Актът не е в сила от 25 септември 2015 г. Заменен от по-нов акт. Същата материя — редът за обработка на лични данни в информационните фондове на МВР — е уредена наново и в цялост с Инструкция № 8121з-1122 от 12 септември 2015 г., чийто § 4 изрично отменя Инструкция № Iз-381 от 2009 г. Съгласно § 6 новата инструкция влиза в сила от деня на обнародването ѝ в „Държавен вестник“ (ДВ, бр. 73 от 25.09.2015 г.), от която дата старата инструкция не се прилага. Актът на негово място: Инструкция № 8121з-1122 от 12 септември 2015 г. за реда за обработка на лични данни в Министерството на вътрешните работи. Текстът по-долу е последната му редакция, докато е бил в сила.
Обнародван
ДВ, бр. 23 от 2009 г.
27 март 2009 г.
В сила от
29 май 2009 г.
Изменения
ДВ, бр. 39 от 2009 г.
1 изменение
Разпоредби
58
Чака преглед. Изменение, чиято формулировка машината не е прочела; текстът е спрян на последната приложена промяна: § 3 от ДВ, бр. 39 от 2009 г.: § 3. В чл. 49, в ал. 1 и 2 изразът „чл. 48, ал. 5“ се заменя с „чл. 48, ал. 4“.
Последна редакция· в сила от 29.05.2009 · ДВ, бр. 39 от 2009 г.
Действащ текст · последно изменение ДВ, бр. 39 от 2009 г.
(1) С тази инструкция се определя редът за обработка на лични данни в Министерството на вътрешните работи (МВР).
(2) При обработка на лични данни, които представляват класифицирана информация, се спазват разпоредбите на Закона за защита на класифицираната информация.
Личните данни се обработват в регистрирани по Закона за защита на личните данни (ЗЗЛД) информационни фондове. Всеки информационен фонд функционира съобразно утвърдени организационно-технологични правила.
Обработка на лични данни е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматизирани или други средства като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.
(1) Отразяване на данните в информационен фонд по чл. 4, ал. 1 се извършва, когато е налице едно от следните условия:
1. съвкупността от данни идентифицира лицето;
2. във фонда се въвежда несъществуваща до този момент съвкупност от данни;
3. съвкупността от данни съдържа източника им.
(2) Съвкупността от данни се отразява, като се извършва проверка за:
1. наличност и избягване на дублирането на данните;
2. наличие на маркировка, приложена към идентификационните или други данни за лицето; проверката се извършва както по отношение на нововъведените данни, така и върху отношението на нововъведените към съществуващите във фонда.
1. по искане на лицето, за което се отнасят личните данни, когато то е установило, че е налице грешка или непълнота в тях, и удостовери това с документ;
2. по инициатива на обработващия лични данни - при наличие на документ, даващ основание за актуализация;
3. при установена грешка при обработката на личните данни от страна на оператора на лични данни.
(2) В случаите на ал. 1 при актуализацията се допуска изтриване или заличаване на част от обработваните лични данни по реда на раздел IV.
(3) При актуализация на лични данни в регистъра се отразяват регистрационният номер на документа, източник на данните за актуализацията, дата на актуализацията, данни за оператора, извършил актуализацията.
(1) Актуализация на лични данни се извършва по реда на чл. 5, ал. 2.
(2) Актуализация на лични данни, получени от органи извън МВР, както и на лични данни, получени по силата на международен договор, се извършва въз основа на изрично искане или съгласие на предоставящия ги.
(1) При наличие на основание по чл. 9 длъжностното лице, управляващо съответния информационен фонд, издава заповед за заличаването им.
(2) В заповедта по ал. 1 се посочват основанието за заличаване и конкретните лични данни за лицето, групите или категориите лични данни, които подлежат на заличаване.
(1) Заличаване на информация, съдържаща лични данни, отразена в неавтоматизиран информационен фонд, се извършва, като:
1. се прилага механична операция, водеща до невъзможност за последващо ползване на заличените лични данни във фонда;
2. във фонда се поставя маркер за операцията по т. 1, съдържащ основанието за заличаване, номер и дата на документа, иницииращ операцията, подписалия документа, служителя, извършил операцията.
(2) В случаите, когато съответният документ съдържа само индентификационни данни на лицето, той се унищожава, като за целта се съставя протокол от служителя, извършил операцията.
(1) Заличаване на информация, съдържаща лични данни, отразена в автоматизиран информационен фонд, се извършва:
1. чрез програмно изтриване на съответната съвкупност от лични данни от базата данни на системата посредством съществуваща функционалност на автоматизираната система; не се допуска изтриване с използването на други програмни средства, част от базов или приложен софтуер;
2. по начин, непозволяващ възстановяване на изтритата информация, съдържаща лични данни.
