Защита на лични данни

Вътрешни правила за мерките за защита на личните данни

ВЪТРЕШНИ ПРАВИЛА ЗА МЕРКИТЕ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ В ОБЩИНА МОМЧИЛГРАД

2026 ГОДИНА

РАЗДЕЛ ПЪРВИ ОБЩИ ПОЛОЖЕНИЯ

Чл.1. (1) Настоящите правила определят условията и реда за водене на регистри на лични данни, минималното ниво на технически и организационни мерки за тяхната защита, както и упражняването на контрол при обработването на лични данни в общинска администрация Момчилград.

(2) Вътрешните правила имат за цел да гарантирт адекватно ниво на защита на личните данни в поддържаните регистри от общинска администрация Момчилград, като ги защити от случайно или незаконно унищожаване или от случайна загуба, от неправомерен и необоснован достъп, изменение или разпространение, както и от други незаконни форми на обработване.

 Чл. 2. (1) Вътрешните правила се приемат с цел да регламентират:

1.Механизмите за водене, поддържане и защита на регистрите, съхраняващи лични данни в общинска администрация Момчилград с цел гарантиране на неприкосновеността на личността и личния живот, чрез осигуряване на защита на данните за физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

2. Видовете регистри, които се водят в Общинска администрация – Момчилград и тяхното описание.

3. Правата и задълженията на длъжностните лица, обработващи лични данни и/или лицата, които имат достъп до лични данни и работят под ръководството на обработващите лични данни, тяхната отговорност при неизпълнение на тези задължения.

4. Необходимите технически и организационни мерки за защита на личните данни, съдържащи се в регистрите от неправомерно обработване (случайно или незаконно разрушаване, случайна загуба или промяна, незаконно разкриване или достъп, нерегламентирано изменение или разпространение, както и от всички други незаконни форми на обработване на лични данни).

5. Процедури за докладване, управляване и реагиране при инциденти.

6. Предоставяне на лични данни на трети лица.

7. Съхраняване и унищожавене на лични данни.

(2) Вътрешните правила се утвърждават, допълват, изменят и отменят от Кмета на Община Момчилград.

Чл.3. (1) Лични данни са всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци.

(2) Личните данни се събират за конкретни, точно определени и законни цели, обработват се законосъобразно и добросъвестно и не могат да се обработват допълнително по начин, несъвместим с тези цели.

(3) Личните данни се подържат във вид, който позволява идентифициране на съответните физически лица за период не по-дълъг от необходимия за целите, за които тези данни се обработват. Личните данни, които ще се съхраняват за по-дълъг период за исторически, статистически или научни цели, се поддържат във вид, непозволяващ идентифицирането на физическите лица.

РАЗДЕЛ ВТОРИ ОБРАБОТВАНЕ НА ЛИЧНИ ДАННИ

Чл.4. (1) Обработване на личните данни обхваща широк спектър от операции, извършвани с лични данни, включително с ръчни или автоматични средства. Това включва събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване на личните данни.

(2) Обработване на личните данни се състои и в осигуряване на достъпа до определена информация само за лица, чиито служебни задължения или конкретно възложена задача налагат такъв достъп.

Чл.5. (1) Администраторът възлага обработването на личните данни на негови служители /обработващи/. Обработването се възлага на повече от един обработващ данните, съобразно спецификата на изпълняваните от тях служебни функции и с цел разграничаване на конкретните им задължения.

(2) Обработващите лични данни, действат само по указание на администратора, освен ако в закон не е предвидено друго.

Чл.6. (1) Личните данни в регистрите се набират от администратора на лични данни респективно - обработващият лични данни в изпълнение на нормативно задължение – разпоредбите на закони, подзаконови нормативни актове, кодекси и други чрез:

1. устно интервю с лицето;

2. хартиен носител и/или електронен носител - писмени документи – съобщения, преписи от актове, молби, заявления, лични документи по текущи въпроси в процеса на работа, подадени от лицето или предоставени по служебен път;

3. външни източници (от други администрации, от съдебни, финансови, осигурителни, данъчни и др. институции в изпълнение на нормативни изисквания).

4. технически средства за видеонаблюдение.

(2) За необходимостта от набиране на лични данни и целите, за които ще бъдат използвани, обработващият лични данни информира лицето.

(3) След одобрение на документите, съдържащи лични данни от ресорния ръководител, същите заедно с приложенията към тях се обработват в регистрите от обработващия лични данни и се съхраняват на хартиен и/или магнито-оптичен носител.

(4) Набраните данни на технически носител остават в отделни файлове, като достъп до тях има само обработващият лични данни.

