Политика за поверителност

НАЦИОНАЛНА ПРОФЕСИОНАЛНА ГИМНАЗИЯ
ПО ПОЛИГРАФИЯ И ФОТОГРАФИЯ
ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
От 25.05.2018 г. е в сила нов регламент за защита на личните данни (General Data Protection
Regulation), приет от Европейския съюз. Регламентът има за цел да гарантира защитата на данните
на физическите лица от всички държави членки на ЕС и да уеднакви регулациите за тяхната
обработка.
В качеството си на администратор на личните данни Националната професионална
гимназия по полиграфия и фотография (НПГПФ) отговаря на всички изисквания на новата
регулация, като събира лични данни, необходими само за изпълнение на нормативните
изисквания, и ги пази отговорно и законосъобразно.
Информация относно Администратора на лични данни
Наименование: Национална професионална гимназия по полиграфия и фотография
(НПГПФ) е държавно училище по изкуствата към Министерството на културата, администратор
на лични данни.
Адрес: София 1408, ж. к. „Стрелбище“, ул. „Златишки проход“ № 5
Длъжностно лице по защита на данните: Яна Христова Стоянова
Електронна поща: npgpf_k@abv.bg
Информация относно компетентния надзорен орган
Наименование: Комисия за защита на личните данни
Седалище и адрес на управление: София 1592, бул. „Проф. Цветан Лазаров“ № 2
Данни за кореспонденция: София 1592, бул. „Проф. Цветан Лазаров“ № 2
Телефон: 02/915 35 18
Електронна поща: kzld@government.bg, kzld@cpdp.bg
Категории лични данни, които се обработват:
НПГПФ обработва лични данни на законно основание и за конкретни цели:
 на законово основание: Закон за предучилищното и училищното образование и
подзаконовите нормативни актове към него; Закон за професионалното образование и
обучение и подзаконовите нормативни актове към него; Наредба № 2 от 12 август 2016 г.
за приемане и преместване на ученици в училищата по изкуствата; Кодекс на труда и
подзаконовите нормативни актове; Закон за закрила и развитие на културата и
подзаконовите нормативни актове; Закон за обществените поръчки; Закон за задълженията
и договорите и др.;
 за конкретни цели:
 въз основа на легитимен интерес;
 във връзка с изпълнение на договор, по който субектът на лични данни е страна, или за
сключването на такъв – по искане на субекта;
 в други случаи – жизненоважен интерес, задача от обществен интерес или официални
правомощия.
Конкретните цели за обработване на личните данните са свързани с:
 приемането и преместването на ученици;
 образователно-възпитателния процес: обработват се и се съхраняват необходимите лични
данни на учениците и техните родители;
 за осъществяване на законово определена процедура чрез индивидуализиране на лице – при
2
регистрация на участник в конкурс, процедура за възлагане на обществена поръчка, търг,
събитие, организирано от НПГПФ;
 за администриране на договор с търговски партньор или клиент – при сключване и
изпълнение на търговска сделка или договор за съвместна дейност;
 счетоводни цели;
 статистически цели;
 трудовоправни цели;
 за администриране на процеса по изпращане на информационни съобщения до ученици,
родители, партньори и др.;
 други.
Личните данни се обработват при следните основни принципи:
– законност, добросъвестност и целесъобразност: събиране на лични данни на законно
основание и за конкретни, изрично указани и легитимни цели;
– защитеност и поверителност: предприемане на адекватни технически и организационни
мерки за защита на личните данни;
– прозрачност: информация за субектите на лични данни и прозрачност на дейността на
администратора на лични данни;
– дисциплинираност: намаляване на злоупотребите с лични данни чрез стриктна
дисциплина. Личните данни се обработват само за конкретни цели, във форма, която позволява
идентифицирането на субекта за период не по-дълъг от този за целите на обработването;
– точност: обработват се актуални и точни лични данни;
– отчетност: възможност на НПГПФ във всеки момент да докаже прилагането на тези
принципи.
НПГПФ не събира и не обработва лични данни, които разкриват:
 расовия или етническия произход на лицето;
 политическите, религиозните или философските убеждения на лицето;
 генетичните и биометричните данни или данните за сексуалния живот или сексуалната
ориентация на лицето.