(2) В случай на заличаване, при което от даден запис е останала незаличена само идентификационната част, записът се изтрива заедно с референтните връзки, ако има създадени такива към други записи в същата база.
(3) При заличаване в базата данни на системата се отразяват основанието за операцията, номерът и датата на документа, иницииращ операцията, данните за разпореждащия операцията, данните за служителя, осъществил операцията, датата и часът на операцията.
(4) След приключване на операцията по ал. 3 се извършва заличаване на информацията, съдържаща лични данни в документа, източник за тяхното въвеждане в автоматизираната система.
(1) При заличаване на информация, съдържаща лични данни в автоматизиран фонд, управляващият фонда организира заличаване на данните в резервните копия на базата данни, както и недопускане на повторно активиране на заличените данни.
(2) Резултатите от дейността по ал. 1 се отразяват в протокол, който се регистрира в съответната структура.
Правилата по чл. 2 за неавтоматизиран информационен фонд определят:
1. изискванията към помещенията, в които се съхраняват документите, по отношение на физическа сигурност, пожарна безопасност, параметри на въздуха (температура, влажност);
2. необходимостта от наличие на работни места в помещенията, в които се съхраняват документите;
(1) Маркирането на лични данни в неавтоматизиран информационен фонд се извършва чрез временно добавяне на информация към отделен документ или група от документи, обединени по определен признак.
(2) Допустимо е маркирането и на част от документ.
(3) Маркировката съдържа описание на действието, което следва да се извърши при наличие, съвпадение или покриване на определен критерий, срока на валидност на маркировката, както и длъжностните лица, участващи в реализирането на действието.
(1) Маркирането на данни в автоматизиран информационен фонд се извършва чрез временно добавяне на записи в базата данни, съотносими към определен запис или група записи, обединени по определен признак.
(2) Маркирането на данни в автоматизиран информационен фонд се извършва чрез функционална дейност, която е неделима част от софтуера на автоматизираната система.
(1) Маркирането по чл. 19 и 20 може да се извърши по искане на повече от един инициатор за един и същ период от време.
(2) Действията, породени от приложената маркировка на един инициатор, не може да влизат в противоречие или да игнорират действията, пораждащи се от маркировката на друг инициатор.
(3) Маркирането не може да премахне действието на блокирането.
(1) Маркировката в автоматизирания информационен фонд се премахва автоматично от базата данни на автоматизираната система чрез специална разработена функционалност на автоматизираната система.
(2) Софтуерът на автоматизираната система не трябва да допуска повторно активиране на маркировката от информация, заредена в базата данни от нейно архивно копие.
(3) За премахването на маркировката не се уведомява инициаторът на маркирането.
В правилата по чл. 2 за съответния информационен фонд се посочват механизмът за маркиране - инициирането, потвърждаването, реализирането и неговото премахване, както и редът за решаване на възникнали спорове между инициаторите относно маркирането.
(1) Блокиране на лични данни се извършва въз основа на:
1. акт на съдебен орган;
2. разпореждане на Комисията за защита на личните данни;
3. положително решение на администратор на лични данни по искане по чл. 28а, ал. 1, т. 1 ЗЗЛД.
(2) В случаите по ал. 1 управляващият информационен фонд организира блокирането на лични данни въз основа на разпореждане на министъра на вътрешните работи.
(3) Блокирането може да бъде за опреден срок или безсрочно.
(1) Блокирането на данни в неавтоматизиран информационен фонд се извършва чрез временно добавяне на информация към отделен документ или група от документи, обединени по определен признак.
(2) Блокирането може да бъде извършено и на част от документ.
(3) Маркировката за блокиране съдържа указание за прекратяване обработката на личните данни за срока на блокировката.
(1) Блокирането на данни в автоматизиран информационен фонд се извършва чрез временно добавяне на записи в базата данни, съотносими към определен запис или група записи, обединени по определен признак.
(2) Блокирането на данни в автоматизиран информационен фонд се извършва чрез функционална дейност, която е неделима част от софтуера на автоматизираната система.
(3) Софтуерът на автоматизираната система трябва да изключва предоставянето на блокираните данни при всяка функционална дейност на системата за указания период от време.
(4) Софтуерът на автоматизираната система осигурява блокирането на съответните записи и след извършено възстановяване на базата данни от нейно архивно копие за срока на блокирането.
Блокирането по чл. 27 и 28 премахва приложеното маркиране, когато се отнася за един и същ документ или едни и същи данни, като не се уведомява инициаторът на маркирането.
