(101) Потоки персональных данных в страны за пределами Союза и международные организации и из них необходимы для расширения международной торговли и международного сотрудничества. Увеличение таких потоков породило новые проблемы и озабоченности в отношении защиты персональных данных. Однако, когда персональные данные передаются из Союза контролерам, обработчикам или другим получателям в третьих странах или международным организациям, уровень защиты физических лиц, обеспечиваемый в Союзе настоящим Регламентом, не должен подрываться, в том числе в случаях дальнейшей передачи персональных данных из третьей страны или международной организации контроллерам, обработчикам в той же или другой третьей стране или международной организации. В любом случае, переводы в третьи страны и международные организации могут осуществляться только в полном соответствии с настоящим Регламентом. Передача может иметь место только в том случае, если, с учетом других положений настоящего Регламента, контролер или обработчик соблюдают условия, изложенные в положениях настоящего Регламента, касающихся передачи персональных данных третьим странам или международным организациям.

(102) Настоящий Регламент не наносит ущерба международным соглашениям, заключенным между Союзом и третьими странами, регулирующим передачу персональных данных, включая соответствующие гарантии для субъектов данных. Государства-члены могут заключать международные соглашения, которые предполагают передачу персональных данных третьим странам или международным организациям, в той мере, в какой такие соглашения не затрагивают настоящий Регламент или любые другие положения законодательства Союза и включают надлежащий уровень защиты основных прав субъектов данных.

(103) Комиссия может принять решение, имеющее силу для всего Союза, о том, что третья страна, территория или определенный сектор в третьей стране или международная организация предлагают надлежащий уровень защиты данных, обеспечивая таким образом правовую определенность и единообразие по всему Союзу в отношении третьей страны или международной организации, которая является считается, что обеспечивает такой уровень защиты. В таких случаях передача персональных данных в эту третью страну или международную организацию может осуществляться без необходимости получения какого-либо дополнительного разрешения. Комиссия может также принять решение, направив уведомление и полное заявление с изложением причин третьей стране или международной организации, отменить такое решение.

(104) В соответствии с фундаментальными ценностями, на которых основан Союз, в частности, защита прав человека, Комиссия должна при оценке третьей страны или территории или определенного сектора в третьей стране учитывать, как конкретная третья страна соблюдает верховенство права права, доступа к правосудию, а также международных норм и стандартов в области прав человека и его общего и отраслевого законодательства, включая законодательство, касающееся общественной безопасности, обороны и национальной безопасности, а также общественного порядка и уголовного права. Принятие решения об адекватности в отношении территории или определенного сектора в третьей стране должно учитывать четкие и объективные критерии, такие как конкретные виды деятельности по обработке и сфера применения применимых правовых стандартов и законодательства, действующих в третьей стране. Третья страна должна предложить гарантии, обеспечивающие надлежащий уровень защиты, по существу эквивалентный тому, который обеспечивается в рамках Союза, в частности, когда персональные данные обрабатываются в одном или нескольких конкретных секторах. В частности, третья страна должна обеспечить эффективный независимый надзор за защитой данных и должна предусмотреть механизмы сотрудничества с органами по защите данных государств-членов, а субъектам данных должны быть предоставлены эффективные и подлежащие исполнению права и действенное административное и судебное возмещение.

(105) Помимо международных обязательств, принятых третьей страной или международной организацией, Комиссия должна учитывать обязательства, вытекающие из участия третьей страны или международной организации в многосторонних или региональных системах, в частности, в отношении защиты персональных данных, а также выполнения таких обязательств. В частности, следует принять во внимание присоединение третьей страны к Конвенции Совета Европы от 28 января 1981 года о защите физических лиц в отношении автоматической обработки персональных данных и Дополнительному протоколу к ней. Комиссия должна консультироваться с Правлением при оценке уровня защиты в третьих странах или международных организациях.

