Чл. 28. (1) В Агенцията могат да се обработват лични данни. При обработване на лични данни, свързани с дейността на Агенцията:

1. не се иска съгласието и не се информира физическото лице;

2. не се предоставят лични данни на трети лица;

3. данните се съхраняват и след приключване на обработването им в срокове, определени от администратора на личните данни.

(2) В Агенцията могат да се обработват и лични данни, обработвани от други органи, като данните, получени по този начин, не могат да се използват за други цели освен за дейността на Агенцията. Тези данни не се препредават на трети лица.

(3) Личните данни по ал. 1 и 2 се заличават, ако вече не съществува причина за тяхното запазване съгласно закона или в изпълнение на съдебен акт.

(4) При заличаването на личните данни се вземат предвид естеството на обработваните лични данни, необходимостта от обработване до приключването на разследване или законова процедура, влизане в сила на присъда или съдебно решение, амнистия, реабилитация или изтичане на предвидената в закона давност.

(5) (Изм. - ДВ, бр. 17 от 2019 г.) Администратор на лични данни е председателят на Агенцията, който възлага обработването на лични данни на определени от него длъжностни лица.

(6) Редът за обработване на лични данни се определя с акт на председателя на Агенцията.