(1) В неавтоматизирания информационен фонд временната блокировка се премахва въз основа на утвърдено от управляващия фонда предложение на обработващия данните.
(2) Премахването на блокировката се извършва, като временно добавената информация се заличава след изтичане на срока по чл. 26, ал. 3.
(3) За премахването на блокировката се уведомява инициаторът на блокирането.
(1) В автоматизирания информационен фонд временната блокировка на определен запис или записи се премахва автоматично от базата данни на автоматизираната система при изтичане на срока по чл. 26, ал. 3 чрез специална разработена функционалност на автоматизираната система.
(2) Софтуерът на автоматизираната система гарантира премахването на временната блокировка на записи от базата данни и в случаите на нейното възстановяване от архивно копие.
(3) За премахването на блокировката се уведомява инициаторът на блокирането.
В правилата по чл. 2 за съответния информационен фонд се посочва организацията за прилагането на механизма за блокировка - иницииране, прилагане и премахване.
Лични данни, обработвани в информационен фонд на МВР, се предоставят на физически лица по реда на Наредба № Iз-1215 за реда за достъп до информационните фондове на Министерството на вътрешните работи (ДВ, бр. 71 от 2006 г.).
В правилата по чл. 2 за съответния информационен фонд се посочват технологията, свързана с дейността по предоставяне на личните данни, обхватът на предоставяните данни и ограниченията, които се налагат при извършващия се обмен на данни.
(1) Министърът на вътрешните работи утвърждава правилата по чл. 2 за всеки информационен фонд по предложение на директора на специализираната административна дирекция “Комуникационни и информационни системи” (САД “КИС”).
(2) Министърът на вътрешните работи по предложение на директора на САД “КИС” със заповед определя:
1. длъжностното лице - управляващо информационния фонд;
2. структурите и длъжностните лица - обработващи лични данни.
(3) Правилата по чл. 2 определят потребителските права за достъп до данните в информационния фонд, както и до функционалните дейности и потребителските профили, когато информационният фонд е автоматизиран.
(4) Директорът на САД “КИС” управлява автоматизираните информационни фондове за общо ползване в МВР.
(5) Директорът на САД “КИС” отговаря за регистрацията на информационните фондове в МВР и в Комисията за защита на личните данни.
(1) За работа с автоматизиран информационен фонд на служителите по чл. 37 и 38 се предоставят персонални потребителско име и парола за достъп, които осигуряват достъп до мрежата за предаване на данни в МВР и ресурсите на съответния автоматизиран информационен фонд.
(2) Потребителското име и паролата за достъп до автоматизирани информационни фондове за общо ползване се предоставят от САД “КИС”, а до останалите автоматизирани информационни фондове - от управляващия съответния фонд.
(3) Потребителското име и паролата се предоставят персонално на всеки служител въз основа на утвърдено от управляващия информационния фонд мотивирано искане, изготвено от ръководителя на съответната структура.
(4) Искането по ал. 3 съдържа:
1. ЕГН;
2. трите имена на служителя;
3. основна структура;
4. структурно звено;
5. служебен телефон;
6. номер на заповедта по чл. 38;
7. потребителския профил за достъп до информационен фонд.
При назначаване на друга длъжност или прекратяване на служебно правоотношение на служител на МВР, получил достъп до данни в информационен фонд, ръководителят на съответното структурно звено в 3-дневен срок писмено уведомява управляващия информационния фонд за заличаване на достъпа до фонда.
(1) Специализираната административна дирекция “Комуникационни и информационни системи” изпълнява функции на Централен регистър за информационните фондове в МВР.
(2) В дирекцията се поддържа автоматизирана база данни за регистрираните информационни фондове.
(1) Длъжностното лице, управляващо информационен фонд, в едномесечен срок след утвърждаване на правилата по чл. 2 регистрира фонда в Централния регистър.
(2) Регистрацията се извършва с регистрационна карта за фонда (приложение № 1).
(1) За всеки регистриран информационен фонд Централният регистър издава удостоверение за регистрация (приложение № 2).
(2) Удостоверението за регистрация се изпраща на управляващия информационния фонд и представлява неразделна част от документацията на фонда.
(3) След извършване на регистрацията на информационния фонд в МВР Централният регистър предприема действия за регистрирането на фонда в Комисията за защита на личните данни.
(4) Централният регистър съвместно с управляващия фонда отстранява допуснати несъответствия при извършване на регистрацията в Комисията за защита на личните данни.
(5) Централният регистър писмено уведомява управляващия информационния фонд за резултатите от регистрирането на фонда в Комисията за защита на личните данни.
