Инструкция № 03-04-357 от 26 март 2015 г. за мерките и средствата за защита на личните данни, получавани, обработвани, предоставяни и съхранявани в Министерството на регионалното развитие и благоустройството чрез Главна дирекция „Гражданска регистрация и административно обслужване“ и нейните териториални звена

С инструкцията се определя минималното ниво на техническите и организационни мерки за защита на личните данни при тяхното получаване, обработване и съхраняване в поддържаните от администратора на лични данни Министерството на регионалното развитие и благоустройството (МРРБ) чрез Главна дирекция „Гражданска регистрация и административно обслужване“ (ГД ГРАО) и нейните териториални звена (ТЗ ГРАО) регистри.

Инструкцията има за цел да гарантира адекватно ниво на защита на личните данни в поддържаните регистри по чл. 3, като ги защити от случайно или незаконно унищожаване или от случайна загуба, от неправомерен и необоснован достъп, изменение или разпространение, както и от други незаконни форми на обработване.

Министерството на регионалното развитие и благоустройството чрез ГД ГРАО поддържа следните регистри в електронен вид:

1. 1. регистър на населението – Национална база данни „Население“;
2. 2. национален електронен регистър на актовете за гражданско състояние;
3. 3. регистър на Единните граждански номера.

Създаването и поддържането на регистрите по чл. 3, видът на личните данни, целите и средствата за обработване, както и получаването на данни от други институции за целите на гражданската регистрация са определени със Закона за гражданската регистрация.

Поддържането на данните в регистрите по чл. 3 включва дейности, осигуряващи тяхното актуално състояние, точност, пълнота, взаимообвързаност, съхранение и пазене на хронология на промените в данните. Технологията на обработване на данните е съгласно Наредба № РД-02-20-9 от 2012 г. за функциониране на Единната система за гражданска регистрация (ДВ, бр. 43 от 2012 г.).

Данните, свързани с поддържането на регистрите, се предават и изпращат между административните структури по чл. 102 от Закона за гражданската регистрация посредством служебна електронна поща, подписана и криптирана с квалифициран електронен подпис (КЕП).

Данните в регистрите по чл. 3 се поддържат за целите на гражданската регистрация и не подлежат на унищожаване.

Министерството чрез Главна дирекция „ГРАО“ и нейните териториални звена отговаря за поддържането на данните в регистрите по чл. 3 и се грижи за защитата им в съответствие с чл. 109 от Закона за гражданската регистрация.

Ръководството, организацията и контролът по прилагането на техническите и организационни мерки за защита на личните данни се осъществява от главния директор на ГД ГРАО.

За предотвратяване от неправомерно обработване на личните данни, което би довело до възникване на значителни вреди или кражба на самоличност, нивото на въздействие и защита за поддържаните регистри е „Изключително високо“.

За гарантиране на поверителност, цялостност и наличност на личните данни в регистрите по чл. 3 при тяхното обработване се предприемат физическа, персонална, криптографска защита и защита на информационната система и мрежи.

(Доп. - ДВ, бр. 80 от 2016 г.) За персоналната защита на личните данни се предприемат следните мерки:

1. 1. с длъжностната характеристика на служителите в ГД ГРАО и ТЗ ГРАО е установено задължение за неразпространение на лични данни, станали известни при и по повод изпълнение на служебни задължения;
2. 2. служителите започват обработване на лични данни след запознаване с нормативната уредба в областта на защитата на личните данни и тази инструкция;
3. 3. в ГД ГРАО и ТЗ ГРАО периодично се организират тренировки на служителите за реакция при възникване на събития, застрашаващи сигурността на данните; за провеждането им и поддържането на информация за изпълнението им отговаря началникът на отдел „Електронна обработка на информацията“;
4. 4. забранява се споделянето на критична информация, като пароли за достъп, идентификатори и други между служителите; удостоверението за квалифициран електронен подпис не се преотстъпва или предава за ползване от други лица;
5. 5. при възникване и установяване на инцидент веднага се докладва на главния директор на ГД ГРАО;
6. 6. в случаите на необходимост от възстановяване на данни вследствие настъпили аварии, произшествия или бедствия процедурата по чл. 19 се изпълнява след съгласуване с главния директор на ГД ГРАО.

(Доп. - ДВ, бр. 80 от 2016 г.) За защита на информационната система и мрежи се предприемат следните мерки:

1. 1. по отношение на регистрите по чл. 3: а) сървърното оборудване е със система за откриване и корекции на грешки в оперативната памет; б) подсистемите за съхранение на данни са със защита срещу отпадане на някое от изграждащите ги устройства – постоянна памет; в) непрекъсваемите токозахранващи устройства (UPS) са за цялото оборудване, необходимо за правилната работа на регистрите (компютърни конфигурации, сървъри и комуникационни средства);
2. 2. мрежовите интерфейси за хардуерна настройка на сървърното и комуникационното оборудване се обособяват в отделен мрежови сегмент;
3. 3. сървърите, предназначени да предоставят услуги на потребители през интернет, се обособяват в отделен мрежови сегмент;
4. 4. сървърът за електронна поща сканира всички писма с антивирусен софтуер, за който е активирано автоматично обновяване на антивирусните дефиниции;
5. 5. връзките между мрежовите сегменти помежду им и с интернет се контролират със специализиран софтуер – защитна стена;
6. 6. за всички сървърни и работни компютърни конфигурации се използват операционни системи и приложен софтуер, за които е осигурена поддръжка от производителя с обновления по отношение на сигурността;
7. 7. журналните файлове на сървърите в ГД ГРАО се проверяват на всеки седем дни от служител на сектор „Информационна сигурност“;
8. 8. на всяка работна компютърна конфигурация се осигурява антивирусен софтуер с включено автоматично обновяване и постоянно сканиране;
9. 9. всяка работна компютърна конфигурация включва по възможност предпоследна или последна Desktop операционна система Windows;
10. 10. забранено е включването на неслужебни компютърни и комуникационни устройства в компютърните мрежи;
11. 11. включването на мобилни компютри в компютърните мрежи се извършва след разрешение от служител на сектор „Информационна сигурност“;
12. 12. забранено е използването на лични носители на данни в ГД ГРАО и ТЗ ГРАО;
13. 13. за пренос на данни във връзка с изпълнението на конкретни дейности се използват оптични носители;
14. 14. използваните оптични носители се унищожават в специализирани машини за унищожаване на документи;
15. 15. работните компютърни конфигурации, както и цялата инфраструктура, включително и достъпът до интернет, се използват единствено за служебни цели;
16. 16. достъпът до интернет на ТЗ ГРАО се осъществява при следните ограничения: разрешени протоколи навън (от ТЗ ГРАО) – ping, ftp, http (80), https (443), DNS (udp, tcp 53) pop3 (110), smtp (25), pops (995), imap (143), imaps (993), smtps (465), icq (5190);
17. 17. в ГД ГРАО и ТЗ ГРАО се провежда редовна профилактика на компютърните и комуникационните устройства от началника на сектор „Информационна сигурност“;
18. 18. пренасянето на лични данни през незащитени мрежи (например интернет) се извършва в криптирано състояние;
19. 19. пренасянето на лични данни чрез електронна поща се извършва при спазване на правилата за защитено предаване на лични данни по електронен път съгласно приложение № 1;
20. 20. използването на работните компютърни конфигурации се извършва след идентификация с потребителско име и парола, изисквани от съответната операционна система;
21. 21. паролите за идентификация и достъп до регистрите по чл. 3 се създават, променят и предоставят съгласно утвърдени вътрешни правила на ГД ГРАО;
22. 22. паролата за достъп е персонална; в случай на компрометиране на парола тя се подменя с нова; забранява се друго предоставяне и записване на парола;
23. 23. поддържането в актуално състояние на личните данни се осъществява чрез пакетна и директна актуализация;
24. 24. пакетната актуализация на регистрите по чл. 3 се извършва съгласно утвърдени вътрешни правила на ГД ГРАО;
25. 25. директната актуализация на РН – НБД „Население“ се извършва от служителите в ТЗ ГРАО и/или оторизираните длъжностни лица от общинските администрации;
26. 26. достъпът и директната актуализация на РН – НБД „Население“ се извършва чрез уеббазиран приложен софтуер през интернет, като достъпът се автентифицира с КЕП и/или потребителско име и парола;
27. 27. достъпът и актуализацията на личните данни, поддържани от ТЗ ГРАО, се извършват чрез приложен софтуер (програмен продукт Регионална база данни „Население“) след автентификация с потребителско име и парола;
28. 28. промените на личните данни в регистрите по чл. 3, извън актуализациите по т. 23, се записват в дневник на промените и се подписват от началника на сектор „Национална база данни“;
29. 29. за целите на оторизация на потребителите от общинските администрации, които въвеждат актуализационни документи, и/или за целите на предоставяне на достъп до регистрите по чл. 3 се поддържа като минимум информация относно идентичността на потребителя и дата на предоставяне и прекратяване на потребителските права в таблицата на потребителите;
30. 30. всеки достъп до регистрите по чл. 3 се регистрира автоматизирано в журнал за съответния регистър; в журнала за всеки достъп като минимум се регистрира информация относно: потребителя, време (дата и час) на достъпа и информация, която позволява да се идентифицират данните, до които е осъществен достъп;
31. 31. информацията по т. 30 се съхранява най-малко две години;
32. 32. правата и ролите на потребителите се определят съобразно преките им задължения и/или съобразно условията на достъпа, регламентирани със споразумение или по ред в друг нормативен акт;
33. 33. предоставянето на данни във вид на списъци във връзка с изпълнението на служебни задължения на служителите на ГД ГРАО и ТЗ ГРАО се извършва след попълнена и одобрена писмена заявка съгласно приложение № 2;
34. 34. непосредствен достъп до личните данни в регистрите по чл. 3 чрез системни програмни средства е разрешен за служителите на отдел „Електронна обработка на информацията“ и обработващия данни;
35. 35. данните в регистрите по чл. 3 се архивират съгласно утвърдени вътрешни правила на ГД ГРАО;
36. 36. данните в регистъра на населението, поддържан от ТЗ ГРАО, се архивират всяка седмица от ръководителя на съответното ТЗ ГРАО;
37. 37. всеки месец архивно копие на регистъра на населението, поддържан от ТЗ ГРАО, се записва на оптичен носител и се съхранява от ръководителя на ТЗ ГРАО за период от две години;
38. 38. данните върху оптичните носители се записват в криптиран вид чрез специализиран софтуер;
39. 39. при възникване на нарушения от ГД ГРАО и/или ТЗ ГРАО се сформира екип за действие според ситуацията.

