сервисные локомотивные депо, в соответствии с пунктом 6 и 8 Акта.
При отсутствии акта установленной формы в журнале ф. ТУ-152 или истекшем сроке его действия приемка локомотивов локомотивным бригадами запрещается».
Приложение N 2 к Порядку допуска локомотивов, принадлежащих ОАО «РЖД», на пути общего пользования в условиях полного сервисного обслуживания, утвержденному распоряжением ОАО «РЖД» от 10 сентября 2014 года N 2148р (в редакции от 11 марта 2015 г. N 593р) принять в прилагаемой к настоящим Изменениям редакции.
Акт технического состояния и допуска к эксплуатации
на железнодорожных путях общего пользования локомотива,
моторвагонного подвижного состава после изготовления,
модернизации, ремонта
_____________________ __________________
(место составления) (дата)
Настоящий акт составлен по результатам проверки технического состояния
железнодорожного подвижного состава на соответствие требованиям Правил
технической эксплуатации железных дорог Российской Федерации, утвержденных
приказом Минтранса России от 21 декабря 2010 г. N 286, вновь
изготовленного/модернизированного/прошедшего ремонт на
___________________________________________________________________________
(наименование предприятия, условный номер клеймения)
__________________________ серия (модель) _______ заводской номер _________
(вид железнодорожного
подвижного состава)
номер железнодорожного подвижного состава _________________________________
(по данным пономерного учета)
по окончании _____________________________________________________________,
(вид ремонта, изготовление, модернизация)
проведенного по __________________________________________________________,
(вид и реквизиты документа, по которому выполнены работы)
признан _____________________________________________ и ___________________
(технически исправным/технически неисправным) (допускается/не
допускается)
на железнодорожные пути общего пользования. Причины отказа в допуске на инфраструктуру ________________________________
Перечень несоответствий, выявленных в ходе осмотра
железнодорожного подвижного состава
Наименование несоответствия(ий), выявленного(ых) при осмотре железнодорожного подвижного состава, с указанием пункта Правил технической эксплуатации железных дорог Российской Федерации, утвержденных приказом Минтранса России от 21 декабря 2010 г. N 286
Метод контроля (визуальный/ инструментальный обмер/ по данным отчетно-учетной документации)
Габарит, длина по осям автосцепок, конструкционная скорость,
скорость в недействующем (транспортном) состоянии, нагрузка на ось,
минимальный радиус проходимых кривых, количество секций, единиц в сцепе
___________________________________________________________________________
___________________________________________________________________________
2. Полное наименование и реквизиты предприятия владельца транспортного
средства __________________________________________________________________
3. Колесные пары соответствуют требованиям ПТЭ утвержденных приказом
Минтранса России от 21 декабря 2010 г. N 286, геометрические параметры
колесных пар составляют:
Порядковый номер колесной пары от кабины управления N 1 или в ином порядке, установленном техническими условиями
Толщина бандажа (обода), мм (правая, левая стороны)
Толщина гребня, мм(правая, левая стороны)
Крутизна гребня, мм(правая, левая стороны)
Прокат, мм (правая, левая стороны)
Автосцепное устройство соответствует требованиям ПТЭ ЦРБ
утвержденных приказом Минтранса России от 21 декабря 2010 г. N 286
Серийный номер или восьмизначный номер
Номер (литера) секции
Автосцепка передняя
Автосцепка задняя
дата ревизии
высота оси над уровнем головки рельса, мм
дата ревизии
высота оси над уровнем головки рельса, мм
Устройства контроля параметров движения.
Наименование
Заводской номер или номера блоков
Год выпуска
Дата, место последнего ремонта, ревизии
Гос. поверка, дата
Локомотивные устройства безопасности:
Наименование системы безопасности
Наименование блока
Номер блока
Дата, месяц, год следующего ПРР
Дата, месяц, год следующей поверки (при наличии)
Место проведения ПРР/поверки
Тормозное оборудование (дата и место последнего ремонта и ревизии
кранов машиниста).
