Guidelines on consent under Regulation 2016/679

Руководство по согласию в соответствии с Регламентом 2016/679

Adopted on 4 May 2020: EUR-lex.

Перевод на русский язык с английского языка выполнили У. Дергачёва, К. Комяк, И. Крючков. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, MBA. © Перевод на русский ООО "Дата Прайваси Офис".

The European Data Protection Board

Европейский совет по защите данных

Having regard to Article 70 (1)(e) of the Regulation 2016/679/EU of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC, (hereinafter“GDPR”),

Принимая во внимание статью 70 (1)(e) Регламента 2016/679/ЕС Европейского парламента и Европейского Совета от 27 апреля 2016 года по защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, и отменяя Директиву 95/46 / EC], (далее- «GDPR»),

Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37 thereof, as amended by the Decision of the EEA joint Committee No 154/2018 of 6 July 2018 [1],

Принимая во внимание Соглашение ЕЭЗ и, в частности, Приложение XI и Протокол к нему с поправками, внесенными Решением Объединенного комитета ЕЭЗ № 154/2018 от 6 июля 2018 года [1],

_{[1] References to “Member States” made throughout this document should be understood as references to “EEA Member States”.}

_{[1] Ссылки на “государства-члены”, содержащиеся в настоящем документе, следует понимать как ссылки на “государства-члены ЕЭЗ”}

Having regard to Article 12 and Article 22 of its Rules of Procedure,

Принимая во внимание статью 12 и статью 22 Процедурных норм

Having regard to the Article 29 Working Party Guidelines on consent under Regulation 2016/679, WP259 rev.01,

Принимая во внимание Руководство по согласию Рабочей группы 29-й статьи

HAS ADOPTED THE FOLLOWING GUIDELINES

ПРИНЯЛ СЛЕДУЮЩЕЕ РУКОВОДСТВО

0. PREFACE

0. ПРЕДИСЛОВИЕ

On 10 April 2018 the Article 29 Working Party adopted its Guidelines on consent under Regulation 2016/679 (WP259.01), which were endorsed by the European Data Protection Board (hereinafter “EDPB”) at its first Plenary meeting. This document is a slightly updated version of those Guidelines.Any reference to the WP29 Guidelines on consent (WP259 rev.01) should from now on be interpreted as a reference to these guidelines.

10 апреля 2018 года Рабочая группа 29-ой статьи приняла Руководство о согласии в соответствии с Регламентом 2016 / 679, которое было одобрено Европейским Советом по защите данных (далее “EDPB”) на его первом пленарном заседании. Настоящий документ представляет собой обновленную версию этого Руководства. Любая ссылка на Руководство РГ29 о согласии отныне должна толковаться как ссылка на это Руководство.

The EDPB has noticed that there was a need for further clarifications, specifically regarding two questions: 1. The validity of consent provided by the data subject when interacting with so-called “cookie walls”; 2. The example 16 on scrolling and consent.

EDPB отметил, что возникла необходимость в дальнейших разъяснениях, в частности, по двум вопросам: 1. Действительность согласия, предоставленного субъектом данных при взаимодействии с “cookie walls”; 2. Пример 16 о прокрутке согласия.

The paragraphs concerning these two issues have been revised and updated, while the rest of the document was left unchanged, except for editorial changes. The revision concerns, more specifically: • Section on Conditionality (paragraphs 38 – 41). • Section on Unambiguous indication of wishes (paragraph 86)

Пункты, касающиеся этих двух вопросов, были пересмотрены и обновлены, в то время как остальная часть документа была оставлена без изменений, за исключением редакционных изменений. Пересмотр касается, в частности: • Раздела об обусловленности (пункты 38 – 41). • Раздел об однозначности (пункт 86)

1. INTRODUCTION

1. ВВЕДЕНИЕ

1. These Guidelines provide a thorough analysis of the notion of consent in Regulation 2016/679, the General Data Protection Regulation (hereafter: GDPR). The concept of consent as used in the Data Protection Directive (hereafter: Directive 95/46/EC) and in the e-Privacy Directive to date, has evolved. The GDPR provides further clarification and specification of the requirements for obtaining and demonstrating valid consent. These Guidelines focus on these changes, providing practical guidance to ensure compliance with the GDPR and building upon the Article 29 Working Party Opinion 15/2011 on consent. The obligation is on controllers to innovate to find new solutions that operate within the parameters of the law and better support the protection of personal data and the interests of data subjects.

