Кои разпореждания до НАП на Комисията за защита на личните данни съдът потвърди и кои

Общо 20 точки се съдържаха в решението какво да свърши агенцията като администратор

На 2 февруари стана известно решението на съдията от Административен съд – София-град, с което

„Отменя по жалба на Националната агенция за приходите, ЕИК[ЕИК], Решение № ППН-02-399 от 22.08.2019 г., издадено от Председателя на Комисията за защита личните данни, В ЧАСТТА МУ относно Разпореждания № 7, 14, 15 изцяло, Разпореждане № 5 в частта му: „Да се предприемат необходимите действия за създаването на одитни записи на отделните събития и дневници /журнали/ за привилегированите потребители“ и Разпореждане №16 в частта му относно „повторното използване на такива данни“.

ОТХВЪРЛЯ жалбата в ОСТАНАЛАТА Й ЧАСТ.“

Какво пише във всяка от 20-те точки:

Р Е Ш Е Н И Е № 565 по дело номер 10477 по описа за 2019 година, образувано по жалба на Националната агенция за приходите (НАП), срещу Решение №ППН-02-399 от 22.08.2019 г., издадено от Председателя на Комисията за защита личните данни /КЗЛД/, с искане да бъде изцяло отменено. С оспореното административно решение, на основание чл. 58, § 2, буква „г“ във връзка с чл. 57, § 1, буква „а“ и чл. 83, § 2, букви „а“, „в“, „г“, „е“ и „ж“ от Регламент (ЕС) 2016/679 се разпорежда на НАП като администратор на лични данни да съобрази операциите по обработването на данни, както следва:

Да изготви ясно разписани правила за отделните потребители в информационните системи на НАП /собственици на данни, разработчици, системни администратори, бизнес анализатори, администратори на бази данни, администратори на приложенията и органи по сигурността данните/, функционалните им задължения и процедурите за тяхната дейност, като дефинира принципите на взаимодействие на отделните потребители. Да изготви процедури за взаимодействие на отделните потребители в системата за защита на личните данни.
Да предприеме подходящи технически и организационни мерки с цел повишаване защитата при обработка на лични данни в приложения за електронни услуги към гражданите.
Да изготви в пълен обем правила и процедури за защита на личните данни, като за всяка една от подържаните в НАП информационни системи да се разработят правила за обработка на личните данни в тях.
Да предвиди в политиките за формиране на профилите за достъп до приложенията (P. By D.), реализиращи електронни услуги за гражданите, достатъчно рестриктивни мерки за достъп до базите данни, като същите да не се достъпват с прекомерни права от привилегированите потребители.
Да се предприемат необходимите действия за създаване на одитни записи на отделните събития и дневници /журнали/ за привилегированите потребители. Да се внедрят Система за управление на привилегиите на потребителите (Privileged Access M., PAM) и Система за управление и анализ на събитията, отразени в дневниците (S. information and event management, SIEM).
Да се изготви Методика за управление на риска /идентификация на заплахите и оценка на риска), приложима за всяка една информационна система към момента на нейното първоначално въвеждане в експлоатация и последваща периодичност за оценка на риска, съгласно чл. 35 от Регламент (ЕС) 2016/679.
Да се извърши анализ на риска на системите и операциите по обработването, включващи изготвени правила и функционални задължения за работа на всяка информационна система.
Да се извърши оценка на въздействието при идентифициран „висок риск” за всяка една система и предприетите мерки, съгласно одобрен и публикуван на интернет страницата на КЗЛД списък на по чл. 35, § 4 от Регламент (ЕС) 2016/679.
Да се изготвят правила и процедури за оценка на въздействието при защита на данните при първоначално стартиране на нови информационни системи и приложения.
Да се стартира процедура по адаптиране на информационните системи към изискванията на Регламент (ЕС) 2016/679, като разработи процедури за управление на риска при въвеждане на нови системи или промяна на вече съществуващи системи (P. By D., P. By Redesign и P. By Default).
Да обнови операционните системи от W. 2008R2 към актуални версии от 2013 г. и 2016 г., и на СУБД O. 11.2.0.2 към актуална версия O. 12, за да не се създава потенциална опасност за сигурността на данните след 2020 г., преди изтичане на срока за тяхната поддръжка.
Да изгради център за възстановяване работоспособността на системите в реално време (D. R. C.).
Да изготви политики за обработване на специални категории данни съгласно чл. 9 от Регламент (ЕС) 2016/679.
Да изготви политики за повторно използване на личните данни на субектите.
Да изготви политики и вътрешни правила за анонимизиране, архивиране и унищожаване на електронните данни, използвани еднократно.
Да изготви политики и процедури за обработка на лични данни на деца, повторното използване на такива данни, проследяващи механизми и Cookies /бисквитки/, определяне срока за съхранение и задържане на данните.
Да изготви стратегия и политики за криптиране на данни от архивни или еднократни извършвани справки.
Да допълни и/или измени съдържанието на длъжностната характеристика на длъжностното лице по защита на данните, като се впишат ясни правила и задължения за осъществяване на дейността му. Да изготви вътрешни документи, гарантиращи функциите, задълженията и прякото му подчинение на изпълнителния директор, съгласно чл. 38, § 3 от Регламент (ЕС) 2016/679.
Да актуализира длъжностните характеристики на служителите на НАП с включени клаузи, касаещи обработването на лични данни.
Да изготви вътрешни правила за обучение и тренировка на служителите на НАП за действия в случаи на незаконосъобразно обработване на лични данни. Определен е и шестмесечен срок за изпълнение на всички разпореждания, считано от датата на получаването им, като за изпълнението им писмено се уведоми КЗЛД и да се предоставят относими доказателства.“

„Предварително и преди всичко обаче следва да се посочи, че разпоредбата на чл. 59, ал. 1 от ЗЗЛД задължава ответника не само да прилага подходящи технически и организационни мерки, за да гарантира обработването на данните в съответствие с този закон, но и да е в състояние да докаже това. В този смисъл е и разпоредбата на чл. 24, § 1 от Общия регламент. Изискването за доказване на законосъобразното обработване на данните, разписано като законово задължение на администратора обръща доказателствената тежест, като я възлага върху администратора. Казано по друг начин разпоредбите на чл. 59, ал. 1 от ЗЗЛД и чл. 24 от Общия регламент създават оборима презумпция за незаконосъобразното обработване на личните данни, ако администраторът не докаже, че обработването им в съответствие със закона.“

Петте въпроса в преюдициалното запитване до Съда на Европейския съюз, съгласно член 267, първи параграф, буква „б” от Договора за функционирането на ЕС публикувах на 15.05.2021 година под заглавие ВАС публикува списък с приключили дела срещу НАП и въпроси до Съда на ЕС