Държавен вестник, бр. 25, 2007 г., стр. 74

С Т Р .  74
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  25
1. възможност за установяване самоличност-
та на лицето, отговорно за сигурността;
2. включване на процедури за създаване на
архивни копия и възстановяване на данни;
3. периодични проверки, които следва да се
извършват, за да се наблюдава спазването на
правилата и мерките, които трябва да се пред-
приемат за отстраняване на нарушенията.
Чл. 21. Във връзка с периодичния контрол
по чл. 20, т. 3 администраторът е длъжен да
представи резултатите при поискване от Коми-
сията за защита на личните данни.
Чл. 22. (1) Администраторът създава меха-
низми, позволяващи недвусмислено, персона-
лизирано идентифициране на всеки служител,
който се опитва да стартира и да получи достъп
до информационната система и да установи дали
всеки един служител е оторизиран.
(2) Администраторът задължително поста-
вя ограничения на обхвата за повторни опити
за получаване на неоторизиран достъп до ин-
формационната система.
Чл. 23. Само надлежно оторизираните слу-
жители съгласно правилата по чл. 13 могат да
имат достъп до помещенията, където се нами-
рат информационни системи с лични данни.
Чл. 24. Администраторът създава система за
регистриране на достъпа до регистрите, полу-
чавани и/или предавани на технически носител
или по електронен път в локалната мрежа, ко-
ято позволява прякото или косвеното иденти-
фициране на вида данни, датата и времето, из-
пращащия, как са обработени получените/из-
пратените данни, както и получателя, който
трябва да е надлежно оторизирано лице.
Чл. 25. Временните файлове трябва да отго-
варят на съответното ниво за сигурност и се
унищожават веднага, след като се изпълнят це-
лите, за които са били създадени.
Чл. 26. (1) В регистъра по чл. 24 се отразя-
ват извършените процедури за възстановяване
на данни, като се посочват лицето, заето с про-
цеса, възстановените данни и кои от тях са въз-
становени ръчно.
(2) При всякакви процедури за възстановя-
ване на данни е необходимо писмено възлагане
от страна на администратора.
Чл. 27. Архивното копие и процедурите за
възстановяване на данни се съхраняват на раз-
лично местоположение от мястото на компю-
търното оборудване, обработващо данните, и
във всички случаи се предприемат мерките за
сигурност, изисквани в наредбата.
Чл. 28. (1) При обработване на регистър с
лични данни по смисъла на чл. 5, ал. 2 във връз-
ка с ал. 1 от закона се предприемат допълни-
телни мерки за носителите, съдържащи лични
данни, като тези носители могат да се разпрос-
траняват само ако данните са криптирани или
е използван друг механизъм, гарантиращ, че
данните не могат да се четат или променят при
пренасянето им.
(2) При обработване на регистър с лични
данни по ал. 1 се прилагат и мерките по чл. 19,
20, 21, 22, 23, 24, 25, 26 и 27.
Г л а в а  ш е с т а
МЕРКИ ПРИ ВИСОКО НИВО НА ЗАЩИТА
Чл. 29. Високо ниво на защита на личните
данни включва осигуряване на мерките, пред-
видени в чл. 20, 21, 22, 23, 24, 25, 26 и 27.
Чл. 30. (1) Задължителната информация, ко-
ято следва да бъде регистрирана при високо ниво
на защита, е: идентичност на служителя; дата на
достъп; регистърът, за който е получен достъп;
вид на достъпа и кога достъпът е бил отказан.
(2) Извън информацията по ал. 1 админист-
раторът регистрира и информация, която поз-
волява да се идентифицира записът, до който е
имал достъп служителят.
(3) Информацията по ал. 1 и 2 се съхранява
за период най-малко две години.
(4) Правилата за регистриране на данните по
предходните алинеи се определят от админист-
ратора, който лично или чрез лично назначено
от него лице осъществява контрол за спазването
им и за недопускане на деактивирането им.
(5) Администраторът отговаря за извърш-
ване на редовни проверки на записаната инфор-
мация по контрола и изготвя отчет за тях, уста-
новени най-малко веднъж месечно.
Чл. 31. (1) При обработване на лични данни
по смисъла на чл. 5, ал. 2 във връзка с ал. 1 от
закона се предприемат допълнителни мерки,
свързани с разпространението им по телеко-
муникационни мрежи, под формата на крип-
тиране или използване на друг механизъм, га-
рантиращ, че данните са нечетливи или не са
променени.
(2) При обработване на лични данни по ал. 1
се прилагат и мерките по чл. 28, 29 и 30.
ДОПЪЛНИТЕЛНА РАЗПОРЕДБА
§ 1. По смисъла на тази наредба:
1. “Лице по защита на личните данни” е фи-
зическо или юридическо лице, притежаващо
необходимата компетентност, което е упълно-
мощено или назначено от администратора със
съответен писмен акт, в който са уредени пра-
вата и задълженията му във връзка с осигурява-
не на минимално необходимите технически и
организационни мерки за защита на личните
данни при тяхното обработване.
2. “Ниво на защита” е степен на организация
на обработката на личните данни в зависимост
от рисковете и вида им.
3. “Потребител” е всяко едно лице, оторизи-
рано от администратора, с достъп до регистър.
4. “Достъп до лични данни” е предоставена-
та възможност на потребителя да използва ре-
гистрите.
5. “Инцидент” е непредвидимо обстоятелст-
во, което би могло да засегне сигурността на
данните.