Държавен вестник, брой 11 от 9.II

Чл. 4. (1) В информационните фондове на МВР се обработват:

1. данните, предоставени от физически лица;

2. данните, събрани от служители на МВР при упражняване на правомощията им;

3. данните, получени от други органи или организации или по силата на международен договор.

(2) Данните се отразяват в документ, в който се посочва източникът им. Този документ задължително се регистрира в съответната структура.

Чл. 5. (1) Отразяване на данните в информационен фонд по чл. 4, ал. 1 се извършва, когато е налице едно от следните условия:

1. съвкупността от данни идентифицира лицето;

2. във фонда се въвежда несъществуваща до този момент съвкупност от данни;

3. съвкупността от данни съдържа източника им.

(2) Съвкупността от данни се отразява, като се извършва проверка за:

1. наличност и избягване на дублирането на данните;

2. наличие на маркировка, приложена към идентификационните или други данни за лицето; проверката се извършва както по отношение на нововъведените данни, така и върху отношението на нововъведените към съществуващите във фонда.

Чл. 6. Актуализация на лични данни представлява допълнение или изменение на съществуваща информация в информационния фонд.

Чл. 7. (1) Актуализация на лични данни се извършва:

1. по искане на лицето, за което се отнасят личните данни, когато то е установило, че е налице грешка или непълнота в тях, и удостовери това с документ;

2. по инициатива на обработващия лични данни - при наличие на документ, даващ основание за актуализация;

3. при установена грешка при обработката на личните данни от страна на оператора на лични данни.

(2) В случаите на ал. 1 при актуализацията се допуска изтриване или заличаване на част от обработваните лични данни по реда на раздел IV.

(3) При актуализация на лични данни в регистъра се отразяват регистрационният номер на документа, източник на данните за актуализацията, дата на актуализацията, данни за оператора, извършил актуализацията.

Чл. 8. (1) Актуализация на лични данни се извършва по реда на чл. 5, ал. 2.

(2) Актуализация на лични данни, получени от органи извън МВР, както и на лични данни, получени по силата на международен договор, се извършва въз основа на изрично искане или съгласие на предоставящия ги.

Чл. 8а. (Нов - ДВ, бр. 75 от 2012 г.) (1) В случаите на чл. 7, ал. 1, т. 1 актуализацията се извършва въз основа на издадено от министъра на вътрешните работи решение.

(2) В случаите по чл. 7, ал. 1, т. 2 или 3 актуализацията се извършва въз основа на писмена заповед, издадена от длъжностното лице, управляващо съответния информационен фонд.

(3) Заповедта по ал. 2 се издава въз основа на мотивирано предложение от обработващия лични данни.

Чл. 8б. (Нов - ДВ, бр. 75 от 2012 г.) Редът по чл. 8а, ал. 1 се прилага единствено в случаите на подадено заявление от физическо лице по реда на ЗЗЛД.

Чл. 9. Заличаване на информация, съдържаща лични данни, се извършва въз основа на:

1. разпореждане на постоянната комисия към Народното събрание;

2. предписание на Комисията за защита на личните данни (КЗЛД);

3. акт на съда или прокуратурата;

4. установено по служебен път несъответствие между оригиналния документ и извършената обработка на данни във фонда;

5. искане на лицето, когато има законово основание за това;

6. (изм. - ДВ, бр. 75 от 2012 г.) отпадане на необходимостта от обработване на данните;

7. искане от органи или организации, предоставили личните данни, включително по силата на международен договор.

Чл. 10. (Изм. - ДВ, бр. 75 от 2012 г.) (1) В случаите на чл. 9, т. 5 заличаването се извършва въз основа на издадено от министъра на вътрешните работи решение.

(2) В случаите по чл. 9, т. 1 - 4, 6 и 7 заличаването се извършва въз основа на писмена заповед, издадена от длъжностното лице, управляващо съответния информационен фонд.

(3) В случаите на чл. 9, т. 4, 6 и 7 заповедта по ал. 2 се издава въз основа на мотивирано предложение от обработващия лични данни.

(4) В заповедта по ал. 2 се посочват основанието за заличаване и конкретните лични данни за лицето, групите или категориите лични данни, които подлежат на заличаване.

Чл. 11. (1) Заличаване на информация, съдържаща лични данни, отразена в неавтоматизиран информационен фонд, се извършва, като:

1. се прилага механична операция, водеща до невъзможност за последващо ползване на заличените лични данни във фонда;

2. във фонда се поставя маркер за операцията по т. 1, съдържащ основанието за заличаване, номер и дата на документа, иницииращ операцията, подписалия документа, служителя, извършил операцията.

