Тест для ответственного за организацию обработки персональных данных

Проверка того, что нужно ответственному за обработку персональных данных в работе: обязанности оператора, локальные акты, внутренний контроль, оценка вреда, уведомления Роскомнадзора, сроки ответов субъектам, утечки и согласия. После проверки — разбор каждого ответа со ссылкой на норму.

15 вопросов из 36 — каждый раз новый набор · около 10 минут · без регистрации

1. В проекте положения об обработке персональных данных написано: «Сведения об обработке персональных данных предоставляются субъекту по его запросу в течение 30 дней». Можно ли так оставить?

Можно, если положение утверждено приказом руководителя Можно: оператор сам устанавливает сроки в своих актах Можно, если субъект подписал ознакомление с положением Нет: локальные акты не могут ограничивать права субъектов, а закон даёт на ответ 10 рабочих дней с продлением не более чем на 5 рабочих дней по мотивированному уведомлению

2. Что локальные акты оператора по вопросам обработки должны определять для каждой цели обработки персональных данных?

Только размер штрафов за нарушения Только перечень используемых средств защиты информации Категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения Только перечень работников, допущенных к обработке

3. Отдел аналитики обезличивает клиентскую базу для отчётов. Что требуется по приказу Роскомнадзора № 140?

Хранить исходный массив отдельно от результата обезличивания и вести учёт действий по обезличиванию Опубликовать описание метода на сайте оператора Применять любой метод по выбору, в том числе не названный в приказе Согласовать выбранный метод с Роскомнадзором

4. Что должен содержать запрос субъекта о предоставлении сведений об обработке его персональных данных?

Данные документа, удостоверяющего личность, сведения, подтверждающие отношения с оператором или факт обработки, и подпись субъекта или представителя Только фамилию и номер телефона Нотариально заверенную копию паспорта Обоснование, зачем субъекту эти сведения

5. Роскомнадзор запросил доказательства, что клиенты дали согласие. Менеджеры говорят, что согласие получали устно по телефону, записей нет. Чья это проблема?

Роскомнадзора: он должен доказать отсутствие согласия Субъектов: они должны доказать, что согласия не давали Оператора: доказать получение согласия или наличие иного основания обязан он Ничья: устное согласие доказывать не нужно

6. Для ответа субъекту сотрудник выгрузил историю обращений, где видны имена и телефоны других клиентов. Можно ли отправить выгрузку как есть?

Нет: сведения предоставляются без персональных данных других субъектов, если нет законных оснований их раскрыть Можно, если субъект пообещает не распространять чужие данные Можно: субъект сам запросил сведения Можно, если отправить выгрузку заказным письмом

7. Оператор подал уведомление о трансграничной передаче в страну, которой нет в перечне государств, обеспечивающих адекватную защиту. Когда можно начинать передачу?

Только после получения письменного разрешения Роскомнадзора Сразу после отправки уведомления Через 30 дней после отправки уведомления После истечения 10 рабочих дней с даты поступления уведомления в Роскомнадзор (с учётом возможного приостановления), если передача не запрещена и не ограничена

8. Как в уведомлении об обработке указываются категории персональных данных, категории субъектов, правовое основание, действия и способы обработки?

Только для цели с наибольшим числом субъектов Одним общим списком на всю организацию Эти сведения в уведомление не входят Отдельно для каждой цели обработки

9. В организации сменился ответственный за организацию обработки персональных данных. Нужно ли сообщать об этом в Роскомнадзор?

Да, но только при плановой проверке Да: его фамилия и контакты входят в сведения уведомления, об изменении сообщают не позднее 15-го числа следующего месяца Нет: сведения об ответственном в уведомление не входят Нет: достаточно издать приказ о новом назначении

10. Данные нужно уничтожить, но в установленный срок это технически невозможно. Как поступить?

Заблокировать данные и уничтожить их в срок не более шести месяцев, если иной срок не установлен федеральным законом Перенести данные в архив без срока Уничтожить данные в течение трёх лет Продолжать обработку, пока не появится техническая возможность

11. Субъект потребовал прекратить распространение его данных, которые ранее разрешил распространять. Когда прекращается действие его согласия?

Через 30 дней после поступления требования С момента поступления требования оператору С начала следующего календарного месяца После решения суда

12. По обращению субъекта выявлена неправомерная обработка его персональных данных. Что оператор обязан сделать с момента обращения?

Сразу уничтожить все данные субъекта Переслать обращение в Роскомнадзор и ждать указаний Заблокировать неправомерно обрабатываемые данные субъекта (или обеспечить блокирование у обработчика) на период проверки Продолжать обработку до решения суда

13. Оператор отказывает субъекту в предоставлении сведений о его персональных данных. Как оформить отказ?

Письмом без указания причин в течение 30 дней Устно по телефону Письменным мотивированным ответом со ссылкой на норму федерального закона, дающую основание отказа, в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней Отказ не оформляется: достаточно не отвечать

14. Согласия на обработку собираются галочкой в форме на официальном сайте оператора, без последующей идентификации или аутентификации субъекта. К какой степени вреда Требования к оценке вреда относят такой случай?

Среднюю Никакую: способ получения согласия при оценке вреда не учитывается Высокую Низкую

15. Что обязательно указывается в акте оценки вреда?

Уровень защищённости персональных данных в каждой информационной системе Дата издания акта и дата оценки, ФИО проводивших оценку, их должности (при наличии) и подписи, установленная степень вреда Расчёт возможного ущерба субъектам в рублях Перечень актуальных угроз безопасности персональных данных

О тесте

Сколько вопросов в тесте и можно ли пройти его ещё раз?

15 вопросов из банка в 36. При каждом прохождении набор новый, порядок ответов перемешан. После проверки — разбор каждого ответа со ссылкой на норму.

Что проверяет тест?

Обязанности оператора и ответственного, политика и локальные акты, внутренний контроль, оценка вреда, уведомления Роскомнадзора об обработке и об утечке, сроки ответов субъектам и регулятору, согласия, поручение обработки, уничтожение данных и проверка Роскомнадзора.

Как считается результат?

Тест пройден, если верно не меньше 70% ответов. Пропущенный вопрос считается неверным.

Как проверить так сотрудников и сохранить результат?

В личном кабинете ГрамотаИБ есть тесты по 152-ФЗ, защите ИСПДн, ГИС и КИИ и тесты по должностям: для руководителя, отдела кадров, бухгалтерии, отдела продаж и ИТ. Результат записывается по ФИО сотрудника, и печатается протокол — подтверждение, что работников ознакомили с требованиями (пункт 6 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ). Работникам можно разослать ссылку на тест: ведомость по её итогам подтверждает оценку знаний пользователей, которую пункт 57 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117, требует не реже раза в три года.

Есть и второй тест — Тест для администратора безопасности информационной системы: для администратора безопасности: меры защиты, учётные записи, журналы, резервные копии.