Държавен вестник, брой 87 от 19.X

Чл. 4. В информационните фондове на МВР се обработват следните категории лични данни в зависимост от източника:

1. предоставени от субектите на данни;

2. събрани от органи на МВР при упражняване на правомощията им;

3. получени от други органи или организации;

4. получени от други държави - членки на ЕС, държави, които са страни по Споразумението за Европейското икономическо пространство, и Конфедерация Швейцария, както и от органи, институции и агенции на ЕС;

5. получени от трети държави или международни организации, в това число по силата на международни договори, по които Република България е страна.

Чл. 5. (1) Лични данни се записват в информационен фонд в изпълнение на изискване на нормативен акт, правен акт на ЕС или международен договор, по който Република България е страна.

(2) При записването на личните данни се спазват следните изисквания:

1. съвкупността от данни да идентифицира субекта на данни;

2. във фонда се въвежда несъществуваща до този момент съвкупност от данни;

3. съвкупността от данни да съдържа източника им.

(3) Съвкупността от данни се записва, като се извършва проверка за наличност и избягване на дублирането на данните.

(4) В документа, въз основа на който се записват лични данни, се посочва източникът на лични данни, а самият документ се регистрира в съответната структура, освен в случаите, когато записването е в хода на автоматизирано административно обслужване, извършване на полицейски или гранични проверки на лица, ползваните от тях документи и превозни средства.

(5) Правните основания по ал. 1 се посочват в организационно-технологичните правила за работа със съответния информационен фонд, в който се обработват лични данни.

Чл. 6. (1) Личните данни се съхраняват във вид, който позволява идентифицирането на субекта на данните за период не по-дълъг от необходимия за целите, за които те се обработват.

(2) Личните данни се съхраняват по начин, който гарантира подходящо ниво на сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически и организационни мерки.

Чл. 7. (1) Когато сроковете за изтриване на лични данни или за периодична проверка на необходимостта от съхранението им не са определени в нормативен акт, те се определят със заповед на министъра на вътрешните работи.

(2) Извършването на периодична проверка по ал. 1 се документира, а решението за продължаване на съхранението на данните се мотивира.

Чл. 8. Коригирането или актуализирането на лични данни представлява допълване и/или изменение на съществуващи лични данни в информационен фонд.

Чл. 9. (1) Коригиране или актуализиране на лични данни се осъществява:

1. при упражняване на правото на субекта на данни да поиска със заявление коригиране на неточни лични данни, свързани с него, и ако няма основание за отказ;

2. когато в хода на обработването от служителя се установи, че личните данни са неточни поради допусната техническа грешка;

3. в изпълнение на влязъл в сила акт на орган на съдебната власт;

4. в изпълнение на влязъл в сила акт на Комисията за защита на личните данни (КЗЛД);

5. по искане на органи или организации, предоставили личните данни, включително по силата на международен договор.

(2) В случаите на ал. 1 се допуска допълване или изтриване на част от обработваните лични данни.

(3) При коригиране или актуализиране на лични данни в база данни на информационния фонд се записват датата на промяната, данни за служителя, извършил промяната, а в случаите по ал. 1, т. 1, 3, 4 и 5 - и регистрационният номер на документа.

Чл. 10. (1) Коригиране или актуализиране на лични данни се извършва след проверка за наличност на данните.

(2) За извършено коригиране или актуализиране на неточни или неактуални лични данни се съобщава на предаващия орган.

(3) За извършено коригиране или актуализиране на неточни или неактуални лични данни се уведомяват получателите, пред които данните са разкрити, като получателите се уведомяват, че също са длъжни да коригират или актуализират получените лични данни.

(4) Извършването на дейностите по ал. 2 и 3 се отразява в протокол, който се изготвя от служителя, извършил действията, и се регистрира в съответната структура.

Чл. 11. (1) В случаите на чл. 9, ал. 1, т. 1 коригиране или актуализиране на лични данни се извършва въз основа на заповед от министъра на вътрешните работи или изрично оправомощено от него длъжностно лице.

(2) В случаите по чл. 9, ал. 1, т. 2 - 5 коригиране или актуализиране на лични данни се извършва въз основа на писмена заповед, издадена от управляващия информационния фонд, като в случаите по чл. 9, ал. 1, т. 3 и 4 се извършва проверка дали съответният акт е влязъл в сила.

Чл. 12. (1) Извършването на справки с лични данни, съдържащи се в информационен фонд, се осъществява по реда на нормативен акт, правен акт на ЕС, международен договор, по който Република България е страна, и организационно-технологичните правила на информационния фонд.

(2) Извършването на справки по ал. 1 се извършва при спазване на принципа "необходимост да знае".

Чл. 13. (1) Лични данни, обработвани в МВР, се предават на получатели, извън МВР, при условията на Регламент (ЕС) 2016/679, Закона за защита на личните данни и Закона за Министерството на вътрешните работи.

(2) Предаването по ал. 1 се извършва въз основа на заповед на управляващия съответния информационен фонд, доколкото с нормативен акт не е предвиден друг ред.

(3) Лични данни се предават въз основа на писмено искане/автоматизирана заявка или по инициатива на МВР. В документа, с който се предават лични данни, се посочва целта, за която се предават личните данни, и правното основание. Документът се регистрира в съответната предаваща структура.

(4) Искането за предаване на лични данни се изпълнява в нормативно определения срок, а ако такъв не е определен, предаването се извършва съгласно условията на искането или във възможно най-кратък срок.

(5) Служителят, който обработва лични данни, проверява целта, за която са поискани личните данни, и правното основание, посочени в искането.

(6) В случаите, когато са налице специфични условия за обработването на лични данни, включително срок за съхранение, служителят уведомява получателя на данните за тези условия и за задължението му да ги спазва.

(7) В организационно-технологичните правила за съответния информационен фонд се посочва технологията, свързана с дейността по предаване на личните данни.

(8) Когато се установи, че предадените лични данни са неточни или са предадени незаконосъобразно, получателят се уведомява незабавно, а предаващият служител и получателят коригират, изтриват или ограничават обработването на личните данни.

(9) Предаване на лични данни от МВР на други органи или организации чрез автоматизиран обмен се осъществява по реда на нормативен акт, правен акт на ЕС или международен договор, по който Република България е страна.

(10) Предаването на лични данни по ал. 9 се осъществява по начин, който позволява да се направи връзка между автоматизираната заявка по ал. 3 и отговора или между полученото съвпадение при автоматизирано запитване и допълнително предоставените лични данни.

(11) Лични данни на служители на МВР се предават в ограничен обем, необходим за идентифицирането, съгласно приложимите нормативни актове.

Чл. 14. (1) Ограничаване на обработването на лични данни се извършва въз основа на:

1. влязъл в сила акт на орган на съдебната власт;

2. влязъл в сила акт на КЗЛД;

3. искане на субекта на данните - при упражняване на неговото право да поиска от администратора ограничаване на обработването на лични данни, които го засягат;

4. искане от органи или организации, предоставили личните данни, включително по силата на международен договор.

(2) Ограничаване на обработването на лични данни по ал. 1, т. 3 се извършва въз основа на решение на министъра на вътрешните работи или изрично оправомощено от него длъжностно лице.

(3) Ограничаване на обработването на лични данни по ал. 1, т. 1, 2 и 4 се извършва въз основа на заповед на управляващия съответния информационен фонд.

(4) В случаите по ал. 1, т. 1 и 2 управляващият съответния информационен фонд издава заповед за ограничаване на обработването на лични данни след проверка дали съответният акт е влязъл в сила.

(5) Срокът за ограничаване на обработването се определя в зависимост от основанието, във връзка с което се осъществява ограничаването на обработването. Срокът се посочва в съответното решение или заповед.

Чл. 15. Когато обработването на лични данни е ограничено съгласно чл. 14, такива данни се обработват, с изключение на тяхното съхранение, само със съгласието на субекта на данните или за установяването, упражняването или защитата на правни претенции или за защита на правата на друго физическо лице, или поради основания от обществен интерес.

Чл. 16. (1) Ограничаване на обработването на лични данни в автоматизиран информационен фонд се извършва чрез временно добавяне на записи в базата данни, съотносими към определен запис или група записи, обединени по определен признак.

(2) Ограничаване на обработването на лични данни в автоматизиран информационен фонд се извършва чрез специализиран софтуер на автоматизираната система.

(3) Софтуерът на автоматизираната система трябва да изключва възможността за обработване, с изключение на тяхното съхранение, на лични данни, чието обработване е ограничено при всяка функционална дейност на системата за указания период от време.

(4) Софтуерът на автоматизираната система трябва да осигурява възможност лични данни, чието обработване е ограничено, по изключение да се обработват в съответствие с чл. 15.

(5) След извършено възстановяване на базата данни от нейно архивно копие се повтарят действията за ограничаване на обработването на лични данни в срока на ограничаване на обработването.

Чл. 17. (1) В автоматизиран информационен фонд ограничаването на обработването на определен запис или записи се премахва при изтичане на срока по чл. 14, ал. 5 чрез специализиран софтуер за всеки автоматизиран информационен фонд.

