ДОКЛАДЧИК ПЛАМЕН НУНЕВ4305 думи
„Раздел III
Администратор на лични данни и обработващ лични данни
Чл. 59. (1) Администраторът на лични данни, като отчита естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този закон. При необходимост тези мерки се преразглеждат и актуализират.
(2) Когато това е пропорционално на дейностите по обработване, мерките по ал. 1 включват прилагане от администратора на подходящи политики за защита на данните.
(3) Чрез мерки по ал. 1 администраторът осигурява защита на личните данни на етапа на проектирането, като отчита достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването на лични данни, както и рисковете за правата и свободите на физическите лица при обработването. Мерките трябва да са съобразени с изискванията на чл. 45, планират се към момента на определяне на средствата за обработването на лични данни и се прилагат при самото обработване. Мерките може да включват псевдонимизация, свеждане на данните до минимум и въвеждане на необходими гаранции в процеса на обработване на лични данни.
(4) Чрез мерки по ал. 1 администраторът гарантира, че по подразбиране се обработват само лични данни, които са необходими за всяка конкретна цел на обработването. Това задължение се отнася до обема на събраните лични данни, степента на обработването, срока на съхраняването им и тяхната достъпност. Чрез тези мерки се гарантира, че по подразбиране без намеса от страна на физическото лице личните данни не са достъпни за неограничен брой физически лица.
Чл. 60. (1) Когато двама или повече администратори на лични данни съвместно определят целите и средствата на обработването, те са съвместни администратори.
(2) Съвместните администратори по ал. 1 определят по прозрачен начин правата и задълженията си по тази глава, по специално тези, свързани с упражняването на правата на субекта на данни и с предоставянето на информацията по реда на чл. 54 чрез съвместни правила, освен когато правата и задълженията им са предвидени в правото на Европейския съюз или в законодателството на Република България. В правилата се определя звеното за контакт за субектите на данни, като съвместните администратори може да посочат кой от тях действа като единно звено за контакт.
(3) Независимо от определеното в правилата по ал. 1, субектът на данни може да упражнява правата си по тази глава спрямо всеки от администраторите по ал. 1.
Чл. 61. (1) Администратор на лични данни може да възложи обработване на лични данни от негово име само на обработващи лични данни, които предоставят достатъчни гаранции, че ще прилагат подходящи технически и организационни мерки по такъв начин, че обработването да отговаря на изискванията на тази глава и да се гарантира защитата на правата на субекта на данни.
(2) Обработващият лични данни не може да включва в обработването друг обработващ лични данни без предварителното конкретно или общо писмено разрешение на администратора по ал. 1. В случай на общо писмено разрешение обработващият лични данни информира администратора за всякакви планирани промени за включване или замяна на други обработващи лични данни, като администраторът може да възрази срещу тези промени.
(3) Обработването от страна на обработващия лични данни се урежда с договор или с друг правен акт съгласно правото на Европейския съюз или законодателството на Република България, който обвързва обработващия лични данни с администратора по ал. 1 и регламентира предмета и срока на обработването, естеството и целта на обработването, вида лични данни и категориите субекти на данни, задълженията и правата на администратора. Посоченият договор или друг правен акт предвижда по-специално, че обработващият лични данни:
1. действа единствено по указания на администратора;
2. гарантира, че лицата, оправомощени да обработват личните данни, са поели задължение за поверителност или са задължени по закон да спазват поверителност;
3. подпомага администратора с всички подходящи средства, за да се гарантира спазването на правата на субекта на данни;
4. по избор на администратора изтрива или връща на администратора всички лични данни след приключване на предоставянето на услуги по обработването на данни и изтрива съществуващите копия, освен ако правото на Европейския съюз или законодателството на Република България не изисква съхранение на личните данни;
5. предоставя на администратора цялата информация, необходима за доказване на спазването на този член;
6. спазва условията по т. 1 – 5 и по ал. 2 за включване на друг обработващ лични данни.
(4) Договорът или другият правен акт, посочен в ал. 3, се изготвя в писмена, включително в електронна форма.
(5) Когато обработващ лични данни определи в нарушение на правилата на тази глава целите и средствата на обработването, той се смята за администратор на лични данни по отношение на това обработване.
(6) Обработващият лични данни и всяко лице, действащо под негово ръководство или под ръководството на администратора по ал. 1, което има достъп до личните данни, обработва тези данни само по указание на администратора, освен когато условията и редът за обработването са предвидени в правото на Европейския съюз или в законодателството на Република България.
Чл. 62. (1) Администраторът на лични данни поддържа регистър с категориите дейности по обработване на лични данни, който съдържа:
1. наименованието и координатите за връзка на администратора, и когато е приложимо, на съвместните администратори и на длъжностното лице по защита на данните;
2. целите на обработването на лични данни;
3. категориите получатели, пред които са или ще бъдат разкрити личните данни, включително получателите в трети държави или международни организации;
4. описание на категориите субекти на данни и на категориите лични данни;
5. когато е приложимо, информация дали се извършва профилиране;
6. когато е приложимо, категориите предаване на лични данни на трета държава или международна организация;
7. правното основание за операцията по обработване, включително предаването на данни, за която са предназначени личните данни;
8. когато е възможно, предвидените срокове за изтриване на различните категории лични данни;
9. когато е възможно, общо описание на техническите и организационните мерки за сигурност по чл. 66.
(2) Обработващият лични данни поддържа регистър с категориите дейности по обработване, извършвани от името на администратор, който съдържа:
1. наименованието и координатите за връзка на обработващия или обработващите лични данни, на всеки администратор на лични данни, от чието име действа обработващият лични данни, и на длъжностното лице за защита на данните, когато е приложимо;
2. категориите обработване на лични данни, извършени от името на всеки администратор;
3. когато е приложимо, предаването на лични данни на трета държава или на международна организация, когато има изрични указания от администратора за това, включително наименованието на третата държава или на международната организация;
4. когато е възможно, общо описание на техническите и организационните мерки за сигурност по чл. 66.
(3) Регистрите по ал. 1 и 2 се поддържат в писмена форма, включително в електронен формат.
(4) При поискване администраторът и обработващият лични данни предоставят достъп до регистрите на комисията, съответно на инспектората.
Чл. 63. (1) В системите за автоматизирано обработване, поддържани от администратора и обработващия лични данни, се водят системни дневници (логове) най-малко за следните операции по обработване – събиране, промяна, справки, разкриване, включително предаване, комбиниране и изтриване.
(2) При извършване на справка или разкриване на данни дневниците по ал. 1 трябва да дават възможност за установяване на основанието, датата и часа на тези операции и доколкото е възможно – идентификацията на лицето, което е направило справката или е разкрило личните данни, както и данни, идентифициращи получателите на тези лични данни.
(3) Дневниците по ал. 1 се използват единствено за проверка на законосъобразността на обработването, за самоконтрол, за гарантиране на целостността и сигурността на личните данни и при наказателни производства.
(4) Администраторът на лични данни определя подходящи срокове за съхранение, включително архивиране на дневниците по ал. 1.
(5) При поискване администраторът и обработващият лични данни предоставят дневниците по ал. 1 на комисията, съответно на инспектората.
Чл. 64. (1) Когато има вероятност определен вид обработване, по-специално това, при което се използват нови технологии, и предвид естеството, обхвата, контекста и целите на обработването, да доведе до висок риск за правата и свободите на физическите лица, преди да бъде извършено обработването, администраторът на лични данни извършва оценка на въздействието на предвидените операции по обработването върху защитата на личните данни.
(2) Оценката по ал. 1 съдържа най-малко общо описание на предвидените операции по обработване, оценка на рисковете за правата и свободите на субектите на данните, мерките, предвидени за справяне с тези рискове, гаранции, мерки за сигурност и механизми за гарантиране на защитата на личните данни и за доказване на съответствие с правилата на тази глава, като се вземат предвид правата и законните интереси на субектите на данните и другите засегнати лица.
Чл. 65. (1) Администраторът или обработващият лични данни се консултира с комисията, съответно с инспектората преди обработването на лични данни, което ще е част от нов регистър с лични данни, който предстои да се създаде, когато:
1. съгласно оценката на въздействието по чл. 64 обработването ще породи висок риск въпреки предприетите от администратора мерки за ограничаване на риска, или
2. видът обработване, по-специално, когато се използват нови технологии, механизми или процедури, включва висока степен на риск за правата и свободите на субектите на данните.
(2) При изготвянето на проекти на закони и на подзаконови нормативни актове, съдържащи мерки относно обработването, се провеждат консултации с комисията, съответно с инспектората.
(3) Комисията приема и публикува списък на операциите по обработване, за които е задължителна предварителната консултация по ал. 1. Инспекторатът прилага съответно списъка по изречение първо.
(4) Администраторът предоставя на комисията, съответно на инспектората оценката на въздействието по чл. 64, и при поискване – всяка друга информация, която ще им позволи да извършат оценка на съответствието на обработването и по специално на рисковете за защитата на личните данни и на съответните гаранции за тази защита.
(5) Когато комисията, съответно инспекторатът прецени, че планираното обработване по ал. 1 би нарушило разпоредбите на тази глава, по-специално когато администраторът не е идентифицирал или ограничил риска в достатъчна степен, те предоставят в срок до 6 седмици след получаването на искането за консултация писмено становище на администратора и когато това е приложимо – на обработващия лични данни. Този срок може да се удължи с още един месец в зависимост от сложността на планираното обработване. В срок до един месец от получаването на искането за консултация комисията, съответно инспекторатът уведомява администратора и когато е приложимо – обработващия лични данни, за удължаването на срока, включително за причините за забавянето.
(6) Предоставянето на писмено становище по ал. 5 не засяга възможността на комисията, съответно на инспектората да упражни и правомощията си по чл. 80 спрямо администратора или обработващия лични данни.
Чл. 66. (1) Администраторът и обработващият лични данни, като отчитат достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването, както и рисковете за правата и свободите на физическите лица, прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, по-специално по отношение на обработването на категориите лични данни по чл. 51, ал. 1.
(2) По отношение на автоматизираното обработване администраторът или обработващият лични данни след оценка на рисковете прилага мерки, имащи за цел:
1. контрол върху достъпа до оборудване – да се откаже достъп на неоправомощени лица до оборудването, използвано за обработване на лични данни;
2. контрол върху носителите на данни – да се предотврати четенето, копирането, изменянето или отстраняването на носители на данни от неоправомощени лица;
3. контрол върху съхраняването – да се предотврати въвеждането на лични данни от неоправомощени лица, както и извършването на проверки, изменянето или изтриването на съхранявани лични данни от неоправомощени лица;
4. контрол върху потребителите – да се предотврати използването на автоматизирани системи за обработване от неоправомощени лица чрез използване на оборудване за предаване на данни;
5. контрол върху достъпа до данни – да се гарантира, че лицата, на които е разрешено да използват автоматизирана система за обработване, имат достъп само до личните данни, които са обхванати от тяхното разрешение за достъп;
6. контрол върху комуникацията – да се гарантира възможността за проверка и установяване на кои органи са били или могат да бъдат предадени лични данни, или кои органи имат достъп до лични данни чрез оборудване за предаване на данни;
7. контрол върху въвеждането на данни – да се гарантира възможността за последваща проверка и установяване на това какви лични данни са били въведени в автоматизираните системи за обработване, както и кога и от кого те са били въведени;
8. контрол върху пренасянето – да се предотврати четенето, копирането, изменянето или изтриването на лични данни от неоправомощени лица при предаването на лични данни или при пренасянето на носители на данни;
9. възстановяване – да се гарантира възможността за възстановяване на инсталираните системи в случай на отказ на функциите на системите;
10. надеждност – да се гарантира изпълнението на функциите на системата и докладването за появили се във функциите дефекти;
11. цялостност – да се гарантира недопускане на увреждане на съхраняваните лични данни вследствие на неправилно функциониране на системата.
Чл. 67. (1) В случай на нарушение на сигурността на личните данни, което има вероятност да доведе до риск за правата и свободите на субектите на данни, администраторът, без излишно забавяне, но не по-късно от 72 часа след като е разбрал за нарушението, уведомява комисията, съответно инспектората за него. Когато уведомлението е подадено след срока по изречение първо, в него се посочват причините за забавянето.
(2) Обработващият лични данни уведомява администратора без излишно забавяне, но не по-късно от 72 часа след като е установил нарушение на сигурността на лични данни.
(3) Уведомлението по ал. 1 съдържа най-малко:
1. описание на нарушението на сигурността на личните данни, включително, когато е възможно, категориите и приблизителния брой на засегнатите субекти на данни и категориите и приблизителния брой на засегнатите записи на лични данни;
2. името и координатите за връзка на длъжностното лице по защита на данните или на друго звено за контакт, от което може да се получи повече информация;
3. описание на евентуалните последици от нарушението на сигурността на личните данни;
4. описание на предприетите или предложените от администратора мерки за справяне с нарушението на сигурността на личните данни, включително по целесъобразност мерки за намаляване на евентуалните неблагоприятни последици.
(4) Когато не е възможно информацията да се подаде едновременно, тя може да се подаде поетапно без по-нататъшно ненужно забавяне.
(5) Администраторът документира всяко нарушение на сигурността на личните данни по ал. 1, като включва фактите, свързани с нарушението, последиците от него и предприетите действия за справяне с него.
(6) Когато нарушението на сигурността на личните данни засяга лични данни, които са изпратени от или на администратор от друга държава – членка на Европейския съюз, информацията по ал. 3 се съобщава на този администратор, без излишно забавяне, но не по-късно от 7 дни от установяването на нарушението.
Чл. 68. (1) Когато има вероятност нарушението на сигурността на личните данни по чл. 67, ал. 1 да доведе до висок риск за правата и свободите на субектите на данни, администраторът на лични данни уведомява и субекта на данните за нарушението не по-късно от 7 дни от установяването му.
(2) В уведомлението по ал. 1, на ясен и разбираем език, се посочва описание на нарушението и най-малко информацията и мерките по чл. 67, ал. 3, т. 2, 3 и 4.
(3) Субектът на данните не се уведомява за нарушение по ал. 1, ако е изпълнено някое от следните условия:
1. администраторът е предприел подходящи технически и организационни мерки за защита и тези мерки са били приложени по отношение на личните данни, засегнати от нарушението, по-специално мерки, които правят личните данни неразбираеми за всяко лице, което няма право на достъп до тях, като например криптиране;
2. администраторът е взел впоследствие мерки, които гарантират, че вече няма вероятност да се реализира високият риск за правата и свободите на субектите на данни;
3. уведомяването би довело до непропорционални усилия; в този случай се прави публично съобщение или се взема друга подобна мярка, така че субектите на данни да са в еднаква степен ефективно информирани.
(4) Когато администраторът не е уведомил субекта на данните за нарушението на сигурността на личните данни по ал. 1, комисията, съответно инспекторатът, след като отчете каква е вероятността нарушението да породи висок риск, може да изиска от администратора да уведоми субекта на данните.
(5) В случаите по чл. 54, ал. 3 администраторът може да не уведоми субекта на данните за нарушението по ал. 1, да го уведоми след срока по ал. 1, както и да ограничи информацията по ал. 2.
Чл. 69. (1) Администраторът на лични данни определя длъжностно лице по защита на данните въз oснова на неговите професионални качества и по-специално въз основа на експертните му познания по законодателството и практиките в областта на защитата на личните данни и способността му да изпълнява задачите по чл. 70.
(2) Едно длъжностно лице по защита на данните може да е определено съвместно за няколко администратори, като се отчитат организационната им структура и мащаб.
(3) Администраторът оповестява по подходящ начин координатите за връзка на длъжностното лице по защита на данните и уведомява комисията по реда на чл. 25б.
(4) Длъжностните лица по защита на данните, определени от органите на съдебната власт, не изпълняват задачите по чл. 70 при обработване на лични данни за целите по чл. 42, ал. 1 от съда, прокуратурата и следствените органи при изпълнение на функциите им на органи на съдебната власт.
Чл. 70. (1) Администраторът на лични данни гарантира, че длъжностното лице по защита на данните участва по подходящ начин и своевременно при разглеждането на всички въпроси, свързани със защитата на личните данни.
(2) Администраторът възлага на длъжностното лице по защита на данните най-малко следните задачи:
1. да информира и да съветва администратора и служителите, които извършват обработването, за задълженията им по този закон и съгласно други нормативни изисквания за защита на личните данни;
2. да наблюдава спазването на този закон и на други нормативни изисквания за защита на личните данни и на политиките на администратора по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните проверки;
3. при поискване да предоставя съвети по отношение на оценката на въздействието по чл. 64 и да наблюдава извършването й;
4. да си сътрудничи с комисията, съответно с инспектората;
5. да действа като звено за контакт с комисията, включително за целите на предварителната консултация по чл. 65, и при необходимост да се консултира с комисията, съответно с инспектората по въпросите, свързани с обработването на лични данни.
(3) Администраторът осигурява технически и организационно дейността на длъжностното лице по защита на данните, включително необходимите ресурси, достъп до личните данни и операциите по обработването, както и поддържането на неговите експертни знания.
Чл. 71. Компетентните органи определят подходящи процедури, които дават възможност на служителите им пряко и поверително да докладват на съответното административно звено в структурата на администратора или на комисията, съответно на инспектората за нарушения по тази глава.
Раздел IV
Предаване на лични данни на трети държави или
международни организации
Чл. 72. (1) Компетентен орган може да предава лични данни, които са в процес на обработване или са предназначени за обработване след предаването им на трета държава или на международна организация, включително за последващо предаване на друга трета държава или международна организация, при условие че предаването е в съответствие с този закон и е изпълнено всяко едно от следните условия:
1. предаването е необходимо за целите по чл. 42, ал. 1;
2. личните данни се предават на администратор в трета държава или на международна организация, които са органи, компетентни за целите по чл. 42, ал. 1;
3. когато се предават лични данни, получени от друга държава – членка на Европейския съюз, тази държава членка е дала своето предварително разрешение за предаването в съответствие с националното си право;
4. когато:
а) Европейската комисия е приела решение, че съответната трета държава, територия, или един или повече конкретни сектори в тази трета държава, или съответната международна организация осигуряват адекватно ниво на защита или
б) при отсъствие на решение по буква „а“ са предвидени или съществуват подходящи гаранции съгласно чл. 74 или
в) при отсъствието на решение по буква „а“ и подходящи гаранции по буква „б“ предаването на личните данни е необходимо в случаите по чл. 75;
5. при последващо предаване на лични данни на друга трета държава или международна организация компетентният орган, извършил първоначалното предаване, или друг компетентен орган в Република България разрешава последващото предаване на данни, след като надлежно е взел предвид всички значими фактори, включително тежестта на престъплението, целта на първоначалното предаване на личните данни и нивото на защита на личните данни в другата трета държава или международната организация, към която се извършва последващото предаване на лични данни.
(2) Предаването на лични данни без предварителното разрешение на другата държава – членка на Европейския съюз, съгласно ал. 1, т. 3 се разрешава, само ако предаването е необходимо за предотвратяването на непосредствена и сериозна заплаха за обществения ред и сигурност на държава – членка на Европейския съюз, или на трета държава или за основните интереси на държава – членка на Европейския съюз, и предварителното разрешение не може да се получи своевременно. В тези случаи незабавно се уведомява органът на държавата – членка на Европейския съюз, предоставила личните данни, който е компетентен да даде предварителното разрешение по ал. 1, т. 3.
Чл. 73. Когато Европейската комисия отмени, измени или спре действието на решение по чл. 72, ал. 1, т. 4, буква „а“, предаването на лични данни на съответната трета държава, на територията или на един или повече конкретни сектори в тази трета държава, или на съответната международна организация може да се осъществи при условията на чл. 74 и 75.
Чл. 74. (1) При липса на решение на Европейската комисия по чл. 72, ал. 1, т. 4, буква „а“ предаване на лични данни на трета държава или международна организация може да се осъществи, когато:
1. в законодателството на третата държава или в устава на международната организация, или във влязъл в сила международен договор, по който Република България е страна, или в друг правно обвързващ акт са предвидени подходящи гаранции във връзка със защитата на личните данни, или
2. администраторът е извършил оценка на обстоятелствата, свързани с предаването на лични данни и е преценил, че по отношение на защитата на личните данни съществуват подходящи гаранции.
