(44) Обработка должна быть законной, если это необходимо в контексте контракта или намерения заключить контракт.

(45) Если обработка осуществляется в соответствии с юридическим обязательством, которому подчиняется контролер, или если обработка необходима для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, обработка должна иметь основание в законодательстве Союза или государства-члена. Это Регулирование не требует специального закона для каждой отдельной обработки. Закон в качестве основы для нескольких операций обработки, основанных на юридическом обязательстве, которому подчиняется контролер, или когда обработка необходима для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, может быть достаточным. Цель обработки также должна определяться законодательством Союза или государства-члена. Кроме того, этот закон мог бы конкретизировать общие условия настоящего Регламента, регулирующего законность обработки персональных данных, установить спецификации для определения контролера, типа персональных данных, которые подлежат обработке, соответствующих субъектов данных, организаций, которым персональные данные могут быть раскрыты, ограничения цели, срок хранения и другие меры для обеспечения законной и справедливой обработки. Законодательство Союза или государства-члена также должно определять, должен ли контролер, выполняющий задачу, выполняемую в общественных интересах или при осуществлении официальных полномочий, быть государственным органом или другим физическим или юридическим лицом, регулируемым публичным правом, или, если это отвечает общественным интересам, в том числе для целей здравоохранения, таких как общественное здравоохранение и социальная защита, а также управление медицинскими услугами, на основании частного права, например, профессиональной ассоциации.

(46) Обработка персональных данных также должна рассматриваться как законная, когда это необходимо для защиты интересов, которые необходимы для жизни субъекта данных или другого физического лица. Обработка персональных данных, основанная на жизненно важном интересе другого физического лица, в принципе, должна осуществляться только в тех случаях, когда обработка не может быть явно основана на другом правовом основании. Некоторые виды обработки могут служить как важным соображениям общественного интереса, так и жизненно важным интересам субъекта данных, например, когда обработка необходима в гуманитарных целях, в том числе для мониторинга эпидемий и их распространения, или в ситуациях чрезвычайных гуманитарных ситуаций, в частности в ситуациях стихийных бедствий и техногенных катастроф.

(e) обработка необходима для выполнения задачи, выполняемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера;

(47) Законные интересы контролера, включая интересы контролера, которому могут быть раскрыты персональные данные, или третьей стороны, могут обеспечить правовую основу для обработки, при условии, что интересы или основные права и свободы субъекта данных не являются преобладающими, принимая во внимание разумные ожидания субъектов данных, основанные на их отношениях с контролером. Такой законный интерес может существовать, например, при наличии соответствующих отношений между субъектом данных и контролером в таких ситуациях, как, например, когда субъект данных является клиентом или находится на службе у контролера. В любом случае наличие законного интереса потребует тщательной оценки, в том числе того, может ли субъект данных разумно ожидать во время и в контексте сбора персональных данных, что обработка с этой целью может иметь место. Интересы и основные права субъекта данных могут, в частности, превалировать над интересами контролера данных, когда персональные данные обрабатываются в обстоятельствах, когда субъекты данных разумно не ожидают дальнейшей обработки. Учитывая, что законодатель должен законодательно предусмотреть правовую основу для обработки персональных данных государственными органами, эта правовая основа не должна применяться к обработке государственными органами при выполнении их задач. Обработка персональных данных, строго необходимая в целях предотвращения мошенничества, также представляет собой законный интерес соответствующего контролера данных. Обработка персональных данных в целях прямого маркетинга может рассматриваться как осуществляемая в законных интересах.

(48) Контролеры, которые являются частью группы предприятий или учреждений, аффилированных с центральным органом, могут иметь законный интерес в передаче персональных данных внутри группы предприятий для внутренних административных целей, включая обработку персональных данных клиентов или сотрудников. Общие принципы передачи персональных данных внутри группы предприятий предприятию, расположенному в третьей стране, остаются неизменными.

