Порядок аккредитации на право осуществления проверок субъектов регулирования в сфере персональных данных

Глава 1. Общие положения

1. Настоящий Порядок аккредитации на право осуществления проверок субъектов регулирования в сфере персональных данных (далее – Порядок) определяет требования к аккредитованным лицам и порядок аккредитации юридических и физических лиц, осуществляющих деятельность в сфере персональных данных, а также вид документа, выдаваемого по результатам проведения проверок аккредитованными лицами.

2. Аккредитация осуществляется отраслевым регулятором в сфере персональных данных (далее – Регулятор).

3. Проверки проводятся аккредитованными Регулятором лицами в целях предупреждения нарушений в сфере персональных данных, обеспечения прав субъектов персональных данных и соответствия обработки персональных данных требованиям законодательства Кыргызской Республики.

4. Аккредитация подтверждает, что аккредитованное лицо соответствует требованиям, предъявляемым к его профессиональной квалификации и опыту для проведения проверки субъектов регулирования.

5. В настоящем Порядке термины используются в следующих значениях:

1) аккредитация – процедура признания Регулятором компетентности аккредитованных лиц для проведения правовой, организационной или технической оценки соответствия обработки персональных данных, осуществляемой субъектом регулирования, требованиям Цифрового кодекса Кыргызской Республики и законодательства Кыргызской Республики в сфере персональных данных (далее – установленные требования в сфере персональных данных);

2) аккредитованные лица – юридические и физические лица, аккредитованные Регулятором в соответствии с настоящим Порядком;

3) проверка аккредитованным лицом – осуществляемая по запросу субъекта регулирования проверка на соответствие процедур и деятельности субъекта регулирования установленным требованиям в сфере персональных данных, с выдачей по ее результатам заключения;

4) Реестр аккредитованных лиц – официальный список субъектов, прошедших аккредитацию Регулятора;

5) субъекты аккредитации – юридические и физические лица, обратившиеся за получением аккредитации; 

6) субъекты регулирования – физические и (или) юридические лица, обратившиеся к аккредитованному лицу за услугой по проведению проверки;

7) заключение – документ, содержащий результат проверки соответствия деятельности субъекта регулирования установленным требованиям в сфере персональных данных, который действует в течение 1 (одного) календарного года с даты его составления.

Иные термины используются в значениях, установленных Цифровым кодексом Кыргызской Республики.

6. Аккредитация на право осуществления проверок субъектов регулирования осуществляется на добровольной основе.

7. Регулятор не осуществляет проверку субъектов регулирования в течение срока действия заключения, выданного аккредитованным лицом, за исключением случаев проведения внеплановых или контрольных проверок в соответствии с законодательством Кыргызской Республики, регулирующим порядок проведения проверок субъектов предпринимательства.

Проведение проверок и (или) представление заключений лицами, не внесенными в Реестр аккредитованных лиц в порядке, определенном настоящим Порядком, запрещается.

8. Аккредитованные лица не допускаются к осуществлению проверки субъекта регулирования, которому ранее оказывали иные аналогичные услуги в сфере персональных данных, в течение года после завершения оказания таких услуг, в том числе оказания аналогичных услуг работниками юридического лица.

        Глава 2. Требования к аккредитованным лицам

9. Аккредитация на право осуществления проверок субъектов регулирования в сфере персональных данных осуществляется при условии выполнения субъектом аккредитации следующих требований:

1) для юридического лица:

– наличие правового статуса у субъекта аккредитации: регистрация в качестве юридического лица на территории Кыргызской Республики, отсутствие процедур банкротства и (или) ликвидации, отсутствие нарушений установленных требований в сфере персональных данных;

– наличие опыта профессиональной деятельности: не менее                     5 (пяти) лет опыта практической деятельности в Кыргызской Республике субъекта аккредитации в сфере персональных данных, в том числе юридического консалтинга, или информационной/ кибербезопасности, или цифрового/ИТ-права, наличие опыта реализованных проектов или консалтинга в данной сфере;

– наличие квалифицированного персонала в штате субъекта аккредитации: не менее 3 (трех) специалистов, соответствующих требованиям, установленным настоящим Порядком, из них не менее одного имеющего высшее образование и обладающего профессиональной компетенцией в сфере информационных технологий и (или) кибербезопасности;

– наличие собственной утвержденной, регулярно обновляемой методики проведения проверок, соответствующей установленным требованиям в сфере персональных данных и (или) общепризнанной международной практике;

2) для персонала субъекта аккредитации:

– наличие соответствующего высшего образования (высшего юридического или высшего технического в сфере информационных технологий, кибербезопасности) и дополнительной профессиональной подготовки в сфере персональных данных или кибербезопасности;

– наличие не менее 3 (трех) лет практического опыта работы в сфере персональных данных, в том числе информационной/ кибербезопасности или юридического консалтинга;

– соответствие репутационным требованиям, отсутствие дисциплинарных взысканий, фактов нарушения установленных требований в сфере персональных данных;

3) для физических лиц:

– наличие соответствующего высшего образования (высшего юридического и высшего технического/в сфере информационных технологий, кибербезопасности) и дополнительной профессиональной подготовки в сфере персональных данных или кибербезопасности;

– наличие не менее 3 (трех) лет практического опыта работы в сфере персональных данных, в том числе информационной/ кибербезопасности или юридического консалтинга;

– соответствие репутационным требованиям, отсутствие дисциплинарных взысканий, фактов нарушения установленных требований в сфере персональных данных;

– наличие собственной утвержденной, регулярно обновляемой методики проведения проверок, соответствующей установленным требованиям в сфере персональных данных и (или) общепризнанной международной практике.

10. Аккредитованные лица в течение всего срока аккредитации обязаны:

1) ежегодно, не позднее 1 апреля года, следующего за отчетным, в котором были проведены проверки, вносить плату за аккредитацию;

2) осуществлять проверки исключительно в сфере, в которой они были аккредитованы, исключительно на добровольной основе со стороны субъектов регулирования и не вошедших в план проверок субъектов предпринимательства, публикуемый Регулятором на официальном сайте;

3) составлять и передавать проверяемому субъекту регулирования заключение о результатах проверки и отчет с указанием выявленных нарушений установленных требований в сфере персональных данных (при их выявлении) с рекомендациями и корректирующими мерами.

Аккредитованные лица обязаны после проведения каждой проверки субъекта регулирования предоставлять Регулятору заключение о результатах проверки (экспертной оценки) и отчет с указанием выявленных нарушений установленных требований в сфере персональных данных (при их выявлении) с рекомендациями и корректирующими мерами не позднее 10 (десяти) календарных дней с даты вручения заключения о результатах проверки субъекту регулирования;

4) соблюдать конфиденциальность сведений, полученных в ходе проверки от субъекта регулирования, и не передавать никому отчет, кроме как субъекту регулирования и Регулятору;

5) не допускать конфликта интересов;

6) уведомлять Регулятора о субъектах регулирования, в которых проведены проверки. 

11. Аккредитованные лица обязаны соответствовать установленным настоящим Порядком требованиям в течение всего срока аккредитации.

      Глава 3. Порядок аккредитации

12. Аккредитация осуществляется на основании заявления субъекта аккредитации установленной формы, подаваемого Регулятору. Утвержденная Регулятором форма заявления размещается на его официальном сайте.

13. В заявлении субъекта аккредитации – юридического лица указывается следующая информация:

1) наименование субъекта аккредитации – юридического лица и организационно-правовая форма;

2) место нахождения и государственный регистрационный номер субъекта аккредитации – юридического лица;

3) идентификационный номер налогоплательщика (субъекта аккредитации – юридического лица);

4) документы или сведения, подтверждающие наличие в штате не менее 3 (трех) сотрудников юридического лица.