(5) Съхраняването на лични данни на хартиен носител се осъществява като данните се съхраняват в папки. Хартиеният носител се представя за проверка законосъобразността на изготвения документ и валидирането му чрез подписи на съответните длъжностни лица - кмет, заместник кмет, секретар, директор на дирекция, началник отдел, юрисконсулт и др.

РАЗДЕЛ ТРЕТИ ВИДОВЕ РЕГИСТРИ, КОИТО СЕ ВОДЯТ В ОБЩИНСКА АДМИНИСТРАЦИЯ – МОМЧИЛГРАД

Чл.7. (1) Регистрите, в които се събират и съхраняват данни в общинска администрация Момчилград са за:

1. Физическите лица в Република България.

2. Служителите на трудово и служебно правоотношение в общинска администрация Момчилград.

(2) Категориите лични данни в регистрите, които се отнасят до физическите лица могат да бъдат:

1. Физическа идентичност – име, ЕГН, номер на лична карта, дата и място на издаване, адрес, месторождение, телефони за връзка и други.

2. Семейната идентичност – семейно положение (наличие на брак, развод, брой членове на семейството, в т.ч. деца до 18 години), родствени връзки и др.

3. Образование – вид на образованието, място, номер и дата на издаване на дипломата, допълнителна квалификация. Предоставят се от лицата на основание нормативно задължение във всички случаи, когато е необходимо.

4. Допълнителна квалификация – данните се предоставят от лицата на основание нормативно задължение във всички случаи, когато е необходимо.

5. Трудова дейност - професионална биография – данните се предоставят от лицата на основание нормативно задължение във всички случаи, когато е необходимо.

6. Медицински данни – физиологично, психическо и психологично състояние на лицата. Данните са от значение при сключване на граждански брак и при заемане на длъжности и изпълнение на функции, изискващи особено висока степен на отговорност, пряка ангажираност и непосредствен досег с хора, в това число от рискови групи.

7. Икономическа идентичност – имотно състояние, финансово състояние, участие и/или притежаване на дялове или ценни книжа в дружества и др.

8. Други – лични данни относно гражданско-правния статус на лицата, необходими за длъжностите, свързани с материална отговорност. Предоставят се на основание нормативно задължение.

Чл.8 Информация съдържаща се в регистрите: описание на всеки регистър, категории лични данни, основание за обработване, срока за съхраняване, длъжностните лица, които работят с данните в регистрите (описани са в Приложение №1).

РАЗДЕЛ ЧЕТВЪРТИ ПРАВА И ЗАДЪЛЖЕНИЯ НА СЛУЖИТЕЛИТЕ, ОБРАБОТВАЩИ ЛИЧНИ ДАННИ

 

            Чл.9. (1) Служителите от общинска администрация Момчилград са длъжни да спазват и изпълняват тези правила, в съответствие с длъжностните им характеристики.

            (2) Обработващият лични данни се задължава да осигури ограничаване на достъпа до помещенията, в които се съхраняват данните само за оторизираните служители.

(3) Обработващият лични данни се задължава да осигури достъп до електронните бази данни само по отношение на оторизираните служители (дефиниране на права на достъп до нивата, пароли за достъп до програмната среда, пароли за отваряне на файловете и др.).

(4) Обработващият лични данни се задължава да осигури подходяща защита на електронните данни чрез: поддържане на резервно копие, активиране на антивирусна защита и др.

Чл.10. (1) За обработване на регистри, съдържащи лични данни служителят подписва декларация, че е запознат със Закона за защита на личните данни, с настоящите Вътрешни парвила за мерките за защина на личните данни, както и за неразпространение на лични данни, станали им известни във връзка и по време на служебните им задължения. /Приложение № 2/.

(2) За неизпълнение на задълженията вменени на съответните длъжностни лица по тези Вътрешни правила и по Закона за защита на личните данни, се налагат дисциплинарни наказания по Кодекса на труда, Закона за държавния служител и други специализирани закони, а когато неизпълнението на съответното задължение е констатирано и установено от компетентен орган, предвиденото в Закона за защита на личните данни административно наказание - глоба. Ако в резултат действията на съответното длъжностно лице по обработване на лични данни са произтекли вреди за трето лице, същото може да потърси отговорност по реда на общото гражданско законодателство или по наказателен ред, ако стореното представлява по-тежко деяние, за което се предвижда наказателна отговорност.

РАЗДЕЛ ПЕТИ ТЕХНИЧЕСКИ И ОРГАНИЗАЦИОННИ МЕРКИ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

Чл.11 (1) Физическата защита на личните данни се осъществява при спазване на следните мерки:

1. Достъпът на външни лица в сградата на Община Момчилград ул. „Охрид“ №1 е ограничен с пропускателен режим. На входа на административната сграда има жива охрана и видеонаблюдение. Всеки служител има персонална магнитна карта за достъп.