3. Комиссия, после оценки адекватности уровня защиты, может посредством имплементационного акта принять решение о том, что третья страна, территория или один или несколько определенных секторов в пределах третьей страны или международная организация обеспечивают надлежащий уровень защиты по смыслу пункта 2 настоящего Статья. Закон об осуществлении должен предусматривать механизм периодического обзора, по крайней мере, каждые четыре года, который должен учитывать все соответствующие изменения в третьей стране или международной организации. В имплементационном акте должно быть указано его территориальное и отраслевое применение и, где применимо, указан надзорный орган или органы, упомянутые в пункте (b) пункта 2 настоящей статьи. Имплементационный акт должен быть принят в соответствии с процедурой рассмотрения, указанной в статье 93(2).

(106) Комиссия должна отслеживать выполнение решений об уровне защиты в третьей стране, территории или определенном секторе в третьей стране или международной организации, а также контролировать выполнение решений, принятых на основании статьи 25(6) или статьи 26(4) Директивы 95/46/ЕС. В своих решениях об адекватности Комиссия должна предусмотреть механизм периодического обзора их функционирования. Этот периодический обзор должен проводиться в консультации с соответствующей третьей страной или международной организацией и учитывать все соответствующие изменения в третьей стране или международной организации. В целях мониторинга и проведения периодических обзоров Комиссия должна принимать во внимание мнения и выводы Европейского парламента и Совета, а также других соответствующих органов и источников. Комиссия должна оценить, в разумные сроки, функционирование последних решений и сообщить о любых соответствующих выводах Комитету по смыслу Регламента (ЕС) № 182/2011 Европейского парламента и Совета, как установлено в соответствии с этим Регламентом, Европейскому парламенту и Совету.

5. Комиссия должна, если имеющаяся информация показывает, в частности, после рассмотрения, упомянутого в пункте 3 настоящей статьи, что третья страна, территория или один или несколько определенных секторов в третьей стране или международная организация больше не обеспечивают адекватный уровень защиты по смыслу пункта 2 настоящей статьи, в той мере, в какой это необходимо, отменять, изменять или приостанавливать решение, упомянутое в пункте 3 настоящей статьи, посредством имплементационных актов без обратной силы. Эти имплементационные акты должны быть приняты в соответствии с процедурой рассмотрения, указанной в статье 93(2).
На должным образом обоснованных императивных основаниях срочности Комиссия должна немедленно принять применимые имплементационные акты в соответствии с процедурой, указанной в статье 93(3).

(107) Комиссия может признать, что третья страна, территория или определенный сектор в третьей стране или международная организация больше не обеспечивают надлежащий уровень защиты данных. Следовательно, передача персональных данных в эту третью страну или международную организацию должна быть запрещена, если не выполнены требования настоящего Регламента, касающиеся передачи с соблюдением соответствующих гарантий, включая обязательные корпоративные правила и отступления для конкретных ситуаций. В этом случае следует предусмотреть проведение консультаций между Комиссией и такими третьими странами или международными организациями. Комиссия должна своевременно информировать третью страну или международную организацию о причинах и вступить с ними в консультации с целью исправления ситуации.

7. Решение в соответствии с пунктом 5 настоящей статьи не наносит ущерба передаче персональных данных третьей стране, территории или одному или нескольким определенным секторам в пределах этой третьей страны или соответствующей международной организации в соответствии со статьями 46-49.

8. Комиссия публикует в Официальном журнале Европейского Союза и на своем веб-сайте список третьих стран, территорий и определенных секторов в пределах третьей страны и международных организаций, для которых она решила, что надлежащий уровень защиты обеспечен или больше не обеспечивается.

9. Решения, принятые Комиссией на основании статьи 25(6) Директивы 95/46/ЕС, остаются в силе до внесения изменений, замены или отмены Решением Комиссии, принятым в соответствии с пунктом 3 или 5 настоящей статьи.

(108) В отсутствие решения об адекватности контролер или обработчик данных должны принять меры для компенсации отсутствия защиты данных в третьей стране посредством соответствующих гарантий для субъекта данных. Такие надлежащие меры предосторожности могут заключаться в использовании обязательных корпоративных правил, стандартных положений о защите данных, принятых Комиссией, стандартных положений о защите данных, принятых надзорным органом, или договорных положений, утвержденных надзорным органом. Эти гарантии должны обеспечивать соблюдение требований по защите данных и прав субъектов данных, соответствующих обработке в рамках Союза, включая наличие осуществимых прав субъектов данных и эффективных средств правовой защиты, в том числе для получения эффективного административного или судебного возмещения и требования компенсации, в Союзе или в третьей стране. Они должны касаться, в частности, соблюдения общих принципов, касающихся обработки персональных данных, принципов защиты данных по замыслу и по умолчанию. Передача может также осуществляться государственными органами или подразделениями с государственными органами или подразделениями в третьих странах или с международными организациями с соответствующими обязанностями или функциями, в том числе на основе положений, которые должны быть включены в административные соглашения, такие как меморандум о взаимопонимании, предусматривающий подлежащие исполнению и эффективные права для субъектов данных. Разрешение компетентного надзорного органа должно быть получено, когда гарантии предусмотрены административными соглашениями, которые не являются юридически обязательными.

(109) Возможность для контролера или обработчика использовать стандартные положения о защите данных, принятые Комиссией или надзорным органом, не должна препятствовать контроллерам или обработчикам ни включать стандартные положения о защите данных в более широкий контракт, такой как контракт между обработчиком и другим обработчиком, ни добавлять другие положения или дополнительные гарантии при условии, что они прямо или косвенно не противоречат, стандартные договорные положения, принятые Комиссией или надзорным органом, или наносят ущерб основным правам или свободам субъектов данных. Контролеров и обработчиков следует поощрять к предоставлению дополнительных гарантий посредством договорных обязательств, дополняющих стандартные положения о защите.

2. Соответствующие гарантии, упомянутые в пункте 1, могут быть предусмотрены, не требуя какого-либо специального разрешения от контролирующего органа, путем:

3. При условии получения разрешения от компетентного надзорного органа соответствующие гарантии, упомянутые в пункте 1, также могут быть предусмотрены, в частности, путем:

4. Надзорный орган должен применять механизм согласования, упомянутый в статье 63, в случаях, указанных в пункте 3 настоящей статьи.

5. Разрешения государства-члена или надзорного органа на основании статьи 26(2) Директивы 95/46/EC остаются в силе до тех пор, пока этот надзорный орган не изменит, не заменит или не отменит их, если это необходимо. Решения, принятые Комиссией на основании статьи 26(4) Директивы 95/46/ЕС, остаются в силе до внесения изменений, замены или отмены, при необходимости, Решением Комиссии, принятым в соответствии с пунктом 2 настоящей статьи.

(110) Группа предприятий или группа предприятий, занятых совместной экономической деятельностью, должна иметь возможность использовать утвержденные обязательные корпоративные правила для своих международных переводов из Союза организациям, входящим в ту же группу предприятий или группу предприятий, занятых совместной экономической деятельностью, при условии, что такие корпоративные правила включите все основные принципы и права, подлежащие исполнению, для обеспечения надлежащих гарантий при передаче или категориях передач персональных данных.

2. Обязательные корпоративные правила, упомянутые в пункте 1, должны определять, по крайней мере:

3. Комиссия может определять формат и процедуры обмена информацией между контролерами, обработчиками и надзорными органами для обязательных корпоративных правил по смыслу настоящей статьи. Эти имплементационные акты должны быть приняты в соответствии с процедурой рассмотрения, изложенной в статье 93(2).

Любое решение суда или трибунала и любое решение административного органа третьей страны, требующее от контролера или обработчика передавать или раскрывать персональные данные, может быть признано или приведено в исполнение любым способом только в том случае, если оно основано на международном соглашении, таком как договор о взаимной правовой помощи, действующем между запрашивающей третьей страной и Союз или государство-член, без ущерба для других оснований для передачи в соответствии с настоящей главой.

1. В отсутствие решения об адекватности в соответствии со статьей 45(3) или надлежащих гарантий в соответствии со статьей 46, включая обязательные корпоративные правила, передача или набор передач персональных данных в третью страну или международную организацию должны осуществляться только при одном из следующих условий:

Если передача не может быть основана на положениях статей 45 или 46, включая положения об обязательных корпоративных правилах, и ни одно из отступлений для конкретной ситуации в соответствии с пунктами (a)-(g) этого пункта не применимо, передача третьей стране или международной организации может происходит только в том случае, если передача не является повторяющейся, касается только ограниченного числа субъектов данных, необходима для целей обеспечения законных интересов, преследуемых контролером, которые не перекрываются интересами или правами и свободами субъекта данных., и контролер оценил все обстоятельства, связанные с передачей данных, и на основе этой оценки предоставил надлежащие гарантии в отношении защиты персональных данных. Контролер должен проинформировать надзорный орган о передаче. Контролер обязан, в дополнение к предоставлению информации, указанной в статьях 13 и 14, информировать субъекта данных о передаче и о преследуемых непреодолимых законных интересах.

2. Передача в соответствии с пунктом (g) параграфа 1 не должна затрагивать все персональные данные или целые категории персональных данных, содержащихся в реестре. Если реестр предназначен для ознакомления лиц, имеющих законный интерес, передача должна производиться только по просьбе этих лиц или если они должны быть получателями.

3. Пункты (a), (b) и (c) первого подпункта и второго подпункта пункта 1 не применяются к деятельности, осуществляемой государственными органами при осуществлении их публичных полномочий.

4. Общественный интерес, упомянутый в пункте (d) параграфа 1, должен быть признан в законодательстве Союза или в законодательстве государства-члена, которому подчиняется контролер.

5. В отсутствие решения об адекватности законодательство Союза или государства-члена может по важным причинам, представляющим общественный интерес, прямо устанавливать ограничения на передачу определенных категорий персональных данных третьей стране или международной организации. Государства-члены должны уведомить Комиссию о таких положениях.

(111) Следует предусмотреть возможность передачи при определенных обстоятельствах, когда субъект данных дал свое явное согласие, когда передача является случайной и необходимой в связи с контрактом или юридическим иском, независимо от того, осуществляется ли она в рамках судебной процедуры, административного или любого другого внесудебного процесса.внесудебная процедура, включая процедуры в регулирующих органах. Следует также предусмотреть возможность передачи, когда этого требуют важные основания общественного интереса, установленные законодательством Союза или государства-члена, или когда передача производится из реестра, установленного законом и предназначенного для ознакомления общественности или лиц, имеющих законный интерес. В последнем случае такая передача не должна затрагивать все персональные данные или целые категории данных, содержащихся в реестре, и, когда реестр предназначен для ознакомления лиц, имеющих законный интерес, передача должна осуществляться только по просьбе этих лиц или, если они являются быть получателями, в полной мере учитывая интересы и основные права субъекта данных.

(112) Эти отступления должны, в частности, применяться к передаче данных, требуемой по важным причинам, представляющим общественный интерес, например, в случаях международного обмена данными между органами по вопросам конкуренции, налоговыми или таможенными администрациями, между органами финансового надзора, между службами, компетентными в вопросах социального обеспечения, или для общественного здравоохранения, например, в случай отслеживания контактов на предмет инфекционных заболеваний или с целью снижения и/или ликвидации допинга в спорте. Передача персональных данных также должна рассматриваться как законная, если это необходимо для защиты интересов, которые являются существенными для жизненно важных интересов субъекта данных или другого лица, включая физическую неприкосновенность или жизнь, если субъект данных не в состоянии дать согласие. В отсутствие решения об адекватности законодательство Союза или государства-члена может по важным причинам, представляющим общественный интерес, прямо устанавливать ограничения на передачу определенных категорий данных третьей стране или международной организации. Государства-члены должны уведомить Комиссию о таких положениях. Любая передача международной гуманитарной организации персональных данных субъекта данных, который физически или юридически неспособен дать согласие, с целью выполнения задачи, предусмотренной Женевскими конвенциями, или соблюдения международного гуманитарного права, применимого в вооруженных конфликтах, может считаться необходимой по важной причине общественного интерес или потому, что это отвечает жизненным интересам субъекта данных.