14. К заявлению субъекта аккредитации – юридического лица прилагаются следующие документы:

1) трудовые договоры субъекта аккредитации – юридического лица с не менее чем тремя работниками, непосредственно осуществляющими проверки субъектов регулирования;

2) дипломы, подтверждающие наличие высшего образования в соответствующей сфере у находящихся в штате не менее 3 (трех) сотрудников юридического лица;

3) документы (свидетельства, сертификаты, дипломы), подтверждающие дополнительную профессиональную подготовку в соответствующей сфере у находящихся в штате не менее 3 (трех) сотрудников юридического лица;

4) документы или сведения, подтверждающие наличие не менее 3 (трех) лет опыта в соответствующей сфере у находящихся в штате не менее 3 (трех) сотрудников юридического лица;

5) методика проведения проверок;

6) документы, подтверждающие наличие не менее 3 (трех) лет опыта работы в соответствующей сфере; 

7) надлежащим образом заверенные копии учредительных документов субъекта аккредитации – юридического лица.

15. В заявлении субъекта аккредитации – физического лица указывается следующая информация:

1) фамилия, имя, отчество (при наличии) субъекта аккредитации – физического лица;

2) место нахождения и государственный регистрационный номер субъекта аккредитации – физического лица;

3) идентификационный номер налогоплательщика (субъекта аккредитации – физического лица).

16. К заявлению субъекта аккредитации – физического лица прилагаются следующие документы:

1) диплом, подтверждающий наличие высшего образования в соответствующей сфере;

2) документы (свидетельства, сертификаты, дипломы), подтверждающие дополнительную профессиональную подготовку в соответствующей сфере;

3) методика проведения проверок;

4) документы, подтверждающие наличие не менее 3 (трех) лет опыта работы в соответствующей сфере; 

17. Заявление об аккредитации и прилагаемые к нему документы могут быть направлены Регулятору в форме цифрового документа.

Глава 4. Административные процедуры аккредитации

18. Регулятор принимает решение об аккредитации либо отказе в

аккредитации в течение 30 (тридцати) календарных дней со дня приема/регистрации заявления с приложенными документами.

19. Заявления и прилагаемые к нему документы, а также сведения, полученные в ответ на запросы, рассматриваются аккредитационной комиссией, утверждаемой приказом Регулятора.

Аккредитационная комиссия рассматривает документы на предмет их полноты и соответствия субъекта аккредитации требованиям настоящего Порядка.

Решение об отказе в аккредитации должно содержать основание.

20. Основанием для отказа в аккредитации являются:

1) несоответствие требованиям к аккредитованным лицам, установленным настоящим Порядком;

2) непредоставление сведений и документов, прямо предусмотренных пунктами 12–16 настоящего Порядка, либо предоставление неполных сведений и документов;

3) предоставление недостоверных сведений и (или) документов.

21. Регулятор в пределах своих полномочий принимает решения относительно:

1)  аккредитации;

2)  отказа в аккредитации;

3)  приостановления действия аккредитации;

4)  возобновления действия аккредитации;

5)  аннулирования (отзыва) аккредитации;

6)  переаккредитации либо отказа в переаккредитации;

7)  прекращения действия аккредитации.

Основания и порядок приостановления, аннулирования (отзыва) и прекращения действия аккредитации устанавливаются главой 5 настоящего Порядка.

22. Срок действия свидетельства об аккредитации составляет                   5 лет, если более короткий срок не был указан в заявлении самого субъекта аккредитации.

23. В целях реализации настоящего Порядка создается Реестр аккредитованных лиц. Регулятор ведет и размещает Реестр аккредитованных лиц на своем официальном сайте, включающий следующие сведения:

1) наименование юридического лица;

2) регистрационный (реестровый) номер;

3) контактную информацию.

24. Информация в реестр вносится Регулятором не позднее одного рабочего дня, следующего за днем принятия решения об аккредитации.

25. В случае изменения наименования или контактной информации аккредитованного лица последнее обязано уведомить об этом Регулятора в течение 10 (десяти) календарных дней с даты таких изменений.

Регулятор вносит изменения в Реестр аккредитованных лиц в течение 5 (пяти) календарных дней с даты получения уведомления об изменении указанных сведений.

26. В случае изменения у аккредитованного лица состава работников, непосредственно осуществляющих проверку, до истечения срока действия аккредитаци аккредитованное лицо обязано не позднее 10 (десяти) календарных дней с даты таких изменений направить Регулятору соответствующее уведомление с приложением необходимых документов, подтверждающих соответствие нового персонала требованиям настоящего Порядка.