(2) След извършено възстановяване на базата данни от нейно архивно копие се повтарят действията за премахване на временното ограничаване на обработването на данните съгласно ал. 1.

Чл. 18. (1) Ограничаване на обработването на данни в неавтоматизиран информационен фонд се извършва чрез временно добавяне на информация към отделен документ или група от документи, обединени по определен признак.

(2) Ограничаване на обработването може да бъде извършено и на част от документ.

(3) Маркировката за ограничаване на обработването съдържа указание относно прекратяването на обработването на личните данни.

Чл. 19. (1) В неавтоматизирания информационен фонд премахването на ограничаването на обработването се извършва, като временно добавената информация се заличава след изтичане на срока по чл. 14, ал. 5.

(2) За премахването на ограничаването на обработването се уведомява инициаторът на ограничаването на обработването.

Чл. 20. (1) Когато обработването е ограничено съгласно чл. 14, ал. 1, т. 3, субектът на данните се информира, преди да се премахне ограничаването на обработването.

(2) Когато е ограничено обработването на лични данни, за това се уведомяват получателите, пред които данните са разкрити, като получателите се уведомяват, че също са длъжни да ограничат обработването на получените лични данни.

(3) Извършването на дейностите по ал. 1 и 2 се отразява в протокол, който се регистрира в съответната структура.

Чл. 21. Изтриване на лични данни се извършва въз основа на:

1. влязъл в сила акт на орган на съдебната власт;

2. влязъл в сила акт на КЗЛД;

3. установено по служебен път несъответствие между оригиналния документ и извършеното обработване на данни във фонда;

4. отпадане на необходимостта от обработване на данните;

5. предоставяне на данни от субекта без правно основание по чл. 6, параграф 1 от Регламент (ЕС) 2016/679 или в противоречие с принципите по чл. 5 от Регламент (ЕС) 2016/679;

6. основателно искане на субекта на данните - при упражняване на неговото право да поиска от министъра на вътрешните работи изтриване на личните данни, които го засягат;

7. основателно искане от органи или организации, предоставили личните данни, включително по силата на международен договор;

8. оттегляне на съгласието за обработване от страна на субекта на данни, когато обработването се извършва на основание съгласие;

9. изтичане на срока за съхранението на данните.

Чл. 22. (1) Изтриването на лични данни по чл. 21, т. 6 и 8 се извършва въз основа на решение на министъра на вътрешните работи или изрично оправомощено от него длъжностно лице.

(2) Изтриването на лични данни по чл. 21, т. 1, 2, 3, 4, 5, 7 и 9 се извършва въз основа на заповед на управляващия съответния информационен фонд.

(3) В случаите на чл. 21, т. 1 и 2 управляващият съответния информационен фонд издава заповед за изтриване на лични данни след проверка дали съответният акт е влязъл в сила.

(4) Лични данни, съдържащи се в обявени на електронни страници на МВР в интернет документи във връзка с провеждане на конкурси, се изтриват в шестмесечен срок от приключване на процедурите по искане на структурата, инициирала публикуването.

Чл. 23. (1) Изтриване на информация, съдържаща лични данни, отразена в неавтоматизиран информационен фонд, се извършва, като:

1. се прилага механична операция, водеща до невъзможност за последващо ползване на изтритите лични данни във фонда;

2. във фонда се поставя маркер за операцията по т. 1, съдържащ основанието за изтриване, номер и дата на документа, иницииращ операцията, подписалия документа, служителя, извършил операцията.

(2) В случаите, когато съответният документ съдържа само идентификационни данни на субекта на данни, той се унищожава, като за целта се съставя протокол от служителя, извършил операцията.

(3) Изтриване на информация, съдържаща лични данни, отразена в неавтоматизирани архивни фондове, не се извършва. Управляващият информационния фонд прилага подходящи технически и организационни мерки за гарантиране правата на субектите на данни.

Чл. 24. (1) Изтриване на информация, съдържаща лични данни, отразена в автоматизиран информационен фонд, се извършва:

1. чрез програмно изтриване на съответната съвкупност от лични данни от базата данни на системата посредством специализиран софтуер на автоматизираната информационна система;

2. по начин, който не позволява възстановяване на изтритата информация, съдържаща лични данни.

(2) В случай на изтриване, при което от даден запис е останала незаличена само идентификационната част, записът се изтрива заедно с референтните връзки, ако има създадени такива към други записи в същата база данни.

(3) При изтриване в базата данни на системата се отразяват основанието за операцията, номерът и датата на документа, иницииращ операцията, данните за разпореждащия операцията, данните за служителя, осъществил операцията, датата и часът на операцията.

