1. Настоящий Регламент устанавливает правила, касающиеся защиты физических лиц в отношении обработки персональных данных, и правила, касающиеся свободного перемещения персональных данных.

2. Настоящий Регламент защищает основные права и свободы физических лиц и, в частности, их право на защиту персональных данных.

 (1) Защита физических лиц в связи с обработкой персональных данных является основополагающим правом. Статья 8(1) Хартии основных прав Европейского Союза ("Хартия") и статья 16(1) Договора о функционировании Европейского Союза (TFEU) предусматривают, что каждый человек имеет право на защиту персональных данных, касающихся его или ее.

(2) Принципы и правила защиты физических лиц в отношении обработки их персональных данных должны, независимо от их гражданства или места жительства, уважать их основные права и свободы, в частности их право на защиту персональных данных. Этот Регламент призван способствовать созданию зоны свободы, безопасности и справедливости, а также экономического союза, экономическому и социальному прогрессу, укреплению и сближению экономик в рамках внутреннего рынка и благосостоянию физических лиц.

(3) Директива 95/46/EC Европейского парламента и Совета направлена на гармонизацию защиты основных прав и свобод физических лиц в отношении деятельности по обработке и на обеспечение свободного обмена персональными данными между государствами-членами.

(4) Обработка персональных данных должна быть направлена на служение человечеству. Право на защиту персональных данных не является абсолютным правом; оно должно рассматриваться в связи с его функцией в обществе и быть сбалансировано с другими основными правами в соответствии с принципом пропорциональности. Настоящий Регламент уважает все основные права и соблюдает свободы и принципы, признанные в Хартии и закрепленные в Договорах, в частности уважение частной и семейной жизни, жилища и коммуникаций, защиту персональных данных, свободу мысли, совести и религии, свободу выражения мнений и информации, свободу проводить бизнес, право на эффективное средство правовой защиты и справедливое судебное разбирательство, а также культурное, религиозное и языковое разнообразие.

(5) Экономическая и социальная интеграция, обусловленная функционированием внутреннего рынка, привела к существенному увеличению трансграничных потоков персональных данных. Расширился обмен персональными данными между государственными и частными субъектами, включая физических лиц, ассоциации и предприятия по всему Союзу. Законодательство Союза призывает национальные органы власти в государствах-членах сотрудничать и обмениваться персональными данными, чтобы иметь возможность выполнять свои обязанности или выполнять задачи от имени органа власти в другом государстве-члене.

(6) Стремительное развитие технологий и глобализация поставили новые задачи в области защиты персональных данных. Масштабы сбора персональных данных и обмена ими значительно возросли. Технология позволяет как частным компаниям, так и государственным органам использовать персональные данные в беспрецедентных масштабах для осуществления своей деятельности. Физические лица все чаще делают личную информацию доступной публично и по всему миру. Технологии изменили как экономику, так и социальную жизнь и должны способствовать дальнейшему свободному перемещению персональных данных внутри Союза и передаче третьим странам и международным организациям, обеспечивая при этом высокий уровень защиты персональных данных.

(7) Эти изменения требуют сильной и более согласованной системы защиты данных в Союзе (здесь и далее ЕС), подкрепленной строгим правоприменением, учитывая важность создания доверия, которое позволит цифровой экономике развиваться на внутреннем рынке. Физические лица должны иметь контроль над своими собственными персональными данными. Следует повысить правовую и практическую определенность для физических лиц, экономических операторов и государственных органов.

(8) В тех случаях, когда настоящий Регламент предусматривает уточнения или ограничения его правил законодательством государств-членов, государства-члены могут, насколько это необходимо для согласованности и для того, чтобы национальные положения были понятны лицам, к которым они применяются, включать элементы этого Регламента в свое национальное законодательство.

(9) Цели и принципы Директивы 95/46/EC остаются разумными, но это не предотвратило фрагментацию в реализации защиты данных по всему Союзу, правовую неопределенность или широко распространенное общественное мнение о том, что существуют значительные риски для защиты физических лиц, в частности, в отношении онлайн-активности. Различия в уровне защиты прав и свобод физических лиц, в частности права на защиту персональных данных, в отношении обработки персональных данных в государствах-членах могут препятствовать свободному потоку персональных данных по всему Союзу. Таким образом, эти различия могут представлять собой препятствие для осуществления экономической деятельности на уровне Союза, искажать конкуренцию и препятствовать органам власти в выполнении их обязанностей в соответствии с законодательством Союза. Такая разница в уровнях защиты обусловлена существованием различий в реализации и применении Директивы 95/46/EC.

(10) Чтобы обеспечить последовательный и высокий уровень защиты физических лиц и устранить препятствия для потоков персональных данных внутри Союза, уровень защиты прав и свобод физических лиц в отношении обработки таких данных должен быть эквивалентным во всех государствах-членах. Последовательное и однородное применение правил защиты основных прав и свобод физических лиц в отношении обработки персональных данных должно быть обеспечено на всей территории Союза. Что касается обработки персональных данных в соответствии с юридическим обязательством, для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера, государствам-членам должно быть разрешено сохранять или вводить национальные положения для дальнейшего уточнения применения правил настоящего Регламента. В сочетании с общим и горизонтальным законом о защите данных, реализующим Директиву 95/46/EC, государства-члены имеют несколько отраслевых законов в областях, которые нуждаются в более конкретных положениях. Этот Регламент также предоставляет государствам-членам свободу маневра в определении своих правил, в том числе в отношении обработки особых категорий персональных данных ("конфиденциальные данные"). В этом смысле настоящий Регламент не исключает законодательство государств-членов ЕС, которое устанавливает обстоятельства для конкретных ситуаций обработки, включая более точное определение условий, при которых обработка персональных данных является законной.

(11) Эффективная защита персональных данных на всей территории Союза требует усиления и детального определения прав субъектов данных и обязанностей тех, кто обрабатывает и определяет порядок обработки персональных данных, а также эквивалентных полномочий по мониторингу и обеспечению соблюдения правил защиты персональных данных и эквивалентных санкций за нарушения в государствах-членах.

(12) Статья 16(2) TFEU обязывает Европейский парламент и Совет установить правила, касающиеся защиты физических лиц в отношении обработки персональных данных, и правила, касающиеся свободного перемещения персональных данных.

(13) Чтобы обеспечить постоянный уровень защиты физических лиц на всей территории Союза и предотвратить расхождения, препятствующие свободному перемещению персональных данных на внутреннем рынке, необходимо Регулирование, обеспечивающее правовую определенность и прозрачность для экономических операторов, включая микро-, малые и средние предприятия, и предоставляющее физическим лицам во всех государствах-членах с одинаковым уровнем юридически закрепленных прав и обязанностей, а также ответственности контролеров и обработчиков для обеспечения последовательного мониторинга обработки персональных данных, и эквивалентные санкции во всех государствах-членах, а также эффективное сотрудничество между надзорными органами различных государств-членов. Надлежащее функционирование внутреннего рынка требует, чтобы свободное перемещение персональных данных внутри Союза не ограничивалось и не запрещалось по причинам, связанным с защитой физических лиц в отношении обработки персональных данных. Чтобы учесть конкретную ситуацию микро-, малых и средних предприятий, это Постановление предусматривает отступление для организаций с численностью менее 250 сотрудников в отношении ведения учета. Кроме того, учреждениям и органам Союза, а также государствам-членам и их надзорным органам рекомендуется учитывать конкретные потребности микро-, малых и средних предприятий при применении настоящего Регламента. Понятие микро-, малых и средних предприятий должно быть взято из статьи 2 Приложения к Рекомендации 2003/361/ЕС Комиссии.

(14) Защита, предоставляемая настоящим Регламентом, должна применяться к физическим лицам, независимо от их гражданства или места жительства, в отношении обработки их персональных данных. Настоящий Регламент не распространяется на обработку персональных данных, которые касаются юридических лиц и, в частности, предприятий, созданных в качестве юридических лиц, включая название и форму юридического лица и контактные данные юридического лица.

(15) Чтобы предотвратить создание серьезного риска обхода, защита физических лиц должна быть технологически нейтральной и не зависеть от используемых методов. Защита физических лиц должна применяться к обработке персональных данных автоматизированными средствами, а также к ручной обработке, если персональные данные содержатся или предназначены для хранения в системе регистрации. Файлы или наборы файлов, а также их титульные страницы, которые не структурированы в соответствии с конкретными критериями, не должны подпадать под действие настоящего Регламента.

(16) Настоящий Регламент не применяется к вопросам защиты основных прав и свобод или свободного потока персональных данных, связанных с деятельностью, которая выходит за рамки законодательства Союза, такой как деятельность, касающаяся национальной безопасности. Настоящий Регламент не применяется к обработке персональных данных государствами-членами при осуществлении деятельности, связанной с общей внешней политикой Союза и политикой безопасности.

(b) государствами-членами при осуществлении деятельности, подпадающей под действие главы 2 Раздела V TEU;

(18) Настоящий Регламент не применяется к обработке персональных данных физическим лицом в ходе чисто личной или бытовой деятельности и, следовательно, не имеет отношения к профессиональной или коммерческой деятельности. Личная или домашняя деятельность может включать переписку и хранение адресов, а также социальные сети и онлайн-активность, осуществляемую в контексте такой деятельности. Однако это Положение применяется к контролерам или обработчикам, которые предоставляют средства для обработки персональных данных для такой личной или бытовой деятельности.

(19) Защита физических лиц в отношении обработки персональных данных компетентными органами в целях предотвращения, расследования, выявления или судебного преследования уголовных преступлений или исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и свободное перемещение таких данных, является предмет конкретного союзного правового акта. Таким образом, данное Регулирование не должно применяться к деятельности по обработке для этих целей. Однако персональные данные, обрабатываемые государственными органами в соответствии с настоящим Регламентом, должны, при использовании в этих целях, регулироваться более конкретным правовым актом Союза, а именно Директивой (ЕС) 2016/680 Европейского парламента и Совета1. Государства-члены могут поручать компетентным органам по смыслу Директивы (ЕС) 2016/680 задачи, которые не обязательно выполняются в целях предотвращения, расследования, выявления или судебного преследования уголовных преступлений или исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и их предотвращение, с тем чтобы обработка персональных данных для этих других целей, в той мере, в какой это подпадает под действие законодательства Союза, подпадает под действие настоящего Регламента.
Что касается обработки персональных данных этими компетентными органами в целях, подпадающих под действие настоящего Регламента, государства-члены должны иметь возможность сохранить или ввести более конкретные положения для адаптации применения правил настоящего Регламента. Такие положения могут более точно определять конкретные требования к обработке персональных данных этими компетентными органами для этих других целей, принимая во внимание конституционную, организационную и административную структуру соответствующего государства-члена. Когда обработка персональных данных частными организациями подпадает под действие настоящего Регламента, этот Регламент должен предусматривать возможность для государств-членов при определенных условиях ограничивать законом определенные обязательства и права, когда такое ограничение представляет собой необходимую и соразмерную меру в демократическом обществе для защиты конкретных важных интересов, включая общественную безопасность и предупреждение, расследование, раскрытие или судебное преследование уголовных преступлений или исполнение уголовных наказаний, включая защиту от угроз общественной безопасности и их предотвращение. Это актуально, например, в рамках борьбы с отмыванием денег или деятельности судебно-медицинских лабораторий.

(17) Регламент (ЕС) № 45/2001 Европейского парламента и Совета применяется к обработке персональных данных учреждениями, органами, управлениями и агентствами Союза. Регламент (ЕС) № 45/2001 и другие правовые акты Союза, применимые к такой обработке персональных данных, должны быть адаптированы к принципам и правилам, установленным в настоящем Регламенте, и применяться в свете этого Регламента. Чтобы обеспечить надежную и согласованную систему защиты данных в Союзе, после принятия настоящего Регламента должны последовать необходимые изменения в Регламенте (ЕС) № 45/2001, чтобы разрешить применение одновременно с настоящим Регламентом

(172) В соответствии со статьей 28(2) Регламента (ЕС) № 45/2001 были проведены консультации с Европейским надзорным органом по защите данных, который 7 марта 2012 года вынес заключение.

(21) Настоящий Регламент отменяет применения Директивы 2000/31/EC Европейского парламента и Совета, в частности правил ответственности поставщиков посреднических услуг в статьях 12-15 этой Директивы. Эта Директива направлена на содействие надлежащему функционированию внутреннего рынка путем обеспечения свободного перемещения услуг информационного общества между государствами-членами.

(20) Хотя настоящий Регламент применяется, в частности, к деятельности судов и других судебных органов, законодательство Союза или государства-члена может определять операции по обработке и процедуры обработки в отношении обработки персональных данных судами и другими судебными органами. Компетенция надзорных органов не должна охватывать обработку персональных данных, когда суды действуют в своем судебном качестве, в целях обеспечения независимости судебной власти при выполнении ее судебных задач, включая принятие решений. Должна быть возможность поручить надзор за такими операциями по обработке данных конкретным органам судебной системы государства-члена, которые должны, в частности, обеспечивать соблюдение правил настоящего Регламента, повышать осведомленность членов судебной системы об их обязательствах в соответствии с настоящим Регламентом и рассматривать жалобы в связи с такой обработкой данных операции.

(27) Настоящее Положение не распространяется на персональные данные умерших лиц. Государства-члены могут устанавливать правила, касающиеся обработки персональных данных умерших лиц.

(22) Любая обработка персональных данных в контексте деятельности учреждения контролера или обработчика в Союзе должна осуществляться в соответствии с настоящим Регламентом, независимо от того, происходит ли сама обработка внутри Союза. Учреждение подразумевает эффективное и реальное осуществление деятельности на основе стабильных договоренностей. Правовая форма таких соглашений, будь то через филиал или дочернюю компанию с юридическим лицом, не является определяющим фактором в этом отношении.

(23) Для обеспечения того, чтобы физические лица не были лишены защиты, на которую они имеют право в соответствии с настоящим Регламентом, обработка персональных данных субъектов данных, находящихся в Союзе, контролером или обработчиком, не учрежденным в Союзе, должна подпадать под действие настоящего Регламента, если деятельность по обработке связанные с предложением товаров или услуг таким субъектам данных, независимо от того, связаны ли они с платежом. Чтобы определить, предлагает ли такой контролер или обработчик товары или услуги субъектам данных, находящимся в Союзе, следует выяснить, очевидно ли, что контролер или обработчик планирует предлагать услуги субъектам данных в одном или нескольких государствах - членах Союза. Принимая во внимание, что простой доступности веб-сайта контролера, обработчика или посредника в Союзе, адреса электронной почты или других контактных данных или использования языка, обычно используемого в третьей стране, где установлен контролер, недостаточно для подтверждения такого намерения, такие факторы, как использование языка или валюты, обычно используемых в одном или нескольких государствах-членах, с возможностью заказа товаров и услуг на этом другом языке или упоминания клиентов или пользователей, которые находятся в Союзе, может сделать очевидным, что контролер планирует предлагать товары или услуги субъектам данных в Союзе.

(24) Обработка персональных данных субъектов данных, находящихся в Союзе, контролером или обработчиком, не  зарегистрированным в Союзе, также должна подпадать под действие настоящего Регламента, когда это связано с мониторингом поведения таких субъектов данных в той мере, в какой их поведение происходит в Союзе. Чтобы определить, можно ли рассматривать деятельность по обработке для мониторинга поведения субъектов данных, следует выяснить, отслеживаются ли физические лица в Интернете, включая возможное последующее использование методов обработки персональных данных, которые включают профилирование физического лица, в частности, для принятия решений в отношении нее или его или для анализ или прогнозирование ее или его личных предпочтений, поведения и установок.

(25) Если законодательство государства-члена применяется в силу международного публичного права, этот Регламент должен также применяться к контролеру, не учрежденному в Союзе, например, в дипломатическом представительстве или консульском учреждении государства-члена.

(30) Физические лица могут быть связаны с онлайн-идентификаторами, предоставляемыми их устройствами, приложениями, инструментами и протоколами, такими как адреса интернет-протокола, идентификаторы файлов cookie или другие идентификаторы, такие как метки радиочастотной идентификации. Это может оставить следы, которые, в частности, в сочетании с уникальными идентификаторами и другой информацией, полученной серверами, могут быть использованы для создания профилей физических лиц и их идентификации.

(2) "обработка" означает любую операцию или набор операций, которые выполняются с персональными данными или с наборами персональных данных, независимо от того, автоматизированы они или нет, такие как сбор, запись, организация, структурирование, хранение, адаптация или изменение, извлечение, консультации, использование, раскрытие путем передачи, распространения или иным образом предоставление доступа, выравнивание или комбинирование, ограничение, стирание или уничтожение;

(3) "ограничение обработки" означает маркировку хранимых персональных данных с целью ограничения их обработки в будущем;

(4) "профилирование" означает любую форму автоматизированной обработки персональных данных, состоящую в использовании персональных данных для оценки определенных личных аспектов, относящихся к физическому лицу, в частности, для анализа или прогнозирования аспектов, касающихся производительности этого физического лица на работе, экономического положения, здоровья, личных предпочтений, интересов, надежности, поведение, местоположение или перемещения;

(26) Принципы защиты данных должны применяться к любой информации, касающейся идентифицированного или поддающегося идентификации физического лица. Персональные данные, которые подверглись псевдонимизации и которые могут быть отнесены к физическому лицу с помощью дополнительной информации, следует рассматривать как информацию об идентифицируемом физическом лице. Чтобы определить, можно ли идентифицировать физическое лицо, следует учитывать все средства, которые с разумной вероятностью могут быть использованы, такие как выделение контролером или другим лицом для прямой или косвенной идентификации физического лица. Чтобы определить, есть ли разумная вероятность использования средств для идентификации физического лица, следует учитывать все объективные факторы, такие как затраты и количество времени, необходимое для идентификации, с учетом имеющейся технологии на момент обработки и технологических разработок. Поэтому принципы защиты данных не должны применяться к анонимной информации, а именно к информации, которая не относится к идентифицированному или поддающемуся идентификации физическому лицу, или к персональным данным, ставшим анонимными таким образом, что субъект данных не идентифицируется или перестает быть идентифицируемым. Таким образом, настоящее Постановление не касается обработки такой анонимной информации, в том числе в статистических или исследовательских целях.

(28) Применение псевдонимизации к персональным данным может снизить риски для соответствующих субъектов данных и помочь контролерам и обработчикам выполнять свои обязательства по защите данных. Прямое введение "псевдонимизации" в настоящем Регламенте не направлено на то, чтобы исключить какие-либо другие меры защиты данных.

(29) Для того, чтобы создать стимулы для применения псевдонимизации при обработке персональных данных, меры псевдонимизации должны, хотя и допускающие общий анализ, быть возможными в рамках одного и того же контролера, когда этот контролер принял технические и организационные меры, необходимые для обеспечения выполнения данного Регламента в отношении соответствующей обработки, и что дополнительная информация для отнесения персональных данных к конкретному субъекту данных хранятся отдельно. Контролер, обрабатывающий персональные данные, должен указать уполномоченных лиц в рамках одного и того же контролера.

(6) "система регистрации" означает любой структурированный набор персональных данных, которые доступны в соответствии с конкретными критериями, будь то централизованные, децентрализованные или рассредоточенные по функциональной или географической основе;

(7) "контролер" означает физическое или юридическое лицо, государственный орган, агентство или другой орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных; если цели и средства такой обработки определены законодательством Союза или государства-члена, контролер или конкретные критерии для его выдвижения могут быть предусмотрены законодательством Союза или государства-члена;

(8) "обработчик" означает физическое или юридическое лицо, государственный орган, агентство или другой орган, который обрабатывает персональные данные от имени контролера;

(31) Государственные органы, которым персональные данные раскрываются в соответствии с юридическим обязательством для выполнения их официальной миссии, такие как налоговые и таможенные органы, подразделения финансовых расследований, независимые административные органы или органы финансового рынка, ответственные за регулирование и надзор за рынками ценных бумаг, не должны рассматриваться в качестве получателей, если они получать персональные данные, которые необходимы для выполнения конкретного запроса в общих интересах, в соответствии с законодательством Союза или государства-члена. Запросы о раскрытии информации, направляемые государственными органами, всегда должны быть в письменной форме, аргументированными и нерегулярными и не должны касаться всей системы подачи документов или приводить к объединению систем подачи документов. Обработка персональных данных этими государственными органами должна соответствовать применимым правилам защиты данных в соответствии с целями обработки.

(10) "третья сторона" означает физическое или юридическое лицо, государственный орган, агентство или орган, отличный от субъекта данных, контролера, обработчика и лиц, которые, под непосредственным руководством контролера или обработчика, уполномочены обрабатывать персональные данные;

(32) Согласие должно быть дано посредством четкого утвердительного акта, устанавливающего свободно данное, конкретное, информированное и недвусмысленное указание согласия субъекта данных на обработку относящихся к нему персональных данных, например, посредством письменного заявления, в том числе с помощью электронных средств, или устного заявления. Это может включать в себя установку флажка при посещении веб-сайта в Интернете, выбор технических настроек для услуг информационного общества или другое заявление или поведение, которое четко указывает в этом контексте на согласие субъекта данных с предлагаемой обработкой его или ее персональных данных. Таким образом, молчание, предварительно отмеченные флажки или бездействие не должны означать согласия. Согласие должно охватывать все действия по обработке, осуществляемые с одной и той же целью или для других целей. Когда обработка преследует несколько целей, согласие должно быть дано на все из них. Если согласие субъекта данных должно быть дано после запроса с помощью электронных средств, запрос должен быть четким, кратким и без необходимости не нарушать использование услуги, для которой он предоставляется.

(33) Часто бывает невозможно полностью определить цель обработки персональных данных в научно-исследовательских целях на момент сбора данных. Следовательно, субъектам данных должно быть разрешено давать свое согласие на определенные области научных исследований в соответствии с признанными этическими стандартами научных исследований. Субъекты данных должны иметь возможность давать свое согласие только на определенные области исследований или части исследовательских проектов в той мере, в какой это допускается предполагаемой целью.

(12) "нарушение персональных данных" означает нарушение безопасности, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к персональным данным, передаваемым, хранимым или иным образом обработанным;

(34) Генетические данные следует определять как персональные данные, относящиеся к унаследованным или приобретенным генетическим характеристикам физического лица, которые являются результатом анализа биологического образца данного физического лица, в частности хромосомного анализа, анализа дезоксирибонуклеиновой кислоты (ДНК) или рибонуклеиновой кислоты (РНК), или анализа другого элемента, позволяющего получать эквивалентную информацию.

(14) "биометрические данные" означают персональные данные, полученные в результате специальной технической обработки, относящиеся к физическим, физиологическим или поведенческим характеристикам физического лица, которые позволяют или подтверждают уникальную идентификацию этого физического лица, такие как изображения лица или дактилоскопические данные;

(35) Персональные данные, касающиеся здоровья, должны включать все данные, относящиеся к состоянию здоровья субъекта данных, которые раскрывают информацию, относящуюся к прошлому, текущему или будущему состоянию физического или психического здоровья субъекта данных. Это включает информацию о физическом лице, собранную в ходе регистрации или предоставления медицинских услуг, как указано в Директиве 2011/24/EU Европейского парламента и Совета, в отношении этого физического лица; номер, символ или конкретная информация, присвоенные физическому лицу для уникальной идентификации физического лица в медицинских целях; информация, полученная в результате тестирования или обследования части тела или телесной субстанции, в том числе из генетических данных и биологических образцов; и любая информация, например, о заболевании, инвалидности, риске заболевания, история болезни, клиническое лечение или физиологическое или биомедицинское состояние субъекта данных независимо от его источника, например, от врача или другого медицинского работника, больницы, медицинского устройства или диагностического теста in vitro.

(a) в отношении контролера, имеющего представительства более чем в одном государстве-члене, место его центрального управления в Союзе, если только решения о целях и средствах обработки персональных данных не принимаются в другом учреждении контролера в Союзе, и последнее учреждение имеет право иметь такие решения выполнены, и в этом случае учреждение, принявшее такие решения, должно рассматриваться как основное учреждение;

(36) Основным учреждением контролера в Союзе должно быть место его центрального управления в Союзе, если только решения о целях и средствах обработки персональных данных не принимаются в другом учреждении контролера в Союзе, и в этом случае это другое учреждение должно рассматриваться как быть главным учреждением. Основное учреждение контролера в Союзе должно определяться в соответствии с объективными критериями и должно подразумевать эффективное и реальное осуществление управленческой деятельности, определяющей основные решения относительно целей и средств обработки посредством стабильных договоренностей. Этот критерий не должен зависеть от того, осуществляется ли обработка персональных данных в этом месте. Наличие и использование технических средств и технологий для обработки персональных данных или деятельности по обработке сами по себе не являются основным учреждением и, следовательно, не являются определяющими критериями для основного учреждения. Основным учреждением переработчика должно быть место его центральной администрации в Союзе или, если у него нет центральной администрации в Союзе, место, где осуществляется основная деятельность по переработке в Союзе. В случаях, связанных как с контролером, так и с обработчиком, компетентный ведущий надзорный орган должен оставаться надзорным органом государства-члена ЕС, где контроллер имеет свое основное представительство, но надзорный орган обработчика должен рассматриваться как заинтересованный надзорный орган, и этот надзорный орган должен участвовать в процедуре сотрудничества, предусмотренной для настоящим Регламентом. В любом случае, надзорные органы государства-члена или государств-членов, в которых у переработчика есть одно или несколько предприятий, не должны рассматриваться в качестве заинтересованных надзорных органов, если проект решения касается только контролера. Если обработка осуществляется группой предприятий, основное учреждение контролирующего предприятия следует рассматривать как основное учреждение группы предприятий, за исключением случаев, когда цели и средства обработки определяются другим предприятием.

(17) "представитель" означает физическое или юридическое лицо, учрежденное в Союзе, которое, назначенное контролером или обработчиком в письменной форме в соответствии со статьей 27, представляет контролера или обработчика в отношении их соответствующих обязательств в соответствии с настоящим Регламентом;

(18) "предприятие" означает физическое или юридическое лицо, занимающееся экономической деятельностью, независимо от его правовой формы, включая партнерства или ассоциации, регулярно занимающиеся экономической деятельностью;

(37) Группа предприятий должна охватывать контролирующее предприятие и контролируемые им предприятия, при этом контролирующим предприятием должно быть предприятие, которое может оказывать доминирующее влияние на другие предприятия в силу, например, права собственности, финансового участия или правил, которые им управляют, или полномочий на защиту персональных данных. правила соблюдены. Предприятие, которое контролирует обработку персональных данных в аффилированных с ним предприятиях, следует рассматривать вместе с этими предприятиями как группу предприятий.

(20) "обязательные корпоративные правила" означают политику защиты персональных данных, которой придерживается контролер или обработчик, созданный на территории государства-члена для передачи или набора передач персональных данных контролеру или обработчику в одной или нескольких третьих странах в рамках группы предприятий или группы предприятия, осуществляющие совместную хозяйственную деятельность;

(21) "надзорный орган" означает независимый государственный орган, учрежденный государством-членом в соответствии со статьей 51;

(а) контролер или обработчик учрежден на территории государства-члена этого надзорного органа;

(b) субъекты данных, проживающие в государстве-члене этого надзорного органа, существенно затронуты или могут быть существенно затронуты обработкой; или

(c) жалоба была подана в этот надзорный орган;

(а) обработка персональных данных, которая осуществляется в контексте деятельности учреждений в более чем одном государстве-члене контролера или обработчика в Союзе, где контролер или обработчик установлены в более чем одном государстве-члене; или

(b) обработка персональных данных, которая осуществляется в контексте деятельности одного учреждения контролера или обработчика в Союзе, но которая существенно влияет или может существенно повлиять на субъектов данных в более чем одном государстве-члене.

(24) "соответствующее и аргументированное возражение" означает возражение относительно того, имеет ли место нарушение настоящего Регламента или нет, или соответствует ли предусмотренное действие в отношении контролера или обработчика настоящему Регламенту, что ясно демонстрирует значимость рисков, связанных с проектом решения в отношении основных прав и свободы субъектов данных и, где это применимо, свободный поток персональных данных внутри Союза;

(25) "услуга информационного общества" означает услугу, определенную в пункте (b) статьи 1(1) Директивы (ЕС) 2015/1535 Европейского парламента и Совета 1;

(26) "международная организация" означает организацию и подчиненные ей органы, регулируемые международным публичным правом, или любой другой орган, который учрежден соглашением между двумя или более странами или на его основе.

(39) Любая обработка персональных данных должна быть законной и справедливой. Для физических лиц должно быть прозрачно, что касающиеся их персональные данные собираются, используются, консультируются или иным образом обрабатываются, а также в каком объеме персональные данные обрабатываются или будут обрабатываться. Принцип прозрачности требует, чтобы любая информация и сообщения, относящиеся к обработке этих персональных данных, были легкодоступными и понятными, а также чтобы использовался ясный и понятный язык. Этот принцип касается, в частности, предоставления субъектам данных информации о личности контролера и целях обработки, а также дополнительной информации для обеспечения справедливой и прозрачной обработки в отношении заинтересованных физических лиц и их права на получение подтверждения и передачу персональных данных, касающихся их, которые обрабатываются. Физические лица должны быть осведомлены о рисках, правилах, гарантиях и правах в связи с обработкой персональных данных и о том, как осуществлять свои права в связи с такой обработкой. В частности, конкретные цели, для которых обрабатываются персональные данные, должны быть явными и законными и определяться во время сбора персональных данных. Персональные данные должны быть адекватными, релевантными и ограничиваться тем, что необходимо для целей, для которых они обрабатываются. Это требует, в частности, обеспечения того, чтобы период, в течение которого хранятся персональные данные, был ограничен строгим минимумом. Персональные данные должны обрабатываться только в том случае, если цель обработки не может быть разумно достигнута другими способами. Чтобы гарантировать, что персональные данные не хранятся дольше, чем необходимо, контролер должен установить временные рамки для удаления или периодического пересмотра. Следует предпринять все разумные шаги для обеспечения того, чтобы персональные данные, которые являются неточными, были исправлены или удалены. Персональные данные должны обрабатываться таким образом, чтобы обеспечить надлежащую безопасность и конфиденциальность персональных данных, в том числе для предотвращения несанкционированного доступа или использования персональных данных и оборудования, используемого для обработки.

(44) Обработка должна быть законной, если это необходимо в контексте контракта или намерения заключить контракт.

(45) Если обработка осуществляется в соответствии с юридическим обязательством, которому подчиняется контролер, или если обработка необходима для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, обработка должна иметь основание в законодательстве Союза или государства-члена. Это Регулирование не требует специального закона для каждой отдельной обработки. Закон в качестве основы для нескольких операций обработки, основанных на юридическом обязательстве, которому подчиняется контролер, или когда обработка необходима для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, может быть достаточным. Цель обработки также должна определяться законодательством Союза или государства-члена. Кроме того, этот закон мог бы конкретизировать общие условия настоящего Регламента, регулирующего законность обработки персональных данных, установить спецификации для определения контролера, типа персональных данных, которые подлежат обработке, соответствующих субъектов данных, организаций, которым персональные данные могут быть раскрыты, ограничения цели, срок хранения и другие меры для обеспечения законной и справедливой обработки. Законодательство Союза или государства-члена также должно определять, должен ли контролер, выполняющий задачу, выполняемую в общественных интересах или при осуществлении официальных полномочий, быть государственным органом или другим физическим или юридическим лицом, регулируемым публичным правом, или, если это отвечает общественным интересам, в том числе для целей здравоохранения, таких как общественное здравоохранение и социальная защита, а также управление медицинскими услугами, на основании частного права, например, профессиональной ассоциации.

(46) Обработка персональных данных также должна рассматриваться как законная, когда это необходимо для защиты интересов, которые необходимы для жизни субъекта данных или другого физического лица. Обработка персональных данных, основанная на жизненно важном интересе другого физического лица, в принципе, должна осуществляться только в тех случаях, когда обработка не может быть явно основана на другом правовом основании. Некоторые виды обработки могут служить как важным соображениям общественного интереса, так и жизненно важным интересам субъекта данных, например, когда обработка необходима в гуманитарных целях, в том числе для мониторинга эпидемий и их распространения, или в ситуациях чрезвычайных гуманитарных ситуаций, в частности в ситуациях стихийных бедствий и техногенных катастроф.

(e) обработка необходима для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера;

(47) Законные интересы контролера, включая интересы контролера, которому могут быть раскрыты персональные данные, или третьей стороны, могут обеспечить правовую основу для обработки, при условии, что интересы или основные права и свободы субъекта данных не являются преобладающими, принимая во внимание разумные ожидания субъектов данных, основанные на их отношениях с контролером. Такой законный интерес может существовать, например, при наличии соответствующих отношений между субъектом данных и контролером в таких ситуациях, как, например, когда субъект данных является клиентом или находится на службе у контролера. В любом случае наличие законного интереса потребует тщательной оценки, в том числе того, может ли субъект данных разумно ожидать во время и в контексте сбора персональных данных, что обработка с этой целью может иметь место. Интересы и основные права субъекта данных могут, в частности, превалировать над интересами контролера данных, когда персональные данные обрабатываются в обстоятельствах, когда субъекты данных разумно не ожидают дальнейшей обработки. Учитывая, что законодатель должен законодательно предусмотреть правовую основу для обработки персональных данных государственными органами, эта правовая основа не должна применяться к обработке государственными органами при выполнении их задач. Обработка персональных данных, строго необходимая в целях предотвращения мошенничества, также представляет собой законный интерес соответствующего контролера данных. Обработка персональных данных в целях прямого маркетинга может рассматриваться как осуществляемая в законных интересах.

(48) Контролеры, которые являются частью группы предприятий или учреждений, аффилированных с центральным органом, могут иметь законный интерес в передаче персональных данных внутри группы предприятий для внутренних административных целей, включая обработку персональных данных клиентов или сотрудников. Общие принципы передачи персональных данных внутри группы предприятий предприятию, расположенному в третьей стране, остаются неизменными.

(49) Обработка персональных данных в объеме, строго необходимом и пропорциональном для целей обеспечения сетевой и информационной безопасности, т.е. способность сети или информационной системы противостоять при заданном уровне уверенности случайным событиям или незаконным или злонамеренным действиям, которые ставят под угрозу доступность, подлинность, целостность и конфиденциальность хранимых или передаваемых персональных данных, а также безопасность соответствующих услуг, предлагаемых этими сетями или доступных через них, и системами, государственными органами, группами реагирования на компьютерные чрезвычайные ситуации (CERTs), группами реагирования на инциденты компьютерной безопасности (CSIRTs), поставщиками сетей и услуг электронной связи, а также поставщиками технологий и услуг безопасности, представляет собой законный интерес соответствующего контролера данных. Это могло бы, например, включать предотвращение несанкционированного доступа к сетям электронных коммуникаций и распространения вредоносного кода, а также прекращение атак типа "отказ в обслуживании" и повреждения компьютерных и электронных систем связи.

(40) Для того, чтобы обработка была законной, персональные данные должны обрабатываться на основе согласия соответствующего субъекта данных или на каком-либо другом законном основании, предусмотренном законом, либо в настоящем Регламенте, либо в другом законодательстве Союза или государства-члена, как указано в настоящем Регламенте, включая необходимость для соблюдения юридического обязательства, которому подчиняется контролер, или необходимости исполнения контракта, стороной которого является субъект данных, или для того, чтобы предпринять шаги по просьбе субъекта данных до заключения контракта.

(50) Обработка персональных данных в целях, отличных от тех, для которых персональные данные были первоначально собраны, должна быть разрешена только в том случае, если обработка совместима с целями, для которых персональные данные были первоначально собраны. В таком случае не требуется никаких правовых оснований, отличных от тех, которые позволили собирать персональные данные. Если обработка необходима для выполнения задачи, осуществляемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера, законодательство Союза или государства-члена может определять и конкретизировать задачи и цели, для которых дальнейшая обработка должна рассматриваться как совместимая и законная. Дальнейшая обработка для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей должна рассматриваться как совместимые законные операции обработки. Правовая основа, предусмотренная законодательством Союза или государства-члена для обработки персональных данных, также может служить правовой основой для дальнейшей обработки. Чтобы выяснить, совместима ли цель дальнейшей обработки с целью, для которой персональные данные первоначально собираются, контролер, после выполнения всех требований к законности первоначальной обработки, должен принять во внимание, среди прочего: любую связь между этими целями и целями предполагаемого дальнейшая обработка; контекст, в котором были собраны персональные данные, в частности разумные ожидания субъектов данных, основанные на их отношениях с контролером, относительно их дальнейшего использования; характер персональных данных; последствия предполагаемой дальнейшей обработки для субъектов данных; и наличие соответствующих гарантий как в первоначальном и предполагаемые дальнейшие операции по обработке. Если субъект данных дал согласие или обработка основана на законодательстве Союза или государства-члена, что представляет собой необходимую и соразмерную меру в демократическом обществе для защиты, в частности, важных целей, представляющих общий общественный интерес, контролеру должно быть разрешено продолжать обработку персональных данных независимо от совместимости целей. В любом случае, должно быть обеспечено применение принципов, изложенных в настоящем Регламенте, и, в частности, информация субъекта данных об этих других целях и о его или ее правах, включая право на возражение. Указание контролером на возможные преступные действия или угрозы общественной безопасности и передача соответствующих персональных данных в отдельных случаях или в нескольких случаях, относящихся к одному и тому же преступному деянию или угрозам общественной безопасности, компетентному органу следует рассматривать как отвечающие законным интересам контролера. Однако такая передача в законных интересах контролера или дальнейшая обработка персональных данных должны быть запрещены, если обработка несовместима с юридическим, профессиональным или иным обязательным обязательством хранить тайну.

(41) Если это Постановление ссылается на правовую основу или законодательную меру, это не обязательно требует законодательного акта, принятого парламентом, без ущерба для требований в соответствии с конституционным порядком соответствующего государства-члена. Однако такая правовая основа или законодательная мера должна быть ясной и точной, и ее применение должно быть предсказуемым для лиц, на которых она распространяется, в соответствии с прецедентным правом Суда Европейского Союза ("Суд справедливости") и Европейского Суда по правам человека.

(42) Если обработка основана на согласии субъекта данных, контролер должен быть в состоянии продемонстрировать, что субъект данных дал согласие на операцию обработки. В частности, в контексте письменного заявления по другому вопросу, меры предосторожности должны гарантировать, что субъект данных осведомлен о факте и степени, в которой дано согласие. В соответствии с Директивой Совета 93/13/EEC [несправедливые условия в потребительских договорах] заявление о согласии, предварительно сформулированное контролером, должно быть представлено в понятной и легкодоступной форме, с использованием четкого и понятного языка, и оно не должно содержать несправедливых условий. Для получения согласия на информирование субъект данных должен быть осведомлен, по крайней мере, о личности контролера и целях обработки, для которых предназначены персональные данные. Согласие не следует рассматривать как добровольно данное, если у субъекта данных нет подлинного или свободного выбора или он не может отказаться или отозвать согласие без ущерба для себя.

3. Субъект данных имеет право отозвать свое согласие в любое время. Отзыв согласия не влияет на законность обработки, основанной на согласии до его отзыва. До дачи согласия субъект данных должен быть проинформирован об этом. Отозвать согласие должно быть так же легко, как и дать его.

(43) Чтобы гарантировать, что согласие дается свободно, согласие не должно служить действительным юридическим основанием для обработки персональных данных в конкретном случае, когда существует явный дисбаланс между субъектом данных и контролером, в частности, когда контролер является государственным органом, и поэтому маловероятно, что согласие было свободно дано во всех обстоятельствах этой конкретной ситуации. Предполагается, что согласие не дается добровольно, если оно не позволяет давать отдельное согласие на различные операции по обработке персональных данных, несмотря на то, что это уместно в каждом конкретном случае, или если выполнение контракта, включая предоставление услуги, зависит от согласия, несмотря на то, что такое согласие не является необходимым для такое представление.

(38) Дети заслуживают особой защиты в отношении своих персональных данных, поскольку они могут быть менее осведомлены о соответствующих рисках, последствиях и гарантиях, а также о своих правах в отношении обработки персональных данных. Такая конкретная защита должна, в частности, применяться к использованию персональных данных детей в целях маркетинга или создания личных данных или профилей пользователей, а также к сбору персональных данных в отношении детей при использовании услуг, предлагаемых непосредственно ребенку. Согласие лица, несущего родительскую ответственность, не должно быть необходимым в контексте профилактических или консультационных услуг, предлагаемых непосредственно ребенку.

(59) Должны быть предусмотрены условия для облегчения осуществления прав субъекта данных в соответствии с настоящим Регламентом, включая механизмы запроса и, если применимо, бесплатного получения, в частности, доступа к персональным данным, их исправления или удаления, а также осуществления права на возражение. Контролер также должен предоставить средства для отправки запросов в электронном виде, особенно в тех случаях, когда персональные данные обрабатываются электронными средствами. Контролер должен быть обязан отвечать на запросы субъекта данных без неоправданной задержки и не позднее чем в течение одного месяца и указывать причины, по которым контролер не намерен выполнять какие-либо такие запросы.

(51) Персональные данные, которые по своей природе являются особенно чувствительными в отношении основных прав и свобод, заслуживают особой защиты, поскольку контекст их обработки может создать значительные риски для основных прав и свобод. Эти персональные данные должны включать персональные данные, раскрывающие расовое или этническое происхождение, при этом использование термина "расовое происхождение" в настоящем Регламенте не подразумевает принятия Союзом теорий, которые пытаются определить существование отдельных человеческих рас. Обработка фотографий не должна систематически рассматриваться как обработка особых категорий персональных данных, поскольку они подпадают под определение биометрических данных только в том случае, если обрабатываются с помощью специальных технических средств, позволяющих однозначно идентифицировать или аутентифицировать физическое лицо. Такие персональные данные не должны обрабатываться, за исключением случаев, когда обработка разрешена в конкретных случаях, изложенных в настоящем Регламенте, принимая во внимание, что законодательство государств-членов может устанавливать конкретные положения о защите данных, чтобы адаптировать применение правил настоящего Регламента для соблюдения юридического обязательства или для выполнения задача, выполняемая в общественных интересах или при осуществлении официальных полномочий, возложенных на контролера. В дополнение к конкретным требованиям к такой обработке должны применяться общие принципы и другие правила настоящего Регламента, в частности, в отношении условий законной обработки. Отступления от общего запрета на обработку таких особых категорий персональных данных должны быть четко предусмотрены, в частности, когда субъект данных дает свое явное согласие или в отношении конкретных потребностей, в частности, когда обработка осуществляется в ходе законной деятельности определенными ассоциациями или фондами, цель которых заключается в том, чтобы разрешить осуществление основных свобод.

(52) Отступление от запрета на обработку особых категорий персональных данных также должно быть разрешено, когда это предусмотрено законодательством Союза или государства-члена и при соблюдении соответствующих гарантий, с тем чтобы защитить персональные данные и другие основные права, когда это отвечает общественным интересам, в частности, обработка персональных данных в области трудового права, законодательства о социальной защите, включая пенсии, а также в целях охраны здоровья, мониторинга и оповещения, профилактики инфекционных заболеваний и других серьезных угроз здоровью или борьбы с ними. Такое отступление может быть сделано в целях здравоохранения, включая общественное здравоохранение и управление медицинскими услугами, особенно для обеспечения качества и экономической эффективности процедур, используемых для урегулирования претензий на льготы и услуги в системе медицинского страхования, или для целей архивирования в общественных интересах, научных или в целях исторического исследования, или в статистических целях. Отступление должно также допускать обработку таких персональных данных, когда это необходимо для установления, осуществления или защиты юридических требований, будь то в ходе судебного разбирательства или в рамках административной или внесудебной процедуры.

(53) Особые категории персональных данных, которые заслуживают более высокой защиты, должны обрабатываться в целях, связанных со здоровьем, только в тех случаях, когда это необходимо для достижения этих целей в интересах физических лиц и общества в целом, в частности, в контексте управления службами и системами здравоохранения или социального обеспечения, включая обработку руководству и центральным национальным органам здравоохранения таких данных с целью контроля качества, управленческой информации и общего национального и местного надзора за системой здравоохранения или социального обеспечения, и обеспечение непрерывности медицинской или социальной помощи и трансграничного здравоохранения или безопасности здоровья, для целей мониторинга и оповещения, или для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей, на основе законодательства Союза или государства-члена, которое должно соответствовать цели общественного интереса, а также для исследований, проводимых в общественных интересах в области общественного здравоохранения. Следовательно, настоящий Регламент должен предусматривать согласованные условия обработки особых категорий персональных данных, касающихся здоровья, в отношении конкретных потребностей, в частности, когда обработка таких данных осуществляется для определенных целей, связанных со здоровьем, лицами, на которых распространяется юридическое обязательство хранить профессиональную тайну. Законодательство Союза или государства-члена должно предусматривать конкретные и подходящие меры для защиты основных прав и персональных данных физических лиц. Государствам-членам должно быть разрешено сохранять или вводить дополнительные условия, включая ограничения, в отношении обработки генетических данных, биометрических данных или данных, касающихся здоровья. Однако это не должно препятствовать свободному потоку персональных данных внутри Союза, когда эти условия применяются к трансграничной обработке таких данных.

(54) Обработка особых категорий персональных данных может быть необходима по соображениям общественного интереса в области общественного здравоохранения без согласия субъекта данных. Такая обработка должна сопровождаться надлежащими и конкретными мерами, направленными на защиту прав и свобод физических лиц. В этом контексте "общественное здравоохранение" следует интерпретировать так, как оно определено в Регламенте (ЕС) № 1338/2008 Европейского парламента и Совета [Статистика Сообщества по общественному здравоохранению и охране труда], а именно все элементы, связанные со здоровьем, а именно состояние здоровья, включая заболеваемость и инвалидность, детерминанты оказывает влияние на состояние здоровья, потребности в медицинском обслуживании, ресурсы, выделяемые на медицинское обслуживание, предоставление медицинского обслуживания и всеобщий доступ к нему, а также расходы и финансирование медицинского обслуживания и причины смертности. Такая обработка данных, касающихся здоровья, по соображениям общественного интереса не должна приводить к обработке персональных данных для других целей третьими лицами, такими как работодатели или страховые и банковские компании.

(55) Кроме того, обработка персональных данных официальными органами власти с целью достижения целей, изложенных в конституционном праве или международном публичном праве, официально признанных религиозных объединений, осуществляется на основании общественных интересов.

(56) Если в ходе избирательной деятельности функционирование демократической системы в государстве-члене требует, чтобы политические партии собирали персональные данные о политических взглядах людей, обработка таких данных может быть разрешена по соображениям общественного интереса при условии установления соответствующих гарантий.

3. Персональные данные, упомянутые в параграфе 1, могут обрабатываться для целей, указанных в пункте (h) параграфа 2, когда эти данные обрабатываются профессионалом или под его ответственность, на которого распространяется обязательство хранить профессиональную тайну в соответствии с законодательством Союза или государства-члена или правилами, установленными национальными компетентными органами или другое лицо, также обязанное хранить тайну в соответствии с законодательством Союза или государства-члена или правилами, установленными национальными компетентными органами.

4. Государства-члены могут сохранять или вводить дополнительные условия, включая ограничения, в отношении обработки генетических данных, биометрических данных или данных, касающихся здоровья.

1. Если цели, для которых контролер обрабатывает персональные данные, не требуют или больше не требуют идентификации субъекта данных контролером, контролер не обязан сохранять, приобретать или обрабатывать дополнительную информацию для идентификации субъекта данных с единственной целью соблюдения настоящего Регламента.

(57) Если персональные данные, обрабатываемые контролером, не позволяют контролеру идентифицировать физическое лицо, контролер данных не должен быть обязан получать дополнительную информацию для идентификации субъекта данных с единственной целью соблюдения любого положения настоящего Регламента. Однако контролер не должен отказываться принимать дополнительную информацию, предоставленную субъектом данных, чтобы поддержать осуществление его или ее прав. Идентификация должна включать цифровую идентификацию субъекта данных, например, с помощью механизма аутентификации, такого как те же учетные данные, используемые субъектом данных для входа в онлайн-сервис, предлагаемый контролером данных.

(58) Принцип прозрачности требует, чтобы любая информация, адресованная общественности или субъекту данных, была краткой, легкодоступной и понятной, а также чтобы использовался ясный и понятный язык и, дополнительно, при необходимости, визуализация. Такая информация могла бы предоставляться в электронной форме, например, когда она адресована общественности, через веб-сайт. Это особенно актуально в ситуациях, когда из-за большого числа участников и технологической сложности практики субъекту данных трудно узнать и понять, собираются ли, кем и с какой целью относящиеся к нему персональные данные, например, в случае онлайн-рекламы. Учитывая, что дети заслуживают особой защиты, любая информация и сообщение, обработка которых адресована ребенку, должны быть на таком ясном и понятном языке, который ребенок может легко понять.

(59) Должны быть предусмотрены условия для облегчения осуществления прав субъекта данных в соответствии с настоящим Регламентом, включая механизмы запроса и, если применимо, бесплатного получения, в частности, доступа к персональным данным, их исправления или удаления, а также осуществления права на возражение. Контролер также должен предоставить средства для отправки запросов в электронном виде, особенно в тех случаях, когда персональные данные обрабатываются электронными средствами. Контролер должен быть обязан отвечать на запросы субъекта данных без неоправданной задержки и не позднее чем в течение одного месяца и указывать причины, по которым контролер не намерен выполнять какие-либо такие запросы.

5. Информация, предоставленная в соответствии со статьями 13 и 14, а также любое сообщение и любые действия, предпринятые в соответствии со статьями 15-22 и 34, предоставляются бесплатно. Если запросы от субъекта данных явно необоснованны или чрезмерны, в частности, из-за их повторяющегося характера, контролер может либо:

Контролер несет бремя демонстрации явно необоснованного или чрезмерного характера запроса.

6. Без ущерба для статьи 11, если у контролера есть обоснованные сомнения относительно личности физического лица, подающего запрос, упомянутый в статьях 15-21, контролер может запросить предоставление дополнительной информации, необходимой для подтверждения личности субъекта данных.

7. Информация, которая должна предоставляться субъектам данных в соответствии со статьями 13 и 14, может предоставляться в сочетании со стандартными значками, чтобы дать легко видимый, понятный и четко разборчивый обзор предполагаемой обработки. Если значки представлены в электронном виде, они должны быть машиночитаемыми.

8. Комиссия должна быть уполномочена принимать делегированные акты в соответствии со статьей 92 с целью определения информации, которая должна быть представлена значками, и процедур предоставления стандартизированных значков.

(60) Принципы справедливой и прозрачной обработки требуют, чтобы субъект данных был проинформирован о существовании операции обработки и ее целях. Контролер должен предоставить субъекту данных любую дополнительную информацию, необходимую для обеспечения справедливой и прозрачной обработки с учетом конкретных обстоятельств и контекста, в котором обрабатываются персональные данные. Кроме того, субъект данных должен быть проинформирован о существовании профилирования и последствиях такого профилирования. Если персональные данные собираются от субъекта данных, субъект данных также должен быть проинформирован о том, обязан ли он или она предоставлять персональные данные и о последствиях, если он или она не предоставляет такие данные. Эта информация может быть предоставлена в сочетании со стандартными значками, чтобы дать легко видимый, понятный и четко разборчивый обзор предполагаемой обработки. Если значки представлены в электронном виде, они должны быть машиночитаемыми.

(61) Информация, касающаяся обработки персональных данных, относящихся к субъекту данных, должна быть предоставлена ему или ей во время сбора от субъекта данных или, если персональные данные получены из другого источника, в течение разумного периода, в зависимости от обстоятельств дела. В тех случаях, когда персональные данные могут быть законно раскрыты другому получателю, субъект данных должен быть проинформирован о том, когда персональные данные впервые раскрываются получателю. Если контролер намеревается обрабатывать персональные данные с целью, отличной от той, для которой они были собраны, контролер должен предоставить субъекту данных до такой дальнейшей обработки информацию об этой другой цели и другую необходимую информацию. В тех случаях, когда источник персональных данных не может быть предоставлен субъекту данных из-за использования различных источников, следует предоставить общую информацию.

4. Пункты 1, 2 и 3 не применяются там, где и в той мере, в какой субъект данных уже располагает информацией.

(61) Информация, касающаяся обработки персональных данных, относящихся к субъекту данных, должна быть предоставлена ему или ей во время сбора от субъекта данных или, если персональные данные получены из другого источника, в течение разумного периода, в зависимости от обстоятельств дела. В тех случаях, когда персональные данные могут быть законно раскрыты другому получателю, субъект данных должен быть проинформирован о том, когда персональные данные впервые раскрываются получателю. Если контролер намеревается обрабатывать персональные данные с целью, отличной от той, для которой они были собраны, контролер должен предоставить субъекту данных до такой дальнейшей обработки информацию об этой другой цели и другую необходимую информацию. В тех случаях, когда источник персональных данных не может быть предоставлен субъекту данных из-за использования различных источников, следует предоставить общую информацию.

(62) Однако нет необходимости налагать обязательство предоставлять информацию, когда субъект данных уже обладает информацией, когда запись или раскрытие персональных данных прямо предусмотрено законом или когда предоставление информации субъекту данных оказывается невозможным или потребовало бы непропорциональных усилий. Последнее может, в частности, иметь место в тех случаях, когда обработка осуществляется для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей. В этой связи следует принимать во внимание количество субъектов данных, возраст данных и любые принятые соответствующие меры предосторожности.

2. Если персональные данные передаются в третью страну или международной организации, субъект данных должен иметь право на получение информации о соответствующих гарантиях в соответствии со статьей 46, касающихся передачи.

(63) Субъект данных должен иметь право доступа к персональным данным, которые были собраны в отношении него или нее, и осуществлять это право легко и через разумные промежутки времени, чтобы быть осведомленным и проверять законность обработки. Это включает право субъектов данных на доступ к данным, касающимся их здоровья, например, к данным в их медицинских картах, содержащим такую информацию, как диагнозы, результаты обследований, оценки лечащих врачей и любое предоставленное лечение или вмешательства. Следовательно, каждый субъект данных должен иметь право знать и получать информацию, в частности, в отношении целей, для которых обрабатываются персональные данные, где это возможно, периода, в течение которого обрабатываются персональные данные, получателей персональных данных, логики, связанной с любой автоматической обработкой персональных данных, и, по крайней мере когда основано на профилировании, последствия такой обработки. Там, где это возможно, контролер должен иметь возможность предоставлять удаленный доступ к защищенной системе, которая предоставляла бы субъекту данных прямой доступ к его или ее персональным данным. Это право не должно отрицательно сказываться на правах или свободах других лиц, включая коммерческую тайну или интеллектуальную собственность и, в частности, авторское право, защищающее программное обеспечение. Однако результатом этих соображений не должен быть отказ предоставить всю информацию субъекту данных. В тех случаях, когда контролер обрабатывает большое количество информации, касающейся субъекта данных, контролер должен иметь возможность запросить, чтобы до предоставления информации субъект данных указал информацию или действия по обработке, к которым относится запрос.

(64) Контролер должен использовать все разумные меры для проверки личности субъекта данных, который запрашивает доступ, в частности, в контексте онлайн-сервисов и онлайн-идентификаторов. Контролер не должен хранить персональные данные с единственной целью - иметь возможность реагировать на потенциальные запросы.

(65) Субъект данных должен иметь право на исправление касающихся его персональных данных и "право быть забытым", если хранение таких данных нарушает настоящий Регламент или законодательство Союза или государства-члена, которому подчиняется контролер. В частности, субъект данных должен иметь право на удаление своих персональных данных и их дальнейшую обработку, если персональные данные больше не являются необходимыми в связи с целями, для которых они собираются или иным образом обрабатываются, если субъект данных отозвал свое согласие или возражает против обработки персональные данные, касающиеся его или ее, или если обработка его или ее персональных данных иным образом не соответствует настоящему Регламенту. Это право имеет значение, в частности, в тех случаях, когда субъект данных дал свое согласие в детстве и не полностью осознает риски, связанные с обработкой, а позже хочет удалить такие персональные данные, особенно в Интернете. Субъект данных должен иметь возможность воспользоваться этим правом, несмотря на то, что он или она больше не является ребенком. Однако дальнейшее хранение персональных данных должно быть законным, если это необходимо для осуществления права на свободу выражения мнений и информации, для соблюдения юридических обязательств, для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера, на основания общественного интереса в области общественного здравоохранения, для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей, или для установления, осуществления или защиты юридических требований.

(66) Чтобы усилить право быть забытым в онлайн-среде, право на удаление также должно быть расширено таким образом, чтобы контролер, который обнародовал персональные данные, был обязан сообщить контролерам, которые обрабатывают такие персональные данные, чтобы они удалили любые ссылки, копии или тиражирования из этих персональных данных. При этом этот контролер должен предпринять разумные шаги, принимая во внимание доступные технологии и средства, доступные контролеру, включая технические меры, для информирования контролеров, которые обрабатывают персональные данные, о запросе субъекта данных.

2. Если обработка была ограничена в соответствии с пунктом 1, такие персональные данные, за исключением хранения, обрабатываются только с согласия субъекта данных или для установления, осуществления или защиты юридических требований, или для защиты прав другого физического или юридического лица, или по причинам важного общественный интерес Союза или государства-члена.

(67) Методы, с помощью которых можно ограничить обработку персональных данных, могут включать, среди прочего, временное перемещение выбранных данных в другую систему обработки, сделать выбранные персональные данные недоступными для пользователей или временно удалить опубликованные данные с веб-сайта. В автоматизированных системах подачи документов ограничение обработки в принципе должно быть обеспечено техническими средствами таким образом, чтобы персональные данные не подвергались дальнейшим операциям обработки и не могли быть изменены. Тот факт, что обработка персональных данных ограничена, должен быть четко указан в системе.

3. Осуществление права, упомянутого в пункте 1 настоящей статьи, не наносит ущерба статье 17. Это право не распространяется на обработку, необходимую для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера.

(68) Для дальнейшего усиления контроля над его или ее собственными данными, когда обработка персональных данных осуществляется автоматизированными средствами, субъекту данных также должно быть разрешено получать касающиеся его или ее персональные данные, которые он или она предоставил контролеру в структурированном, обычно используемом компьютере-читаемый и совместимый формат, а также для передачи его на другой контроллер. Следует поощрять контроллеров данных к разработке совместимых форматов, обеспечивающих переносимость данных. Это право должно применяться в тех случаях, когда субъект данных предоставил персональные данные на основании своего согласия или обработка необходима для выполнения контракта. Это не должно применяться в тех случаях, когда обработка основана на юридическом основании, отличном от согласия или контракта. По самой своей природе это право не должно осуществляться в отношении контролеров, обрабатывающих персональные данные при исполнении своих публичных обязанностей. Следовательно, оно не должно применяться в тех случаях, когда обработка персональных данных необходима для соблюдения юридического обязательства, которому подчиняется контролер, или для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера. Право субъекта данных передавать или получать персональные данные, касающиеся его или ее, не должно налагать на контролеров обязательства по внедрению или обслуживанию систем обработки, которые являются технически совместимыми. Если в определенном наборе персональных данных речь идет более чем об одном субъекте данных, право на получение персональных данных должно осуществляться без ущерба для прав и свобод других субъектов данных в соответствии с настоящим Регламентом. Кроме того, это право не должно наносить ущерба праву субъекта данных на удаление персональных данных и ограничениям этого права, изложенным в настоящем Регламенте, и, в частности, не должно подразумевать удаление персональных данных, касающихся субъекта данных, которые были предоставлены им или ею для выполнения контракта в той мере и до тех пор, пока персональные данные необходимы для выполнения этого контракта. Там, где это технически возможно, субъект данных должен иметь право на передачу персональных данных непосредственно от одного контролера другому.