В кои случаи и от кого се получават личните данни
Личните данни се получават при осъществяване на посочените по-горе цели от субекта или
трето лице.
За какви цели се обработват личните данни:
НПГПФ извършва следните операции с личните данни за следните цели:
1. регистрация при приемането и преместването на ученици: конкретна цел водене на
документация за учениците съгласно действащото законодателство;
2. обработка и съхранение на необходимите лични данни на учениците и техните родители
във връзка с обучението им;
3. регистрация на участник в конкурс, процедура за възлагане на обществена поръчка, търг,
събитие, организирано от НПГПФ;
4. обработка на данни на лице при сключване и изпълнение на търговска сделка с клиент
или партньор: целта на тази операция е сключване и изпълнение на договор с търговски партньор
или клиент и неговото администриране;
5. изпращане на информационни съобщения – целта на тази дейност е администриране на
процеса по изпращане на съобщения до ученици, родители и партньори;
6. обработка на данните на насрещната страна при сключване на всякакъв вид договори на
основание ЗЗД, договори за съвместна дейност и др.;
7. при администриране работата на НПГПФ, включително при сключване, изменение и
прекратяване на трудови правоотношения и счетоводно отчитане.
3
Категории получатели, пред които ще се разкриват
НПГПФ не предоставя лични данни на друго лице или трета държава, освен в законово
определени случаи на компетентни за това органи
Какви технически и организационни мерки са предприети за защита на данните
НПГПФ осигурява технически и организационни мерки за обработване на личните данни
съобразно нормативно установените задължения, като взетите мерки гарантират, че:
1. се обработват лични данни само за конкретна цел на обработването (с оглед обем на
личните данни, степен на обработване, период на съхранение и достъпност);
2. до данните имат достъп само лицата, обработващи лични данни (без да е необходима
допълнителна намеса от физическо лице).
Информацията, съдържаща лични данни на хартиен носител, се съхранява в папки, които
се подреждат в шкафове в заключени помещения. Правата и задълженията на служителите за
работа с тях са регламентирани в длъжностните им характеристики. Предоставянето, промяната
или прекратяването на оторизирания достъп до регистрите на хартиен носител се контролира от
директора на училището.
Достъп до личните данни има само обработващият лични данни.
Обработващият данните се задължава да не предоставя достъп до предоставените му за
обработка данни на трети лица, освен в предвидените от закона случаи.
Организацията и съхраняването на личните данни на електронен носител се осъществява
чрез въвеждането им на твърд диск на сървъра чрез компютърната мрежа и/или на изолиран
компютър. Компютърът е свързан в локалната мрежа със защитен достъп до личните данни, с
който работи само обработващият лични данни.
При работа с личните данни се използват съответни софтуерни продукти за обработка,
които могат да бъдат адаптирани за специфичните нужди на администратора на лични данни
НПГПФ. Данните се въвеждат в компютъра от хартиен носител.
Достъп до файловете за обработка на лични данни имат само работещите с тях. Носители с
лични данни могат да се разпространяват само ако данните са криптирани или ако е използван
друг механизъм, гарантиращ, че данните не могат да се четат или променят при пренасянето им.
Защита на електронните данни от неправомерен достъп, повреждане, изгубване или
унищожаване се осигурява чрез поддържане на антивирусни програми, периодично архивиране на
данните на отделни електронни носители, както и чрез съхраняване на информацията на хартиен
носител. Когато данните се намират на сървъра, архивирането им се извършва от служителите по
информационно обслужване. Когато данните се намират на изолирани компютри архивирането им
се извършва от оператора на съответния компютър (обработващия лични данни). Мерките по ал.
1 и 2 са съобразени със съвременните технологични постижения и осигуряват ниво на защита,
което съответства на рисковете, свързани с обработването, и на естеството на данните, които
трябва да бъдат защитени.
Администраторът може да обработва данните сам или чрез възлагане на обработващ
данните. Когато е необходимо – по организационни причини, обработването може да се възложи
на повече от един обработващ данните, включително с цел разграничаване на конкретните им
задължения.
В случаите, когато обработването на данните не се извършва от администратора, той е
длъжен да определи обработващ данните и да осигури достатъчни гаранции за тяхната защита.
