• (a) закон союза; или
• (b) законодательство государства-члена, которому подчиняется контролер.

• (а) любая связь между целями, для которых были собраны персональные данные, и целями предполагаемой дальнейшей обработки;
• (b) контекст, в котором были собраны персональные данные, в частности, в отношении отношений между субъектами данных и контролером;
• (c) характер персональных данных, в частности, обрабатываются ли специальные категории персональных данных в соответствии со статьей 9 или обрабатываются ли персональные данные, связанные с уголовными приговорами и преступлениями, в соответствии со статьей 10;
• (d) возможные последствия предполагаемой дальнейшей обработки для субъектов данных;
• (e) наличие соответствующих гарантий, которые могут включать шифрование или псевдонимизацию.

• (а) субъект данных дал явное согласие на обработку этих персональных данных для одной или нескольких определенных целей, за исключением случаев, когда законодательством Союза или государства-члена предусмотрено, что запрет, упомянутый в пункте 1, не может быть отменен субъектом данных;
• (b) обработка необходима для целей выполнения обязательств и осуществления конкретных прав контролера или субъекта данных в области занятости и социального обеспечения и законодательства о социальной защите в той мере, в какой это разрешено законодательством Союза или государства-члена или коллективным соглашением в соответствии с законодательством государства-члена обеспечение надлежащих гарантий основных прав и интересов субъекта данных;
• (c) обработка необходима для защиты жизненно важных интересов субъекта данных или другого физического лица, когда субъект данных физически или юридически неспособен дать согласие;
• (d) обработка осуществляется в ходе своей законной деятельности с соответствующими гарантиями фондом, ассоциацией или любой другой некоммерческой организацией с политической, философской, религиозной или профсоюзной целью и при условии, что обработка относится исключительно к членам или бывшим членам органу или лицам, которые регулярно контактируют с ним в связи с его целями, и что персональные данные не разглашаются за пределами этого органа без согласия субъектов данных;
• (e) обработка относится к персональным данным, которые явно обнародованы субъектом данных;
• (f) обработка необходима для возбуждения, осуществления или защиты судебных исков или всякий раз, когда суды действуют в своем судебном качестве;
• (g) обработка необходима по причинам, представляющим существенный общественный интерес, на основе законодательства Союза или государства-члена, которое должно быть соразмерно преследуемой цели, уважать суть права на защиту данных и предусматривать подходящие и конкретные меры для защиты основных прав и интересов субъекта данных.;
• (h) обработка необходима для целей профилактики или профессиональной медицины, для оценки трудоспособности работника, медицинского диагноза, предоставления медицинской или социальной помощи или лечения или управления системами и услугами здравоохранения или социального обеспечения на основе законодательства Союза или государства-члена или в соответствии заключить контракт с медицинским работником и соблюдать условия и гарантии, упомянутые в пункте 3;
• (i) обработка необходима по соображениям общественного интереса в области общественного здравоохранения, таким как защита от серьезных трансграничных угроз здоровью или обеспечение высоких стандартов качества и безопасности медицинской помощи и лекарственных средств или медицинских устройств, на основе законодательства Союза или государства-члена, которое предусматривает подходящие и конкретные меры для защиты прав и свобод субъекта данных, в частности профессиональной тайны; или
• (j) обработка необходима для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей в соответствии со статьей 89(1), основанной на законодательстве Союза или государства-члена, которая должна быть пропорциональна преследуемой цели, уважать суть права на защиту данных и обеспечивать надлежащие и конкретные меры по защите основных прав и интересов субъекта данных.

• (a) личность и контактные данные контролера и, где применимо, представителя контролера;
• (b) контактные данные сотрудника по защите данных, где это применимо;
• (c) цели обработки, для которых предназначены персональные данные, а также правовая основа для обработки;
• (d) если обработка основана на пункте (f) статьи 6(1), законных интересах, преследуемых контролером или третьей стороной;
• (e) получатели или категории получателей персональных данных, если таковые имеются;
• (f) где применимо, тот факт, что контролер намеревается передать персональные данные третьей стране или международной организации, и наличие или отсутствие соответствующего решения Комиссии, или в случае передачи, упомянутой в статье 46 или 47, или во втором подпункте статьи 49(1), ссылка на соответствующие или приемлемые гарантии и средства , с помощью которых можно получить их копию или где они были предоставлены