(2) В случаите, когато съответният документ съдържа само идентификационни данни на лицето, той се унищожава, като за целта се съставя протокол от служителя, извършил операцията.

Чл. 12. (1) Заличаване на информация, съдържаща лични данни, отразена в автоматизиран информационен фонд, се извършва:

1. чрез програмно изтриване на съответната съвкупност от лични данни от базата данни на системата посредством съществуваща функционалност на автоматизираната система; не се допуска изтриване с използването на други програмни средства, част от базов или приложен софтуер;

2. по начин, непозволяващ възстановяване на изтритата информация, съдържаща лични данни.

(2) В случай на заличаване, при което от даден запис е останала незаличена само идентификационната част, записът се изтрива заедно с референтните връзки, ако има създадени такива към други записи в същата база.

(3) При заличаване в базата данни на системата се отразяват основанието за операцията, номерът и датата на документа, иницииращ операцията, данните за разпореждащия операцията, данните за служителя, осъществил операцията, датата и часът на операцията.

(4) След приключване на операцията по ал. 3 се извършва заличаване на информацията, съдържаща лични данни в документа, източник за тяхното въвеждане в автоматизираната система.

Чл. 13. (1) При заличаване на информация, съдържаща лични данни в автоматизиран фонд, управляващият фонда организира заличаване на данните в резервните копия на базата данни, както и недопускане на повторно активиране на заличените данни.

(2) Резултатите от дейността по ал. 1 се отразяват в протокол, който се регистрира в съответната структура.

Чл. 14. Правилата по чл. 2 за неавтоматизиран информационен фонд определят:

1. изискванията към помещенията, в които се съхраняват документите, по отношение на физическа сигурност, пожарна безопасност, параметри на въздуха (температура, влажност);

2. необходимостта от наличие на работни места в помещенията, в които се съхраняват документите;

3. достъпа до помещенията.

Чл. 15. Правилата по чл. 2 за автоматизиран информационен фонд определят:

1. мерките за физическа сигурност и регулиране на достъпа до данните;

2. изискванията за съхранение, правилата за мониторинг и контрол за спазването на тези изисквания;

3. начините за възстановяване, плана за реализацията им, правилата за мониторинг и контрол на предприетите мерки.

Чл. 16. (1) (Предишен текст на чл. 16 - ДВ, бр. 11 от 2010 г.) С правилата по чл. 2 за всеки информационен фонд се определят сроковете за съхранение на информацията, съдържаща лични данни:

1. общо за съответния информационен фонд;

2. на отделни документи, единични или групи от данни.

(2) (Нова - ДВ, бр. 11 от 2010 г.) В правилата по чл. 2 за всеки информационен фонд се определят процедури и срокове за извършване на периодични проверки на качеството на обработваните лични данни.

Чл. 17. Правилата по чл. 2 за автоматизиран информационен фонд определят:

1. процедурата за унищожаване на данните след изтичане на срока за съхранение и контрола за нейното спазване;

2. процедурата за блокиране на данни, чийто срок за съхранение за текущо ползване е изтекъл;

3. процедурата, правилата и схемите за архивиране;

4. срока за съхранение на архивните данни;

5. реда за ползване на архивни данни;

6. процедурата за унищожаване на архивните данни и контрола за нейното спазване;

7. реда за ползване на блокирани или маркирани данни за нуждите на статистическа обработка;

8. (нова - ДВ, бр. 11 от 2010 г.) процедурата за уведомяване на лице, чиито лични данни са събрани и се съхраняват без негово знание и не са унищожени, при условие че това уведомяване не може да повлияе върху дейността на органите на МВР.

Чл. 18. (1) Управляващият информационен фонд организира маркирането на лични данни въз основа на отправено до него искане от инициатора.

(2) Инициатор на маркирането може да бъде всяка структура в МВР.

Чл. 19. (1) Маркирането на лични данни в неавтоматизиран информационен фонд се извършва чрез временно добавяне на информация към отделен документ или група от документи, обединени по определен признак.

(2) Допустимо е маркирането и на част от документ.

(3) Маркировката съдържа описание на действието, което следва да се извърши при наличие, съвпадение или покриване на определен критерий, срока на валидност на маркировката, както и длъжностните лица, участващи в реализирането на действието.

Чл. 20. (1) Маркирането на данни в автоматизиран информационен фонд се извършва чрез временно добавяне на записи в базата данни, съотносими към определен запис или група записи, обединени по определен признак.

(2) Маркирането на данни в автоматизиран информационен фонд се извършва чрез функционална дейност, която е неделима част от софтуера на автоматизираната система.