Плотность тормозной магистрали, с
Плотность питательной магистрали, с
Плотность тормозных цилиндров, с
Производительность компрессора, с
Проходимость блокировки, с
Устройства поездной радиосвязи (дата последней технической проверки,
сведения об исправности). Устройства пожаротушения. (Тип, вид, количество, дата зарядки,
перезарядки, сведения об исправности сигнализации и установки
автоматического пожаротушения. )
10. Сведения об инвентаре транспортного средства (N тормозных башмаков,
сигнальные принадлежности, инструмент и т. Для электроподвижного состава (характеристики токоприемников). Последние проведенные ремонты и технические обслуживания:
ТО-3 ______________________________________________________________________
(дата и место проведения пробег от ТО-3)
ТР-1 ______________________________________________________________________
(дата и место проведения пробег от ТР-1)
ТР-2 ______________________________________________________________________
(дата и место проведения пробег от ТР-2)
ТР-3 ______________________________________________________________________
(дата и место проведения пробег от ТР-3)
СР ________________________________________________________________________
(дата и место проведения)
КР ________________________________________________________________________
(дата и место проведения)
Транспортное средство соответствует Федеральному закону от 10 января
2003 г. N 17-ФЗ «О железнодорожном транспорте в Российской Федерации»,
Правилам технической эксплуатации железных дорог Российской Федерации,
утвержденных Приказом Минтранса России от 21 декабря 2010 г. N 286,
государственным стандартам, техническим условиям завода-изготовителя. Уполномоченный представитель владельца инфраструктуры
______________________________/ _______________/ __________________________
(должность) (подпись) (инициалы, фамилия)
Уполномоченное лицо владельца локомотива,
моторвагонного подвижного состава
______________________________ _______________ __________________________
(наименование должности) (подпись) (Ф. )
Уполномоченное лицо предприятия,
производившего техническое обслуживание
или ремонт локомотива, моторвагонного
подвижного состава
______________________________ _______________ __________________________
(наименование должности) (подпись) (Ф. )
Какие из приведенных нарушений касающихся несоответствия типовых форм документов содержащих пдн сдо
Организация обработки и обеспечение безопасности персональных данных в ОАО «РЖД»
Вернуться на главную страницу Я устал, хочу отдохнуть Покажите мне интересные товары Мне срочно нужны деньги Застраховать себя и свою семью от коронавируса Мне мешает реклама, отключите её Пожаловаться, написать нам сообщение
Список вопросов по этой теме:
Организация обработки и обеспечение безопасности персональных данных в ОАО «РЖД»
Угрозы безопасности персональных данных
Угрозы безопасности — это некая совокупность условий или воздействующих факторов, которые создают опасность в отношении персональных данных, заключающуюся в ознакомлении посторонних лиц с защищаемыми персональными данными, несанкционированном изменении, уничтожении, распространении, а также других неправомерных действий с персональными данными.
Источниками угроз безопасности персональных данных могут являться как внутренние нарушители, то есть собственные сотрудники, так и внешние нарушители, использующие в качестве реализации угрозы каналы связи, компьютерные сети и Интернет. Кроме того, угрозы безопасности могут возникать при внедрении в информационную систему вредоносных программ и вирусов.
Способами реализации угроз безопасности могут быть несанкционированный доступ к информации, утечка по техническим каналам, а также специальные воздействия на персональные данные либо информационную систему.
Угрозы несанкционированного доступа к персональным данным, обрабатываемым в информационной системе, могут осуществляться при помощи программных и аппаратно-программных средств. При этом происходит нарушение режима конфиденциальности в отношении персональных данных путем их неправомерного копирования и/или распространения. Также защищаемые персональные данные могут быть изменены или уничтожены нарушителем, что может также повлечь собой значительные последствия. В ходе реализации угрозы несанкционированного доступа могут быть созданы нештатные режимы работы операционной среды или программного обеспечения, которые возможно будут использованы нарушителем для кражи информации либо воздействия на нее извне.
При реализации угрозы безопасности злоумышленником могут использоваться различные уязвимости, в том числе недостаточный уровень защиты, несовершенство системного и прикладного программного обеспечения, а также протоколов сетевого взаимодействия информационной системы.
Другим видом угроз безопасности персональных данных являются угрозы, реализуемые при помощи технических каналов, таких как утечка речевой, видовой информации, содержащей персональные данные, утечка персональных данных, обрабатываемых в информационных системах, по каналу электромагнитных излучений и наводок (ПЭМИН). Такие угрозы как правило рассматриваются в отношении информационных систем высшего класса, в которых обрабатываются специальные категории персональных данных, касающиеся национальной и расовой принадлежности человека, его религиозных либо философских убеждений, здоровья и интимной жизни. В соответствии с требованиями законодательства для информационных систем разрабатывается специальная модель угроз, при составлении которой анализируются отдельные уязвимости и угрозы, вычисляется их актуальность, определяется достаточность существующих и необходимость дополнительных методов и средств защиты.
Предоставляя свои персональные данные для хранения, использования, изменения и т.д., субъект рассчитывает на то, что они будут защищены от несанкционированного доступа, применения, распространения и уничтожения. Чтобы обеспечить безопасность, операторы ПДн обязаны спроектировать систему противодействия атакам нарушителей, а для этого, прежде всего, необходимо определить, от кого и каких действий опасаться. Мировая и российская практики показывают, что наиболее результативными являются те СЗПДн, которые созданы на основе детально проработанных угроз. Определиться с факторами, способными привести к нарушению безопасности, можно только разобравшись, какие угрозы ПДн существуют, а также какие у них могут быть источники.
Что собой представляют УБПДн?
Любая организация, ИП или физическое лицо, чья деятельность связана с обработкой частных сведений российских граждан, рискует столкнуться со злоумышленниками, которые стремятся их получить, изменить, уничтожить либо передать третьим лицам без соответствующего разрешения владельца.
В рамках функционирования ИСПДн угрозы персональным данным — это всевозможные условия и факторы, способные при определенных обстоятельствах вызвать их утечку или неправомерное использование либо воздействие. Кроме очевидных ситуаций, когда речь идет, например, о промышленном шпионаже, в данную категорию входят случаи неосознанного распространения информации либо передачи конфиденциальных сведений посторонним сотрудниками предприятия. Задача руководства, а точнее, уполномоченных лиц либо привлеченных специалистов, состоит в поиске «лазеек» в системе безопасности ПДн и в дальнейшем принятии мер по их устранению. Важно понимать, что выявление УБПДн не говорит о том, что кража или потеря сведений гарантированно произойдет. Это свидетельствует о том, что присутствует вероятность возникновения опасных ситуаций, которые следует предотвратить.
Классификация угроз безопасности персональных данных
Для каждого из существующих видов информационных систем ПДн требуется создание особой модели факторов риска. При этом количество обстоятельств и действий, способных тем или иным способом влиять на их функционирование, очень велико. Облегчить выявление опасностей позволяет их разделение по следующим признакам:
- По разновидности источников выделяют возникающие из-за свойств используемых технических средств, стихийных явлений, действий персонала либо посторонних лиц посредством международных и внутрироссийских сетей. Отдельную группу составляют угрозы ПД, спровоцированные вирусами и аппаратными закладками. Примечательно, что не существует четких инструкций по обнаружению недекларированных опций, что заставляет операторов действовать на свой страх и риск. Наиболее безопасный вариант — пользоваться лицензированными программами серийного выпуска с многочисленными положительными отзывами от экспертов (хотя 100% гарантии отсутствия неуказанных функций никто не даст).
- По используемому способу реализации. Оценить факторы риска можно через специальное воздействие, утечку по техническим каналам, в результате НСД.
- По типу ИСПДн. В данном случае принято выделять не подробные списки, а классы в зависимости от структуры, которая подвергается опасности. Различают УБ, касающиеся операций в локальных ИС, на автоматизированных рабочих местах и в распределенных системах.
- По совершаемым несанкционированным действиям. Здесь принято выделять угрозы, которые при отсутствии прямого воздействия на содержание сведений приводят к нарушению конфиденциальности ПДн.
- По уязвимости. Риски могут быть обусловлены системным прикладным программным обеспечением, протоколами сетевого обмена, недостаточно тщательно проработанными техническими каналами средствами информационной защиты.
- По тому, на какой объект осуществляется воздействие — на АРМ, сети связи, системный софт, прикладные утилиты, выделенные средства работы с информацией.
Какие выделяют источники угроз безопасности персональных данных?
Определение каналов и причин, приводящих к НСД и неправомерным действиям, имеет первоочередное значение, и с этого нужно начинать при построении модели УБПДн. Всего есть три типа источников, каждый из которых имеет свои особенности.
Антропогенные
Личность (субъектов может быть несколько), которая имеет возможность совершать операции с конфиденциальной информацией. Доступ может быть как санкционированным, так и несанкционированным. В эту группу входят следующие источники угроз персональных данных:
- Внешние — поставщики услуг, работники контролирующих государственных органов и аварийных служб, а также хакеры, представители конкурирующих организаций. Их действия могут быть преднамеренными, то есть направленными на получение сведений, или неспециальными, например, если утечка происходит в результате технического сбоя или непрофессионального составления проекта информационной системы.
- Внутренние — штатные сотрудники, в частности, работники программного отдела, кадровой службы, техперсонал или представители СБ компании. В процессе своей деятельности они могут подвергать СЗПДн опасности из-за некомпетентности и ошибочных действий, применения неучтенного софта, искажения и уничтожения компонентов программ, предоставления доступа неуполномоченным лицам или игнорирования правил хранения ПДн. Причиной утечки может стать также самовольное изменение параметров системы защиты и замалчивание фактов потери информации, находящейся в ограниченном доступе (паролей, ключей и т.д.).
Стихийные
Наиболее сложно прогнозируемые ввиду огромного разнообразия, причин возникновения и способов проявления. Преимущественно это те факторы, на которые оператор никаким образом не способен повлиять:
- наводнения;
- цунами;
- пожары;
- ураганы;
- оползни;
- радиационные катастрофы;
- военные конфликты.
Техногенные
Эти источники обусловлены применяемыми техническими средствами и бывают двух разновидностей:
- внутренние — это аппаратные закладки, вирусы и прочие вредоносные программы, системы охраны и сигнализации, низкокачественный софт и оборудование, задействованное в процессе обработки персональных данных;
- внешние — составляющие инфраструктурного назначения, например, линии телефонной и интернет-связи, системы отопления, канализации, водоснабжения, газоснабжения.
Обеспечение защиты операций с ПДн
Выявленные угрозы безопасности персональных данных — это то, что дает возможность в дальнейшем принять меры профилактики и быстрого реагирования. Без определения факторов риска невозможно привести бизнес в соответствие с требованиями Роскомнадзора, ФСБ и ФСТЭК, а за нарушение нормативов ФЗ-152 предусмотрены различные виды ответственности.
Пренебрегать выявлением потенциальных опасностей однозначно не стоит, но и поручать эту работу непрофессионалам нельзя. Тут нужны специалисты именно по обеспечению безопасности ПДн, которые разбираются в законодательных требованиях, технических и организационных аспектах. Если в штате их нет, то есть смысл привлечь наших сотрудников в формате аутсорсинга. Так вы существенно сэкономите время и ресурсы на составление моделей угроз, а также сможете быть уверенными в отсутствии возможных претензий со стороны надзорных органов.
Чем грозит несоответствие требованиям законодательства РФ в области ПДн
В процессе своей деятельности любая организация осуществляет обработку как минимум тех персональных данных, которые касаются её работников. А значит, в соответствии с федеральным законом «О персональных данных», выступает в роли «оператора персональных данных» и выполняет «обработку персональных данных». Следовательно, она обязана соблюдать ряд требований, определённых российским законодательством.
Помимо ФЗ «О персональных данных», нормы о персональных данных содержатся в гражданском, трудовом, налоговом, семейном законодательстве. Такие данные могут охраняться и охраняются в настоящее время различными режимами ограниченного доступа, такими как государственная, коммерческая, профессиональная, врачебная, нотариальная, адвокатская, банковская, семейная тайна, тайна усыновления и т. д.