Отношенията между администратора и обработващия лични данни се уреждат със заповед
на администратора или с договор, в които се определя обемът на задълженията, възложени от
администратора, на обработващия данните.
Обработващият лични данни, както и всяко лице, действащо под ръководството на
администратора или на обработващия, което има достъп до лични данни, може да ги обработва
само по указание на администратора, освен ако в закон е предвидено друго.
След постигане целта на обработване на личните данни администраторът е длъжен да ги:
4
1. унищожи, или
2. прехвърли на друг администратор, като предварително уведоми за това Комисията за
защита на личните данни, ако законът предвижда уведомяване и прехвърлянето е предвидено в
закон и е налице идентичност на целите на обработването, или
3. съхранява само в предвидените в закон случаи.
Мерките за гарантиране нивото на сигурност:
1. компютърните сървъри за база данни да са на съвременно техническо ниво;
2. компютърните работни конфигурации да използват Desktop операционни системи
съобразно изискванията на приложния софтуер за работа с лични данни, да са компетентно
балансирани и функционално оптимизирани;
3. за всички компютърни конфигурации, сървъри и комуникационни средства, от които
зависи правилното поддържане на базите с лични данни, следва да бъдат осигурени непрекъсваеми
токозахранващи устройства (UPS);
4. минималния набор от системни програмни средства на всяка работна компютърна
конфигурация включва:
– операционна система съобразно изискванията на ползвания приложен софтуер с
инсталирани последни пакети за сигурност;
– антивирусен софтуер с включено автоматично обновяване и постоянно сканиране;
– активирана защитна стена и деинсталирани комуникатори, осигуряващи достъп извън
рамките на компютърната мрежа на НФК и създаващи предпоставки за идентифициране на IP
адрес на потребителя и за достъп на злонамерен софтуер и мобилен код до компютрите.
Физически мерки за гарантиране нивото на сигурност:
1. в помещенията, в които са разположени компютърни и комуникационни средства, е
осигурена система за ограничаване на достъпа;
2. всички работни помещения се заключват извън рамките на установеното работно време
и достъпът до тях е регламентиран. Всички магнито-оптични носители, които се използват за запис
на лични данни в резултат на архивиране и изготвяне на копия на базите данни, се предават и
съхраняват в шкаф, който се заключва.
Организационни мерки за гарантиране нивото на сигурност:
1. охрана и видеонаблюдение на учебните и работните помещения в рамките на охраната
на цялата сграда (дежурни охранители);
2. работните компютърни конфигурации, както и цялата IT инфраструктура, включително
и достъпът до интернет, се използват само за учебни и служебни цели;
3. проверка на всички работни компютърни конфигурации;
4. пренасянето на лични данни чрез Интернет се осъществява чрез електронна поща, като
задължително се осигурява криптиране на данните;
5. при ремонт на компютърна техника, на която се съхраняват лични данни, предоставянето
ѝ на сервизната организация се извършва без устройствата, на които се съхраняват лични данни.
НПГПФ създава и публикува на електронната си страница Политика за защита на данните.
За какъв период се съхраняват
Личните данни се съхраняват докато съществува легитимен интерес или законово
задължение за съхранението им.
Как се архивират и какви са процедурите за унищожаване на личните данни
Данните на електронен носител се унищожават от специализиран в тази дейност партньор
чрез договор за услуга.
Хартиените носители на документи се архивират и унищожават съгласно
законодателството и вътрешните правила на НПГПФ.
Правила за действие в случай на нарушение на сигурността на личните данни
5
При възникване и установяване на инцидент веднага се докладва на директора на НПГПФ
и се предприемат незабавни подходящи технически и организационни мерки за защита по
отношение на данните и за отстраняване на нарушението.
При бедствия и аварии се предприемат следните действия:
1. защита при аварии: предприемат се конкретни действия в зависимост от конкретната
ситуация;
2. защита от пожари: незабавно гасене със собствени средства (пожарогасители) и
уведомяване на съответните органи;
3. защита от наводнения: предприемат действия по ограничаване на разпространението,
както и се изпомпва вода или се загребва със собствени подръчни средства.
