1. Настоящий Регламент устанавливает правила, касающиеся защиты физических лиц в отношении обработки персональных данных, и правила, касающиеся свободного перемещения персональных данных.

2. Настоящий Регламент защищает основные права и свободы физических лиц и, в частности, их право на защиту персональных данных.

 (1) Защита физических лиц в связи с обработкой персональных данных является основополагающим правом. Статья 8(1) Хартии основных прав Европейского Союза ("Хартия") и статья 16(1) Договора о функционировании Европейского Союза (TFEU) предусматривают, что каждый человек имеет право на защиту персональных данных, касающихся его или ее.

(2) Принципы и правила защиты физических лиц в отношении обработки их персональных данных должны, независимо от их гражданства или места жительства, уважать их основные права и свободы, в частности их право на защиту персональных данных. Этот Регламент призван способствовать созданию зоны свободы, безопасности и справедливости, а также экономического союза, экономическому и социальному прогрессу, укреплению и сближению экономик в рамках внутреннего рынка и благосостоянию физических лиц.

(3) Директива 95/46/EC Европейского парламента и Совета направлена на гармонизацию защиты основных прав и свобод физических лиц в отношении деятельности по обработке и на обеспечение свободного обмена персональными данными между государствами-членами.

(4) Обработка персональных данных должна быть направлена на служение человечеству. Право на защиту персональных данных не является абсолютным правом; оно должно рассматриваться в связи с его функцией в обществе и быть сбалансировано с другими основными правами в соответствии с принципом пропорциональности. Настоящий Регламент уважает все основные права и соблюдает свободы и принципы, признанные в Хартии и закрепленные в Договорах, в частности уважение частной и семейной жизни, жилища и коммуникаций, защиту персональных данных, свободу мысли, совести и религии, свободу выражения мнений и информации, свободу проводить бизнес, право на эффективное средство правовой защиты и справедливое судебное разбирательство, а также культурное, религиозное и языковое разнообразие.

(5) Экономическая и социальная интеграция, обусловленная функционированием внутреннего рынка, привела к существенному увеличению трансграничных потоков персональных данных. Расширился обмен персональными данными между государственными и частными субъектами, включая физических лиц, ассоциации и предприятия по всему Союзу. Законодательство Союза призывает национальные органы власти в государствах-членах сотрудничать и обмениваться персональными данными, чтобы иметь возможность выполнять свои обязанности или выполнять задачи от имени органа власти в другом государстве-члене.

(6) Стремительное развитие технологий и глобализация поставили новые задачи в области защиты персональных данных. Масштабы сбора персональных данных и обмена ими значительно возросли. Технология позволяет как частным компаниям, так и государственным органам использовать персональные данные в беспрецедентных масштабах для осуществления своей деятельности. Физические лица все чаще делают личную информацию доступной публично и по всему миру. Технологии изменили как экономику, так и социальную жизнь и должны способствовать дальнейшему свободному перемещению персональных данных внутри Союза и передаче третьим странам и международным организациям, обеспечивая при этом высокий уровень защиты персональных данных.

(7) Эти изменения требуют сильной и более согласованной системы защиты данных в Союзе (здесь и далее ЕС), подкрепленной строгим правоприменением, учитывая важность создания доверия, которое позволит цифровой экономике развиваться на внутреннем рынке. Физические лица должны иметь контроль над своими собственными персональными данными. Следует повысить правовую и практическую определенность для физических лиц, экономических операторов и государственных органов.

(8) В тех случаях, когда настоящий Регламент предусматривает уточнения или ограничения его правил законодательством государств-членов, государства-члены могут, насколько это необходимо для согласованности и для того, чтобы национальные положения были понятны лицам, к которым они применяются, включать элементы этого Регламента в свое национальное законодательство.

(9) Цели и принципы Директивы 95/46/EC остаются разумными, но это не предотвратило фрагментацию в реализации защиты данных по всему Союзу, правовую неопределенность или широко распространенное общественное мнение о том, что существуют значительные риски для защиты физических лиц, в частности, в отношении онлайн-активности. Различия в уровне защиты прав и свобод физических лиц, в частности права на защиту персональных данных, в отношении обработки персональных данных в государствах-членах могут препятствовать свободному потоку персональных данных по всему Союзу. Таким образом, эти различия могут представлять собой препятствие для осуществления экономической деятельности на уровне Союза, искажать конкуренцию и препятствовать органам власти в выполнении их обязанностей в соответствии с законодательством Союза. Такая разница в уровнях защиты обусловлена существованием различий в реализации и применении Директивы 95/46/EC.