2. Извън работното време на Община Коситброд, сградата се заключва. Осигурено е 24 часово дежурство.

3. Личните данни се обработват в Център за информационно обслужване на гражданите и в кабинетите на служителите.

4. Работните места в Центъра за информационно обслужване на гражданите са организирани по подходящ начин за временното съхраняване на документи на хартиен носител, съдържащи лични данни, скрити от потребителите на услуги.

5. Всички документи на хартиен носител, съдържащи лични данни, се съхраняват в кабинетите на служителите, които са упълномощени да работят с тях.

6. Помещенията, в които се обработват лични данни са оборудвани с заключване на вратите.

7. Външни лица имат достъп до помещенията, в които се обработват лични данни, само в присъствието на упълномощени служители.

(2) Персоналната защита на личните данни се осъществява при спазване на следните мерки:

1. Лицата, обработващи лични данни, се запознават с Регламент (ЕС) 2016/679, ЗЗЛД, настоящите Вътрешни правила, Номенклатурата на делата за срокове за съхраняване в общинска администрация Момчилград.

2. Лицата, обработващи лични данни, подписват декларация Приложение№2 за неразпространение на лични данни, станали им известни във връзка и по време на служебните им задължения. Екземпляр от декларацията се съхранява в досието на всеки служител.

3. Споделяне на критична информация между служителите (като идентификатори, пароли за достъп и т.н.) е забранено.

4. Служителите, на които е възложено да подписват служебна кореспонденция с универсален електронен подпис /УЕП/, нямат право да предоставят издадения им УЕП на трети лица.

(3) Документалната защита на обработваните лични данни се осъществява при спазване на следните мерки:

1. Лични данни в общинска администрация Момчилград постъпват основно на хартиен носител (заявления, искания и други, в едно с изискуемите нормативно документи), а отделни дейности по обработване на данните налагат поддържане на данни в електронен вид.

2. Обработването на личните данни се извършва в рамките на работното време на общината.

3. Достъп до регистрите на съответното структорно звено имат само упълномощените служители.

4. Личните данни се събират само с конкретна цел, в съответствие с нормативните изисквания към общинска администрация Момчилград.

5. Всеки ръководител на структурно звено е отговорен за контрола на достъпа до регистрите, които се поддържат в звеното.

6. Архивирането на документи се извършва при спазване на Вътрешните правила за дейността на учрежденския архив, които са съгласувани с Държавен архив – София. Ръководителите на структурни звена отговарят за предаването на документите за съхраняване в учрежденския архив с приемо-предавателен протокол по образец, подписан от архиваря на общината.

7. Личните данни могат да бъдат размножавани и разпространявани от упълномощените служители само ако е необходимо за изпълнение на служебни задължения или ако са изискани по надлежния ред от държавни органи или упълномощени лица.

8. Временните документи от регистъра, които са на хартиен носител и съдържат лични данни, се унищожават само чрез специално устройство (шредер).

(4) Защитата на автоматизирани информационни системи и мрежи се осъществява при спазване на следните мерки:

1. При работа с данните от регистрите се използват съответните софтуерни продукти за обработване. Данните се въвеждат в база данни и се съхраняват на сървър. Всеки упълномощен служител има личен профил (потребителско име и парола), с определени съобразно задълженията му права и нива на достъп. Дефинирани са и уникални потребителски имена и пароли за стартиране на операционната система на всеки един компютър.

2. Администраторът създава и поддържа стандартни и сигурни конфигурации за всяка компютърна и мрежова платформа, с която оперира, което включва стандартни и базови конфигурации за защита на операционната система, защитни стени, рутери и мрежови устройства. За защита на данните е инсталирана антивирусна програма и се извършва периодична профилактика на софтуера и системните файлове.

3. Ръководителят на структурното звено е отговорен за управлението на регистрите в съответното звено.

4. За всички компютърни конфигурации, сървъри и комуникационни средства, от които зависи правилното поддържане на базите данни, са осигурени непрекъсваеми токозахранващи устройства (UPS).

5. Помещенията, в които са разположени компютърни и комуникационни средства се заключват.

6. Сърварното помещение е с денонощно видеонаблюдение на входа.

7. Организационни мерки за гарантиране нивото на сигурност:

• Забранено е използването на преносими лични носители на данни.
• Работните компютърни конфигурации, както и цялата IT инфраструктура, включително и достъпът до интернет, се използват единствено за служебни цели.
• При ремонт на компютърна техника, на която се съхраняват лични данни, предоставянето й на сервизната организация се извършва без устройствата, на които се съхраняват лични данни.