При установяване на нарушение на сигурността на личните данни, което може да породи
висок риск за правата и свободите, НПГПФ уведомява субекта на лични данни без ненужно
забавяне за нарушението, както и за мерките, които са предприети или предстои да бъдат
предприети.
НПГПФ не е длъжен да уведомява субекта на лични данни, ако:
 е предприел подходящи технически и организационни мерки за защита по отношение на
данните, засегнати от нарушението на сигурността;
 е взел впоследствие мерки, които гарантират, че нарушението няма да доведе до висок риск
за правата на субекта на лични данни;
 уведомяването би изисквало непропорционални усилия.
Права на субектите на лични данни
Право да бъдат информирани
НПГПФ предоставя на субектите на данните подробна информация съобразно
изискванията на Регламента, включително за видовете лични данни, които обработва, целите и
сроковете на обработване и третите лица, на които могат да бъдат предоставяни.
Когато НПГПФ, в качеството си на администратор на лични данни, обработва лични данни,
които не са получени директно от субекта им, то предоставя изискваната от Регламента
информация:
а) в разумен срок след получаването на личните данни, но най-късно в срок до един месец,
като се отчитат конкретните обстоятелства, при които личните данни се обработват;
б) ако данните се използват за контакт със субекта на данните, най-късно при
осъществяване на първия контакт с този субект на данните; или
в) ако е предвидено разкриване пред друг получател, най-късно при разкриването на
личните данни за първи път.
Право на достъп до личните данни
Всеки субект на данни има право да получи от НПГПФ потвърждение дали се обработват
лични данни, свързани с него, и ако това е така, да получи достъп до тях, както и до друга
информация, определена в чл. 15 от Регламента.
Право на коригиране на личните данни
Всеки субект на данни има право да поиска от НПГПФ да коригира без ненужно забавяне
неточните лични данни, свързани с него. Като се имат предвид целите на обработването, субектът
на данните има право непълните лични данни да бъдат допълнени, включително чрез посочването
им в декларация, изпратена до НПГПФ.
Право на изтриване
6
Всеки субект на данни има право да поиска от НПГПФ да изтрие негови лични данни при
предпоставките, посочените в чл. 17 от Регламента, включително в случаи, когато обработването
се осъществява въз основа на съгласие на субекта и това съгласие бъде оттеглено; когато
съответните лични данни повече не са необходими за целите, за които са били обработвани или
когато обработването им е неправомерно.
Право на ограничаване на обработването
Всеки субект на данни има право да поиска от НПГПФ временно преустановяване или
ограничаване на обработването на неговите лични данни, съгласно чл. 18 от Регламента, когато:
– оспорва тяхната точност/актуалност;
– обработването им е неправомерно, но субектът на данните не желае да бъдат изтрити;
– когато НПГПФ не се нуждае повече от личните данни за целите на обработването, но
субектът на данните ги изисква за установяването, упражняването или защитата на правни
претенции, или
– когато субектът на данните е възразил срещу тяхното обработване и очаква проверка по
неговото възражение.
Право на възражение срещу обработването
Всеки субект на лични данни има право да възрази срещу обработването на неговите данни
от страна на НПГПФ, когато правното основание за обработването на данните му са легитимни
интереси на НПГПФ или изпълнение на задача от обществен интерес. В този случай НПГПФ
следва да преустанови обработването освен ако съществуват убедителни законови основания за
обработването, които имат предимство пред интересите, правата и свободите на субекта.
Право на преносимост на личните данни
Всеки субект на лични данни има право да получи личните данни, които го засягат и които
той е предоставил на НПГПФ, в структуриран и пригоден за машинно четене формат и има
правото да прехвърли тези данни на друг администратор без възпрепятстване от НПГПФ, когато
обработването на данните се извършва въз основа на съгласието на субекта или на основание
изпълнение на договорни задължения от страна на НПГПФ.
Упражняване на правата на субектите на лични данни
НПГПФ предоставя възможност на субектите на личните данни да реализират своите права
съгласно Регламента, като се обърнат с искане към него.
В случаите по чл. 54, ал. 3, чл. 55, ал. 3 и 4 и чл. 56, ал. 6 и 7 от Закона за защита на личните
данни, субектът на данните може да упражни правата си чрез Комисията за защита на личните
данни. В тези случаи Комисията проверява законосъобразността на отказа