(1) С тази инструкция се определя редът за обработка на лични данни в Министерството на вътрешните работи (МВР).
(2) При обработка на лични данни, които представляват класифицирана информация, се спазват разпоредбите на Закона за защита на класифицираната информация.
Личните данни се обработват в регистрирани по Закона за защита на личните данни (ЗЗЛД) информационни фондове. Всеки информационен фонд функционира съобразно утвърдени организационно-технологични правила.
Обработка на лични данни е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматизирани или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.
1. по искане на лицето, за което се отнасят личните данни, когато то е установило, че е налице грешка или непълнота в тях, и удостовери това с документ;
2. по инициатива на обработващия лични данни – при наличие на документ, даващ основание за актуализация;
3. при установена грешка при обработката на личните данни от страна на оператора на лични данни.
(2) В случаите на ал. 1 при актуализацията се допуска изтриване или заличаване на част от обработваните лични данни по реда на раздел IV.
(3) При актуализация на лични данни в регистъра се отразяват регистрационният номер на документа, източникът на данните за актуализацията, датата на актуализацията, данните за оператора, извършил актуализацията.
(1) Актуализация на лични данни се извършва по реда на чл. 5, ал. 2.
(2) Актуализация на лични данни, получени от органи извън МВР, както и на лични данни, получени по силата на международен договор, се извършва въз основа на изрично искане или съгласие на предоставящия ги.
(1)(Доп. - ДВ, бр. 3 от 2017 г.) В случаите на чл. 7, ал. 1, т. 1 актуализацията се извършва въз основа на издадено от министъра на вътрешните работи или изрично оправомощено от него длъжностно лице решение.
(2) В случаите по чл. 7, ал. 1, т. 2 или 3 актуализацията се извършва въз основа на писмена заповед, издадена от длъжностното лице, управляващо съответния информационен фонд.
(3) Заповедта по ал. 2 се издава въз основа на мотивирано предложение от обработващия лични данни.
(1)(Доп. - ДВ, бр. 3 от 2017 г.) В случаите на чл. 11, т. 5 заличаването се извършва въз основа на издадено от министъра на вътрешните работи или изрично оправомощено от него длъжностно лице решение.
(2) В случаите по чл. 11, т. 1 – 4, 6 и 7 заличаването се извършва въз основа на писмена заповед, издадена от длъжностното лице, управляващо съответния информационен фонд.
(3) В случаите на чл. 11, т. 4, 6 и 7 заповедта по ал. 2 се издава въз основа на мотивирано предложение от обработващия лични данни.
(4) В заповедта по ал. 2 се посочват основанието за заличаване и конкретните лични данни за лицето, групите или категориите лични данни, които подлежат на заличаване.
(1) Заличаване на информация, съдържаща лични данни, отразена в неавтоматизиран информационен фонд, се извършва, като:
1. се прилага механична операция, водеща до невъзможност за последващо ползване на заличените лични данни във фонда;
2. във фонда се поставя маркер за операцията по т. 1, съдържащ основанието за заличаване, номер и дата на документа, иницииращ операцията, подписалия документа, служителя, извършил операцията.
(2) В случаите, когато съответният документ съдържа само идентификационни данни на лицето, той се унищожава, като за целта се съставя протокол от служителя, извършил операцията.
(1) Заличаване на информация, съдържаща лични данни, отразена в автоматизиран информационен фонд, се извършва:
1. чрез програмно изтриване на съответната съвкупност от лични данни от базата данни на системата посредством съществуваща функционалност на автоматизираната система; не се допуска изтриване с използването на други програмни средства, част от базов или приложен софтуер;
2. по начин, непозволяващ възстановяване на изтритата информация, съдържаща лични данни.
(2) В случай на заличаване, при което от даден запис е останала незаличена само идентификационната част, записът се изтрива заедно с референтните връзки, ако има създадени такива към други записи в същата база.
(3) При заличаване в базата данни на системата се отразяват основанието за операцията, номерът и датата на документа, иницииращ операцията, данните за разпореждащия операцията, данните за служителя, осъществил операцията, датата и часът на операцията.
(4) След приключване на операцията по ал. 3 се извършва заличаване на информацията, съдържаща лични данни в документа, източник за тяхното въвеждане в автоматизираната система.
(1) При заличаване на информация, съдържаща лични данни в автоматизиран фонд, управляващият фонда организира заличаване на данните в резервните копия на базата данни, както и недопускане на повторно активиране на заличените данни.
(2) Резултатите от дейността по ал. 1 се отразяват в протокол, който се регистрира в съответната структура.
Правилата по чл. 2 за неавтоматизиран информационен фонд определят:
1. изискванията към помещенията, в които се съхраняват документите, по отношение на физическа сигурност, пожарна безопасност, параметри на въздуха (температура, влажност);
2. необходимостта от наличие на работни места в помещенията, в които се съхраняват документите;
(1) С правилата по чл. 2 за всеки информационен фонд се определят сроковете за съхранение на информацията, съдържаща лични данни:
1. общо за съответния информационен фонд;
2. на отделни документи, единични или групи от данни.
(2) В правилата по чл. 2 за всеки информационен фонд се определят процедури и срокове за извършване на периодични проверки на качеството на обработваните лични данни.
(Изм. - ДВ, бр. 31 от 2016 г.) Правилата по чл. 2 за автоматизиран информационен фонд определят:
1. процедурата за унищожаване на данните след изтичане на срока за съхранение и контрола за нейното спазване;
2. процедурата за блокиране на данни, чийто срок за съхранение за текущо ползване е изтекъл;
3. процедурата, правилата и схемите за архивиране;
4. срока за съхранение на архивните данни;
5. реда за ползване на архивни данни;
6. процедурата за унищожаване на архивните данни и контрола за нейното спазване;
7. реда за ползване на блокирани данни за нуждите на статистическа обработка;
8. процедурата за уведомяване на лице, чиито лични данни са събрани и се съхраняват без негово знание и не са унищожени, при условие че това уведомяване не може да повлияе върху дейността на органите на МВР.
(1) Блокиране на лични данни се извършва въз основа на:
1. акт на съдебен орган;
2. разпореждане на Комисията за защита на личните данни;
3. положително решение на администратор на лични данни по искане по чл. 28а, ал. 1, т. 1 ЗЗЛД.
(2)(Доп. - ДВ, бр. 3 от 2017 г.) В случаите по ал. 1 управляващият информационен фонд организира блокирането на лични данни въз основа на разпореждане на министъра на вътрешните работи или изрично оправомощено от него длъжностно лице.
(3) Блокирането може да бъде за опреден срок или безсрочно.
(1) Блокирането на данни в неавтоматизиран информационен фонд се извършва чрез временно добавяне на информация към отделен документ или група от документи, обединени по определен признак.
(2) Блокирането може да бъде извършено и на част от документ.
(3) Маркировката за блокиране съдържа указание за прекратяване обработката на личните данни за срока на блокировката.
(1) Блокирането на данни в автоматизиран информационен фонд се извършва чрез временно добавяне на записи в базата данни, съотносими към определен запис или група записи, обединени по определен признак.
(2) Блокирането на данни в автоматизиран информационен фонд се извършва чрез функционална дейност, която е неделима част от софтуера на автоматизираната система.
(3) Софтуерът на автоматизираната система трябва да изключва предоставянето на блокираните данни при всяка функционална дейност на системата за указания период от време.
(4) Софтуерът на автоматизираната система осигурява блокирането на съответните записи и след извършено възстановяване на базата данни от нейно архивно копие за срока на блокирането.
(1) В неавтоматизирания информационен фонд временната блокировка се премахва въз основа на утвърдено от управляващия фонда предложение на обработващия данните.
(2) Премахването на блокировката се извършва, като временно добавената информация се заличава след изтичане на срока по чл. 28, ал. 3.
(3) За премахването на блокировката се уведомява инициаторът на блокирането.
(1) В автоматизирания информационен фонд временната блокировка на определен запис или записи се премахва автоматично от базата данни на автоматизираната система при изтичане на срока по чл. 28, ал. 3 чрез специална разработена функционалност на автоматизираната система.
(2) Софтуерът на автоматизираната система гарантира премахването на временната блокировка на записи от базата данни и в случаите на нейното възстановяване от архивно копие.
(3) За премахването на блокировката се уведомява инициаторът на блокирането.
В правилата по чл. 2 за съответния информационен фонд се посочва организацията за прилагането на механизма за блокировка – иницииране, прилагане и премахване.
(1) Лични данни, обработвани в МВР, се предоставят в съответствие с националното законодателство и международните договори, по които Република България е страна.
(2) Документът, с който се предоставят лични данни, се регистрира в съответната предоставяща структура.
В правилата по чл. 2 за съответния информационен фонд се посочват технологията, свързана с дейността по предоставяне на личните данни, обхватът на предоставяните данни и ограниченията, които се налагат при извършващия се обмен на данни.
(1)(Изм. - ДВ, бр. 31 от 2016 г.) Министърът на вътрешните работи утвърждава правилата по чл. 2 за всеки информационен фонд
(2)(Отм. - ДВ, бр. 31 от 2016 г.)
(3) Правилата по чл. 2 определят потребителските права за достъп до данните в информационния фонд, както и до функционалните дейности и потребителските профили, когато информационният фонд е автоматизиран.
(4)(Отм. - ДВ, бр. 31 от 2016 г.)
(5)(Изм. и доп. - ДВ, бр. 31 от 2016 г.) Директорът на дирекция „Комуникационни и информационни системи“ ДКИС отговаря за регистрацията на информационните фондове в Комисията за защита на личните данни.
(Изм. - ДВ, бр. 31 от 2016 г.) Ръководителите на структури в МВР със заповедта по чл. 38 определят правата за достъп до данните в информационния фонд и потребителския профил и/или разрешените дейности на определените служители.
(1) За работа с автоматизиран информационен фонд на служителите по чл. 38 и 39 се предоставят персонални потребителско име и парола за достъп, които осигуряват достъп до мрежата за предаване на данни в МВР и ресурсите на съответния автоматизиран информационен фонд.
(2) Потребителското име и паролата за достъп до автоматизирани информационни фондове за общо ползване се предоставят от ДКИС, а до останалите автоматизирани информационни фондове – от управляващия съответния фонд.
(3) Потребителското име и паролата се предоставят персонално на всеки служител въз основа на утвърдено от управляващия информационния фонд мотивирано искане, изготвено от ръководителя на съответната структура.
(4)(Изм. - ДВ, бр. 31 от 2016 г.) Искането по ал. 3 съдържа:
(5)(Нова - ДВ, бр. 31 от 2016 г.) Служителите по ал. 1 извършват справки в съответните информационни фондове, като задължително отразяват във фонда конкретния повод за извършване на справката.
(6)(Нова - ДВ, бр. 31 от 2016 г.) Алинея 5 не се прилага при дейности, свързани с административно обслужване на граждани или при извършване на гранични проверки на граничните контролно-пропускателни пунктове на преминаващи лица, ползваните от тях документи и превозни средства.
(Изм. - ДВ, бр. 31 от 2016 г.) При назначаване на друга длъжност или прекратяване на служебно правоотношение на служител на МВР, получил достъп до данни в информационен фонд, ръководителят на съответното структурно звено в 5-дневен срок писмено уведомява директора на ДКИС за заличаване на достъпа до фонда.
(1)(Изм. - ДВ, бр. 31 от 2016 г.) Дирекция „Комуникационни и информационни системи“ изпълнява функции на Централен регистър за автоматизираните информационни фондове в МВР.
(2)(Доп. - ДВ, бр. 31 от 2016 г.) В дирекцията се поддържа автоматизирана база данни за регистрираните автоматизирани информационни фондове.
(1) След извършване на регистрацията на автоматизиран информационен фонд в МВР Централният регистър предприема действия за регистрирането на фонда в Комисията за защита на личните данни.
(2) Централният регистър публикува на интернет страницата си информация за регистрираните в Комисията за защита на личните данни информационни фондове в МВР.
(1) Правилата по чл. 2 за автоматизиран информационен фонд регламентират технически мерки, които:
1. отхвърлят достъпа на неоторизирани лица до оборудването за обработка на данни – контрол на достъпа до оборудване;
2. предотвратяват неоторизираното четене, копиране, промяна или унищожаване на информационни носители – контрол на информационните носители;
3. предотвратяват неоторизираното добавяне, въвеждане, преглеждане, промяна или заличаване на съхранени лични данни – контрол по съхраняването;
4. предотвратяват използването му от неоторизирани лица, използващи комуникационно оборудване за данни – контрол на потребителите;
5. гарантират, че лицата, които са оторизирани да ползват система за автоматизирана обработка на данни, имат достъп само до данните, включени в обхвата на техния достъп – контрол на достъпа до данни;
6. осигуряват възможността за проверка и установяване до кои органи са били или могат да бъдат изпратени или предоставени личните данни чрез използване на комуникационно оборудване за данни – контрол на комуникациите;
7. осигуряват възможност за последваща проверка и установяване какви лични данни са въведени в системите за автоматизирана обработка на данни, кога и от кого са въведени данните – контрол на въвеждане;
8. предотвратяват неоторизирано четене, копиране, промяна или изтриване на лични данни при трансфер на лични данни или превозване на носители на данни – контрол при транспортиране;
9. осигуряване на възможност инсталираните системи да могат да се възстановят в случаи на прекъсване на функционирането – възстановяване;
10. осигуряват правилното функциониране на системата, докладване на появата на грешки във функциите (надеждност) и гарантират, че съхранените данни не могат да бъдат повредени чрез неправилно функциониране на системата – интегритет.
(2) Служителят, натоварен с функциите на обработващ лични данни, взема мерки за гарантиране на надеждност при обработването, като осъществява технически и организационни мерки за защита на личните данни.