Чл. 21. (1) Маркирането по чл. 19 и 20 може да се извърши по искане на повече от един инициатор за един и същ период от време.

(2) Действията, породени от приложената маркировка на един инициатор, не може да влизат в противоречие или да игнорират действията, пораждащи се от маркировката на друг инициатор.

(3) Маркирането не може да премахне действието на блокирането.

Чл. 22. (1) Срокът на валидност на маркировката може да бъде удължен еднократно с първоначално определената продължителност.

(2) Удължаването на срока се извършва по реда на чл. 18.

Чл. 23. (1) Маркировката в неавтоматизиран информационен фонд се премахва след утвърдено от управляващия фонда предложение на обработващия данните.

(2) Премахването на маркировката по ал. 1 се извършва, като временно добавената информация се заличава след изтичане на срока.

(3) За премахването на маркировката не се уведомява инициаторът на маркирането.

Чл. 24. (1) Маркировката в автоматизирания информационен фонд се премахва автоматично от базата данни на автоматизираната система чрез специална разработена функционалност на автоматизираната система.

(2) Софтуерът на автоматизираната система не трябва да допуска повторно активиране на маркировката от информация, заредена в базата данни от нейно архивно копие.

(3) За премахването на маркировката не се уведомява инициаторът на маркирането.

Чл. 25. В правилата по чл. 2 за съответния информационен фонд се посочват механизмът за маркиране - инициирането, потвърждаването, реализирането и неговото премахване, както и редът за решаване на възникнали спорове между инициаторите относно маркирането.

Чл. 26. (1) Блокиране на лични данни се извършва въз основа на:

1. акт на съдебен орган;

2. разпореждане на Комисията за защита на личните данни;

3. положително решение на администратор на лични данни по искане по чл. 28а, ал. 1, т. 1 ЗЗЛД.

(2) В случаите по ал. 1 управляващият информационен фонд организира блокирането на лични данни въз основа на разпореждане на министъра на вътрешните работи.

(3) Блокирането може да бъде за опреден срок или безсрочно.

Чл. 27. (1) Блокирането на данни в неавтоматизиран информационен фонд се извършва чрез временно добавяне на информация към отделен документ или група от документи, обединени по определен признак.

(2) Блокирането може да бъде извършено и на част от документ.

(3) Маркировката за блокиране съдържа указание за прекратяване обработката на личните данни за срока на блокировката.

Чл. 28. (1) Блокирането на данни в автоматизиран информационен фонд се извършва чрез временно добавяне на записи в базата данни, съотносими към определен запис или група записи, обединени по определен признак.

(2) Блокирането на данни в автоматизиран информационен фонд се извършва чрез функционална дейност, която е неделима част от софтуера на автоматизираната система.

(3) Софтуерът на автоматизираната система трябва да изключва предоставянето на блокираните данни при всяка функционална дейност на системата за указания период от време.

(4) Софтуерът на автоматизираната система осигурява блокирането на съответните записи и след извършено възстановяване на базата данни от нейно архивно копие за срока на блокирането.

Чл. 29. Блокирането по чл. 27 и 28 премахва приложеното маркиране, когато се отнася за един и същ документ или едни и същи данни, като не се уведомява инициаторът на маркирането.

Чл. 30. (1) В неавтоматизирания информационен фонд временната блокировка се премахва въз основа на утвърдено от управляващия фонда предложение на обработващия данните.

(2) Премахването на блокировката се извършва, като временно добавената информация се заличава след изтичане на срока по чл. 26, ал. 3.

(3) За премахването на блокировката се уведомява инициаторът на блокирането.

Чл. 31. (1) В автоматизирания информационен фонд временната блокировка на определен запис или записи се премахва автоматично от базата данни на автоматизираната система при изтичане на срока по чл. 26, ал. 3 чрез специална разработена функционалност на автоматизираната система.

(2) Софтуерът на автоматизираната система гарантира премахването на временната блокировка на записи от базата данни и в случаите на нейното възстановяване от архивно копие.

(3) За премахването на блокировката се уведомява инициаторът на блокирането.

Чл. 32. В правилата по чл. 2 за съответния информационен фонд се посочва организацията за прилагането на механизма за блокировка - иницииране, прилагане и премахване.

Чл. 33. (Отм. - ДВ, бр. 75 от 2012 г.)

Чл. 34. (1) (Изм. - ДВ, бр. 75 от 2012 г.) Лични данни, обработвани в МВР, се предоставят в съответствие с националното законодателство и международните договори, по които Република България е страна.

(2) Документът, с който се предоставят лични данни, се регистрира в съответната предоставяща структура.