1. Данное Руководство содержит тщательный анализ понятия “согласие”, закрепленного в Регламенте 2016/679, Общий регламент защиты персональных данных (далее: GDPR). Понятие “согласие”, используемое в Директиве о защите персональных данных (далее: Директива 95/46/EC) и в Директиве об электронной приватности, на сегодняшний день претерпело изменения. GDPR предусматривает дополнительное разъяснение и уточнение требований к получению и проявлению действительного согласия. Данное Руководство фокусируются на этих изменениях (предоставляя практические указания для соблюдения GDPR) и основано на Мнении Рабочей Группы 29-ой статьи о понятии “согласие” от 15/2011. На контролерах лежит обязанность внедрять инновации, чтобы находить новые решения, которые соответствуют закону и эффективно обеспечивают защиту персональных данных и интересов субъектов данных.

2. Consent remains one of six lawful bases to process personal data, as listed in Article 6 of the GDPR.[2] When initiating activities that involve processing of personal data, a controller must always take time to consider what would be the appropriate lawful ground for the envisaged processing.

2. Согласие является одним из шести правовых оснований для обработки персональных данных, перечисленных в статье 6 GDPR. [2] Инициируя деятельность, связанную с обработкой персональных данных, контролер обязан проанализировать, какое правовое основание будет подходящим для предполагаемой обработки.

_{[2] Article 9 GDPR provides a list of possible exemptions to the ban on processing special categories of data. One of the exemptions listed is the situation where the data subject provides explicit consent to the use of this data.}

_{[2] Статья 9 GDPR предусматривает перечень возможных исключений из запрета на обработку специальных категорий данных. Одним из исключений является ситуация, когда субъект данных дает отчётливое согласие на использование этих данных.}

3. Generally, consent can only be an appropriate lawful basis if a data subject is offered control and is offered a genuine choice with regard to accepting or declining the terms offered or declining them without detriment. When asking for consent, a controller has the duty to assess whether it will meet all the requirements to obtain valid consent. If obtained in full compliance with the GDPR, consent is a tool that gives data subjects control over whether or not personal data concerning them will be processed. If not, the data subject’s control becomes illusory and consent will be an invalid basis for processing, rendering the processing activity unlawful.[3]

3. Как правило, согласие может считаться подходящим правовым основанием только в том случае, когда субъект данных получает контроль и ему предлагается реальный выбор в отношении принятия или отклонения предложенных условий без каких-либо негативных последствий для него. Запрашивая согласие, контролер обязан оценить, соответствует ли он всем необходимым требованиям для получения действительного согласия. Если же такое согласие получено в полном соответствии с GDPR, то это дает субъектам данных контроль над тем, будут ли их персональные данные обработаны или нет. Если же нет, то контроль субъекта данных становится иллюзорным, и согласие будет недействительным основанием для обработки. В таком случае, обработка будет считаться незаконной. [3]

_{[3] See also the Article 29 Working Party Opinion 15/2011 on the definition of consent (WP 187), pp. 6-8, and/or Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC (WP 217), pp. 9, 10, 13 and 14.}

_{[3] См. также Мнение 15/2011 о понятии согласия (РГ 187), стр. 6-8 и / или Мнение 06/2014 о понятии легитимных интересов контролера данных в соответствии со статьей 7 Директивы 95/46 / ЕС ( РГ 217), стр. 9, 10, 13 и 14.}

_{[4] Most notably, Opinion 15/2011 on the definition of consent (WP 187).}

_{[4] В частности, Мнение 15/2011 о понятии согласия (РГ 187).}

5. As the WP29 stated in its Opinion 15/2011 on the definition on consent, inviting people to accept a data processing operation should be subject to rigorous requirements, since it concerns the fundamental rights of data subjects and the controller wishes to engage in a processing operation that would be unlawful without the data subject’s consent. [5] The crucial role of consent is underlined by Articles 7 and 8 of the Charter of Fundamental Rights of the European Union. Furthermore, obtaining consent also does not negate or in any way diminish the controller’s obligations to observe the principles of processing enshrined in the GDPR, especially Article 5 of the GDPR with regard to fairness, necessity and proportionality, as well as data quality. Even if the processing of personal data is based on consent of the data subject, this would not legitimise collection of data, which is not necessary in relation to a specified purpose of processing and be fundamentally unfair. [6]

5. РГ29 во Мнении от 15/2011 указывает, что предложение субъектам согласиться на операцию по обработке данных должно подлежать строгим требованиям, поскольку такая операция связана с фундаментальными правами субъектов, и контроллер производит обработку данных, которая без согласия субъекта была бы незаконной.[5] Ключевая роль согласия подчеркивается статьями 7 и 8 Хартии Европейского Союза по правам человека. Более того, получение согласия также не отменяет и никоим образом не уменьшает обязанности контролера соблюдать принципы обработки, закрепленные в GDPR, особенно в статье 5, по вопросам справедливости, необходимости и соразмерности, а также качества данных. Даже если обработка персональных данных основана на согласии субъекта, это приведет к незаконному сбору данных, если предоставление согласия не является необходимым по отношению к определенной цели обработки и является априори несправедливым. [6]