• (а) период, в течение которого будут храниться персональные данные, или, если это невозможно, критерии, используемые для определения этого периода;
• (b) наличие права запрашивать у контролера доступ к персональным данным, их исправление или удаление, или ограничение обработки в отношении субъекта данных, или возражать против обработки, а также право на переносимость данных;
• (c) если обработка основана на пункте (a) статьи 6(1) или пункте (a) статьи 9(2), наличие права отозвать согласие в любое время, не затрагивая законность обработки, основанной на согласии до его отзыва;
• (d) право подать жалобу в надзорный орган;
• (e) является ли предоставление персональных данных законодательным или договорным требованием или требованием, необходимым для заключения договора, а также обязан ли субъект данных предоставлять персональные данные и о возможных последствиях непредоставления таких данных;
• (f) наличие автоматизированного обработчика принятия решений, включая профилирование, упомянутого в статье 22(1) и (4) и, по крайней мере, в этих случаях, значимой информации о задействованной логике, а также о значимости и предполагаемых последствиях такой обработки для субъекта данных.

• (a) личность и контактные данные контролера и, если таковые имеются, представителя контролера;
• (b) контактные данные сотрудника по защите данных, где это применимо;
• (c) цели обработки, для которых предназначены персональные данные, а также правовая основа для обработки;
• (d) категории соответствующих персональных данных;
• (e) получатели или категории получателей персональных данных, где это применимо;
• (f) где применимо, что контролер намеревается передать персональные данные получателю в третьей стране или международной организации и наличие или отсутствие соответствующего решения Комиссии, или в случае передач, упомянутых в статье 46 или 47, или во втором подпункте статьи 49(1), ссылка на соответствующие или приемлемые гарантии и средства получения их копии или где они были предоставлены.

• (а) период, в течение которого будут храниться персональные данные, или, если это невозможно, критерии, используемые для определения этого периода;
• (b) если обработка основана на пункте (f) статьи 6(1), законных интересах, преследуемых контролером или третьей стороной;
• (c) наличие права запрашивать у контролера доступ к персональным данным, их исправление или удаление или ограничение обработки в отношении субъекта данных и возражать против обработки, а также права на переносимость данных;
• (d) если обработка основана на пункте (a) статьи 6(1) или пункте (a) статьи 9(2), наличие права отозвать согласие в любое время, не затрагивая законность обработки, основанной на согласии до его отзыва;
• (e) право подать жалобу в надзорный орган;
• (f) из какого источника происходят персональные данные, и, если применимо, получены ли они из общедоступных источников;
• (g) наличие автоматизированного процесса принятия решений, включая профилирование, упомянутого в статье 22(1) и (4) и, по крайней мере, в этих случаях, значимой информации о задействованной логике, а также о значимости и предполагаемых последствиях такой обработки для субъекта данных.

• (а) в течение разумного периода после получения персональных данных, но не позднее чем в течение одного месяца, с учетом конкретных обстоятельств, при которых обрабатываются персональные данные;
• (b) если персональные данные должны использоваться для связи с субъектом данных, не позднее момента первого сообщения этому субъекту данных; или
• (c) если предполагается раскрытие информации другому получателю, не позднее момента первого раскрытия персональных данных.

• (а) субъект данных уже располагает информацией;
• (b) предоставление такой информации оказывается невозможным или потребовало бы непропорциональных усилий, в частности, для обработки в целях архивирования в общественных интересах, научных или исторических исследований или статистических целей, при соблюдении условий и гарантий, упомянутых в статье 89(1), или в той мере, в какой обязательство, упомянутое к в пункте 1 настоящей статьи, вероятно, сделает невозможным или серьезно затруднит достижение целей такой обработки. В таких случаях контролер должен принять надлежащие меры для защиты прав, свобод и законных интересов субъекта данных, включая предоставление информации в открытый доступ;
• (c) получение или раскрытие прямо предусмотрено законодательством Союза или государства-члена, которому подчиняется контролер и которое предусматривает соответствующие меры для защиты законных интересов субъекта данных; или
• (d) когда персональные данные должны оставаться конфиденциальными в соответствии с обязательством хранить профессиональную тайну, регулируемым законодательством Союза или государства-члена, включая установленное законом обязательство хранить тайну.

• (а) цели обработки;
• (b) категории соответствующих персональных данных;
• (c) получатели или категории получателей, которым были или будут раскрыты персональные данные, в частности получатели в третьих странах или международных организациях;
• (d) где это возможно, предполагаемый период, в течение которого будут храниться персональные данные, или, если это невозможно, критерии, используемые для определения этого периода;
• (e) наличие права требовать от контролера исправления или удаления персональных данных или ограничения обработки персональных данных, касающихся субъекта данных, или возражать против такой обработки;
• (f) право подать жалобу в надзорный орган;
• (g) если персональные данные не собираются от субъекта данных, любая доступная информация об их источнике;
• (h) наличие автоматизированного процесса принятия решений, включая профилирование, упомянутого в статье 22(1) и (4) и, по крайней мере, в этих случаях, значимой информации о задействованной логике, а также о значимости и предполагаемых последствиях такой обработки для субъекта данных.

• (а) персональные данные больше не являются необходимыми в связи с целями, для которых они были собраны или иным образом обработаны;
• (б) субъект данных отзывает согласие, на котором основана обработка в соответствии с пунктом (а) статьи 6(1) или пунктом (а) статьи 9(2), и если нет других законных оснований для обработки;
• (c) субъект данных возражает против обработки в соответствии со статьей 21(1) и нет никаких преобладающих законных оснований для обработки, или субъект данных возражает против обработки в соответствии со статьей 21(2);
• (d) персональные данные были незаконно обработаны;
• (e) персональные данные должны быть удалены в соответствии с юридическим обязательством в законодательстве Союза или государства-члена, которому подчиняется контролер;
• (f) персональные данные были собраны в связи с предложением услуг информационного общества, упомянутых в статье 8(1).

• (а) за осуществление права на свободу выражения мнений и информации;
• (b) для соблюдения юридического обязательства, которое требует обработки в соответствии с законодательством Союза или государства-члена, которому подчиняется контролер, или для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, возложенных на контролера;
• (c) по соображениям общественного интереса в области общественного здравоохранения в соответствии с пунктами (h) и (i) статьи 9(2), а также статьи 9(3);
• (d) для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей в соответствии со статьей 89(1) в той мере, в какой право, упомянутое в пункте 1, может сделать невозможным или серьезно затруднить достижение целей такой обработки; или
• (e) для предъявления, осуществления или защиты юридических требований.

• (а) точность персональных данных оспаривается субъектом данных в течение периода, позволяющего контролеру проверить точность персональных данных;
• (б) обработка является незаконной, и субъект данных выступает против удаления персональных данных и вместо этого просит ограничить их использование;
• (c) контролеру больше не нужны персональные данные для целей обработки, но они требуются субъекту данных для установления, осуществления или защиты юридических требований;
• (d) субъект данных возразил против обработки в соответствии со статьей 21(1) до проверки того, преобладают ли законные основания контролера над основаниями субъекта данных.

• (а) обработка основана на согласии в соответствии с пунктом (а) статьи 6(1) или пунктом (а) статьи 9(2) или на договоре в соответствии с пунктом (б) статьи 6(1); и
• (б) обработка осуществляется автоматизированным средства.

• (а) необходимо для заключения или исполнения контракта между субъектом данных и контролером данных;
• (b) разрешено законодательством Союза или государства-члена, которому подчиняется контролер, и которое также устанавливает надлежащие меры для защиты прав и свобод субъекта данных и законных интересов; или
• (c) основывается на явном согласии субъекта данных.

• (а) цели обработки или категории обработки;
• (b) категории персональных данных;
• (c) объем введенных ограничений;
• (d) гарантии предотвращения злоупотреблений или незаконного доступа или передачи;
• (e) спецификация контроллера или категорий контроллеров;
• (f) сроки хранения и применимые меры предосторожности с учетом
• характера, объема и целей обработки или категорий обработки;
• (g) риски для прав и свобод субъектов данных; и
• (h) право субъектов данных на получение информации об ограничении, за исключением случаев, когда это может нанести ущерб цели ограничения.