РАЗДЕЛ ШЕСТИ ПРОЦЕДУРИ ЗА ДОКЛАДВАНЕ,УПРАВЛЯВАНЕ И РЕАГИРАНЕ ПРИ ИНЦИДЕНТИ

Чл.12. (1) При възникване и установяване на инцидент, веднага се докладва на длъжностното лице за защитата на личните данни.

(2) В случай на нарушение на сигурността на личните данни администраторът, без ненужно забавяне и когато това е осъществимо — не по-късно от 72 часа след като е разбрал за него, уведомява за нарушението на сигурността на личните данни КЗЛД.

(3) Обработващият лични данни уведомява администратора без ненужно забавяне, след като узнае за нарушаване на сигурността на лични данни.

(4) В уведомлението, посочено в точка 2 на чл.12, се съдържа най-малко следното:

• описание на естеството на нарушението на сигурността на личните данни, включително, ако е възможно, категориите и приблизителният брой на засегнатите субекти на данни и категориите и приблизителното количество на засегнатите записи на лични данни;
• посочване на името и координатите за връзка на длъжностното лице по защита на данните или на друга точка за контакт, от която може да се получи повече информация;
• описание на евентуалните последици от нарушението на сигурността на личните данни;
• описание на предприетите или предложените от администратора мерки за справяне с нарушението на сигурността на личните данни, включително по целесъобразност мерки за намаляване на евентуалните неблагоприятни последици.

(5) Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне.

(6) Администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението на сигурността на личните данн.Тази документация дава възможност на надзорния орган да провери дали е спазен настоящият член.

(7) За инцидентите се води дневник, в който задължително се вписват предполагаемото време или период на възникване, времето на установяване, времето на докладване и името на служителя, извършил доклада. След анализ на инцидента, упълномощено лице вписва в дневника последствията от инцидента и мерките, които са предприети за отстраняването им.

РАЗДЕЛ СЕДМИ ПРЕДОСТАВЯНЕ НА ЛИЧНИ ДАННИ НА ТРЕТИ ЛИЦА

Чл.13. (1) Данни от регистрите могат да бъдат предоставяни на държавни институции с оглед изпълнение на нормативно задължение (НОИ, НАП, МВР и т.н.).

(2) В качеството си на работодател, общинска администрация Момчилград предоставя лични данни и на определени кредитни институции (банки) във връзка с изплащането на дължимите възнаграждения на служители и изпълнители по граждански договори. Личните данни, които се предоставят, са три имена, единен граждански номер и др. и се предоставят с цел идентификация на лицето, в чиято полза се извършва плащането. Това се налага, с оглед изискванията на кредитните институции във връзка с извършваните от тях банкови преводи.

(3) Във връзка с използването на пощенски и куриерски услуги- приемане, пренасяне и доставка и адресиране на пратките до физически лица деловодителите посочват следните данни: три имена, адрес, област, пощенски код и наименование на населеното място.

РАЗДЕЛ ОСМИ СЪХРАНЯВАНЕ И УНИЩОЖАВАНЕ НА ЛИЧНИ ДАННИ

Чл.14. Лични данни на физическите и юридическите лица, получени за целите, за които се обработват, се съхраняват съгласно сроковете приети с Номенклатурата на делата със сроковете за тяхното съхранение на общинска администрация.

Чл.15. (1) След постигане целите по предходния член личните данни на физическите и юридическите лица се унищожават посредством няколко начина, определени в зависимост от наличните към момента на унищожението технически възможности за общинска администрация Момчилград Община, а именно: чрез разрязване с помощта на машина – шредер или чрез изгаряне, или разрушаване (отваряне) на корпуса на носителя на данни.

(2) Унищожаването на документи от архивните фондове на общината става само след разрешение на ТД”Архиви” и при спазване на Закона за защита на личните данни.

(3) Унищожаване се осъществява от служители, упълномощени с изричен писмен акт на Кмета на общината и след уведомяване на Длъжностното лице по защита на данните.

(4) За извършеното унищожаване на лични данни и носители на лични данни се съставя Протокол, съгласно образец, представляващ Приложение № 3.

(5) В случай на прехвърляне на данните на друг администратор е необходимо да се уведоми КЗЛД, ако прехвърлянето е предвидено в закон и е налице идентичност на целите на обработването и се съставят съответно приемо-предавателни протоколи.

ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ

Параграф единствен. Вътрешните правила са изготвени в съответствие с изискванията на Регламент (ЕС) 2016/679 на Европейския Парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните).