Държавен вестник, бр. 25, 2007 г., стр. 73

Б Р О Й  25
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
С Т Р .  73
3. личните данни в регистрите, както и кон-
трол на лицата, извършващи действия по обра-
ботване на личните данни съгласно предоста-
вените им права;
4. разполагането, поддържането и премест-
ването на техническите ресурси, използвани за
обработка на личните данни.
Чл. 7. Администраторът осигурява при въ-
веждане, промяна или предаване на лични дан-
ни в регистрите съхраняване на информация за:
1. времето (дата и час) на въвеждане, промя-
на или предаване на личните данни;
2. лицата, извършващи въвеждането, промя-
ната или предаването на личните данни;
3. лицата, предоставили личните данни;
4. личните данни, които са били въведени,
променени или предадени в регистрите.
Чл. 8. Лицето по защита на личните данни е
задължено да подпомага администратора при
изпълнение на действията му по чл. 4, ал. 2, 3, 8
и 9, чл. 5, ал. 3, 4, 5, 6, 7, 8, 9 и 10, чл. 6 и 7.
Г л а в а  т р е т а
НИВА НА ЗАЩИТА
Чл. 9. В зависимост от рисковете при обра-
ботване на личните данни и вида им се опреде-
лят следните нива на защита: начално, средно
и високо.
Чл. 10. Мерките за защита, класифицирани
при начално ниво, се предприемат за всички
регистри с лични данни, обработвани само на
хартиен носител.
Чл. 11. Мерките за защита, класифицирани
при начално и средно ниво, се предприемат за
всички регистри с лични данни, обработвани на
хартиен и технически носител, в компютърна
система на локален компютър или в мрежа,
несвързани с обществената мрежа.
Чл. 12. Мерките за защита, класифицирани
при начално, средно и високо ниво, се предпри-
емат за всички регистри с лични данни, обра-
ботвани на хартиен и технически носител, в
компютърна система на локален компютър или
в мрежа, свързани с обществената мрежа.
Г л а в а  ч е т в ъ р т а
МЕРКИ ПРИ НАЧАЛНО НИВО
НА ЗАЩИТА
Чл. 13. (1) Администраторът приема прави-
ла за сигурност, които са задължителни за слу-
жителите, оторизирани с достъп до регистри с
лични данни.
(2) Минималното съдържание на правилата
по ал. 1 включва:
1. подробно описание на регистрите;
2. мерки за гарантиране на нивото на сигур-
ност: оторизиран достъп на служители само до
данни и ресурси, необходими за изпълнение на
техните задължения; заключване на помеще-
нията; заключване на шкаф/каса за съхранение
на регистъра;
3. права и задължения на служителите;
4. процедури за докладване, управляване и
реагиране при инциденти.
Чл. 14. Администраторът актуализира пра-
вилата по чл. 13, ал. 1 при промяна в регистри-
те или в техния начин на организация.
Чл. 15. Процедурата за докладване и управле-
ние на инциденти по чл. 13, ал. 1, т. 4 задължи-
телно включва регистриране на инцидента, вре-
мето на установяването му, лицето, което го док-
ладва, лицето, на което е бил докладван, послед-
ствията от него и мерките за отстраняването му.
Чл. 16. (1) Служителите на администратора
имат оторизиран достъп само до тези регистри,
които са необходими за изпълняване на техни-
те задължения.
(2) Администраторът създава механизми за
предотвратяване на достъп до регистрите на
служители, различни от оторизираните.
(3) Предоставянето, промяната или прекратя-
ването на оторизиран достъп до регистри в съот-
ветствие с критериите, приети от администрато-
ра, се извършва единствено от оторизираните
съгласно правилата по чл. 13, ал. 1 служители.
Чл. 17. (1) Информацията, която се съдържа
в регистрите, трябва да бъде идентифицирана,
инвентаризирана и съхранявана на място с ог-
раничен достъп само за определени от адми-
нистратора служители.
(2) Унищожаването на регистрите от тези
помещения се извършва само от администра-
тора или изрично упълномощено от него лице.
(3) Временните регистри трябва да отгова-
рят на съответното ниво за сигурност и се уни-
щожават веднага след отпадане на целите, за
които са били създадени.
Чл. 18. (1) Администраторът носи отговор-
ност за законосъобразното прилагане на про-
цедурите за създаване на архивни копия и за
възстановяване на данни.
(2) Приетите процедури за създаване на ар-
хивни копия и за възстановяване на данни
трябва да гарантират, че данните могат да
бъдат реконструирани в състоянието, в което
са били по време на изгубването или унищо-
жаването им.
Чл. 19. (1) При обработване в регистър с
лични данни по смисъла на чл. 5, ал. 2 във връз-
ка с ал. 1 от закона се предприемат допълни-
телни мерки за регистриране на всеки достъп
до лични данни/регистри (журнален запис),
който да се съхранява най-малко две години.
(2) При обработване в регистър с лични дан-
ни по ал. 1 се прилагат и мерките по чл. 13, 14,
15, 16, 17 и 18.
Г л а в а  п е т а
МЕРКИ ПРИ СРЕДНО НИВО НА ЗАЩИТА
Чл. 20. Средното ниво на защита на личните
данни включва осигуряване на мерките, пред-
видени в чл. 13, 14, 15, 16, 17 и 18. При изготвяне
на правилата за това ниво следва да се предви-
дят следните допълнителни мерки за защита: