Държавен вестник, бр. 25, 2007 г., стр. 72

С Т Р .  72
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  25
НАРЕДБА № 1
от 7 февруари 2007 г.
за минималното ниво на технически и органи-
зационни мерки и допустимия вид защита на
личните данни
Г л а в а  п ъ р в а
ОБЩИ УСЛОВИЯ
Чл. 1. (1) С тази наредба се определя мини-
малното ниво на технически и организационни
мерки при обработване на лични данни и до-
пустимия вид защита.
(2) Мерките по ал. 1 включват следните сред-
ства за защита на личните данни:
1. програмно-апаратни;
2. физически;
3. организационни;
4. нормативни.
Чл. 2. Наредбата има за цел да осигури адек-
ватно ниво на защита на личните данни в под-
държаните регистри с лични данни чрез осигу-
ряване на минимално необходимите техничес-
ки и организационни средства и мерки.
Г л а в а  в т о р а
ЛИЦА, ОСЪЩЕСТВЯВАЩИ ПРИЛАГАНЕ-
ТО И КОНТРОЛА ЗА ИЗПЪЛНЕНИЕ НА НА-
РЕДБАТА
Чл. 3. (1) Прилагането на необходимите тех-
нически и организационни мерки за защита на
личните данни се осъществява от администра-
тора на лични данни или от лице по защита на
личните данни.
(2) Администраторът може да назначи едно
или повече лица по защитата на личните данни,
които отговарят за координиране и прилагане
на мерките по ал. 1.
(3) Лицата, мерките и средствата за защита
на лични данни се определят с вътрешни прави-
ла (инструкция или заповед) на администрато-
ра на лични данни.
Чл. 4. Администраторът има следните пра-
ва и задължения:
1. определя политиката за защита на лични-
те данни в организацията;
2. осигурява организацията по водене на ре-
гистрите съгласно предвидените мерки за га-
рантиране на адекватна защита;
3. определя конкретните мерки за защита и
контрол на достъпа съобразно спецификата на
водените регистри;
4. утвърждава вътрешните правила за защи-
та на регистрите;
5. периодично информира персонала по въп-
росите на защитата на личните данни;
6. осъществява контрол по спазване на изис-
кванията за защита на регистрите;
7. поддържа връзка с Комисията за защита
на личните данни относно предприетите мерки
и средства за защита на регистрите и подадени-
те заявления за предоставяне на лични данни;
8. оказва съдействие при осъществяване на
контролните функции на комисията;
9. подпомага установяването на обстоятелс-
тва, свързани с нарушаване на защитата на ре-
гистрите;
10. определя правата на потребителите във
връзка с регистрите и програмно-техническите
ресурси за тяхната обработка.
Чл. 5. (1) Вътрешните правила по чл. 3, ал. 2
включват:
1. определяне на нива на чувствителност за
обработваните лични данни и препоръчителен
вид на носителя на данните за трайно съхраня-
ване (хартиен, електронен, технически);
2. определяне на лицата, които отговарят за
обработката на лични данни, техните права и
задължения;
3. списък от задължителни и препоръчител-
ни мерки за осигуряване на необходимото ниво
на защита на личните данни съобразено вида и
чувствителността на данните;
4. спецификация на техническите ресурси,
прилагани за обработка на личните данни;
5. организационна процедура за обработва-
не на личните данни, включваща време, място
и ред при обработване, като чрез регистрация
на всички извършени действия с регистрите в
компютърната среда е препоръчително да се
създава системен файл-дневник, достъпен само
за системния администратор и лицето по защи-
та на личните данни;
6. мероприятия за защита на техническите и
информационните ресурси при аварии, произ-
шествия и бедствия (пожар, наводнение и др.);
7. средства за предотвратяване на умишлено
повреждане или нерегламентиран достъп до
личните данни;
8. ред за съхраняване и унищожаване на ин-
формационни носители;
9. ред при задаване, използване и промяна
на пароли, както и действията в случай на узна-
ване на парола и/или криптографски ключ;
10. правила за провеждане на редовна профи-
лактика на компютърните и комуникационните
средства, включваща и проверка за вируси, за
нелегално инсталиран софтуер, на целостта на
базата данни, както и архивиране на данни, ак-
туализиране на системната информация и др.
(2) Администраторът провежда периодичен
контрол за спазване на изискванията по защи-
та на данните и при открити нередности взема
мерки за тяхното отстраняване.
Чл. 6. Администраторът осигурява контро-
лиран достъп на служителите при обработване
на лични данни във връзка със:
1. техническите и програмно-информацион-
ните ресурси, използвани при обработката и
защитата на личните данни;
2. информационните носители и извършва-
ните действия по тяхното регистриране, пре-
местване, подреждане, копиране, преобразува-
не и друг вид обработка;