Мерките по криптографската защита включват система за разпределение и управление на криптогрфски ключове в рамките на КЕП.

Главният директор на ГД ГРАО и/или ръководителят на съответното ТЗ ГРАО предприема превантивни действия за защита на личните данни, както и действия при настъпване на форсмажорни събития, а именно:

1. 1. при аварии, независещи от ГД ГРАО и/или ТЗ ГРАО, се предприемат действия в зависимост от конкретната ситуация;
2. 2. при пожари се предприема незабавно гасене със собствени средства (пожарогасители) и уведомяване на съответните органи;
3. 3. при наводнения се предприемат действия по ограничаване на разпространението, както и се изпомпва вода или загребва с подръчни средства.

Предоставянето на данни, на достъп или обмен се извършва при спазване разпоредбата на чл. 106 от Закона за гражданската регистрация, условията за допустимост на обработването на лични данни в чл. 4 от Закона за защита на личните данни и/или по ред, определен в друг нормативен акт.

Редът за предоставяне на данни, достъп или обмен е утвърден с Наредба № РД-02-20-9 от 2012 г. за функциониране на Единната система за гражданска регистрация.

Инструкцията се издава на основание чл. 23, ал. 4 от Закона за защита на личните данни и чл. 19, т. 2 от Наредба № 1 от 2013 г. за минималното ниво на технически и организационни мерки и допустимия вид защита на личните данни (ДВ, бр. 14 от 2013 г.).

към чл. 15, т. 19 Правила за защитено предаване на лични данни по електронен път Предаването на лични данни между ГД ГРАО и ТЗ ГРАО задължително се извършва в криптиран вид. 1. За изпращане на лични данни трябва да се използва компютър, на който е инсталиран цифров сертификат. 2. На компютъра трябва да е инсталиран root сертификат, с който работят двете страни, като изпращач и получател (ГД ГРАО и ТЗ ГРАО; ТЗ ГРАО и общинска администрация). 3. За работа с електронна поща в ГД ГРАО и ТЗ ГРАО се използва Windows Live Mail. 4. В Address Book на клиента (програмата за електронен подпис) e-mail адресите трябва да са записани с пълните им имена (например: nbd@grao.government.bg, а не: nbd@grao.bg). 5. Двете страни (изпращач и получател) си изпращат подписан e-mail (Sign), за да обменят публичната част на сертификатите си. 6. ТЗ ГРАО изпраща всички съобщения, които съдържат лични данни, криптирани и подписани (Sign и Encrypt), както следва: – когато данните са предназначени за РН – НБД „Население“, се изпращат на адрес: nbd@grao.government.bg; – когато данните са предназначени за ГД ГРАО, се изпращат на адрес: office@grao.government.bg. 7. Когато ТЗ ГРАО изпраща лични данни в Subject трябва да въведе точно за кого или за какво са предназначени данните (например: „актуализация“, „за технолози НБД“ и т.н.). 8. При обмяна (предаване и получаване) на лични данни между ТЗ ГРАО и общинските администрации съобщенията задължително се подписват и криптират (Sign и Encrypt). За тази цел между ТЗ ГРАО и съответната общинска администрация задължително предварително се изпълняват действията по т. 1, 2 и 5. 9. За да се запазят получените криптирани съобщения, същите трябва да бъдат копирани на съответния компютър като некриптирани, тъй като след инсталиране на нов сертификат на компютъра старите съобщения няма да могат да се отварят.

към чл. 15, т. 33 До Началника на сектор „НБД“ Заявка за информация от РН – НБД „Население“ Описание на заявката: ............................................ ......................................................................................... ......................................................................................... Заявката е подадена Подпис: ................... от: ............................... Дата: .......................... Одобрявам: ................................................................. (гл. директор ГД ГРАО/началник-отдел „ЕОИ“) Дата: ......................... --------------------------------------------------------------- Резултат от заявката: .................................................................................................. .................................................................................................. ................................................................................................. Извършил заявката: Дата: ................... .................................... Проверил заявката: Дата: ................... .................................... (началник-сектор „НБД“) Заявките за информация от РН – НБД „Население“ се попълват от служителите на ГД ГРАО или ТЗ ГРАО в два екземпляра. Попълнените заявки трябва да бъдат одобрени от главния директор на ГД ГРАО или от началника на отдел „ЕОИ“. След като бъдат одобрени, се предават за изпълнение на началника на сектор „НБД“. Изпълнените заявки се проверяват от началника на сектора и единият екземпляр се предава на заявителя. Другият екземпляр се съхранява в сектор „НБД“.

Инструкцията влиза в сила от деня на обнародването й в „Държавен вестник“.