(69) В тех случаях, когда персональные данные могут быть законно обработаны, поскольку обработка необходима для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, возложенных на контролера, или на основании законных интересов контролера или третьей стороны, субъект данных должен, тем не менее, иметь право возражать против обработки любых персональных данных, относящихся к его или ее конкретной ситуации. Контролер должен продемонстрировать, что его непреодолимый законный интерес превосходит интересы или основные права и свободы субъекта данных.

(70) Если персональные данные обрабатываются в целях прямого маркетинга, субъект данных должен иметь право возражать против такой обработки, включая профилирование в той мере, в какой это связано с таким прямым маркетингом, будь то в отношении первоначальной или дальнейшей обработки, в любое время и бесплатно. Это право должно быть недвусмысленно доведено до сведения субъекта данных и представлено четко и отдельно от любой другой информации.

4. Самое позднее во время первого общения с субъектом данных право, упомянутое в пунктах 1 и 2, должно быть недвусмысленно доведено до сведения субъекта данных и должно быть представлено четко и отдельно от любой другой информации.

5. В контексте использования услуг информационного общества и вопреки Директиве 2002/58/EC субъект данных может реализовать свое право на возражение с помощью автоматизированных средств, используя технические спецификации.

6. Если персональные данные обрабатываются в научных или исторических исследовательских целях или статистических целях в соответствии со статьей 89(1), субъект данных на основаниях, относящихся к его или ее конкретной ситуации, имеет право возражать против обработки касающихся его или ее персональных данных, за исключением случаев, когда обработка необходима для выполнение задачи, выполняемой по соображениям общественного интереса.

(71) Субъект данных должен иметь право не подчиняться решению, которое может включать в себя меру, оценивающую личные аспекты, касающиеся его или ее, которая основана исключительно на автоматизированной обработке и которая влечет за собой юридические последствия в отношении него или нее или аналогичным образом существенно влияет на него или ее, такие как автоматический отказ онлайн-заявки на получение кредита или практики эрекрутирования без какого-либо вмешательства человека. Такая обработка включает "профилирование", которое состоит из любой формы автоматизированной обработки персональных данных, оценивающей личные аспекты, относящиеся к физическому лицу, в частности, для анализа или прогнозирования аспектов, касающихся производительности субъекта данных на работе, экономической ситуации, здоровья, личных предпочтений или интересов, надежности или поведения, местоположения или перемещений, когда это влечет за собой юридические последствия в отношении него или нее или аналогичным образом существенно влияет на него или нее. Однако принятие решений на основе такой обработки, включая профилирование, должно быть разрешено, если это прямо разрешено законодательством Союза или государства-члена, которому подчиняется контролер, в том числе для целей мониторинга и предотвращения мошенничества и уклонения от уплаты налогов, проводимых в соответствии с правилами, стандартами и рекомендациями учреждений Союза или национальных надзорных органов. и для обеспечения безопасности и надежности услуги, предоставляемой контролером, или необходимой для заключения или исполнения контракта между субъектом данных и контролером, или когда субъект данных дал свое явное согласие. В любом случае, такая обработка должна осуществляться с соблюдением надлежащих гарантий, которые должны включать конкретную информацию для субъекта данных и право на вмешательство человека, на выражение его или ее точки зрения, на получение объяснения решения, принятого после такой оценки, и на оспаривание решения. Такая мера не должна касаться ребенка. Чтобы обеспечить справедливую и прозрачную обработку в отношении субъекта данных, принимая во внимание конкретные обстоятельства и контекст, в котором обрабатываются персональные данные, контролер должен использовать соответствующие математические или статистические процедуры для профилирования, внедрять технические и организационные меры, необходимые для обеспечения, в частности, того, чтобы факторы, которые приводят в неточности в персональных данных исправляются и риск ошибок сводится к минимуму, защищайте персональные данные таким образом, чтобы учитывались потенциальные риски, связанные с интересами и правами субъекта данных, и чтобы предотвращалось, в частности, дискриминационное воздействие на физических лиц по признаку расового или этнического происхождения, политических убеждений, религии или верований, членства в профсоюзах, генетического статуса или состояния здоровья или сексуальная ориентация или которые приводят к мерам, имеющим такой эффект. Автоматическое принятие решений и профилирование на основе особых категорий персональных данных должны быть разрешены только при определенных условиях.

(72) Профилирование регулируется правилами настоящего Регламента, регулирующими обработку персональных данных, такими как правовые основания для обработки или принципы защиты данных. Европейский совет по защите данных, учрежденный этим Регламентом (далее - "Совет"), должен иметь возможность давать рекомендации в этом контексте.

1. Законодательство Союза или государства-члена, которому подчиняется контролер или обработчик данных, может ограничить посредством законодательной меры объем обязательств и прав, предусмотренных в статьях 12-22 и Статье 34, а также в Статье 5 в той мере, в какой ее положения соответствуют правам и обязанностям, предусмотренным ибо в статьях 12-22, когда такое ограничение уважает сущность основных прав и свобод и является необходимой и соразмерной мерой в демократическом обществе для защиты:

(73) Ограничения, касающиеся конкретных принципов и касающиеся прав на информацию, доступ к персональным данным, их исправление или удаление, а также права на переносимость данных, права на возражение, решений, основанных на профилировании, а также на сообщение субъекту данных о нарушении персональных данных и на некоторые связанные с этим обязанности контролеров могут быть установлены законодательством Союза или государства-члена, насколько это необходимо и соразмерно в демократическом обществе для обеспечения общественной безопасности, включая защиту человеческой жизни, особенно в ответ на природные или техногенные катастрофы, предупреждение, расследование и судебное преследование уголовных преступлений или исполнение уголовных наказаний, включая защиту от угроз общественной безопасности или нарушений этики регулируемых профессий, другие важные цели, представляющие общий общественный интерес Союза или государства-члена, в частности, важный экономический или финансовый интерес Союза или государства-члена, ведение публичных реестров, которые ведутся по соображениям, представляющим общий общественный интерес, дальнейшая обработка архивированных персональных данных для предоставления конкретной информации, связанной с политическим поведением при прежних тоталитарных государственных режимах или защитой субъекта данных или прав и свобод других лиц, включая социальную защиту, общественное здравоохранение и гуманитарные цели. Эти ограничения должны соответствовать требованиям, изложенным в Хартии и в Европейской конвенции о защите прав человека и основных свобод.

(74) Должна быть установлена ответственность контролера за любую обработку персональных данных, осуществляемую контролером или от имени контролера. В частности, контролер должен быть обязан осуществлять надлежащие и эффективные меры и быть в состоянии продемонстрировать соответствие деятельности по обработке настоящему Регламенту, включая эффективность мер. Эти меры должны учитывать характер, объем, контекст и цели обработки, а также риск для прав и свобод физических лиц.

(75) Риск для прав и свобод физических лиц различной вероятности и серьезности может возникнуть в результате обработки персональных данных, которая может привести к физическому, материальному или нематериальному ущербу, в частности: когда обработка может привести к дискриминации, краже личных данных или мошенничеству, финансовым потерям, ущербу к репутации, потере конфиденциальности персональных данных, защищенных профессиональной тайной, несанкционированному изменению псевдонимизации или любому другому значительному экономическому или социальному ущербу; где субъекты данных могут быть лишены своих прав и свобод или лишены возможности осуществлять контроль над своими личными данными; где обрабатываются персональные данные, которые раскрывают расовое или этническое происхождение, политические взгляды, религию или философские убеждения, членство в профсоюзах, а также обработка генетических данных, данных, касающихся здоровья или данных, касающихся пола пожизненные или уголовные приговоры и правонарушения или связанные с ними меры безопасности; где оцениваются личные аспекты, в частности анализируются или прогнозируются аспекты, касающиеся производительности на работе, экономической ситуации, здоровья, личных предпочтений или интересов, надежности или поведения, местоположения или перемещений, с целью создания или использования личных профилей; где обрабатываются персональные данные уязвимых физических лиц, в частности детей; или когда обработка включает в себя большой объем персональных данных и затрагивает большое количество субъектов данных.

(76) Вероятность и серьезность риска для прав и свобод субъекта данных должны определяться с учетом характера, объема, контекста и целей обработки. Риск должен оцениваться на основе объективной оценки, с помощью которой устанавливается, связаны ли операции по обработке данных с риском или с высоким риском.

(77) Руководство по осуществлению надлежащих мер и по демонстрации соответствия со стороны контролера или обработчика, особенно в отношении выявления рисков, связанных с обработкой, их оценки с точки зрения происхождения, характера, вероятности и серьезности, а также определения наилучших методов для снижения риска, может быть обеспечено, в частности, с помощью утвержденных кодексов поведения, утвержденных сертификатов, руководящих принципов, предоставленных Правлением, или указаний, предоставленных сотрудником по защите данных. Совет может также издать руководящие принципы в отношении операций по обработке, которые, как считается, вряд ли приведут к высокому риску для прав и свобод физических лиц, и указать, какие меры могут быть достаточными в таких случаях для устранения такого риска.

(78) Защита прав и свобод физических лиц в отношении обработки персональных данных требует принятия соответствующих технических и организационных мер для обеспечения соблюдения требований настоящего Регламента. Чтобы иметь возможность продемонстрировать соответствие настоящему Регламенту, контролер должен принять внутреннюю политику и осуществить меры, которые отвечают, в частности, принципам защиты данных по замыслу и защиты данных по умолчанию. Такие меры могли бы включать, в частности, сведение к минимуму обработки персональных данных, псевдонимизацию персональных данных как можно скорее, прозрачность в отношении функций и обработки персональных данных, предоставление субъекту данных возможности контролировать обработку данных, предоставление контролеру возможности создавать и улучшать функции безопасности. При разработке, проектировании, выборе и использовании приложений, услуг и продуктов, которые основаны на обработке персональных данных или обрабатывают персональные данные для выполнения своей задачи, производителям продуктов, услуг и приложений следует поощрять учитывать право на защиту данных при разработке и проектировании таких продуктов, услуг и продуктов приложений и, с должным учетом уровня техники, убедиться, что контроллеры и обработчики способны выполнять свои обязательства по защите данных. Принципы защиты данных по замыслу и по умолчанию также должны приниматься во внимание в контексте публичных тендеров.