Множество нормативных актов РФ содержат весьма обширные, а иногда и противоречивые требования к обработке персональных данных и вызывают у большинства операторов сложности при реализации. Однако нарушение этих требований в области ПДн влечёт засобой гражданскую, уголовную, административную, дисциплинарную и иную ответственность.
Законодательством РФ предусмотрены различные санкции, которые могут быть наложены на организацию-оператора, её руководителей и должностных лиц. В числе таких санкций — административное приостановление деятельности; арест; дисциплинарная и материальная ответственность. Это могут быть исправительные работы, конфискация (несертифицированных средств защиты информации, в том числе основного оборудования и программного обеспечения информационных систем, используемых средств шифрования); лишение права занимать определённые должности или заниматься определённой деятельностью; лишение свободы на определённый срок. Могут быть приняты меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований законодательства. Могут быть направлены в органы прокуратуры и другие правоохранительные органы материалы для решения вопроса о возбуждении дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных. Может быть приостановлено действие лицензий, без которых деятельность по обработке персональных данных становится незаконной. Могут применяться штрафные санкции и в целом возможно привлечение к административной, гражданской и уголовной ответственности.
Преступлениями, влекущими за собой уголовную ответственность, являются, например, незаконный сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации (ст. 137 УК РФ); неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан (ст. 140 УК РФ); неправомерный доступ к охраняемым законом компьютерным данным, т. е. информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272 УК РФ).
В статье 17 ФЗ РФ «Об информации, информационных технологиях и о защите информации»предусмотрено, что лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа или иным неправомерным использованием такой информации, могут обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации.
Статья 90 ТК РФ предусматривает ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника в виде дисциплинарной, материальной административной, гражданско-правовой и уголовной ответственности. Однако, как показывает практика, чаще всего операторы, нарушающие законодательство, привлекаются к административной ответственности.
На настоящий момент административная ответственность для операторов предусмотрена за следующие виды нарушений: нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст. 13.11 КоАП РФ); нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (ст. 13.12 КоАП РФ); использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (ст. 13.12 КоАП РФ); грубое нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (ст. 13.12 КоАП РФ); занятие видами деятельности в области защиты информации без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в соответствии с ФЗ обязательно (обязательна) (ст. 13.13 КоАП РФ).
Согласно статье 5.27 КоАП РФ, нарушение законодательства о труде и об охране труда влечёт наложение административного штрафа на должностных лиц или административное приостановление деятельности на срок до девяноста суток.
Согласно статье 5.39 КоАП РФ, неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации влечёт наложение административного штрафа.
С целью предупреждения, выявления и пресечения нарушений государственный контроль и надзор за соблюдением законодательства и иных нормативных правовых актов, содержащих нормы о персональных данных осуществляют Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), Федеральная служба по труду и занятости (Роструд), Федеральная служба по техническому и экспортному контролю (ФСТЭК России), Федеральная служба безопасности РФ (ФСБ России) в рамках своих полномочий.
Отношения в области организации и осуществления государственного контроля и надзора регулируются Федеральным законом от 26.12.08 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», который является обязательным для всех без исключения органов государственного контроля (надзора), и устанавливает порядок проведения проверок, а также административными регламентами надзорных органов, которые разрабатываются на основании и в соответствии с этим законом. Также Приказом Минэкономразвития России от 30.04.09 № 141 «О реализации положений Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля»» утверждены типовые формы документов, применяемых при проведении проверок.
Закон определяет порядок проведения, виды и сроки мероприятий по контролю, порядок оформления их результатов, а также процедуры взаимодействия органов государственного и муниципального контроля при организации и проведении проверок. Предусмотрены плановые и внеплановые проверки, которые могут осуществляться в виде документарной проверки или выездной.
Предметом плановых проверок является соблюдение субъектом предпринимательства в процессе осуществления своей деятельности обязательных требований. Плановые проверки проводятся только в соответствии с принятым ежегодным планом проведения проверок. До сведения заинтересованных лиц его доводят, размещая на официальных сайтах органов власти либо иным доступным способом. Срок проведения каждой из проверок не может превышать 20 рабочих дней, за исключением субъектов малого предпринимательства, где общий срок проведения плановой выездной проверки не может превышать 50 часов для малого предприятия и 15 часов для микропредприятия в год. В исключительных случаях общий срок для всех субъектов предпринимательства может быть увеличен, но только на определённый законом срок.