• (а) обрабатывает персональные данные только по задокументированным инструкциям контролера, в том числе в отношении передачи персональных данных в третью страну или международную организацию, за исключением случаев, когда этого требует законодательство Союза или государства-члена, которому подчиняется обработчик; в таком случае обработчик должен сообщить контролер этого юридического требования перед обработкой, если только этот закон не запрещает такую информацию по важным основаниям, представляющим общественный интерес;
• (b) гарантирует, что лица, уполномоченные обрабатывать персональные данные, обязались соблюдать конфиденциальность или находятся под соответствующим законодательным обязательством по соблюдению конфиденциальности;
• (c) принимает все меры, требуемые в соответствии со статьей 32;
• (d) соблюдает условия, упомянутые в пунктах 2 и 4, для привлечения другого обработчика;
• (e) принимая во внимание характер обработки, помогает контролеру соответствующими техническими и организационными мерами, насколько это возможно, для выполнения обязанности контролера отвечать на запросы об осуществлении прав субъекта данных, изложенных в главе III;
• (f) помогает контролеру в обеспечении соблюдения обязательств в соответствии со статьями 32-36, принимая во внимание характер обработки и информацию, доступную обработчику;
• (g) по выбору контролера удаляет или возвращает все персональные данные контролеру после окончания предоставления услуг, связанных с обработкой, и удаляет существующие копии, если законодательство Союза или государства-члена не требует хранения персональных данных;
• (h) предоставляет контролеру всю информацию, необходимую для демонстрации соблюдения обязательств, изложенных в настоящей статье, и позволяет проводить аудиты, включая инспекции, проводимые контролером или другим аудитором, уполномоченным контролером, и вносит в них свой вклад.

• (a) имя и контактные данные контролера и, где применимо, совместного контролера, представителя контролера и сотрудника по защите данных;
• (b) цели обработки;
• (c) описание категорий субъектов данных и категорий персональных данных;
• (d) категории получателей, которым были или будут раскрыты персональные данные, включая получателей в третьих странах или международных организациях;
• (e) где применимо, передача персональных данных в третью страну или международную организацию, включая идентификацию этой третьей страны или международной организации и, в случае передач, упомянутых во втором подпункте статьи 49(1), документирование соответствующих гарантий;
• (f) там, где это возможно, предусмотренные сроки для удаления различных категорий данных;
• (g) по возможности, общее описание технических и организационных мер безопасности, упомянутых в статье 32(1).

• (а) имя и контактные данные обработчика или обработчиков и каждого контролера, от имени которого действует обработчик, и, где применимо, представителя контролера или обработчика и сотрудника по защите данных;
• (b) категории обработки, выполняемой от имени каждого контролера;
• (c) где применимо, передача персональных данных третьей стране или международной организации, включая идентификацию этой третьей страны или международной организации и, в случае передач, упомянутых во втором подпункте статьи 49(1), документирование соответствующих гарантий;
• (d) по возможности, общее описание технических и организационных мер безопасности, упомянутых в статье 32(1).

• (а) псевдонимизация и шифрование персональных данных;
• (b) способность обеспечивать постоянную конфиденциальность, целостность, доступность и устойчивость систем обработки и услуг;
• (c) возможность своевременного восстановления доступности и доступа к персональным данным в случае физического или технического инцидента;
• (d) процесс регулярного тестирования, оценки и опровержения эффективности технических и организационных мер по обеспечению безопасности обработки.

• (а) описать характер нарушения, включая, где это возможно, категории и приблизительное количество соответствующих субъектов данных, а также категории и приблизительное количество соответствующих записей персональных данных;
• (b) сообщите имя и контактные данные сотрудника по защите данных или другого контактного лица, где можно получить дополнительную информацию;
• (c) опишите вероятные последствия нарушения;
• (d) опишите меры, принятые или предлагаемые к принятию контролером для устранения нарушения, включая, при необходимости, меры по смягчению его возможных негативных последствий.

• (a) где применимо, соответствующие обязанности контролера, совместных контролеров и обработчиков, участвующих в обработке, в частности, для обработки в рамках группы предприятий;
• (b) цели и средства предполагаемой обработки;
• (c) меры и гарантии, предусмотренные для защиты прав и свобод субъектов данных в соответствии с настоящим Регламентом;
• (d) где применимо, контактные данные сотрудника по защите данных;
• (e) оценка воздействия на защиту данных, предусмотренная в статье 35; и
• (f) любая другая информация, запрошенная надзорным органом.

• (а) обработка осуществляется государственным органом или учреждением, за исключением судов, действующих в своем судебном качестве;
• (b) основная деятельность контролера или обработчика состоит из операций обработки, которые в силу их характера, объема и/или целей требуют регулярного и систематического мониторинга субъектов данных в больших масштабах; или
• (c) основная деятельность контролера или обработчика данных заключается в широкомасштабной обработке специальных категорий данных в соответствии со статьей 9 и персональных данных, относящихся к уголовным приговорам и преступлениям, упомянутым в статье 10.