(79) Защита прав и свобод субъектов данных, а также ответственность контролеров и обработчиков, в том числе в отношении мониторинга и мер надзорных органов, требует четкого распределения обязанностей в соответствии с настоящим Регламентом, в том числе в тех случаях, когда контролер определяет цели и средства обработка совместно с другими контроллерами или когда операция обработки выполняется от имени контроллера.

2. Это обязательство не распространяется на:

4. Контролер или обработчик данных уполномочивает представителя обращаться в дополнение к контролеру или обработчику данных или вместо него, в частности, к надзорным органам и субъектам данных по всем вопросам, связанным с обработкой, в целях обеспечения соблюдения настоящего Регламента.

(80) Когда контролер или обработчик, не учрежденный в Союзе, обрабатывает персональные данные субъектов данных, которые находятся в Союзе, чья деятельность по обработке связана с предложением товаров или услуг, независимо от того, требуется ли оплата субъекта данных таким субъектам данных в Союзе, или для контроля за их поведением в той мере, в какой их поведение происходит в пределах Союза, контролер или обработчик должны назначить представителя, если обработка не является случайной, не включает обработку в больших масштабах, особых категорий персональных данных или обработка персональных данных, связанных с уголовными приговорами и преступлениями, и вряд ли приведет к риску для прав и свобод физических лиц, принимая во внимание характер, контекст, объем и цели обработки или если контролер является государственным органом или организацией. Представитель должен действовать от имени контролера или обработчика, и к нему может обратиться любой надзорный орган. Представитель должен быть четко назначен письменным мандатом контролера или обработчика действовать от его имени в отношении их обязательств по настоящему Регламенту. Назначение такого представителя не влияет на ответственность контролера или обработчика в соответствии с настоящим Регламентом. Такой представитель должен выполнять свои задачи в соответствии с мандатом, полученным от контролера или обработчика, в том числе сотрудничать с компетентными надзорными органами в отношении любых действий, предпринимаемых для обеспечения соблюдения настоящего Регламента. Назначенный представитель должен быть объектом исполнительного производства в случае несоблюдения требований контролером или обработчиком.

5. Соблюдение обработчиком утвержденного кодекса поведения, упомянутого в статье 40, или утвержденного механизма сертификации, упомянутого в статье 42, может использоваться в качестве элемента, с помощью которого можно продемонстрировать достаточные гарантии, упомянутые в пунктах 1 и 4 настоящей статьи.

6. Без ущерба для индивидуального договора между контролером и обработчиком, договор или другой правовой акт, упомянутый в пунктах 3 и 4 настоящей статьи, может основываться, полностью или частично, на стандартных договорных положениях, упомянутых в пунктах 7 и 8 настоящей статьи, в том числе, когда они являются частью сертификации, предоставленной контроллеру или обработчику в соответствии со статьями 42 и 43.

7. Комиссия может устанавливать стандартные договорные положения по вопросам, упомянутым в пунктах 3 и 4 настоящей статьи, и в соответствии с процедурой рассмотрения, указанной в статье 93(2).

8. Надзорный орган может принять стандартные договорные положения по вопросам, упомянутым в пунктах 3 и 4 настоящей статьи, и в соответствии с механизмом согласования, упомянутым в статье 63.

(81) Для обеспечения соответствия требованиям настоящего Регламента в отношении обработки, которая должна выполняться обработчиком от имени контролера, при доверении обработчику операций по обработке контролер должен использовать только обработчиков, обеспечивающих достаточные гарантии, в частности, с точки зрения экспертных знаний, надежности и ресурсов, осуществлять технические и организационные меры, которые будут соответствовать требованиям настоящего Регламента, в том числе для обеспечения безопасности обработки. Приверженность обработчика утвержденному кодексу поведения или утвержденному механизму сертификации может использоваться в качестве элемента для демонстрации соблюдения обязательств контролера. Осуществление обработки обработчиком должно регулироваться договором или другим правовым актом в соответствии с законодательством Союза или государства-члена, связывающим обработчика с контролером, определяющим предмет и продолжительность обработки, характер и цели обработки, тип персональных данных и категории субъектов данных, принимая во внимание конкретные задачи и ответственность обработчика в контексте подлежащей обработке и риск для прав и свобод субъекта данных. Контролер и обработчик могут выбрать использование индивидуального контракта или стандартных договорных положений, которые принимаются либо непосредственно Комиссией, либо надзорным органом в соответствии с механизмом согласованности, а затем утверждаются Комиссией. После завершения обработки от имени контролера обработчик должен, по выбору контролера, вернуть или удалить персональные данные, за исключением случаев, когда существует требование о хранении персональных данных в соответствии с законодательством Союза или государства-члена, которому подчиняется обработчик.

3. Записи, упомянутые в пунктах 1 и 2, должны быть составлены в письменной форме, в том числе в электронной форме.

(82) Для того, чтобы продемонстрировать соответствие настоящему Регламенту, контролер или обработчик должны вести записи о действиях по обработке, находящихся под его ответственностью. Каждый контролер и обработчик должны быть обязаны сотрудничать с надзорным органом и предоставлять ему эти записи по запросу, чтобы они могли использоваться для мониторинга этих операций обработки.

(83) В целях поддержания безопасности и предотвращения обработки в нарушение настоящего Регламента контролер или обработчик должны оценить риски, присущие обработке, и принять меры по снижению этих рисков, такие как шифрование. Эти меры должны обеспечивать надлежащий уровень безопасности, включая конфиденциальность, с учетом уровня техники и затрат на внедрение в связи с рисками и характером персональных данных, подлежащих защите. При оценке риска безопасности данных следует учитывать риски, связанные с обработкой персональных данных, такие как случайное или незаконное уничтожение, потеря, изменение, несанкционированное раскрытие или доступ к передаваемым, хранимым или иным образом обработанным персональным данным, которые могут, в частности, привести к физическим, материальным или нематериальнымматериальный ущерб.

3. Соблюдение утвержденного кодекса поведения, упомянутого в статье 40, или утвержденного механизма сертификации, упомянутого в статье 42, может использоваться в качестве элемента, с помощью которого можно продемонстрировать соответствие требованиям, изложенным в пункте 1 настоящей статьи.

(86) Нарушение персональных данных может, если не устранено надлежащим и своевременным образом, привести к физическому, материальному или нематериальному ущербу физическим лицам, такому как потеря контроля над их личными данными или ограничение их прав, дискриминация, кража личных данных или мошенничество, финансовые потери, несанкционированное изменение псевдонимизация, ущерб репутации, потеря конфиденциальности персональных данных, защищенных профессиональной тайной, или любой другой значительный экономический или социальный ущерб для соответствующего физического лица. Следовательно, как только контролеру становится известно, что произошла утечка персональных данных, контролер должен уведомить о утечке персональных данных надзорный орган без неоправданной задержки и, где это возможно, не позднее, чем через 72 часа после того, как ему стало известно об этом, если только контролер не сможет продемонстрировать, в соответствии с принцип подотчетности заключается в том, что нарушение персональных данных вряд ли приведет к риску для прав и свобод физических лиц. Если такое уведомление не может быть получено в течение 72 часов, причины задержки должны сопровождаться уведомлением, и информация может предоставляться поэтапно без неоправданной дальнейшей задержки.

(87) Следует удостовериться, были ли приняты все надлежащие меры технологической защиты и организационные меры, чтобы немедленно установить, имело ли место нарушение персональных данных, и незамедлительно проинформировать надзорный орган и субъекта данных. Тот факт, что уведомление было сделано без неоправданной задержки, должен быть установлен с учетом, в частности, характера и серьезности нарушения персональных данных, а также его последствий и неблагоприятных последствий для субъекта данных. Такое уведомление может привести к вмешательству надзорного органа в соответствии с его задачами и полномочиями, изложенными в настоящем Регламенте.

(88) При установлении подробных правил, касающихся формата и процедур, применимых к уведомлению о нарушениях персональных данных, следует должным образом учитывать обстоятельства этого нарушения, включая то, были ли персональные данные защищены соответствующими техническими мерами защиты, эффективно ограничивающими вероятность мошенничества с личными данными или других форм неправильного использования. Более того, такие правила и процедуры должны учитывать законные интересы правоохранительных органов в тех случаях, когда раннее раскрытие может неоправданно затруднить расследование обстоятельств нарушения персональных данных.

2. Сообщение субъекту данных, упомянутому в пункте 1 настоящей статьи, должно описывать на ясном и понятном языке характер нарушения персональных данных и содержать, по крайней мере, информацию и рекомендации, предусмотренные в пунктах (b), (c) и (d) статьи 33(3).

3. Сообщение субъекту данных, упомянутому в пункте 1, не требуется, если выполнено любое из следующих условий:

(86) Контролер должен сообщить субъекту данных о нарушении персональных данных без неоправданной задержки, если это нарушение персональных данных может привести к высокому риску для прав и свобод физического лица, чтобы позволить ему или ей принять необходимые меры предосторожности. В сообщении должен быть описан характер нарушения персональных данных, а также рекомендации для заинтересованного физического лица по смягчению потенциальных негативных последствий. Такие сообщения субъектам данных должны направляться как можно скорее и в тесном сотрудничестве с надзорным органом, соблюдая указания, предоставляемые им или другими соответствующими органами, такими как правоохранительные органы. Например, необходимость снижения непосредственного риска ущерба потребует оперативного общения с субъектами данных, в то время как необходимость принятия соответствующих мер против продолжающихся или аналогичных утечек персональных данных может оправдать дополнительное время для общения.