Articolul 37
Art. 37 din INSTRUCŢIUNI nr. 27 din 3 februarie 2010 privind măsurile de natură organizatorică şi tehnică pentru asigurarea securităţii prelucrărilor de date cu caracter personal efectuate de către structurile/unităţile Ministerului Administraţiei şi Internelor
- Titlul II Măsuri tehnice
- Capitolul I Utilizatorii datelor cu caracter personal
(1) Cartela de acces sau tokenul în timpul programului de lucru se păstrează permanent asupra utilizatorului. În afara programului de lucru, cartela de acces sau tokenul se păstrează în fișet/casetă metalic/metalică încuiat/încuiată și sigilat/sigilată la care are acces numai utilizatorul acesteia.
(2) Se interzice transcrierea/păstrarea parolei, respectiv a cartelei sau tokenului, la vedere sau în alt mod decât cel prevăzut mai sus ori diseminarea/transmiterea acestora către alte persoane.
(3) Documentele care conțin coduri de identificare și parole de acces vor fi arhivate numai dacă acestea nu se mai află în uz.
(4) Conducătorul operatorului dispune măsuri astfel încât conturile de utilizator să fie suspendate sau revocate imediat pentru personalul aflat în situațiile prevăzute la art. 11.
(5) Utilizatorul aflat în una dintre situațiile prevăzute la art. 11 are obligația de a preda cartela de acces responsabilului/structurii responsabile cu protecția datelor cu caracter personal.
(6) După încetarea situațiilor prevăzute la art. 10, operatorul dispune reactivarea contului de utilizator.
(7) Aplicația de gestiune a bazelor de date trebuie configurată astfel încât să asigure dezactivarea automată a codurilor de identificare și a cartelelor care nu au fost folosite o perioadă de până la 6 luni; acestea sunt menținute în istoricul de utilizatori, după caz, de către administratorul aplicației.
(8) La apariția unei situații de modificare a competențelor sau raporturilor de serviciu, operatorii stabilesc modalități concrete de revocare/suspendare a conturilor de acces, astfel încât prelucrarea datelor cu caracter personal să se facă numai de către personalul autorizat și numai în exercitarea atribuțiilor de serviciu ale acestora.
(9) Revocarea/Suspendarea conturilor de acces se va face numai de către administratorul aplicației.
(10) Fiecare operator permite accesul utilizatorilor la sisteme de evidență a datelor cu caracter personal neautomate numai pe baza unei liste nominale aprobate de conducătorul/șeful acestuia.
(11) Elaborarea și actualizarea listei se asigură de către responsabilul/structura responsabilă cu protecția datelor cu caracter personal, în baza comunicărilor făcute pe linie de resurse umane.
(12) Pentru accesul personalului la sistemele de evidență a datelor cu caracter personal deținute de alți operatori, conturile de utilizator se vor obține în baza solicitării scrise și motivate a structurii/unității interesate sau pe baza unor protocoale încheiate în acest sens.