(1) За физическата защита на личните данни се предприемат технически и организационни мерки.
(2) Организационните мерки за защита включват следното:
- 1. лични данни могат да се обработват във всички работни помещения;
- 2. за работните помещения се установява регламентиран достъп; когато не се използват от служители, работните помещения се заключват;
- 3. достъп на външни лица до работните помещения се разрешава само за изпълнение на служебни задачи; за времето на престой външното лице се придружава от служител;
- 4. работните компютърни конфигурации на служителите се разполагат в работните помещения;
- 5. достъпът на външни лица до компютърните конфигурации е забранен и следва да бъде възпрепятстван;
- 6. компютърна техника се предоставя за ремонт без устройствата, на които се съхраняват данни;
- 7. в ГД ГРАО сървърното и комуникационното оборудване се разполага в отделно помещение с ограничен контролиран достъп; достъпът до сървърното помещение е разрешен единствено за служители на сектор „Национална база данни“, сектор „Информационна сигурност“, началника на отдел „Електронна обработка на информацията“ и главния директор на ГД ГРАО;
- 8. осъществяване на контрол по достъпа, предоставен до регистрите по чл. 3, се извършва съгласно клаузите на сключените споразумения или по ред, определен с друг нормативен акт; за осъществяване на контрола от журналите към всеки регистър се извличат данни за формиране на извадки от единните граждански номера на лицата, до личните данни на които е осъществен достъп;
- 9. осъществяване на контрол по отношение на обработващия данни във връзка със спазването на технологията за обработка на личните данни и технологията за изграждане на архивни копия се извършва от служители на сектор „Национална база данни“.
(3) Техническите мерки за защита включват следното:
- 1. в ГД ГРАО и ТЗ ГРАО се организира охрана на работните помещения в рамките на охраната на цялата сграда (жива охрана) и/или СОТ; СОТ системата се активира задължително след приключване на работа;
- 2. в работните помещения се осигурява климатична и пожароизвестителна система; в ГД ГРАО за помещението със сървърно и комуникационно оборудване задължително се разполагат пожарогасителни средства и се осигуряват отделно климатична система, пожароизвестителна система и СОТ;
- 3. в ГД ГРАО контролът на достъпа през общите входове към работните помещения и помещението със сървърното и комуникационното оборудване се извършва със система с персонални чипкарти;
- 4. системата по т. 3 се управлява от служител на сектор „Информационна сигурност“; системата за контрол на достъпа записва в журнал всеки достъп; журналните записи се запазват за срок от минимум една година;
- 5. всички физически информационни носители, използвани за запис на лични данни (за технологични или други цели), се съхраняват в заключен метален шкаф в помещението със сървърно и комуникационно оборудване; контролът по използването и съхранението на носителите се извършва от началника на сектор „Национална база данни“;
- 6. всички действия по актуализация на личните данни от служителите в ТЗ ГРАО се извършват посредством работните компютърни конфигурации чрез приложен софтуер; работният процес на всяка работна компютърна конфигурация стартира след идентификация с потребителско име и парола.