Държавен вестник, бр. 17, 2019 г., стр. 17

БРОЙ  17	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  17  
6 седмици след получаването на искането за 
консултация писмено становище на адми-
нистратора и когато това е приложимо – на 
обработващия лични данни. Този срок може 
да се удължи с още един месец в зависимост 
от сложността на планираното обработване. 
В срок до един месец от получаването на ис-
кането за консултация комисията, съответно 
инспекторатът уведомява администратора и 
когато е приложимо – обработващия лични 
данни, за удължаването на срока, включително 
за причините за забавянето.
(6) Предоставянето на писмено становище 
по ал. 5 не засяга възможността на комиси-
ята, съответно на инспектората, да упражни 
и правомощията си по чл. 80 спрямо адми-
нистратора или обработващия лични данни.
Чл. 66. (1) Администраторът и обработ-
ващият лични данни, като отчитат достиже-
нията на техническия прогрес, разходите за 
прилагане и естеството, обхвата, контекста и 
целите на обработването, както и рисковете 
за правата и свободите на физическите лица, 
прилагат подходящи технически и организа-
ционни мерки за осигуряване на съобразено с 
този риск ниво на сигурност, по-специално по 
отношение на обработването на категориите 
лични данни по чл. 51, ал. 1.
(2) По отношение на автоматизираното 
обработване администраторът или обработва-
щият лични данни след оценка на рисковете 
прилага мерки, имащи за цел:
1. контрол върху достъпа до оборудване – да 
се откаже достъп на неоправомощени лица 
до оборудването, използвано за обработване 
на лични данни;
2. контрол върху носителите на данни – да 
се предотврати четенето, копирането, изме-
нянето или отстраняването на носители на 
данни от неоправомощени лица;
3. контрол върху съхраняването – да се 
предотврати въвеждането на лични данни от 
неоправомощени лица, както и извършването 
на проверки, изменянето или изтриването на 
съхранявани лични данни от неоправомоще-
ни лица;
4. контрол върху потребителите – да се 
предотврати използването на автоматизирани 
системи за обработване от неоправомощени 
лица чрез използване на оборудване за пре-
даване на данни;
5. контрол върху достъпа до данни – да се 
гарантира, че лицата, на които е разрешено 
да използват автоматизирана система за обра-
ботване, имат достъп само до личните данни, 
които са обхванати от тяхното разрешение 
за достъп;
6. контрол върху комуникацията – да се 
гарантира възможността за проверка и уста-
новяване на кои органи са били или могат да 
бъдат предадени лични данни, или кои органи 
имат достъп до лични данни чрез оборудване 
за предаване на данни;
7. контрол върху въвеждането на данни – да 
се гарантира възможността за последваща 
проверка и установяване на това какви лични 
данни са били въведени в автоматизираните 
системи за обработване, както и кога и от 
кого те са били въведени;
8. контрол върху пренасянето – да се 
предот­врати четенето, копирането, изменянето 
или изтриването на лични данни от неоправо-
мощени лица при предаването на лични данни 
или при пренасянето на носители на данни;
9. възстановяване – да се гарантира въз-
можността за възстановяване на инсталира-
ните системи в случай на отказ на функциите 
на системите;
10. надеждност – да се гарантира изпълне-
нието на функциите на системата и докладва-
нето за появили се във функциите дефекти;
11. цялостност – да се гарантира недопус-
кане на увреждане на съхраняваните лични 
данни вследствие на неправилно функциони-
ране на системата.
Чл. 67. (1) В случай на нарушение на сигур-
ността на личните данни, което има вероят-
ност да доведе до риск за правата и свободите 
на субектите на данни, администраторът без 
излишно забавяне, но не по-късно от 72 часа 
след като е разбрал за нарушението, уведо-
мява комисията, съответно инспектората, за 
него. Когато уведомлението е подадено след 
срока по изречение първо, в него се посочват 
причините за забавянето.
(2) Обработващият лични данни уведомява 
администратора без излишно забавяне, но не 
по-късно от 72 часа след като е установил 
нарушение на сигурността на лични данни.
(3) Уведомлението по ал. 1 съдържа най-
малко:
1. описание на нарушението на сигурността 
на личните данни, включително когато е въз-
можно, категориите и приблизителния брой на 
засегнатите субекти на данни и категориите и 
приблизителния брой на засегнатите записи 
на лични данни;
2. името и координатите за връзка на длъж-
ностното лице по защита на данните или на 
друго звено за контакт, от което може да се 
получи повече информация;
3. описание на евентуалните последици от 
нарушението на сигурността на личните данни;
4. описание на предприетите или предложе-
ните от администратора мерки за справяне с 
нарушението на сигурността на личните данни, 
включително по целесъобразност мерки за 
намаляване на евентуалните неблагоприятни 
последици.
(4) Когато не е възможно информацията да 
се подаде едновременно, тя може да се подаде 
поетапно без по-нататъшно ненужно забавяне.