Държавен вестник, бр. 103, 2022 г., стр. 20

СТР.  20	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  103
която се подава информация от тях, както и 
от други лечебни заведения със стационар, за 
събития по хоспитализация и дехоспитализа-
ция, извършени дейности и разходи за лечение 
по видове, изисквана съгласно нормативен акт.
Раздел VII
Защита на личните данни 
Чл. 31. (1) Личните данни на физическите 
лица в системата, включително здравните им 
данни, се обработват чрез НЗИС единствено за 
целите на НЗИС съгласно посоченото в тази 
наредба при условията на Общия регламент 
относно защитата на данните и на Закона 
за защита на личните данни и актовете по 
прилагането му и при спазване на реда и 
условията на тази наредба.
(2) Администратор на личните данни в сис-
темата е Министерството на здравеопазването.
(3) Лечебните и здравните заведения, кои­
то въвеждат, достъпват или по друг начин 
обработват лични данни в НЗИС, са само­
стоятелни администратори на лични данни. 
Администратори на лични данни са и орга-
ните, които водят регистри, информационни 
бази от данни и системи, включени в НЗИС. 
(4) Администраторите могат да извършват 
обработването на личните данни чрез систе-
мата и чрез възлагането му на обработващ 
личните данни от името на администратора. 
(5) Обменът и предоставянето на личните 
данни чрез системата се извършва по отно-
шение на получатели на данните съобразно 
тази наредба. 
(6) При събирането и съхраняването на 
данни в НЗИС се съобразява и политика за 
поверителност при обработване на лични дан-
ни чрез НЗИС, която се одобрява и публикува 
по реда на чл. 12 и е съобразена с политиката 
за поверителност при обработване на лични 
данни на Министерството на здравеопазването. 
Чл. 32. (1) Извън случаите по чл. 16, ал. 3 
и 4 гражданите могат да упражнят правата 
си по Общия регламент относно защитата на 
данните със заявление до администратора, 
въвел данните, съответно до Министерството 
на здравеопазването. Заявлението се разглеж-
да от администратора, до който е подадено. 
(2) Изтриване на здравни данни и записи 
в НЗИС е допустимо само ако се установи, 
че същите са събрани и обработвани незако-
носъобразно или не са повече необходими за 
целите, за които са събрани и обработвани. 
(3) Администраторите предоставят на граж-
даните по ясен и прозрачен начин с всички 
допустими средства необходимата информация 
по чл. 12 – 15 от Общия регламент относно 
защитата на данните и за възможностите за 
последващо упражняване на техните права 
във връзка с данните.
(4) Заявленията на гражданите за упраж-
няване на права по Общия регламент относно 
защитата на данните са писмени, като могат 
да се подават и по електронен път, а при тех-
ническа възможност на администратора – и 
чрез действия в потребителския интерфейс, 
съгласно чл. 37б от Закона за защита на 
личните данни. 
Раздел VIII
Киберсигурност
Чл. 33. (1) Административните органи, 
генериращи и достъпващи данни в НЗИС, и 
лечебните и здравните заведения, извършващи 
дейности по тази наредба, които са определе-
ни за оператори на съществени услуги и са 
вписани в регистъра по чл. 6, ал. 1 от Закона 
за киберсигурност, прилагат минималните и 
препоръчителни мерки за мрежова и информа-
ционна сигурност по Закона за киберсигурност 
и Наредбата за минималните изисквания за 
мрежова и информационна сигурност, приета 
с Постановление № 186 от 2019 г. (ДВ, бр. 59 
от 2019 г.), и включват във вътрешните си 
правила относно дейностите във връзка с 
НЗИС изискванията по чл. 34 – 40.
(2) В случаите извън ал. 1 административ-
ните органи и лицата прилагат изискванията 
по чл. 34 – 40 по отношение на информаци-
онните и мрежовите си системи, чрез които 
генерират и достъпват данни в НЗИС.
Чл. 34. Всички потребители на системата 
с право на достъп за служебни цели, опери-
ращи със свои информационни системи и 
бази данни, са длъжни да поддържат нивата 
на сигурност по стандартите, приложими за 
административните органи.
Чл. 35. (1) Лицата, които работят със сис-
темата или под чието ръководство се работи 
със системата, следва да притежават необ-
ходимите професионални качества за това, 
определени в длъжностни характеристики, 
заповеди или други вътрешни документи на 
органа/лицето по назначаване, и са обвързани 
със задължението за професионална тайна. 
(2) Лицата и органите по чл. 13, ал. 1 и 
чл. 18 нямат право да достъпват и да използ-
ват здравна информация за гражданите от 
електронните здравни записи и от регистрите, 
информационните бази от данни и системи, 
включени в НЗИС, за цели извън посоченото 
в тази наредба. 
Чл. 36. (1) Сигурността на системата се обез-­
печава и чрез:
1. ограниченията на достъпа до нея и не-
говото времетраене;
2. подходящи софтуерни и хардуерни ре-
шения относно системната архитектура и 
конфигурацията на компонентите;
3. високи нива на осигуреност на прила-
ганите схеми за електронна идентификация;
4. разработването и прилагането на собст-
вен стандарт за сигурност на НЗИС;
5. други подходящи мерки съобразно ак-
туалното ниво на технологиите.
(2) Достъп до базите данни е разрешен 
само на обслужващите ги модули.