(10) Чтобы обеспечить последовательный и высокий уровень защиты физических лиц и устранить препятствия для потоков персональных данных внутри Союза, уровень защиты прав и свобод физических лиц в отношении обработки таких данных должен быть эквивалентным во всех государствах-членах. Последовательное и однородное применение правил защиты основных прав и свобод физических лиц в отношении обработки персональных данных должно быть обеспечено на всей территории Союза. Что касается обработки персональных данных в соответствии с юридическим обязательством, для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера, государствам-членам должно быть разрешено сохранять или вводить национальные положения для дальнейшего уточнения применения правил настоящего Регламента. В сочетании с общим и горизонтальным законом о защите данных, реализующим Директиву 95/46/EC, государства-члены имеют несколько отраслевых законов в областях, которые нуждаются в более конкретных положениях. Этот Регламент также предоставляет государствам-членам свободу маневра в определении своих правил, в том числе в отношении обработки особых категорий персональных данных ("конфиденциальные данные"). В этом смысле настоящий Регламент не исключает законодательство государств-членов ЕС, которое устанавливает обстоятельства для конкретных ситуаций обработки, включая более точное определение условий, при которых обработка персональных данных является законной.

(11) Эффективная защита персональных данных на всей территории Союза требует усиления и детального определения прав субъектов данных и обязанностей тех, кто обрабатывает и определяет порядок обработки персональных данных, а также эквивалентных полномочий по мониторингу и обеспечению соблюдения правил защиты персональных данных и эквивалентных санкций за нарушения в государствах-членах.

(12) Статья 16(2) TFEU обязывает Европейский парламент и Совет установить правила, касающиеся защиты физических лиц в отношении обработки персональных данных, и правила, касающиеся свободного перемещения персональных данных.

(13) Чтобы обеспечить постоянный уровень защиты физических лиц на всей территории Союза и предотвратить расхождения, препятствующие свободному перемещению персональных данных на внутреннем рынке, необходимо Регулирование, обеспечивающее правовую определенность и прозрачность для экономических операторов, включая микро-, малые и средние предприятия, и предоставляющее физическим лицам во всех государствах-членах с одинаковым уровнем юридически закрепленных прав и обязанностей, а также ответственности контролеров и обработчиков для обеспечения последовательного мониторинга обработки персональных данных, и эквивалентные санкции во всех государствах-членах, а также эффективное сотрудничество между надзорными органами различных государств-членов. Надлежащее функционирование внутреннего рынка требует, чтобы свободное перемещение персональных данных внутри Союза не ограничивалось и не запрещалось по причинам, связанным с защитой физических лиц в отношении обработки персональных данных. Чтобы учесть конкретную ситуацию микро-, малых и средних предприятий, это Постановление предусматривает отступление для организаций с численностью менее 250 сотрудников в отношении ведения учета. Кроме того, учреждениям и органам Союза, а также государствам-членам и их надзорным органам рекомендуется учитывать конкретные потребности микро-, малых и средних предприятий при применении настоящего Регламента. Понятие микро-, малых и средних предприятий должно быть взято из статьи 2 Приложения к Рекомендации 2003/361/ЕС Комиссии.

(14) Защита, предоставляемая настоящим Регламентом, должна применяться к физическим лицам, независимо от их гражданства или места жительства, в отношении обработки их персональных данных. Настоящий Регламент не распространяется на обработку персональных данных, которые касаются юридических лиц и, в частности, предприятий, созданных в качестве юридических лиц, включая название и форму юридического лица и контактные данные юридического лица.

(15) Чтобы предотвратить создание серьезного риска обхода, защита физических лиц должна быть технологически нейтральной и не зависеть от используемых методов. Защита физических лиц должна применяться к обработке персональных данных автоматизированными средствами, а также к ручной обработке, если персональные данные содержатся или предназначены для хранения в системе регистрации. Файлы или наборы файлов, а также их титульные страницы, которые не структурированы в соответствии с конкретными критериями, не должны подпадать под действие настоящего Регламента.

(16) Настоящий Регламент не применяется к вопросам защиты основных прав и свобод или свободного потока персональных данных, связанных с деятельностью, которая выходит за рамки законодательства Союза, такой как деятельность, касающаяся национальной безопасности. Настоящий Регламент не применяется к обработке персональных данных государствами-членами при осуществлении деятельности, связанной с общей внешней политикой Союза и политикой безопасности.

(b) государствами-членами при осуществлении деятельности, подпадающей под действие главы 2 Раздела V TEU;

(18) Настоящий Регламент не применяется к обработке персональных данных физическим лицом в ходе чисто личной или бытовой деятельности и, следовательно, не имеет отношения к профессиональной или коммерческой деятельности. Личная или домашняя деятельность может включать переписку и хранение адресов, а также социальные сети и онлайн-активность, осуществляемую в контексте такой деятельности. Однако это Положение применяется к контролерам или обработчикам, которые предоставляют средства для обработки персональных данных для такой личной или бытовой деятельности.

(19) Защита физических лиц в отношении обработки персональных данных компетентными органами в целях предотвращения, расследования, выявления или судебного преследования уголовных преступлений или исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и свободное перемещение таких данных, является предмет конкретного союзного правового акта. Таким образом, данное Регулирование не должно применяться к деятельности по обработке для этих целей. Однако персональные данные, обрабатываемые государственными органами в соответствии с настоящим Регламентом, должны, при использовании в этих целях, регулироваться более конкретным правовым актом Союза, а именно Директивой (ЕС) 2016/680 Европейского парламента и Совета1. Государства-члены могут поручать компетентным органам по смыслу Директивы (ЕС) 2016/680 задачи, которые не обязательно выполняются в целях предотвращения, расследования, выявления или судебного преследования уголовных преступлений или исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и их предотвращение, с тем чтобы обработка персональных данных для этих других целей, в той мере, в какой это подпадает под действие законодательства Союза, подпадает под действие настоящего Регламента.
Что касается обработки персональных данных этими компетентными органами в целях, подпадающих под действие настоящего Регламента, государства-члены должны иметь возможность сохранить или ввести более конкретные положения для адаптации применения правил настоящего Регламента. Такие положения могут более точно определять конкретные требования к обработке персональных данных этими компетентными органами для этих других целей, принимая во внимание конституционную, организационную и административную структуру соответствующего государства-члена. Когда обработка персональных данных частными организациями подпадает под действие настоящего Регламента, этот Регламент должен предусматривать возможность для государств-членов при определенных условиях ограничивать законом определенные обязательства и права, когда такое ограничение представляет собой необходимую и соразмерную меру в демократическом обществе для защиты конкретных важных интересов, включая общественную безопасность и предупреждение, расследование, раскрытие или судебное преследование уголовных преступлений или исполнение уголовных наказаний, включая защиту от угроз общественной безопасности и их предотвращение. Это актуально, например, в рамках борьбы с отмыванием денег или деятельности судебно-медицинских лабораторий.

(17) Регламент (ЕС) № 45/2001 Европейского парламента и Совета применяется к обработке персональных данных учреждениями, органами, управлениями и агентствами Союза. Регламент (ЕС) № 45/2001 и другие правовые акты Союза, применимые к такой обработке персональных данных, должны быть адаптированы к принципам и правилам, установленным в настоящем Регламенте, и применяться в свете этого Регламента. Чтобы обеспечить надежную и согласованную систему защиты данных в Союзе, после принятия настоящего Регламента должны последовать необходимые изменения в Регламенте (ЕС) № 45/2001, чтобы разрешить применение одновременно с настоящим Регламентом

(172) В соответствии со статьей 28(2) Регламента (ЕС) № 45/2001 были проведены консультации с Европейским надзорным органом по защите данных, который 7 марта 2012 года вынес заключение.

(21) Настоящий Регламент отменяет применения Директивы 2000/31/EC Европейского парламента и Совета, в частности правил ответственности поставщиков посреднических услуг в статьях 12-15 этой Директивы. Эта Директива направлена на содействие надлежащему функционированию внутреннего рынка путем обеспечения свободного перемещения услуг информационного общества между государствами-членами.