Чл. 25. (1) При изтриване на информация, съдържаща лични данни в автоматизиран фонд, управляващият информационния фонд организира изтриване на данните в резервните копия на базата данни, както и недопускане на повторно активиране на изтритите данни.

(2) За извършено изтриване на лични данни се уведомяват получателите, пред които данните са разкрити, като получателите се уведомяват, че са длъжни да изтрият получените лични данни.

(3) Извършването на дейностите по ал. 1 и 2 се отразява в протокол, който се регистрира в съответната структура.

Чл. 26. (1) В автоматизираните информационни фондове, в които се обработват лични данни за целите по глава осма на Закона за защита на личните данни, се водят системни дневници (логове) за следните дейности по обработване: събиране, промяна, справка, разкриване, включително предаване, комбиниране и изтриване.

(2) Логовете по ал. 1 за извършена справка или разкриване дават възможност за установяване на основанието, датата и часа на такива дейности и доколкото е възможно - идентификацията на лицето, което е направило справка или е разкрило лични данни, както и данни, идентифициращи получателите на тези лични данни, както и личните данни, до които е осъществен достъп или са били разкрити.

(3) Логовете по ал. 1 се използват единствено за проверяване на законосъобразността на обработването, за целите на контрола, включително за целите на дисциплинарни производства, за гарантиране на целостността и сигурността на личните данни и при наказателни производства.

(4) Срокът за съхранение на логовете по ал. 1, както и срокът за тяхното архивиране се определят със заповед на министъра на вътрешните работи.

(5) При поискване копие от логове се предоставя на КЗЛД.

(6) Министърът на вътрешните работи утвърждава със заповед правилата за водене на логове по ал. 1.

(7) В правилата по ал. 6 се определят редът за ползване на логове и структурите на МВР, които имат право на достъп до тях.

Чл. 27. (1) Всеки информационен фонд, в който се обработват лични данни, функционира съобразно организационно-технологични правила, изготвени от управляващия фонда, утвърдени със заповед на министъра на вътрешните работи.

(2) В организационно-технологичните правила по ал. 1 се определят:

1. целите, за които се обработват личните данни;

2. функционалностите на информационния фонд и връзките с други информационни фондове;

3. категориите лични данни, подлежащи на обработване, и категориите субекти на данни, чиито данни се обработват;

4. сроковете за съхранение на личните данни или сроковете и процедурите за извършване на периодични проверки на необходимостта от по-нататъшното съхранение на обработваните лични данни, доколкото не са определени в нормативен акт;

5. потребителите и техните права на достъп до лични данни;

6. получателите и/или категориите получатели, пред които личните данни могат да бъдат разкрити; редът и условията за ползване и/или получаване на лични данни;

7. управлението, контролът и отговорността за поддържане и ползване на информационния фонд;

8. мерките за защита на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице;

9. редът за псевдонимизация на лични данни, когато е приложимо;

10. технологията на работа с информационния фонд;

11. сроковете и процедурите за извършване на периодични проверки на качеството на обработваните лични данни с оглед тяхната точност и актуалност;

12. мерките за осъществяване на разграничение между личните данни на различни категории субекти на данни;

13. технологията, свързана с дейността по предаване на личните данни, обхватът на предаваните данни и ограниченията, които се налагат при предаването.

(3) Сроковете по ал. 1, т. 4 могат да бъдат определени общо за съответния информационен фонд или за отделни категории лични данни, обработвани във фонда.

(4) Извършването на периодична проверка по ал. 1, т. 4 се документира, а решението за продължаване на съхранението на данните се мотивира.

Чл. 28. В организационно-технологичните правила за автоматизиран информационен фонд, в който се обработват лични данни, се определят и:

1. потребителските права за достъп до функционалните дейности и потребителските профили;

2. процедурата за изтриване на данните след изтичане на срока за съхранение и контролът за нейното спазване;

3. процедурата, правилата и схемите за архивиране;

4. редът за обработване на архивни данни;

5. редът за ползване на данни, чието обработване е ограничено, с оглед обработването им за статистически цели;

6. процедурата за уведомяване на лице, чиито лични данни са събрани и се съхраняват без негово знание и не са унищожени, при условие че това уведомяване не може да повлияе върху дейността на органите на МВР.

Чл. 29. В организационно-технологичните правила за неавтоматизиран информационен фонд, в който се обработват лични данни, се определят и:

1. изискванията към помещенията, в които се съхраняват документите, по отношение на физическа сигурност, пожарна безопасност, параметри на въздуха (температура, влажност);

2. необходимостта от наличие на работни места в помещенията, в които се съхраняват документите;

3. достъпът до помещенията.