(1) Контролът върху дейностите по обработка на лични данни в МВР се осъществява от:
1. Комисията за защита на личните данни;
2. министъра на вътрешните работи или оправомощено от него лице;
3. ръководителите на структурите на МВР съобразно правомощията им.
(2)(Нова - ДВ, бр. 31 от 2016 г.) В дейността си по ал. 1 министърът на вътрешните работи се подпомага от Постоянна комисия за защита на личните данни. Съставът, функциите и правилата за работа на комисията се определят със заповед на министъра на вътрешните работи.
(3)(Предишна ал. 2 - ДВ, бр. 31 от 2016 г.) Контролът върху дейностите по обработка на лични данни в конкретен информационен фонд се извършва от:
1.(отм. - ДВ, бр. 31 от 2016 г.)
2. ръководителите на структурите на МВР, в които има изградени информационни фондове;
3. дирекция „Информация и архив“ – за неавтоматизираните информационни фондове за общо ползване;
4. дирекция „Комуникационни и информационни системи“ – за автоматизираните информационни фондове за общо ползване.
(1)(Изм. - ДВ, бр. 31 от 2016 г.) Органите по чл. 48, ал. 3 извършват планови и внезапни проверки за установяване на спазването на необходимите технически и организационни мерки по защита на личните данни, както и периодични проверки на качеството на обработваните лични данни.
(2) Плановите проверки се извършват по график, утвърден от министъра на вътрешните работи.
(3) За резултатите от извършените проверки се докладва на министъра на вътрешните работи.
(4)(Изм. - ДВ, бр. 31 от 2016 г.) При констатирани несъответствия или нарушения контролните органи по чл. 48, ал. 3 представят на министъра на вътрешните работи за утвърждаване предписания и срок за отстраняване на несъответствията или нарушенията.
(1)(Изм. - ДВ, бр. 31 от 2016 г.) Утвърдените предписания по чл. 49, ал. 4 се изпращат на компетентните структури за изпълнение.
(2) Копие от предписанията по чл. 49, ал. 4 се изпращат за съхранение в Централния регистър.
(3)(Изм. и доп. - ДВ, бр. 31 от 2016 г.) След изпълнение на предписанията на министъра на вътрешните работи се представя доклад за тяхното отстраняване. Копие от доклада се изпраща в Централния регистър.
(4) Когато предписанията са направени след проверка от страна на Комисията за защита на личните данни, министърът на вътрешните работи уведомява Комисията за защита на личните данни за изпълнението на предложените мерки. В тези случаи министърът на вътрешните работи се подпомага от Централния регистър.
1. „Обработващ лични данни“ е структура или длъжностно лице от МВР, определени да извършват набор от операции, характеризиращи обработката на лични данни.
2.(изм. - ДВ, бр. 31 от 2016 г.) „Блокиране“ е временно прекратяване на обработката на лични данни.
3. „Оператор на лични данни“ е служител от структура на МВР, определена за „обработващ лични данни“, който извършва набор от технически операции, характеризиращи обработката на лични данни в съответствие с предоставените му права за достъп и потребителски профил.
(Изм. - ДВ, бр. 31 от 2016 г.) „Организационно-технологичните правила“ съдържат:
1. цели на обработване на личните данни;
2. функционалности на информационния фонд и връзки с други информационни фондове;
3. обхват и обекти – категориите лични данни, подлежащи на обработване, и категориите физически лица, чиито данни се обработват;
4. потребители и права на достъп – потребители, получатели и/или категориите получатели, пред които личните данни могат да бъдат разкрити; права на достъп; ред и условия за ползване и/или получаване на лични данни;
5. управление, контрол и отговорност за поддържане и ползване на информационния фонд – организация за управление и контрол; срок на съхраняване на данните; процедури за периодични проверки на качеството на данните; нива на чувствителност и вид на носителя на данните;
6. технология на работа с информационния фонд – технически и организационни мерки при обработване на лични данни и допустим вид защита; описание на техническите ресурси, използвани за обработка на данните; мероприятия за защита на информационните фондове при извънредни ситуации.
Инструкция № Iз-381 от 10 март 2009 г. за реда за обработка на лични данни в Министерството на вътрешните работи (обн., ДВ, бр. 23 от 2009 г.; изм., бр. 39 от 2009 г. и бр. 11 от 2010 г.; изм. и доп., бр. 75 от 2012 г.) се отменя.
(1) В срок два месеца след влизане в сила на инструкцията се издават организационно-технологични правила за функционирането на информационните фондове.
(2) До издаването на организационно-технологични правила по ал. 1 се прилагат организационно-технологичните инструкции за работа с информационните фондове в МВР, доколкото не противоречат на тази инструкция.