(74) Должна быть установлена ответственность контролера за любую обработку персональных данных, осуществляемую контролером или от имени контролера. В частности, контролер должен быть обязан осуществлять надлежащие и эффективные меры и быть в состоянии продемонстрировать соответствие деятельности по обработке настоящему Регламенту, включая эффективность мер. Эти меры должны учитывать характер, объем, контекст и цели обработки, а также риск для прав и свобод физических лиц.

(75) Риск для прав и свобод физических лиц различной вероятности и серьезности может возникнуть в результате обработки персональных данных, которая может привести к физическому, материальному или нематериальному ущербу, в частности: когда обработка может привести к дискриминации, краже личных данных или мошенничеству, финансовым потерям, ущербу к репутации, потере конфиденциальности персональных данных, защищенных профессиональной тайной, несанкционированному изменению псевдонимизации или любому другому значительному экономическому или социальному ущербу; где субъекты данных могут быть лишены своих прав и свобод или лишены возможности осуществлять контроль над своими личными данными; где обрабатываются персональные данные, которые раскрывают расовое или этническое происхождение, политические взгляды, религию или философские убеждения, членство в профсоюзах, а также обработка генетических данных, данных, касающихся здоровья или данных, касающихся пола пожизненные или уголовные приговоры и правонарушения или связанные с ними меры безопасности; где оцениваются личные аспекты, в частности анализируются или прогнозируются аспекты, касающиеся производительности на работе, экономической ситуации, здоровья, личных предпочтений или интересов, надежности или поведения, местоположения или перемещений, с целью создания или использования личных профилей; где обрабатываются персональные данные уязвимых физических лиц, в частности детей; или когда обработка включает в себя большой объем персональных данных и затрагивает большое количество субъектов данных.

(76) Вероятность и серьезность риска для прав и свобод субъекта данных должны определяться с учетом характера, объема, контекста и целей обработки. Риск должен оцениваться на основе объективной оценки, с помощью которой устанавливается, связаны ли операции по обработке данных с риском или с высоким риском.

(77) Руководство по осуществлению надлежащих мер и по демонстрации соответствия со стороны контролера или обработчика, особенно в отношении выявления рисков, связанных с обработкой, их оценки с точки зрения происхождения, характера, вероятности и серьезности, а также определения наилучших методов для снижения риска, может быть обеспечено, в частности, с помощью утвержденных кодексов поведения, утвержденных сертификатов, руководящих принципов, предоставленных Правлением, или указаний, предоставленных сотрудником по защите данных. Совет может также издать руководящие принципы в отношении операций по обработке, которые, как считается, вряд ли приведут к высокому риску для прав и свобод физических лиц, и указать, какие меры могут быть достаточными в таких случаях для устранения такого риска.

(78) Защита прав и свобод физических лиц в отношении обработки персональных данных требует принятия соответствующих технических и организационных мер для обеспечения соблюдения требований настоящего Регламента. Чтобы иметь возможность продемонстрировать соответствие настоящему Регламенту, контролер должен принять внутреннюю политику и осуществить меры, которые отвечают, в частности, принципам защиты данных по замыслу и защиты данных по умолчанию. Такие меры могли бы включать, в частности, сведение к минимуму обработки персональных данных, псевдонимизацию персональных данных как можно скорее, прозрачность в отношении функций и обработки персональных данных, предоставление субъекту данных возможности контролировать обработку данных, предоставление контролеру возможности создавать и улучшать функции безопасности. При разработке, проектировании, выборе и использовании приложений, услуг и продуктов, которые основаны на обработке персональных данных или обрабатывают персональные данные для выполнения своей задачи, производителям продуктов, услуг и приложений следует поощрять учитывать право на защиту данных при разработке и проектировании таких продуктов, услуг и продуктов приложений и, с должным учетом уровня техники, убедиться, что контроллеры и обработчики способны выполнять свои обязательства по защите данных. Принципы защиты данных по замыслу и по умолчанию также должны приниматься во внимание в контексте публичных тендеров.

(79) Защита прав и свобод субъектов данных, а также ответственность контролеров и обработчиков, в том числе в отношении мониторинга и мер надзорных органов, требует четкого распределения обязанностей в соответствии с настоящим Регламентом, в том числе в тех случаях, когда контролер определяет цели и средства обработка совместно с другими контроллерами или когда операция обработки выполняется от имени контроллера.

2. Это обязательство не распространяется на:

4. Контролер или обработчик данных уполномочивает представителя обращаться в дополнение к контролеру или обработчику данных или вместо него, в частности, к надзорным органам и субъектам данных по всем вопросам, связанным с обработкой, в целях обеспечения соблюдения настоящего Регламента.