(2) Администраторът документира предаването в случаите по ал. 1, т. 2, включително датата и часа на предаване, информацията относно получаващия компетентен орган, обосновка на предаването и предадените лични данни.
(3) Администраторът информира комисията, съответно инспектората за категориите предаване по ал. 1, т. 2 и при поискване им предоставя достъп до документацията по ал. 2.
Чл. 75. (1) При липса на решение на Европейската комисия по чл. 72, ал. 1, т. 4, буква „а“ или на подходящи гаранции съгласно чл. 74 предаване на лични данни на трета държава или международна организация може да се извърши само ако предаването е необходимо:
1. за да бъдат защитени жизненоважни интереси на субекта на данни или на друго лице;
2. за да бъдат защитени законни интереси на субекта на данни, когато законодателството на Република България предвижда това;
3. за предотвратяването на непосредствена и сериозна заплаха за обществения ред и сигурност на държава – членка на Европейския съюз, или на трета държава;
4. в отделни случаи за целите по чл. 42, ал. 1, или
5. в отделни случаи за установяването, упражняването или защитата на правни претенции, свързани с целите по чл. 42, ал. 1.
(2) Лични данни не могат да се предават, ако предаващият компетентен орган реши, че основните права и свободи на субекта на данните надделяват над обществения интерес от предаването по ал. 1, т. 4 и 5.
(3) Предаването на данни по ал. 1 се документира и документацията се предоставя на комисията, съответно на инспектората при поискване, включително датата и часа на предаване, информация относно получаващия компетентен орган, обосновка на предаването и предадените лични данни.
Чл. 76. (1) В отделни и специфични случаи компетентен орган може, без да е налице условието по чл. 72, ал. 1, т. 2 и без да се засяга международен договор, да предава лични данни пряко на получатели, установени в трети държави, само ако са спазени разпоредбите на тази глава и е изпълнено всяко едно от следните условия:
1. без предаването не може да се изпълни или сериозно би се затруднило изпълнението на задача на предаващия компетентен орган, произтичаща от правото на Европейския съюз или от законодателството на Република България, за целите по чл. 42, ал. 1;
2. предаващият компетентен орган реши, че основните права и свободи на субекта на данни не надделяват над обществения интерес, който налага предаването в конкретния случай;
3. предаващият компетентен орган смята, че предаването на орган, който е компетентен в третата държава за целите по чл. 42, ал. 1, е неефективно или неподходящо, по-специално, тъй като предаването не може да се осъществи навреме;
4. органът на третата държава, който е компетентен за целите по чл. 42, ал. 1, е уведомен без излишно забавяне, освен ако това е неефективно или неподходящо;
5. предаващият компетентен орган уведоми получателя за конкретната цел или цели, единствено, за които получателят може да обработва личните данни, при условие че такова обработване е необходимо.
(2) Международен договор по ал. 1 е всяко двустранно или многостранно международно споразумение, което е в сила между държави – членки на Европейския съюз, и трети държави в областта на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество.
(3) Компетентният орган, предаващ личните данни, документира всяко предаване по ал. 1 и уведомява комисията, съответно инспектората за него.
Чл. 77. По отношение на трети държави и международни организации комисията предприема подходящи мерки за:
1. разработване на механизми за международно сътрудничество с цел подпомагане на ефективното прилагане на законодателството за защита на личните данни;
2. осигуряване на международна взаимопомощ при прилагането на законодателството за защита на личните данни, включително чрез уведомяване, препращане на жалби, помощ при разследвания и обмен на информация, при условие че има подходящи гаранции за защитата на личните данни и другите основни права и свободи;
3. включване на съответните заинтересовани страни в обсъждания и дейности, насочени към допълнително задълбочаване на международното сътрудничество за прилагането на законодателството за защита на личните данни;
4. насърчаване на обмена и документирането на законодателство и практики в областта на защитата на личните данни, включително във връзка със спорове за компетентност е трети държави.
Раздел V
Надзор за спазване на правилата за защита на личните данни. Средства за правна защита“.