ДЕРЖАВНА ПОДАТКОВА СЛУЖБА УКРАЇНИ
Н А К А З
від 30 грудня 2020 року № 776
Із змінами, внесеними наказом ДПС
від 09.11.2022 № 825
Про забезпечення вимог Порядку обробки персональних даних у базі персональних даних ДРФО
З метою організації роботи, пов’язаної із захистом персональних даних та захистом інформації в інформаційно-комунікаційній системі «Державний реєстр фізичних осіб – платників податків» Державної податкової служби України, відповідно до Закону України «Про захист персональних даних» та Порядку обробки персональних даних у базі персональних даних – Державному реєстрі фізичних осіб – платників податків (далі – ДРФО), затвердженого наказом Міністерства фінансів України від 24.02.2015 № 210, зареєстрованого в Міністерстві юстиції України 12.03.2015 за № 278/26723 (зі змінами і доповненнями, внесеними наказом Міністерства фінансів України від 08.09.2020 № 553) (далі – Порядок),
НАКАЗУЮ:
1. Визначити відповідальними за організацію роботи, пов’язаної із захистом персональних даних та захистом інформації в інформаційно-комунікаційній системі ДРФО Державної податкової служби України (далі – ІКС ДРФО):
1.1. Департамент податкових сервісів – за:
методологічне супроводження, формування, інформаційне забезпечення, функціонування, контроль за достовірністю, повнотою та цілісністю бази персональних даних ДРФО, проєктування, розроблення, модернізацію та експлуатацію ІКС ДРФО;
організацію роботи зі збирання, накопичення, зберігання, внесення змін, поновлення, використання та захисту персональних даних при обробці в ІКС ДРФО;
1.2. Департамент інформаційних технологій – за технічний супровід серверного обладнання ІКС ДРФО, компонентів системи електронної взаємодії державних електронних інформаційних ресурсів та інших інформаційних ресурсів ДПС, які використовуються для забезпечення інформаційної взаємодії ІКС ДРФО з зовнішніми організаціями;
1.3. Департамент охорони державної таємниці, технічного та криптографічного захисту інформації – за організаційне забезпечення завдань керування КСЗІ в ІКС ДРФО.
2. Керівникам структурних підрозділів ДПС, працівники яких згідно зі своїми функціональними обов’язками мають право на обробку/доступ до персональних даних ДРФО, забезпечити:
2.1. внесення змін до положень про відділи та/або посадових інструкцій працівників, які відповідно до пункту 1 цього наказу призначені відповідальними або мають право на обробку/доступ до персональних даних ДРФО;
2.2. надання до Департаменту податкових сервісів затверджених у встановленому порядку зобов’язань про нерозголошення персональних даних за формою згідно з додатком 1 до Порядку працівниками ДПС, які відповідно до своїх функціональних обов’язків мають право на обробку/доступ до персональних даних ДРФО;
2.3. надання у триденний строк до Департаменту податкових сервісів інформації про звільнення працівника, який мав доступ до персональних даних ДРФО, або переведення його на іншу посаду, що не передбачає роботу з персональними даними ДРФО для позбавлення такого працівника права на обробку/доступ до персональних даних ДРФО та унеможливлення доступу до персональних даних.
3. Керівникам головних управлінь ДПС в областях та м. Києві, міжрегіональних управлінь ДПС по роботі з великими платниками податків забезпечити:
3.1. неухильне дотримання вимог Порядку при здійсненні обробки та/або доступу до персональних даних з ДРФО;
3.2. ознайомлення працівників, які у зв’язку з виконанням своїх функціональних обов’язків мають доступ до персональних даних з ДРФО, з вимогами законодавства про захист персональних даних та Порядком;
3.3. визначення відповідальних осіб, що організовують відповідно до законодавства роботу, пов’язану із захистом персональних даних з ДРФО при їх обробці;
3.4. внесення до положень про відділ (сектор) або посадових інструкцій відповідальних осіб записів про організацію роботи, пов’язаної із захистом персональних даних при їх обробці, відповідно до законодавства;
3.5. надання працівниками, які відповідно до своїх функціональних обов’язків мають право на обробку/доступ до персональних даних з ДРФО, зобов’язань про нерозголошення персональних даних за формою згідно з додатком 1 до Порядку;
3.6. вжиття заходів, у тому числі організаційних та технічних, щодо забезпечення захисту персональних даних, зокрема виділення окремого приміщення з обмеженим доступом, де розміщуються технічні засоби для обробки персональних даних з ДРФО, та створення окремих робочих місць для обслуговування фізичних осіб;
3.7. покладення відповідальності за несанкціонований доступ до персональних даних з ДРФО та витік інформації на відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних з ДРФО при їх обробці.
Контроль за виконанням наказу залишаю за собою.
В. о. Голови Тетяна КІРІЄНКО