Чл. 35. В правилата по чл. 2 за съответния информационен фонд се посочват технологията, свързана с дейността по предоставяне на личните данни, обхватът на предоставяните данни и ограниченията, които се налагат при извършващия се обмен на данни.

Чл. 36. (1) Министърът на вътрешните работи утвърждава правилата по чл. 2 за всеки информационен фонд по предложение на директора на специализираната административна дирекция "Комуникационни и информационни системи" (САД "КИС").

(2) Министърът на вътрешните работи по предложение на директора на САД "КИС" със заповед определя:

1. длъжностното лице - управляващо информационния фонд;

2. структурите и длъжностните лица - обработващи лични данни.

(3) Правилата по чл. 2 определят потребителските права за достъп до данните в информационния фонд, както и до функционалните дейности и потребителските профили, когато информационният фонд е автоматизиран.

(4) Директорът на САД "КИС" управлява автоматизираните информационни фондове за общо ползване в МВР.

(5) Директорът на САД "КИС" отговаря за регистрацията на информационните фондове в МВР и в Комисията за защита на личните данни.

Чл. 37. (1) Длъжностното лице, управляващо информационен фонд, определя със заповед служителите, изпълняващи функциите на:

1. оператор на лични данни;

2. обработващ лични данни.

(2) В заповедта по ал. 1 се посочват:

1. правата на достъп до данни в информационния фонд;

2. потребителските профили, които могат да ползват определените служители.

(3) Копие от заповедта по ал. 1 се изпраща в САД "КИС".

Чл. 38. (1) Ръководителите на структури в МВР със заповед определят служителите, които получават достъп до данните в информационния фонд.

(2) В заповедта по ал. 1 се посочва и потребителският профил, към който служителят е причислен в съответствие със служебните му задължения.

(3) Копие на заповедта по ал. 1 се изпраща до длъжностното лице, управляващо информационния фонд, и до САД "КИС".

Чл. 39. Длъжностното лице, управляващо информационен фонд, отговаря за:

1. законосъобразността при обработката на личните данни;

2. (изм. - ДВ, бр. 11 от 2010 г.) правилното съхранение, целостта и качеството на данните;

3. предоставянето на достъп до информационен фонд на служителите по чл. 37 и 38;

4. контрола на достъпа;

5. спазването на сроковете за съхранение на данните.

Чл. 40. (1) За работа с автоматизиран информационен фонд на служителите по чл. 37 и 38 се предоставят персонални потребителско име и парола за достъп, които осигуряват достъп до мрежата за предаване на данни в МВР и ресурсите на съответния автоматизиран информационен фонд.

(2) Потребителското име и паролата за достъп до автоматизирани информационни фондове за общо ползване се предоставят от САД "КИС", а до останалите автоматизирани информационни фондове - от управляващия съответния фонд.

(3) Потребителското име и паролата се предоставят персонално на всеки служител въз основа на утвърдено от управляващия информационния фонд мотивирано искане, изготвено от ръководителя на съответната структура.

(4) Искането по ал. 3 съдържа:

1. ЕГН;

2. трите имена на служителя;

3. основна структура;

4. структурно звено;

5. служебен телефон;

6. номер на заповедта по чл. 38;

7. потребителския профил за достъп до информационен фонд.

Чл. 41. При назначаване на друга длъжност или прекратяване на служебно правоотношение на служител на МВР, получил достъп до данни в информационен фонд, ръководителят на съответното структурно звено в 3-дневен срок писмено уведомява управляващия информационния фонд за заличаване на достъпа до фонда.

Чл. 42. (1) Специализираната административна дирекция "Комуникационни и информационни системи" изпълнява функции на Централен регистър за информационните фондове в МВР.

(2) В дирекцията се поддържа автоматизирана база данни за регистрираните информационни фондове.

Чл. 43. (1) Длъжностното лице, управляващо информационен фонд, в едномесечен срок след утвърждаване на правилата по чл. 2 регистрира фонда в Централния регистър.

(2) Регистрацията се извършва с регистрационна карта за фонда (приложение № 1).

Чл. 44. (1) За всеки регистриран информационен фонд Централният регистър издава удостоверение за регистрация (приложение № 2).

(2) Удостоверението за регистрация се изпраща на управляващия информационния фонд и представлява неразделна част от документацията на фонда.

(3) След извършване на регистрацията на информационния фонд в МВР Централният регистър предприема действия за регистрирането на фонда в Комисията за защита на личните данни.

(4) Централният регистър съвместно с управляващия фонда отстранява допуснати несъответствия при извършване на регистрацията в Комисията за защита на личните данни.

(5) Централният регистър писмено уведомява управляващия информационния фонд за резултатите от регистрирането на фонда в Комисията за защита на личните данни.