(113) Передачи, которые могут быть квалифицированы как не повторяющиеся и которые касаются только ограниченного числа субъектов данных, также могут быть возможны в целях непреодолимых законных интересов, преследуемых контролером, когда эти интересы не перекрываются интересами или правами и свободами субъекта данных и когда контролер оценил все обстоятельства, связанные с передачей данных. Контролер должен уделять особое внимание характеру персональных данных, цели и продолжительности предлагаемой операции или операций по обработке, а также ситуации в стране происхождения, третьей стране и стране конечного назначения, и должен обеспечить надлежащие гарантии для защиты основных прав и свобод физических лиц лиц в отношении обработки их персональных данных. Такие переводы должны быть возможны только в остаточных случаях, когда ни одно из других оснований для перевода не применимо. Для целей научных или исторических исследований или статистических целей следует принимать во внимание законные ожидания общества в отношении увеличения объема знаний. Контролер должен проинформировать надзорный орган и субъекта данных о передаче.

(114) В любом случае, если Комиссия не приняла решения о надлежащем уровне защиты данных в третьей стране, контролер или обработчик должны использовать решения, которые предоставляют субъектам данных подлежащие исполнению и эффективные права в отношении обработки их данных в Союзе после того, как эти данные были переданы так что они будут продолжать пользоваться основными правами и гарантиями.

(115) Некоторые третьи страны принимают законы, подзаконные акты и другие правовые акты, которые призваны непосредственно регулировать деятельность по обработке данных физических и юридических лиц, находящихся под юрисдикцией государств-членов. Это может включать решения судов или трибуналов или решения административных органов в третьих странах, требующие от контролера или обработчика передавать или раскрывать персональные данные, и которые не основаны на международном соглашении, таком как договор о взаимной правовой помощи, действующем между запрашивающей третьей страной и Союзом или государством-членом.. Экстерриториальное применение этих законов, постановлений и других правовых актов может противоречить международному праву и может препятствовать достижению защиты физических лиц, обеспечиваемой в Союзе этим Постановлением. Переводы должны быть разрешены только в том случае, если соблюдены условия настоящего Регламента для перевода в третьи страны. Это может быть, в частности, случай, когда раскрытие информации необходимо по важному основанию общественного интереса, признанному в законодательстве Союза или государства-члена, которому подчиняется контролер.

(116) Когда персональные данные перемещаются через границы за пределами Союза, это может подвергнуть повышенному риску способность физических лиц осуществлять права на защиту данных, в частности, защищать себя от незаконного использования или раскрытия этой информации. В то же время надзорные органы могут обнаружить, что они не в состоянии рассматривать жалобы или проводить расследования, связанные с деятельностью за пределами их границ. Их усилиям по совместной работе в трансграничном контексте также могут препятствовать недостаточные полномочия по предотвращению или исправлению положения, непоследовательные правовые режимы и практические препятствия, такие как ограниченность ресурсов. Следовательно, существует необходимость содействовать более тесному сотрудничеству между надзорными органами по защите данных, чтобы помочь им обмениваться информацией и проводить расследования со своими международными коллегами. В целях разработки механизмов международного сотрудничества для облегчения и предоставления международной взаимной помощи в обеспечении соблюдения законодательства о защите персональных данных Комиссия и надзорные органы должны обмениваться информацией и сотрудничать в деятельности, связанной с осуществлением их полномочий, с компетентными органами в третьих странах, на основе взаимности и в соответствии с с этим Регламентом.