Предметом внеплановых проверок, помимо соблюдения предпринимателями обязательных требований, является проведение мероприятий по предотвращению причинения вреда жизни, здоровью граждан, вреда животным, растениям, окружающей среде, по обеспечению безопасности государства, по предупреждению возникновения чрезвычайных ситуаций природного и техногенного характера, по ликвидации последствий причинения такого вреда.
По результатам каждой проверки должностными лицами органа государственного контроля (надзора), органа муниципального контроля, проводящими проверку, составляется акт установленной формы в двух экземплярах.
Информация о порядке проведения проверок, в том числе план их проведения, предоставляется на официальных сайтах проверяющих органов, а также в сводном плане проверок на сайте прокуратуры.
Органами Роструда порядок обработки персональных данных может проверяться в рамках проверок соблюдения трудового законодательства и иных нормативных правовых актов, содержащих нормы трудового права.
При проведении проверки инспектор по труду вправе проверить соблюдение работодателем правильности отнесения той или иной информации о работнике к персональным данным, правила сбора и хранения такой информации, а также доступ к ней третьих лиц. Также проверяется соблюдение требований, предъявляемых к обработке персональных данных работника, и гарантии их защиты, установленные главой 14 ТК РФ.
Деятельность Роструда по осуществлению надзора и контроля за соблюдением трудового законодательства, включая права должностных лиц, уполномоченных на проведение надзора и контроля в установленной сфере деятельности, а также требования к её осуществлению и порядок проведения инспекционных проверок, подчиняются строгому регламенту. Он установлен Положением о Федеральной службе по труду и занятости, утверждённым Постановлением Правительства РФ от 30.06.04 № 324, Приказом Роструда от 03.06.09 № 127 «О мерах по реализации положений Федерального закона от 26.12.08 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (вместе с «Методическими рекомендациями по применению положений Федерального закона от 26.12.08 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля»» при осуществлении надзора и контроля за соблюдением трудового законодательства и иных нормативных правовых актов, содержащих нормы трудового права»), Трудовым кодексом РФ, ратифицированными РФ конвенциями Международной организации труда по вопросам инспекции труда, иными федеральными законами, а также решениями Правительства РФ.
Так как ФЗ от 27.12.09 № 365-ФЗ отложил введение в действие ФЗ № 294-ФЗ для Роструда до 1 января 2011 года, порядок инспектирования работодателей пока определяется статьёй 360 ТК РФ, а значит, инспектор имеет право беспрепятственного допуска на любое рабочее место в любое время суток, при этом он может и не уведомлять работодателя о предстоящей проверке.
Как уполномоченный орган по защите прав субъектов персональных данных, а также контролю и надзору за соответствием обработки персональных данных требованиям законодательства, Роскомнадзор осуществляет плановые проверки, а также внеплановые проверки по заявлениям и обращениям физических и юридических лиц, контролю предписаний об устранении нарушений.
На основании ФЗ № 294 Приказом Роскомнадзора от 01.12.09 № 630 утверждён «Административный регламент проведения проверок Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций при осуществлении федерального государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства РФ в области персональных данных». Он определяет сроки и последовательность административных процедур, а также порядок взаимодействия с операторами персональных данных в рамках проведения проверок при осуществлении федерального государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства РФ в области персональных данных.
В ходе проведения проверки Роскомнадзор может обследовать информационные системы ПДн в части, касающейся персональных данных субъектов этих данных, обрабатываемых в ней, а также рассматривать документы оператора. В их числе: уведомление об обработке персональных данных, поступившее от оператора; документы, необходимые для проверки фактов, содержащих признаки нарушения законодательства РФ в области персональных данных, изложенных в обращениях граждан и информации; документы, подтверждающие выполнение оператором предписаний об устранении ранее выявленных нарушений законодательства РФ; письменное согласие субъекта персональных данных на обработку его персональных данных; документы, подтверждающие соблюдение требований законодательства РФ при обработке специальных категорий и биометрических персональных данных; документы, регламентирующие порядок и условия трансграничной передачи персональных данных; документы, регламентирующие порядок обработки персональных данных, осуществляемой без использования средств автоматизации; документы, устанавливающие режим конфиденциальности при обработке персональных данных; документы, содержащие сведения, подтверждающие уничтожение оператором персональных данных субъектов этих данных по достижении цели обработки; локальные акты оператора, регламентирующие порядок и условия обработки персональных данных; документы об иной деятельности, связанной с обработкой персональных данных.