(80) Когда контролер или обработчик, не учрежденный в Союзе, обрабатывает персональные данные субъектов данных, которые находятся в Союзе, чья деятельность по обработке связана с предложением товаров или услуг, независимо от того, требуется ли оплата субъекта данных таким субъектам данных в Союзе, или для контроля за их поведением в той мере, в какой их поведение происходит в пределах Союза, контролер или обработчик должны назначить представителя, если обработка не является случайной, не включает обработку в больших масштабах, особых категорий персональных данных или обработка персональных данных, связанных с уголовными приговорами и преступлениями, и вряд ли приведет к риску для прав и свобод физических лиц, принимая во внимание характер, контекст, объем и цели обработки или если контролер является государственным органом или организацией. Представитель должен действовать от имени контролера или обработчика, и к нему может обратиться любой надзорный орган. Представитель должен быть четко назначен письменным мандатом контролера или обработчика действовать от его имени в отношении их обязательств по настоящему Регламенту. Назначение такого представителя не влияет на ответственность контролера или обработчика в соответствии с настоящим Регламентом. Такой представитель должен выполнять свои задачи в соответствии с мандатом, полученным от контролера или обработчика, в том числе сотрудничать с компетентными надзорными органами в отношении любых действий, предпринимаемых для обеспечения соблюдения настоящего Регламента. Назначенный представитель должен быть объектом исполнительного производства в случае несоблюдения требований контролером или обработчиком.

5. Соблюдение обработчиком утвержденного кодекса поведения, упомянутого в статье 40, или утвержденного механизма сертификации, упомянутого в статье 42, может использоваться в качестве элемента, с помощью которого можно продемонстрировать достаточные гарантии, упомянутые в пунктах 1 и 4 настоящей статьи.

6. Без ущерба для индивидуального договора между контролером и обработчиком, договор или другой правовой акт, упомянутый в пунктах 3 и 4 настоящей статьи, может основываться, полностью или частично, на стандартных договорных положениях, упомянутых в пунктах 7 и 8 настоящей статьи, в том числе, когда они являются частью сертификации, предоставленной контроллеру или обработчику в соответствии со статьями 42 и 43.

7. Комиссия может устанавливать стандартные договорные положения по вопросам, упомянутым в пунктах 3 и 4 настоящей статьи, и в соответствии с процедурой рассмотрения, указанной в статье 93(2).

8. Надзорный орган может принять стандартные договорные положения по вопросам, упомянутым в пунктах 3 и 4 настоящей статьи, и в соответствии с механизмом согласования, упомянутым в статье 63.

(81) Для обеспечения соответствия требованиям настоящего Регламента в отношении обработки, которая должна выполняться обработчиком от имени контролера, при доверении обработчику операций по обработке контролер должен использовать только обработчиков, обеспечивающих достаточные гарантии, в частности, с точки зрения экспертных знаний, надежности и ресурсов, осуществлять технические и организационные меры, которые будут соответствовать требованиям настоящего Регламента, в том числе для обеспечения безопасности обработки. Приверженность обработчика утвержденному кодексу поведения или утвержденному механизму сертификации может использоваться в качестве элемента для демонстрации соблюдения обязательств контролера. Осуществление обработки обработчиком должно регулироваться договором или другим правовым актом в соответствии с законодательством Союза или государства-члена, связывающим обработчика с контролером, определяющим предмет и продолжительность обработки, характер и цели обработки, тип персональных данных и категории субъектов данных, принимая во внимание конкретные задачи и ответственность обработчика в контексте подлежащей обработке и риск для прав и свобод субъекта данных. Контролер и обработчик могут выбрать использование индивидуального контракта или стандартных договорных положений, которые принимаются либо непосредственно Комиссией, либо надзорным органом в соответствии с механизмом согласованности, а затем утверждаются Комиссией. После завершения обработки от имени контролера обработчик должен, по выбору контролера, вернуть или удалить персональные данные, за исключением случаев, когда существует требование о хранении персональных данных в соответствии с законодательством Союза или государства-члена, которому подчиняется обработчик.

3. Записи, упомянутые в пунктах 1 и 2, должны быть составлены в письменной форме, в том числе в электронной форме.

(82) Для того, чтобы продемонстрировать соответствие настоящему Регламенту, контролер или обработчик должны вести записи о действиях по обработке, находящихся под его ответственностью. Каждый контролер и обработчик должны быть обязаны сотрудничать с надзорным органом и предоставлять ему эти записи по запросу, чтобы они могли использоваться для мониторинга этих операций обработки.