Проект на Инструкция за изменение на Инструкция № 8121з-1280 от 7 октомври 2021 г. за реда за обработване на лични данни в Министерството на вътрешните работи (обн. ДВ, бр. 87 от 2021 г.)

МОТИВИ към проекта на Инструкция за изменение на Инструкция № 8121з-1280 от 7 октомври 2021 г. за реда за обработване на лични данни в Министерството на вътрешните работи (обн. ДВ, бр. 87 от 2021 г.) Причини за нормативните промени: Един от основните принципи за защита на данните гласи, че личните данни трябва да се съхраняват във вид, който позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимия за целите, за които те се обработват („ограничение на съхранението“). Наред с това, по силата на Общия регламент относно защитата на данните, срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок, представлява важен компонент на информацията, която се предоставя от администратора на субекта на данни. Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета, предвижда в преамбюла, че за целите на предотвратяването, разследването и наказателното преследване на престъпленията, компетентните органи имат нужда да обработват лични данни, събрани в контекста на предотвратяването, разследването, разкриването или наказателното преследване на конкретни престъпления, извън този контекст, за да достигнат до разбиране на престъпните действия и да установят връзки между различни разкрити престъпления (съображение 27). В съответствие с посочените принципи и Закона за защита на личните данни (ЗЗЛД чл. 46) в Инструкция № 8121з-1280 от 7 октомври 2021 г. за реда за обработване на лични данни в Министерството на вътрешните работи е предвидено, когато сроковете за изтриване на лични данни или за периодична проверка на необходимостта от съхранението им не са определени в нормативен акт, те да се определят със заповед на министъра на вътрешните работи (чл. 7, ал. 1). На основание на инструкцията, всеки информационен фонд , в който се обработват лични данни, функционира съобразно организационно-технологични правила, изготвени от управляващия фонда, утвърдени със заповед на министъра на вътрешните работи. В организационно-технологичните правила се определят целите, за които се обработват личните данни; функционалностите на информационния фонд и връзките с други информационни фондове; категориите лични данни, подлежащи на обработване, и категориите субекти на данни, чиито данни се обработват; сроковете за съхранение на личните данни или сроковете и процедурите за извършване на периодични проверки на необходимостта от по-нататъшното съхранение на обработваните лични данни, доколкото не са определени в нормативен акт и др. Сроковете на съхранение за всеки информационен фонд се съобразяват с категориите данни, необходимостта от обработване и пропорционалността спрямо целите на обработване. В определени случаи обработването на лични данни от полицейските органи, включително за целите на националната сигурност и противодействие на тежката престъпност предполага възможност за съхранение за достатъчно дълъг законосъобразен срок с оглед ефективното изпълнение на техните функции и задачи. Цели, които се поставят: Нормативно установяване на краен срок за изтриване на личните данни, обработвани от полицейските органи, когато такъв не произтича от друг нормативен акт или акт на администратора или не са настъпили обстоятелствата по чл. 3 от Инструкция № 8121з-748 от 20 октомври 2014 г. за определяне на срокове за съхранение на лични данни, обработвани в Министерството на вътрешните работи във връзка с провеждане на наказателно производство по реда на Наказателно-процесуалния кодекс и на проверки за наличие на данни за престъпления от общ характер. Този срок ще бъде валиден, в случаите, когато са неприложими предвидените за отделните информационни фондове по-кратки срокове за запазване на данните (например за осъдени с окончателна присъда за престъпления лица) и предвид целите на обработване, принципите на необходимост и пропорционалност е извършена преценка обработването на данните да продължи. Финансови и други средства, необходими за прилагането на новата уредба: Приемането на предложената промяна в Инструкция № 8121з-1280/2021 г. не налага необходимост от допълнителни разходи/трансфери и други плащания, които да бъдат одобрени по бюджета на Министерството на вътрешните работи за сметка на бюджети по държавния бюджет. Предложеният проект не води до въздействие върху държавния бюджет. Очаквани резултати от прилагането на акта: Постигане на обоснованост на обработването на данните за по - продължителен период, когато това е оправдано от целите за защита на обществения интерес, предотвратяването, разкриването и наказателно преследване на престъпления. Анализ за съответствие с правото на Европейския съюз: Директива (ЕС) 2016/680 е въведена в националното законодателство със Закона за защита на личните данни (ЗЗЛД). Законът за МВР предвижда при изпълнение на дейностите на полицейските органи да се прилага ЗЗЛД и Общия регламент за защита на данните (ОРЗД), когато се обработват извън контекста на превенцията и преследването на престъпни деяния по наказателно-правен ред. Разпоредбите в Директива (ЕС) 2016/680 са подобни на разпоредбите в ОРЗД - но само до определена степен, за да отразяват специалния контекст на правоприлагането и предотвратяването на престъпни заплахи за обществената сигурност. В съответствие с Директива (ЕС) 2016/680 личните данни следва да са подходящи и релевантни за целите, за които се обработват. По-специално следва да се гарантира, че събраните лични данни не надхвърлят необходимото и че не се съхраняват за период, по- дълъг от необходимото за целите, за които се обработват. Личните данни следва да се обработват единствено ако целта на обработването не може разумно да бъде постигната с други средства. С цел да се гарантира, че срокът на съхранение на данните не е по- дълъг от необходимия, администраторът следва да установи срокове за тяхното изтриване или периодичен преглед. Когато сроковете за изтриване на лични данни или за периодична проверка на необходимостта от съхранението им не са нормативно установени, те следва да се определят от администратора. Извършването на периодична проверка следва да се документира, а решението за продължаване на съхранението на данните да се мотивира. Предвидените срокове за изтриване на различните категории данни следва да бъдат съобразени и разграничени спрямо целите на обработване и субектите на данни - лица, за които има сериозни основания да се смята, че са извършили или ще извършат престъпление; лица, осъдени за престъпление; пострадали от престъпление лица, или други трети лица по отношение на престъпление, например лица, които биха могли да бъдат призовани да свидетелстват при разследване на престъпления или в наказателни производства, лица, които могат да предоставят информация за престъпления или свързани лица. Тези условия са съответно отразени в Инструкция № 8121з-1280/2021 г. Изтичане на срока на съхранение е само едно от основанията за изтриване на личните данни. Съгласно чл. 20 от инструкцията, отпадане на необходимостта от обработване на данните е паралелно друго основание, което може да бъде приложено от компетентните органи. В тази връзка се предвижда извършване на периодична проверка за актуалност на данните и оценка на необходимостта от по-нататъшно обработване - на всеки пет години. В този контекст предложеното допълнение в инструкцията предвижда удължен срок на съхранение само когато не е установен по - кратък срок за запазване на данните в различните информационни фондове на МВР съобразно целите на обработване, категориите данни, които се обработват и спазване на принципите на необходимост и пропорционалност при извършване на преценка за продължаващо съхранение.