Также регламентом определён примерный перечень документов, запрашиваемых при документарной проверке: учредительные документы оператора; копия уведомления об обработке персональных данных; положение о порядке обработки персональных данных; положение о подразделении, осуществляющем функции по организации защиты персональных данных; должностные регламенты лиц, имеющих доступ и (или) осуществляющих обработку персональных данных; план мероприятий по защите персональных данных; план внутренних проверок состояния защиты персональных данных; приказ о назначении ответственных лиц по работе с персональными данными; типовые формы документов, предполагающие или допускающие содержание персональных данных; журналы, реестры, книги, содержащие персональные данные, необходимые для однократного пропуска субъекта этих данных на территорию, на которой находится оператор, или в иных аналогичных целях; договоры с субъектами персональных данных, лицензии на виды деятельности, в рамках которых осуществляется обработка персональных данных; выписки из Единого государственного реестра юридических лиц, содержащие актуальные данные на момент проведения проверки; приказы об утверждении мест хранения материальных носителей персональных данных; письменное согласие субъектов ПДн на обработку их персональных данных (типовая форма); распечатки электронных шаблонов полей, содержащие персональные данные; справки о постановке на балансовый учёт персональных компьютеров и иного оборудования, на котором осуществляется обработка персональных данных; заключения экспертизы ФСБ и ФСТЭК России об оценке соответствия средств защиты информации, предназначенных для обеспечения безопасности персональных данных при их обработке; приказ о создании комиссии и акты проведения классификации информационных систем персональных данных; журналы (книги) учёта обращений граждан; акт об уничтожении персональных данных субъекта(ов) персональных данных (в случае достижения цели обработки); иные документы, отражающие исполнение оператором требований законодательства РФ в области персональных данных.
ФСБ и ФСТЭК России
Пунктом 3 статьи 19 ФЗ № 152 контроль и надзор за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационных системах ПДн, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных, установленных Правительством РФ возлагается на ФСБ и ФСТЭК России, в пределах их полномочий.
ФСБ России является уполномоченным органом в области обеспечения безопасности РФ: при формировании и реализации государственной и научно-технической политики в области обеспечения информационной безопасности, в том числе с использованием инженерно-технических и криптографических средств; при обеспечении криптографическими и инженерно-техническими методами безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в РФ и её учреждениях, находящихся за пределами РФ.
Нормативно-правовое регулирование вопросов противодействия техническим разведкам и технической защиты информации осуществляет ФСТЭК России, на которую возложены функции в области государственной безопасности по вопросам: обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры; противодействия иностранным техническим разведкам на территории РФ; обеспечения защиты (некриптографическими методами) информации с ограниченным доступом, предотвращения её утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях её добывания, уничтожения, искажения и блокирования доступа к ней на территории РФ; защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств; осуществления экспортного контроля.
Федеральный закон № 152 и нормативно-правовые акты, развивающие его положения, обязывают оператора принять множество мер для построения системы защиты персональных данных, как организационного, так и инженерно-технического характера. Причём за нарушение этих требований предусмотрена ответственность, весьма критичная для бизнеса.
Как показывает практика, для большинства операторов построение корректной системы защиты персональных данных требует значительных финансовых, временн`ых и трудовых затрат и является весьма проблематичным. По этой причине перед ними часто возникает дилемма: использовать ресурсы собственных сотрудников или привлекать специальные компании, обладающие необходимыми лицензиями, штатом высококвалифицированных специалистов, опытом и знаниями с учётом специфичности требований федерального законодательства в области ПДн. В любом случае защиту персональных данных обеспечивать необходимо.