27. На основании полученного уведомления с приложением соответствующих документов Регулятор в течение 15 (пятнадцати) календарных дней с даты получения/регистрации такого уведомления принимает решение о переаккредитации или об отказе в переаккредитации с прекращением действия аккредитации.

Регулятор вправе направить запрос в иные государственные органы в целях проверки достоверности сведений, представленных субъектом аккредитации.

28. За 3 (три) календарных месяца до истечения срока действия аккредитации аккредитованные лица вправе обратиться к Регулятору о продлении срока аккредитации на новый срок (реаккредитацию), которая проводится в порядке и сроках, установленных настоящим Порядком для первичной аккредитации.

          Глава 5. Основания для приостановления и

          аннулирования (отзыва) аккредитации

29.  Регулятор принимает решение о приостановлении действия аккредитации в случае несоблюдения аккредитованным лицом требований настоящего Порядка, в том числе:

1) при наличии у аккредитованного лица нарушений требований настоящего Порядка и (или) законодательства Кыргызской Республики в сфере персональных данных;

2) при невнесении платы за аккредитацию в полном объеме и в установленные сроки.

30. В случае наличия оснований для приостановления аккредитации Регулятор выдает аккредитованному лицу предписание об устранении нарушений с указанием срока их устранения, который не может быть менее 15 (пятнадцати) дней, и приостанавливает действие аккредитации на данный срок.

Действие аккредитации может быть приостановлено Регулятором на срок не более 45 дней.

31. В случае приостановления действия аккредитации Регулятор вносит в Реестр аккредитованных лиц сведения о приостановлении аккредитации в отношении соответствующего аккредитованного лица.

32. При устранении нарушений, послуживших основанием для приостановления действия аккредитации, аккредитованное лицо обязано уведомить в письменной форме Регулятора об устранении выявленных нарушений, после чего Регулятор принимает решение о возобновлении аккредитации с внесением соответствующих сведений в Реестр аккредитованных лиц в течение 5 (пяти) календарных дней со дня получения уведомления аккредитованного лица.

33. Регулятор аннулирует (отзывает) аккредитацию на основании акта (протокола) аккредитационной комиссии в следующих случаях:

1) неустранения аккредитованным лицом нарушений, указанных Регулятором в предписании, в установленный срок;

2) выявления у аккредитованного лица случаев проведения проверок при наличии конфликта интересов.

34. Регулятор в течение 5 (пяти) календарных дней со дня принятия решения об аннулировании (отзыве) аккредитации:

–      направляет аккредитованному лицу уведомление об аннулировании (отзыве) аккредитации;

– вносит в Реестр аккредитованных лиц сведения об аннулировании (отзыве) аккредитации в отношении соответствующего аккредитованного лица.

35. Аккредитованные лица прекращают деятельность по истечении 1 (одного) календарного месяца со дня направления Регулятором уведомления об аннулировании (отзыве) аккредитации.

В период указанного срока аккредитованное лицо не вправе принимать новые обязательства по проведению проверок, за исключением завершения проверок, начатых до даты принятия решения об аннулировании (отзыве) аккредитации.

36. Действие аккредитации может быть прекращено Регулятором на основании поступившего заявления аккредитованного лица о прекращении деятельности.

Аккредитованное лицо обязано письменно направить заявление о прекращении деятельности Регулятору не позднее чем за 1 (один) календарный месяц до предполагаемой даты прекращения деятельности.

После направления Регулятору заявления о прекращении деятельности аккредитованное лицо не вправе принимать новые обязательства по проведению проверок, за исключением завершения проверок, начатых до направления заявления о прекращении деятельности.

      Глава 7. Заключительные положения

40. Аккредитованные лица несут ответственность за достоверность, полноту и объективность проводимых проверок в соответствии с законодательством Кыргызской Республики.

41. Регулятор вправе проводить проверки соответствия аккредитованных лиц требованиям настоящего Порядка.

42. Регулятор утверждает и размещает на своем официальном сайте формы заявлений, уведомлений и требования к аккредитованным лицам.