(20) Хотя настоящий Регламент применяется, в частности, к деятельности судов и других судебных органов, законодательство Союза или государства-члена может определять операции по обработке и процедуры обработки в отношении обработки персональных данных судами и другими судебными органами. Компетенция надзорных органов не должна охватывать обработку персональных данных, когда суды действуют в своем судебном качестве, в целях обеспечения независимости судебной власти при выполнении ее судебных задач, включая принятие решений. Должна быть возможность поручить надзор за такими операциями по обработке данных конкретным органам судебной системы государства-члена, которые должны, в частности, обеспечивать соблюдение правил настоящего Регламента, повышать осведомленность членов судебной системы об их обязательствах в соответствии с настоящим Регламентом и рассматривать жалобы в связи с такой обработкой данных операции.

(27) Настоящее Положение не распространяется на персональные данные умерших лиц. Государства-члены могут устанавливать правила, касающиеся обработки персональных данных умерших лиц.

(22) Любая обработка персональных данных в контексте деятельности учреждения контролера или обработчика в Союзе должна осуществляться в соответствии с настоящим Регламентом, независимо от того, происходит ли сама обработка внутри Союза. Учреждение подразумевает эффективное и реальное осуществление деятельности на основе стабильных договоренностей. Правовая форма таких соглашений, будь то через филиал или дочернюю компанию с юридическим лицом, не является определяющим фактором в этом отношении.

(23) Для обеспечения того, чтобы физические лица не были лишены защиты, на которую они имеют право в соответствии с настоящим Регламентом, обработка персональных данных субъектов данных, находящихся в Союзе, контролером или обработчиком, не учрежденным в Союзе, должна подпадать под действие настоящего Регламента, если деятельность по обработке связанные с предложением товаров или услуг таким субъектам данных, независимо от того, связаны ли они с платежом. Чтобы определить, предлагает ли такой контролер или обработчик товары или услуги субъектам данных, находящимся в Союзе, следует выяснить, очевидно ли, что контролер или обработчик планирует предлагать услуги субъектам данных в одном или нескольких государствах - членах Союза. Принимая во внимание, что простой доступности веб-сайта контролера, обработчика или посредника в Союзе, адреса электронной почты или других контактных данных или использования языка, обычно используемого в третьей стране, где установлен контролер, недостаточно для подтверждения такого намерения, такие факторы, как использование языка или валюты, обычно используемых в одном или нескольких государствах-членах, с возможностью заказа товаров и услуг на этом другом языке или упоминания клиентов или пользователей, которые находятся в Союзе, может сделать очевидным, что контролер планирует предлагать товары или услуги субъектам данных в Союзе.

(24) Обработка персональных данных субъектов данных, находящихся в Союзе, контролером или обработчиком, не  зарегистрированным в Союзе, также должна подпадать под действие настоящего Регламента, когда это связано с мониторингом поведения таких субъектов данных в той мере, в какой их поведение происходит в Союзе. Чтобы определить, можно ли рассматривать деятельность по обработке для мониторинга поведения субъектов данных, следует выяснить, отслеживаются ли физические лица в Интернете, включая возможное последующее использование методов обработки персональных данных, которые включают профилирование физического лица, в частности, для принятия решений в отношении нее или его или для анализ или прогнозирование ее или его личных предпочтений, поведения и установок.

(25) Если законодательство государства-члена применяется в силу международного публичного права, этот Регламент должен также применяться к контролеру, не учрежденному в Союзе, например, в дипломатическом представительстве или консульском учреждении государства-члена.

(30) Физические лица могут быть связаны с онлайн-идентификаторами, предоставляемыми их устройствами, приложениями, инструментами и протоколами, такими как адреса интернет-протокола, идентификаторы файлов cookie или другие идентификаторы, такие как метки радиочастотной идентификации. Это может оставить следы, которые, в частности, в сочетании с уникальными идентификаторами и другой информацией, полученной серверами, могут быть использованы для создания профилей физических лиц и их идентификации.

(2) "обработка" означает любую операцию или набор операций, которые выполняются с персональными данными или с наборами персональных данных, независимо от того, автоматизированы они или нет, такие как сбор, запись, организация, структурирование, хранение, адаптация или изменение, извлечение, консультации, использование, раскрытие путем передачи, распространения или иным образом предоставление доступа, выравнивание или комбинирование, ограничение, стирание или уничтожение;

(3) "ограничение обработки" означает маркировку хранимых персональных данных с целью ограничения их обработки в будущем;

(4) "профилирование" означает любую форму автоматизированной обработки персональных данных, состоящую в использовании персональных данных для оценки определенных личных аспектов, относящихся к физическому лицу, в частности, для анализа или прогнозирования аспектов, касающихся производительности этого физического лица на работе, экономического положения, здоровья, личных предпочтений, интересов, надежности, поведение, местоположение или перемещения;

(26) Принципы защиты данных должны применяться к любой информации, касающейся идентифицированного или поддающегося идентификации физического лица. Персональные данные, которые подверглись псевдонимизации и которые могут быть отнесены к физическому лицу с помощью дополнительной информации, следует рассматривать как информацию об идентифицируемом физическом лице. Чтобы определить, можно ли идентифицировать физическое лицо, следует учитывать все средства, которые с разумной вероятностью могут быть использованы, такие как выделение контролером или другим лицом для прямой или косвенной идентификации физического лица. Чтобы определить, есть ли разумная вероятность использования средств для идентификации физического лица, следует учитывать все объективные факторы, такие как затраты и количество времени, необходимое для идентификации, с учетом имеющейся технологии на момент обработки и технологических разработок. Поэтому принципы защиты данных не должны применяться к анонимной информации, а именно к информации, которая не относится к идентифицированному или поддающемуся идентификации физическому лицу, или к персональным данным, ставшим анонимными таким образом, что субъект данных не идентифицируется или перестает быть идентифицируемым. Таким образом, настоящее Постановление не касается обработки такой анонимной информации, в том числе в статистических или исследовательских целях.

(28) Применение псевдонимизации к персональным данным может снизить риски для соответствующих субъектов данных и помочь контролерам и обработчикам выполнять свои обязательства по защите данных. Прямое введение "псевдонимизации" в настоящем Регламенте не направлено на то, чтобы исключить какие-либо другие меры защиты данных.

(29) Для того, чтобы создать стимулы для применения псевдонимизации при обработке персональных данных, меры псевдонимизации должны, хотя и допускающие общий анализ, быть возможными в рамках одного и того же контролера, когда этот контролер принял технические и организационные меры, необходимые для обеспечения выполнения данного Регламента в отношении соответствующей обработки, и что дополнительная информация для отнесения персональных данных к конкретному субъекту данных хранятся отдельно. Контролер, обрабатывающий персональные данные, должен указать уполномоченных лиц в рамках одного и того же контролера.

(6) "система регистрации" означает любой структурированный набор персональных данных, которые доступны в соответствии с конкретными критериями, будь то централизованные, децентрализованные или рассредоточенные по функциональной или географической основе;

(7) "контролер" означает физическое или юридическое лицо, государственный орган, агентство или другой орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных; если цели и средства такой обработки определены законодательством Союза или государства-члена, контролер или конкретные критерии для его выдвижения могут быть предусмотрены законодательством Союза или государства-члена;

(8) "обработчик" означает физическое или юридическое лицо, государственный орган, агентство или другой орган, который обрабатывает персональные данные от имени контролера;

(31) Государственные органы, которым персональные данные раскрываются в соответствии с юридическим обязательством для выполнения их официальной миссии, такие как налоговые и таможенные органы, подразделения финансовых расследований, независимые административные органы или органы финансового рынка, ответственные за регулирование и надзор за рынками ценных бумаг, не должны рассматриваться в качестве получателей, если они получать персональные данные, которые необходимы для выполнения конкретного запроса в общих интересах, в соответствии с законодательством Союза или государства-члена. Запросы о раскрытии информации, направляемые государственными органами, всегда должны быть в письменной форме, аргументированными и нерегулярными и не должны касаться всей системы подачи документов или приводить к объединению систем подачи документов. Обработка персональных данных этими государственными органами должна соответствовать применимым правилам защиты данных в соответствии с целями обработки.

(10) "третья сторона" означает физическое или юридическое лицо, государственный орган, агентство или орган, отличный от субъекта данных, контролера, обработчика и лиц, которые, под непосредственным руководством контролера или обработчика, уполномочены обрабатывать персональные данные;

(32) Согласие должно быть дано посредством четкого утвердительного акта, устанавливающего свободно данное, конкретное, информированное и недвусмысленное указание согласия субъекта данных на обработку относящихся к нему персональных данных, например, посредством письменного заявления, в том числе с помощью электронных средств, или устного заявления. Это может включать в себя установку флажка при посещении веб-сайта в Интернете, выбор технических настроек для услуг информационного общества или другое заявление или поведение, которое четко указывает в этом контексте на согласие субъекта данных с предлагаемой обработкой его или ее персональных данных. Таким образом, молчание, предварительно отмеченные флажки или бездействие не должны означать согласия. Согласие должно охватывать все действия по обработке, осуществляемые с одной и той же целью или для других целей. Когда обработка преследует несколько целей, согласие должно быть дано на все из них. Если согласие субъекта данных должно быть дано после запроса с помощью электронных средств, запрос должен быть четким, кратким и без необходимости не нарушать использование услуги, для которой он предоставляется.

(33) Часто бывает невозможно полностью определить цель обработки персональных данных в научно-исследовательских целях на момент сбора данных. Следовательно, субъектам данных должно быть разрешено давать свое согласие на определенные области научных исследований в соответствии с признанными этическими стандартами научных исследований. Субъекты данных должны иметь возможность давать свое согласие только на определенные области исследований или части исследовательских проектов в той мере, в какой это допускается предполагаемой целью.

(12) "нарушение персональных данных" означает нарушение безопасности, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к персональным данным, передаваемым, хранимым или иным образом обработанным;

(34) Генетические данные следует определять как персональные данные, относящиеся к унаследованным или приобретенным генетическим характеристикам физического лица, которые являются результатом анализа биологического образца данного физического лица, в частности хромосомного анализа, анализа дезоксирибонуклеиновой кислоты (ДНК) или рибонуклеиновой кислоты (РНК), или анализа другого элемента, позволяющего получать эквивалентную информацию.

(14) "биометрические данные" означают персональные данные, полученные в результате специальной технической обработки, относящиеся к физическим, физиологическим или поведенческим характеристикам физического лица, которые позволяют или подтверждают уникальную идентификацию этого физического лица, такие как изображения лица или дактилоскопические данные;

(35) Персональные данные, касающиеся здоровья, должны включать все данные, относящиеся к состоянию здоровья субъекта данных, которые раскрывают информацию, относящуюся к прошлому, текущему или будущему состоянию физического или психического здоровья субъекта данных. Это включает информацию о физическом лице, собранную в ходе регистрации или предоставления медицинских услуг, как указано в Директиве 2011/24/EU Европейского парламента и Совета, в отношении этого физического лица; номер, символ или конкретная информация, присвоенные физическому лицу для уникальной идентификации физического лица в медицинских целях; информация, полученная в результате тестирования или обследования части тела или телесной субстанции, в том числе из генетических данных и биологических образцов; и любая информация, например, о заболевании, инвалидности, риске заболевания, история болезни, клиническое лечение или физиологическое или биомедицинское состояние субъекта данных независимо от его источника, например, от врача или другого медицинского работника, больницы, медицинского устройства или диагностического теста in vitro.

(a) в отношении контролера, имеющего представительства более чем в одном государстве-члене, место его центрального управления в Союзе, если только решения о целях и средствах обработки персональных данных не принимаются в другом учреждении контролера в Союзе, и последнее учреждение имеет право иметь такие решения выполнены, и в этом случае учреждение, принявшее такие решения, должно рассматриваться как основное учреждение;

