Рег. №: 1670397104985-07.12.2022 | Министерство на вътрешните работи | Одобрено | Дата на подаване: 07.12.2022 | Срок:21.12.2022

Физическо лице |

Съгласно Регламент 2016/679 (ОРЗД), вероятността и тежестта на риска за правата и свободите на субекта на данни следва да се определят с оглед на естеството, обхвата, контекста и целта на обработването. Рискът следва да се оценява въз основа на обективна оценка, с която се определя дали операцията по обработването на данни води до риск или до висок риск.С цел да се поддържа сигурността и да се предотврати обработване, което е в нарушение на настоящия регламент, администраторът или обработващият лични данни следва да извърши оценка на рисковете, свързани с обработването, и да предприеме мерки за ограничаване на тези рискове, например криптиране. Тези мерки следва да гарантират подходящо ниво на сигурност, включително поверителност, като се вземат предвид достиженията на техническия прогрес и разходите по изпълнението спрямо рисковете и естеството на личните данни, които трябва да бъдат защитени. При оценката на риска за сигурността на данните следва да се разгледат рисковете, произтичащи от обработването на лични данни, като случайно или неправомерно унищожаване, загуба, промяна, неправомерно разкриване, или достъп до предадени, съхранявани или обработвани по друг начин лични данни, което може по-конкретно да доведе до физически, материални или нематериални вреди. За да се подобри спазването на настоящия регламент, когато има вероятност операциите по обработването да доведат до висок риск за правата и свободите на физическите лица, администраторът следва да отговаря за изготвянето на оценка на въздействието върху защитата на личните данни, за да се оценят по-специално произходът, естеството, спецификата и степента на този риск. Резултатите от оценката следва да бъдат взети предвид, когато се определят съответните мерки, за да се докаже, че обработването на лични данни отговаря на изискванията на настоящия регламент. Когато в оценка на въздействието върху защитата на личните данни е указано, че операциите по обработването водят до висок риск, който администраторът не може да ограничи с подходящи мерки от гледна точка на налични технологии и разходи за прилагане, преди обработването следва да се осъществи консултация с надзорния орган. Регламентът съдържа конкретни разпоредби относно оценката на въздействието. Съгласно ЗЗЛД: Чл. 64. (Нов - ДВ, бр. 17 от 2019 г.) (1) Когато има вероятност определен вид обработване, по-специално това при което се използват нови технологии и предвид естеството, обхвата, контекста и целите на обработването, да доведе до висок риск за правата и свободите на физическите лица, преди да бъде извършено обработването, администраторът на лични данни извършва оценка на въздействието на предвидените операции по обработването върху защитата на личните данни. (2) Оценката по ал. 1 съдържа най-малко общо описание на предвидените операции по обработване, оценка на рисковете за правата и свободите на субектите на данните, мерките, предвидени за справяне с тези рискове, гаранции, мерки за сигурност и механизми за гарантиране на защитата на личните данни и за доказване на съответствие с правилата на тази глава, като се вземат предвид правата и законните интереси на субектите на данните и другите засегнати лица. Чл. 65. (Нов - ДВ, бр. 17 от 2019 г.) (1) Администраторът или обработващият лични данни се консултира с комисията, съответно с инспектората преди обработването на лични данни, което ще е част от нов регистър с лични данни, който предстои да се създаде, когато: 1. съгласно оценката на въздействието по чл. 64 обработването ще породи висок риск въпреки предприетите от администратора мерки за ограничаване на риска, или 2. видът обработване, по-специално когато се използват нови технологии, механизми или процедури, включва висока степен на риск за правата и свободите на субектите на данните. (2) При изготвянето на проекти на закони и на подзаконови нормативни актове, съдържащи мерки относно обработването, се провеждат консултации с комисията, съответно с инспектората. (3) Комисията приема и публикува списък на операциите по обработване, за които е задължителна предварителната консултация по ал. 1. Инспекторатът прилага съответно списъка по изречение първо. (4) Администраторът предоставя на комисията, съответно на инспектората, оценката на въздействието по чл. 64 и при поискване - всяка друга информация, която ще им позволи да извършат оценка на съответствието на обработването и по-специално на рисковете за защитата на личните данни и на съответните гаранции за тази защита. (5) Когато комисията, съответно инспекторатът прецени, че планираното обработване по ал. 1 би нарушило разпоредбите на тази глава, по-специално когато администраторът не е идентифицирал или ограничил риска в достатъчна степен, те предоставят в срок до 6 седмици след получаването на искането за консултация писмено становище на администратора и когато това е приложимо - на обработващия лични данни. Този срок може да се удължи с още един месец в зависимост от сложността на планираното обработване. В срок до един месец от получаването на искането за консултация комисията, съответно инспекторатът уведомява администратора и когато е приложимо - обработващия лични данни, за удължаването на срока, включително за причините за забавянето. (6) Предоставянето на писмено становище по ал. 5 не засяга възможността на комисията, съответно на инспектората, да упражни и правомощията си по чл. 80 спрямо администратора или обработващия лични данни. Моля, да ми предоставите информация относно: 1. Извършвал ли е администраторът ва лични данни оценки на въздействието, съгласно изложеното по-горе след влизането в сила на Регламента и измененията в ЗЗЛД? 2. Какви рискове са установени, респ. как е отговорено на тях? 3. Моля, предоставете ми копия от извършените до момента оценки на въздействието. 4. Моля, предоставете ми копия от актовете на администратора, с които са установени мерки в отговор на установените рискове. Желая информацията да ми бъде предоставена/изпратена на адреса на електронната ми поща като компютърни файлове.