(1) Правилата по чл. 2 за автоматизиран информационен фонд регламентират технически мерки, които:
1. отхвърлят достъпа на неоторизирани лица до оборудването за обработка на данни - контрол на достъпа до оборудване;
2. предотвратяват неоторизираното четене, копиране, промяна или унищожаване на информационни носители - контрол на информационните носители;
3. предотвратяват неоторизираното добавяне, въвеждане, преглеждане, промяна или заличаване на съхранени лични данни - контрол по съхраняването;
4. предотвратяват използването му от неоторизирани лица, използващи комуникационно оборудване за данни - контрол на потребителите;
5. гарантират, че лицата, които са оторизирани да ползват система за автоматизирана обработка на данни, имат достъп само до данните, включени в обхвата на техния достъп - контрол на достъпа до данни;
6. осигуряват възможността за проверка и установяване до кои органи са били или могат да бъдат изпратени или предоставени личните данни чрез използване на комуникационно оборудване за данни - контрол на комуникациите;
7. осигуряват възможност за последваща проверка и установяване какви лични данни са въведени в системите за автоматизирана обработка на данни, кога и от кого са въведени данните - контрол на въвеждане;
8. предотвратяват неоторизирано четене, копиране, промяна или изтриване на лични данни при трансфер на лични данни или превозване на носители на данни - контрол при транспортиране;
9. осигуряване на възможност инсталираните системи да могат да се възстановят в случаи на прекъсване на функционирането - възстановяване;
10. осигуряват правилното функциониране на системата, докладване на появата на грешки във функциите (надеждност) и гарантират, че съхранените данни не могат да бъдат повредени чрез неправилно функциониране на системата - интегритет.
(2) Служителят, натоварен с функциите на обработващ лични данни, взема мерки за гарантиране на надеждност при обработването, като осъществява технически и организационни мерки за защита на личните данни.
(1)(Изм. - ДВ, бр. 39 от 2009 г.) Органите по чл. 47, ал. 2 извършват планови и внезапни проверки за установяване на спазването на необходимите технически и организационни мерки по защита на личните данни.
(2) Плановите проверки се извършват по график, утвърден от министъра на вътрешните работи.
(3) За резултатите от извършените проверки се докладва на министъра на вътрешните работи.
(4) При констатирани несъответствия или нарушения контролните органи по чл. 47, ал. 2 представят на министъра на вътрешните работи за утвърждаване предписания и срок за отстраняване на несъответствията или нарушенията.
(1) Утвърдените предписания по чл. 48, ал. 4 се изпращат на управляващия информационния фонд за изпълнение.
(2) Копие от предписанията по чл. 48, ал. 4 се изпращат за съхранение в Централния регистър.
(3) След изпълнение на предписанията управляващият информационен фонд, в чиято дейност са констатирани несъответствия или нарушения, представя на министъра на вътрешните работи доклад за тяхното отстраняване. Копие от доклада се изпраща в Централния регистър.
(4) Когато предписанията са направени след проверка от страна на Комисията за защита на личните данни, министърът на вътрешните работи уведомява Комисията за защита на личните данни за изпълнението на предложените мерки. В тези случаи министърът на вътрешните работи се подпомага от Централния регистър.
1. “Обработващ лични данни” е структура или длъжностно лице от МВР, определени да извършват набор от операции, характеризиращи обработката на лични данни.
2. “Маркиране” е отбелязване на съхранявани лични данни или съвкупност от данни, без да се цели ограничаването на тяхното обработване в бъдеще.
3. “Оператор на лични данни” е служител от структура на МВР, определена за “обработващ лични данни”, който извършва набор от технически операции, характеризиращи обработката на лични данни в съответствие с предоставените му права за достъп и потребителски профил.
“Организационно-технологичните правила” съдържат: целите на обработване на личните данни; категориите лични данни, подлежащи на обработване; категориите физически лица, чиито данни се обработват; получателите или категориите получатели, пред които личните данни могат да бъдат разкрити; срока на съхраняване на данните; нивата на чувствителност и вида на носителя на данните; техническите и организационните мерки при обработване на лични данни и допустимия вид защита; описание на техническите ресурси, използвани за обработка на данните; мероприятия за защита на информационните фондове при извънредни ситуации; ред за решаване на възникнали спорове между инициаторите относно маркирането.
В срок 5 месеца от влизането в сила на инструкцията ръководителите на структури, в които има изградени информационни фондове, привеждат фондовете в съответствие с изискванията на тази инструкция.
(1) В срок два месеца след влизане в сила на инструкцията се издават организационно-технологични правила за функционирането на информационните фондове.
(2) До издаването на организационно-технологични правила по ал. 1 се прилагат организационно-технологичните инструкции за работа с информационните фондове в МВР, доколкото не противоречат на тази инструкция.