Приложение

Порядок аккредитации на право осуществления проверок субъектов регулирования в сфере персональных данных

Глава 1. Общие положения

1. Настоящий Порядок аккредитации на право осуществления проверок субъектов регулирования в сфере персональных данных (далее – Порядок) определяет требования к аккредитованным лицам и порядок аккредитации юридических и физических лиц, осуществляющих деятельность в сфере персональных данных, а также вид документа, выдаваемого по результатам проведения проверок аккредитованными лицами.

2. Аккредитация осуществляется отраслевым регулятором в сфере персональных данных (далее – Регулятор).

3. Проверки проводятся аккредитованными Регулятором лицами в целях предупреждения нарушений в сфере персональных данных, обеспечения прав субъектов персональных данных и соответствия обработки персональных данных требованиям законодательства Кыргызской Республики.

4. Аккредитация подтверждает, что аккредитованное лицо соответствует требованиям, предъявляемым к его профессиональной квалификации и опыту для проведения проверки субъектов регулирования.

5. В настоящем Порядке термины используются в следующих значениях:

1) аккредитация – процедура признания Регулятором компетентности аккредитованных лиц для проведения правовой, организационной или технической оценки соответствия обработки персональных данных, осуществляемой субъектом регулирования, требованиям Цифрового кодекса Кыргызской Республики и законодательства Кыргызской Республики в сфере персональных данных (далее – установленные требования в сфере персональных данных);

2) аккредитованные лица – юридические и физические лица, аккредитованные Регулятором в соответствии с настоящим Порядком;

3) проверка аккредитованным лицом – осуществляемая по запросу субъекта регулирования проверка на соответствие процедур и деятельности субъекта регулирования установленным требованиям в сфере персональных данных, с выдачей по ее результатам заключения;

4) Реестр аккредитованных лиц – официальный список субъектов, прошедших аккредитацию Регулятора;

5) субъекты аккредитации – юридические и физические лица, обратившиеся за получением аккредитации; 

6) субъекты регулирования – физические и (или) юридические лица, обратившиеся к аккредитованному лицу за услугой по проведению проверки;

7) заключение – документ, содержащий результат проверки соответствия деятельности субъекта регулирования установленным требованиям в сфере персональных данных, который действует в течение 1 (одного) календарного года с даты его составления.

Иные термины используются в значениях, установленных Цифровым кодексом Кыргызской Республики.

6. Аккредитация на право осуществления проверок субъектов регулирования осуществляется на добровольной основе.

7. Регулятор не осуществляет проверку субъектов регулирования в течение срока действия заключения, выданного аккредитованным лицом, за исключением случаев проведения внеплановых или контрольных проверок в соответствии с законодательством Кыргызской Республики, регулирующим порядок проведения проверок субъектов предпринимательства.

Проведение проверок и (или) представление заключений лицами, не внесенными в Реестр аккредитованных лиц в порядке, определенном настоящим Порядком, запрещается.

8. Аккредитованные лица не допускаются к осуществлению проверки субъекта регулирования, которому ранее оказывали иные аналогичные услуги в сфере персональных данных, в течение года после завершения оказания таких услуг, в том числе оказания аналогичных услуг работниками юридического лица.

        Глава 2. Требования к аккредитованным лицам

9. Аккредитация на право осуществления проверок субъектов регулирования в сфере персональных данных осуществляется при условии выполнения субъектом аккредитации следующих требований:

1) для юридического лица:

– наличие правового статуса у субъекта аккредитации: регистрация в качестве юридического лица на территории Кыргызской Республики, отсутствие процедур банкротства и (или) ликвидации, отсутствие нарушений установленных требований в сфере персональных данных;

– наличие опыта профессиональной деятельности: не менее                     5 (пяти) лет опыта практической деятельности в Кыргызской Республике субъекта аккредитации в сфере персональных данных, в том числе юридического консалтинга, или информационной/ кибербезопасности, или цифрового/ИТ-права, наличие опыта реализованных проектов или консалтинга в данной сфере;

– наличие квалифицированного персонала в штате субъекта аккредитации: не менее 3 (трех) специалистов, соответствующих требованиям, установленным настоящим Порядком, из них не менее одного имеющего высшее образование и обладающего профессиональной компетенцией в сфере информационных технологий и (или) кибербезопасности;

– наличие собственной утвержденной, регулярно обновляемой методики проведения проверок, соответствующей установленным требованиям в сфере персональных данных и (или) общепризнанной международной практике;

2) для персонала субъекта аккредитации:

– наличие соответствующего высшего образования (высшего юридического или высшего технического в сфере информационных технологий, кибербезопасности) и дополнительной профессиональной подготовки в сфере персональных данных или кибербезопасности;

– наличие не менее 3 (трех) лет практического опыта работы в сфере персональных данных, в том числе информационной/ кибербезопасности или юридического консалтинга;

– соответствие репутационным требованиям, отсутствие дисциплинарных взысканий, фактов нарушения установленных требований в сфере персональных данных;

3) для физических лиц:

– наличие соответствующего высшего образования (высшего юридического и высшего технического/в сфере информационных технологий, кибербезопасности) и дополнительной профессиональной подготовки в сфере персональных данных или кибербезопасности;

– наличие не менее 3 (трех) лет практического опыта работы в сфере персональных данных, в том числе информационной/ кибербезопасности или юридического консалтинга;

– соответствие репутационным требованиям, отсутствие дисциплинарных взысканий, фактов нарушения установленных требований в сфере персональных данных;

– наличие собственной утвержденной, регулярно обновляемой методики проведения проверок, соответствующей установленным требованиям в сфере персональных данных и (или) общепризнанной международной практике.

10. Аккредитованные лица в течение всего срока аккредитации обязаны:

1) ежегодно, не позднее 1 апреля года, следующего за отчетным, в котором были проведены проверки, вносить плату за аккредитацию;

2) осуществлять проверки исключительно в сфере, в которой они были аккредитованы, исключительно на добровольной основе со стороны субъектов регулирования и не вошедших в план проверок субъектов предпринимательства, публикуемый Регулятором на официальном сайте;

3) составлять и передавать проверяемому субъекту регулирования заключение о результатах проверки и отчет с указанием выявленных нарушений установленных требований в сфере персональных данных (при их выявлении) с рекомендациями и корректирующими мерами.

Аккредитованные лица обязаны после проведения каждой проверки субъекта регулирования предоставлять Регулятору заключение о результатах проверки (экспертной оценки) и отчет с указанием выявленных нарушений установленных требований в сфере персональных данных (при их выявлении) с рекомендациями и корректирующими мерами не позднее 10 (десяти) календарных дней с даты вручения заключения о результатах проверки субъекту регулирования;

4) соблюдать конфиденциальность сведений, полученных в ходе проверки от субъекта регулирования, и не передавать никому отчет, кроме как субъекту регулирования и Регулятору;

5) не допускать конфликта интересов;

6) уведомлять Регулятора о субъектах регулирования, в которых проведены проверки. 

11. Аккредитованные лица обязаны соответствовать установленным настоящим Порядком требованиям в течение всего срока аккредитации.