• (а) информировать и консультировать контролера или обработчика и сотрудников, которые осуществляют обработку, об их обязательствах в соответствии с настоящим Регламентом и другими положениями Союза или государства-члена о защите данных;
• (b) контролировать соблюдение настоящего Регламента, других положений Союза или государства-члена о защите данных и политики контролера или обработчика в отношении защиты персональных данных, включая распределение обязанностей, повышение осведомленности и обучение персонала, участвующего в операциях обработки, и соответствующие аудиты;
• (c) предоставлять консультации по запросу в отношении оценки воздействия на защиту данных и контролировать ее выполнение в соответствии со статьей 35;
• (d) сотрудничать с надзорным органом;
• (e) выступать в качестве контактного лица для надзорного органа по вопросам, связанным с обработкой, включая предварительную консультацию, упомянутую в статье 36, и консультироваться, при необходимости, по любому другому вопросу.

• (a) справедливая и прозрачная обработка;
• (b) законные интересы, преследуемые контролерами в конкретных контекстах;
• (c) сбор персональных данных;
• (d) псевдонимизация персональных данных;
• (e) информация, предоставляемая общественности и субъектам данных;
• (f) осуществление прав субъектов данных;
• (g) информация, предоставляемая детям, и защита детей, а также способ получения согласия лиц, несущих родительскую ответственность за детей;
• (h) меры и процедуры, упомянутые в статьях 24 и 25, и меры по обеспечению безопасности обработки, упомянутые в статье 32;
• (i) уведомление надзорных органов о нарушениях персональных данных и доведение информации о таких нарушениях персональных данных до субъектов данных;
• (j) передача персональных данных третьим странам или международным организациям; или
• (k) внесудебные разбирательства и другие процедуры разрешения споров для разрешения споров между контролерами и субъектами данных в отношении обработки, без ущерба для прав субъектов данных в соответствии со статьями 77 и 79.

• (а) верховенство закона, уважение прав человека и основных свобод, соответствующее законодательство, как общее, так и отраслевое, в том числе касающееся общественной безопасности, обороны, национальной безопасности и уголовного права и доступа государственных органов к персональным данным, а также осуществление такого законодательства, правил защиты данных, профессиональных правила и меры безопасности, включая правила дальнейшей передачи персональных данных в другую третью страну или международную организацию, которые соблюдаются в этой стране или международной организации, прецедентное право, а также эффективные и подлежащие исполнению права субъектов данных и эффективное административное и судебное возмещение для субъектов данных, чьи персональные данные передаются;
• (b) существование и эффективное функционирование одного или нескольких независимых надзорных органов в третьей стране или которым подчиняется международная организация, несущих ответственность за обеспечение и обеспечение соблюдения правил защиты данных, включая надлежащие правоприменительные полномочия, за оказание помощи и консультирование субъектов данных в осуществлении их прав и за сотрудничество с надзорными органами государств-членов; и
• (c) международные обязательства, принятые соответствующей третьей страной или международной организацией, или другие обязательства, вытекающие из юридически обязательных конвенций или документов, а также из ее участия в многосторонних или региональных системах, в частности, в отношении защиты персональных данных.

• (а) являются юридически обязательными и применяются к каждому заинтересованному члену группы предприятий или группы предприятий, осуществляющих совместную экономическую деятельность, включая их работников, и соблюдаются ими;
• (b) прямо предоставлять субъектам данных права, подлежащие исполнению, в отношении обработки их персональных данных; и
• (c) выполнять требования, изложенные в пункте 2

• (а) разработать механизмы международного сотрудничества для содействия эффективному применению законодательства о защите персональных данных;
• (b) оказывать международную взаимную помощь в обеспечении соблюдения законодательства о защите персональных данных, в том числе посредством уведомления, направления жалоб, оказания помощи в расследовании и обмена информацией, при условии соблюдения надлежащих гарантий защиты персональных данных и других основных прав и свобод;
• (c) привлекать соответствующие заинтересованные стороны к обсуждению и мероприятиям, направленным на развитие международного сотрудничества в обеспечении соблюдения законодательства о защите персональных данных;
• (d) содействовать обмену и документированию законодательства и практики в области защиты персональных данных, в том числе в отношении юрисдикционных конфликтов с третьими странами.

Независимые надзорные органы

Сотрудничество и согласованность

Средства правовой защиты, ответственность и штрафы

Положения касающиеся конкретных ситуаций обработки

Делегирование и акты по осуществлению

Заключительные положения