Решение

---

Дата: 21.12.2022

ОТНОСНО: Предоставяне на достъп до обществена информация по заявление с вх. № 812104-355/07.12.2022 г. по описа на Министерство на вътрешните работи от г-жа =============== с адрес за кореспонденция: ================и адрес на електронна поща: ============= След като се запознах с гореописаното заявление, с приложените доказателства и административната преписка, установих следното: Госпожа ============ e подала заявление за достъп до обществена информация с вх. № 812104-355/07.12.2022 г. по описа на Министерство на вътрешните работи, с което на основание Закона за достъп до обществена информация (ЗДОИ) е поискала да и бъде предоставена информация по следните въпроси: „1. Извършвал ли е администратора на лични данни оценки на въздействието, съгласно изложеното по-горе след влизането на Регламента и измененията в ЗЗЛД? 2. Какви рискове са установени респ. как е отговорено на тях? 3. Моля, предоставете ми копия от извършените до момента оценки на въздействието 4. Моля, предоставете ми копия от актовете на администратора, с които са установени мерки в отговор на установените рискове.“ В заявлението е посочена предпочитана форма за предоставяне на достъп до исканата информация като е предоставен адрес на електронна поща: ================ Със заповед рег. № 8121з-1347/11.10.2022 г. министърът на вътрешните работи е определил директора на дирекция „Правно-нормативна дейност“ (ДПНД) да разглежда заявленията за достъп до обществена информация, постъпили в МВР по реда на ЗДОИ, да издава съответните решения или уведомления по тях, както и да уведомява писмено заявителя за решението. Във връзка с постъпилото заявление, с писмо на директора на дирекция „Правно – нормативна дейност“, е изискана информация от компетентните структури и длъжностното лице по защита на личните данни в МВР като им е изпратено и копие на заявлението. Горепосочените субекти предоставят отговор и информация съгласно своята компетентност. По поставените въпроси: . Оценка на въздействие се налага да бъде извършвана само при определени обстоятелства посочени в чл. 35 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) респективно в чл. 63 от Закона за защита на личните данни. Както длъжностното лице по защита на личните данни в МВР, така и компетентните структури – дирекция „Координация и информационно – аналитична дейност“ и дирекция „Комуникационни и информационни системи“ предоставят информация, че не разполагат с информация оценка на въздействието да е била извършвана от администратора на лични данни. Тъй като в заявлението е посочено по какъв начин заявителката иска да й бъде предоставена информация, като е предоставен електронен адрес за кореспонденция е налице основание по чл. 34, ал. 3 и чл. 35, ал. 3 от ЗДОИ, като и чл. 26, ал. 1, т. 3 от Вътрешните правила за организация на работата в Министерството на вътрешните работи по постъпили заявления по ЗДОИ решението да бъде изпратено по електронен път, на посочения в заявлението адрес на електронна поща: =================. Ако заявителката е променила адреса на електронната поща, за което административният орган не е уведомен, или посочения адрес е неверен или несъществуващ, информацията се смята за получена от датата на изпращането. Поради това и на основание чл. 28, ал. 2 от ЗДОИ, във вр. с чл. 5, ал. 1 от Вътрешните правила за организацията на работата в МВР по постъпили заявления по ЗДОИ, Р Е Ш И Х: Предоставям на г-жа =============== достъп до наличната в МВР информация, поискана със заявление с вх. № 812104-355/07.12.2022 г. по описа на Министерство на вътрешните работи. Наличната информацията е изложена в мотивите на настоящото решение, като представлява неразделна част от същото. Директорът на дирекция „Координация и информационно-аналитична дейност”- МВР да изпрати настоящото решение на заявителката по реда на 34, ал. 3 и чл. 35, ал. 3 от ЗДОИ на посочения адрес на електронна поща: ============ като представи към административната преписка доказателства за изпращането, както и да уведоми заявителката за същото чрез Платформата за достъп до обществена информация, поддържана от администрацията на Министерския съвет, съгласно чл. 15в от ЗДОИ. На основание чл. 40, ал. 1 от ЗДОИ във връзка с чл. 149 от АПК решението подлежи на оспорване пред съответния административен съд, в 14-дневен срок от съобщаването му.

41