Articolul 22

(1) În timpul programului de lucru, dispozitivele de autentificare menționate la art. 21 alin. (2) , precum și cartelele de acces se păstrează permanent asupra utilizatorului. În afara programului de lucru, dispozitivele de autentificare menționate la art. 21 alin. (2) se păstrează în fișet/casetă metalică încuiat/încuiată și sigilat/sigilată.

(2) Se interzice păstrarea cartelei sau tokenului, la vedere sau în alt mod decât cel prevăzut mai sus, ori diseminarea/ transmiterea acestora către alte persoane.

(3) Documentele care conțin coduri de identificare, parole de acces și PIN-uri vor fi distruse, cu excepția situațiilor în care legislația în domeniul arhivistic interzice în mod expres acest lucru.

(4) Șeful nemijlocit al utilizatorului informează conducerea operatorului despre incidența situațiilor prevăzute la art. 11 .

(5) Ulterior informării prevăzute la alin. (4) , conducerea operatorului dispune de îndată măsuri astfel încât conturile de utilizator să fie suspendate sau revocate.

(6) Utilizatorul aflat în una dintre situațiile prevăzute la art. 11 are obligația de a preda dispozitivele de autentificare menționate la art. 21 alin. (2) , precum și cartelele de acces structurii emitente.

(7) După încetarea situațiilor prevăzute la art. 11 alin. (1) și (2) , operatorul dispune reactivarea contului de utilizator.

(8) Sistemul informatic care prelucrează date cu caracter personal trebuie configurat astfel încât să asigure dezactivarea automată a codurilor de identificare și a cartelelor de acces/smart card/token care nu au fost folosite o perioadă de 4 luni pentru utilizatori, respectiv 6 luni pentru administratorii aplicației; acestea sunt menținute în istoricul de utilizatori.

(9) La apariția unei situații de modificare a competențelor sau raporturilor de serviciu, operatorii stabilesc modalități concrete de revocare/suspendare a conturilor de acces, astfel încât prelucrarea datelor cu caracter personal să se facă numai de către personalul autorizat și numai în exercitarea atribuțiilor de serviciu ale acestora.

(10) Revocarea/Suspendarea manuală a conturilor de utilizator se va face numai de către administratorul sistemului informatic care prelucrează date cu caracter personal sau de către administratorii de utilizatori aferenți.

(11) Fiecare operator permite accesul utilizatorilor la sisteme de evidență a datelor cu caracter personal manuale numai pe baza unei liste nominale aprobate de conducerea operatorului/șeful acestuia, iar responsabilul cu elaborarea și actualizarea listei se desemnează prin dispoziția zilnică a conducerii operatorului.

(12) Pentru accesul personalului la sistemele informatice care prelucrează datele cu caracter personal deținute de alți operatori, conturile de utilizator se obțin în baza solicitării scrise și motivate a structurii/unității/instituției interesate sau pe baza unor protocoale încheiate în acest sens.