(49) Обработка персональных данных в объеме, строго необходимом и пропорциональном для целей обеспечения сетевой и информационной безопасности, т.е. способность сети или информационной системы противостоять при заданном уровне уверенности случайным событиям или незаконным или злонамеренным действиям, которые ставят под угрозу доступность, подлинность, целостность и конфиденциальность хранимых или передаваемых персональных данных, а также безопасность соответствующих услуг, предлагаемых этими сетями или доступных через них, и системами, государственными органами, группами реагирования на компьютерные чрезвычайные ситуации (CERTs), группами реагирования на инциденты компьютерной безопасности (CSIRTs), поставщиками сетей и услуг электронной связи, а также поставщиками технологий и услуг безопасности, представляет собой законный интерес соответствующего контролера данных. Это могло бы, например, включать предотвращение несанкционированного доступа к сетям электронных коммуникаций и распространения вредоносного кода, а также прекращение атак типа "отказ в обслуживании" и повреждения компьютерных и электронных систем связи.

(40) Для того, чтобы обработка была законной, персональные данные должны обрабатываться на основе согласия соответствующего субъекта данных или на каком-либо другом законном основании, предусмотренном законом, либо в настоящем Регламенте, либо в другом законодательстве Союза или государства-члена, как указано в настоящем Регламенте, включая необходимость для соблюдения юридического обязательства, которому подчиняется контролер, или необходимости исполнения контракта, стороной которого является субъект данных, или для того, чтобы предпринять шаги по просьбе субъекта данных до заключения контракта.

(50) Обработка персональных данных в целях, отличных от тех, для которых персональные данные были первоначально собраны, должна быть разрешена только в том случае, если обработка совместима с целями, для которых персональные данные были первоначально собраны. В таком случае не требуется никаких правовых оснований, отличных от тех, которые позволили собирать персональные данные. Если обработка необходима для выполнения задачи, осуществляемой в общественных интересах, или при осуществлении официальных полномочий, возложенных на контролера, законодательство Союза или государства-члена может определять и конкретизировать задачи и цели, для которых дальнейшая обработка должна рассматриваться как совместимая и законная. Дальнейшая обработка для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей должна рассматриваться как совместимые законные операции обработки. Правовая основа, предусмотренная законодательством Союза или государства-члена для обработки персональных данных, также может служить правовой основой для дальнейшей обработки. Чтобы выяснить, совместима ли цель дальнейшей обработки с целью, для которой персональные данные первоначально собираются, контролер, после выполнения всех требований к законности первоначальной обработки, должен принять во внимание, среди прочего: любую связь между этими целями и целями предполагаемого дальнейшая обработка; контекст, в котором были собраны персональные данные, в частности разумные ожидания субъектов данных, основанные на их отношениях с контролером, относительно их дальнейшего использования; характер персональных данных; последствия предполагаемой дальнейшей обработки для субъектов данных; и наличие соответствующих гарантий как в первоначальном и предполагаемые дальнейшие операции по обработке. Если субъект данных дал согласие или обработка основана на законодательстве Союза или государства-члена, что представляет собой необходимую и соразмерную меру в демократическом обществе для защиты, в частности, важных целей, представляющих общий общественный интерес, контролеру должно быть разрешено продолжать обработку персональных данных независимо от совместимости целей. В любом случае, должно быть обеспечено применение принципов, изложенных в настоящем Регламенте, и, в частности, информация субъекта данных об этих других целях и о его или ее правах, включая право на возражение. Указание контролером на возможные преступные действия или угрозы общественной безопасности и передача соответствующих персональных данных в отдельных случаях или в нескольких случаях, относящихся к одному и тому же преступному деянию или угрозам общественной безопасности, компетентному органу следует рассматривать как отвечающие законным интересам контролера. Однако такая передача в законных интересах контролера или дальнейшая обработка персональных данных должны быть запрещены, если обработка несовместима с юридическим, профессиональным или иным обязательным обязательством хранить тайну.