(36) Основным учреждением контролера в Союзе должно быть место его центрального управления в Союзе, если только решения о целях и средствах обработки персональных данных не принимаются в другом учреждении контролера в Союзе, и в этом случае это другое учреждение должно рассматриваться как быть главным учреждением. Основное учреждение контролера в Союзе должно определяться в соответствии с объективными критериями и должно подразумевать эффективное и реальное осуществление управленческой деятельности, определяющей основные решения относительно целей и средств обработки посредством стабильных договоренностей. Этот критерий не должен зависеть от того, осуществляется ли обработка персональных данных в этом месте. Наличие и использование технических средств и технологий для обработки персональных данных или деятельности по обработке сами по себе не являются основным учреждением и, следовательно, не являются определяющими критериями для основного учреждения. Основным учреждением переработчика должно быть место его центральной администрации в Союзе или, если у него нет центральной администрации в Союзе, место, где осуществляется основная деятельность по переработке в Союзе. В случаях, связанных как с контролером, так и с обработчиком, компетентный ведущий надзорный орган должен оставаться надзорным органом государства-члена ЕС, где контроллер имеет свое основное представительство, но надзорный орган обработчика должен рассматриваться как заинтересованный надзорный орган, и этот надзорный орган должен участвовать в процедуре сотрудничества, предусмотренной для настоящим Регламентом. В любом случае, надзорные органы государства-члена или государств-членов, в которых у переработчика есть одно или несколько предприятий, не должны рассматриваться в качестве заинтересованных надзорных органов, если проект решения касается только контролера. Если обработка осуществляется группой предприятий, основное учреждение контролирующего предприятия следует рассматривать как основное учреждение группы предприятий, за исключением случаев, когда цели и средства обработки определяются другим предприятием.

(17) "представитель" означает физическое или юридическое лицо, учрежденное в Союзе, которое, назначенное контролером или обработчиком в письменной форме в соответствии со статьей 27, представляет контролера или обработчика в отношении их соответствующих обязательств в соответствии с настоящим Регламентом;

(18) "предприятие" означает физическое или юридическое лицо, занимающееся экономической деятельностью, независимо от его правовой формы, включая партнерства или ассоциации, регулярно занимающиеся экономической деятельностью;

(37) Группа предприятий должна охватывать контролирующее предприятие и контролируемые им предприятия, при этом контролирующим предприятием должно быть предприятие, которое может оказывать доминирующее влияние на другие предприятия в силу, например, права собственности, финансового участия или правил, которые им управляют, или полномочий на защиту персональных данных. правила соблюдены. Предприятие, которое контролирует обработку персональных данных в аффилированных с ним предприятиях, следует рассматривать вместе с этими предприятиями как группу предприятий.

(20) "обязательные корпоративные правила" означают политику защиты персональных данных, которой придерживается контролер или обработчик, созданный на территории государства-члена для передачи или набора передач персональных данных контролеру или обработчику в одной или нескольких третьих странах в рамках группы предприятий или группы предприятия, осуществляющие совместную хозяйственную деятельность;

(21) "надзорный орган" означает независимый государственный орган, учрежденный государством-членом в соответствии со статьей 51;

(а) контролер или обработчик учрежден на территории государства-члена этого надзорного органа;

(b) субъекты данных, проживающие в государстве-члене этого надзорного органа, существенно затронуты или могут быть существенно затронуты обработкой; или

(c) жалоба была подана в этот надзорный орган;

(а) обработка персональных данных, которая осуществляется в контексте деятельности учреждений в более чем одном государстве-члене контролера или обработчика в Союзе, где контролер или обработчик установлены в более чем одном государстве-члене; или

(b) обработка персональных данных, которая осуществляется в контексте деятельности одного учреждения контролера или обработчика в Союзе, но которая существенно влияет или может существенно повлиять на субъектов данных в более чем одном государстве-члене.

(24) "соответствующее и аргументированное возражение" означает возражение относительно того, имеет ли место нарушение настоящего Регламента или нет, или соответствует ли предусмотренное действие в отношении контролера или обработчика настоящему Регламенту, что ясно демонстрирует значимость рисков, связанных с проектом решения в отношении основных прав и свободы субъектов данных и, где это применимо, свободный поток персональных данных внутри Союза;

(25) "услуга информационного общества" означает услугу, определенную в пункте (b) статьи 1(1) Директивы (ЕС) 2015/1535 Европейского парламента и Совета 1;

(26) "международная организация" означает организацию и подчиненные ей органы, регулируемые международным публичным правом, или любой другой орган, который учрежден соглашением между двумя или более странами или на его основе.