Чл. 30. (1) Дирекция "Комуникационни и информационни системи" поддържа в актуално състояние регистър на автоматизираните информационни фондове в МВР, в които се обработват лични данни, като автоматизирана база данни.

(2) Длъжностното лице по защита на данните поддържа в актуално състояние регистър на неавтоматизираните информационни фондове в МВР, в които се обработват лични данни.

(3) Регистрите по ал. 1 и 2 съдържат наименованията на информационните фондове, структурите, към които са изградени, и в приложение - организационно-технологичните правила за всеки фонд.

(4) Алинеи 1 и 2 не се прилагат за архивните фондове на МВР.

(5) Забранява се обработването на лични данни в информационни фондове, които не са вписани в регистрите по ал. 1 и 2, с изключение на архивните фондове на МВР.

Чл. 31. (1) Длъжностното лице по защита на личните данни изразява становище по проектите на организационно-технологични правила на информационни фондове, в които се обработват лични данни, по искане на управляващия съответния информационен фонд.

(2) Дирекция "Комуникационни и информационни системи" проверява за съответствие в техническо и технологично отношение проектите на организационно-технологични правила на автоматизираните информационни фондове, в които се обработват лични данни, по искане на управляващия съответния информационен фонд.

Чл. 32. Ръководителите на структури в МВР със заповед определят правата за достъп до личните данни в информационния фонд и потребителския профил и/или разрешените дейности на определените служители съгласно изискванията на организационно-технологичните правила на фонда.

Чл. 33. (1) При назначаване или преназначаване на служител на друга длъжност, за която не се изисква достъп до лични данни, или при прекратяване на правоотношението на служител, получил достъп до лични данни в автоматизиран информационен фонд за общо ползване, ръководителят на съответната структура в определения в организационно-технологичните правила срок, а ако такъв срок не е определен - в 5-дневен срок от възникване на обстоятелството, писмено уведомява директора на ДКИС за прекратяване на достъпа до информационния фонд.

(2) При назначаване или преназначаване на служител на друга длъжност, за която не се изисква достъп до лични данни, или при прекратяване на служебното правоотношение на служител, получил достъп до лични данни в локален автоматизиран информационен фонд, ръководителят на съответната структура в определения в организационно-технологичните правила срок, а ако такъв срок не е определен - в 5-дневен срок от възникване на обстоятелството, прекратява достъпа до информационния фонд.

Чл. 34. Управляващият информационния фонд пряко отговаря и се отчита пред министъра на вътрешните работи за:

1. законосъобразността на обработването на личните данни в информационния фонд;

2. сигурността, правилното съхранение, целостта и качеството на личните данни;

3. спазването на сроковете за съхранение на личните данни, съответно за периодичната оценка на необходимостта от съхранение;

4. предоставянето на достъп до информационния фонд на съответните служители;

5. контрола на достъпа до информационния фонд.

Чл. 35. (1) Служителите, които извършват обработване на лични данни, при изпълнение на справки в съответните информационни фондове задължително отразяват във фонда конкретния повод за извършване на справката, освен в процеса на административно обслужване на граждани или извършване на гранични проверки на граничните контролно-пропускателни пунктове на преминаващи лица, ползваните от тях документи и превозни средства.

(2) Когато служител, който извършва обработване на лични данни, извърши справка с оглед разкриване на личните данни пред определен получател, той задължително въвежда във фонда данни, идентифициращи получателя, с изключение на случаите на извършване на справка в автоматизиран информационен фонд, където това е технически невъзможно.

Чл. 36. Служителите, които обработват лични данни в автоматизиран информационен фонд, получават персонални потребителско име и парола за достъп, които осигуряват достъп до мрежата за предаване на данни в МВР и ресурсите на съответния автоматизиран информационен фонд.

Чл. 37. (1) Потребителското име и паролата за достъп до автоматизирани информационни фондове за общо ползване се предоставят от ДКИС, а до останалите информационни фондове - от управляващия съответния фонд.

(2) Потребителското име и паролата се предоставят персонално на всеки служител въз основа на утвърдено от управляващия информационния фонд мотивирано искане, изготвено от ръководителя на съответната структура.

(3) Искането по ал. 2 съдържа:

1. трите имена на служителя;

2. единен граждански номер (ЕГН);

3. основна структура;

4. структурно звено;

5. служебен телефон;

6. номер на заповедта по чл. 32;

7. потребителския профил и/или разрешените дейности.

(4) Служителите не предоставят своите потребителско име и парола за достъп на други лица и не използват потребителско име и парола за достъп на други лица.