_{[5] Opinion 15/2011, page on the definition of consent (WP 187), p. 8.}

_{[5] Мнение 15/2011 о понятии согласия (РГ 187), стр. 8.}

_{[13] Recital 42 states that a declaration of consent pre-formulated by a data controller should be provided in an intelligible and easily accessible form, using clear and plain language and it should not contain unfair terms.}

_{[13] В Преамбуле 42 указано, что заявление о согласии, составленное контролером данных, должно быть представлено в понятной и легкодоступной форме, с использованием ясного и простого языка, и в нем не должно содержаться недобросовестных положений.}

6. Meanwhile, the EDPB is aware of the review of the ePrivacy Directive (2002/58/EC). The notion of consent in the draft ePrivacy Regulation remains linked to the notion of consent in the GDPR.[7] Organisations are likely to need consent under the ePrivacy instrument for most online marketing messages or marketing calls, and online tracking methods including by the use of cookies or apps or other software. The EDPB has already provided recommendations and guidance to the European legislator on the Proposal for a Regulation on ePrivacy.[8]

6. Между тем, EDPB принимает во внимание пересмотр Директивы об электронной конфиденциальности (2002/58/EC). Понятие согласия в проекте Регламента об электронной конфиденциальности взаимосвязано с понятием согласия в GDPR.[7] Организациям может потребоваться согласие (в рамках документа об электронной конфиденциальности) для маркетинговых сообщений или маркетинговых звонков, а также для онлайн-отслеживаний, в том числе с использованием файлов cookie или приложений, или другого программного обеспечения. EDPB уже предоставил рекомендации и указания Европейскому законодательному органу для проекта Регламента об электронной конфиденциальности.[8]

_{[7] According to Article 9 of the proposed ePrivacy Regulation, the definition of and the conditions for consent provided for in Articles 4(11) and Article 7 of the GDPR apply.}

_{[7] В соответствии со статьей 9 проекта Регламента об электронной конфиденциальности применяются определение и условия согласия, предусмотренные в статьях 4 (11) и 7 GDPR.}

_{[8] See EDPB statement on ePrivacy-25/05/2018 and EDPB Statement 3/2019 on an ePrivacy regulation.}

_{[8] См. EDPB statement on ePrivacy-25/05/2018 and EDPB Statement 3/2019 on an ePrivacy regulation.}

7. With regard to the existing e-Privacy Directive, the EDPB notes that references to the repealed Directive 95/46/EC shall be construed as references to the GDPR.[9] This also applies to references to consent in the current Directive 2002/58/EC, as the ePrivacy Regulation will not (yet) be in force from 25 May 2018. According to Article 95 GDPR, additional obligations in relation to processing in connection with the provision of publicly available electronic communications services in public communication networks shall not be imposed insofar the e-Privacy Directive imposes specific obligations with the same objective. The EDPB notes that the requirements for consent under the GDPR are not considered to be an ‘additional obligation’, but rather as preconditions for lawful processing. Therefore, the GDPR conditions for obtaining valid consent are applicable in situations falling within the scope of the e-Privacy Directive.

7. Что касается действующей Директивы об электронной конфиденциальности, EDPB отмечает, что ссылки на отмененную Директиву 95/46/EC следует понимать как ссылки на GDPR. [9] Это также относится к ссылкам на согласие в действующей Директиве 2002/58/EC, в случае, если Регламент об электронной конфиденциальности не вступит в силу с 25 мая 2018 года, как планировалось. В соответствии с 95 статьей GDPR, дополнительные обязательства в отношении обработки, касающейся предоставления общедоступных услуг электронной связи в сетях общего пользования, не должны налагаться, так как Директива об электронной конфиденциальности накладывает конкретные обязательства с той же целью. EDPB отмечает, что требования о согласии в рамках GDPR рассматриваются не как «дополнительное обязательство», а скорее как условия для законной обработки. Поэтому условия GDPR для получения действительного согласия применимы в ситуациях, подпадающих под действие Директивы об электронной конфиденциальности.

_{[9] See Article 94 GDPR.}

_{[9] См. статью 94 GDPR.}

2. CONSENT IN ARTICLE 4(11) OF THE GDPR

2. СОГЛАСИЕ В СТАТЬЕ 4(11) GDPR

8. Article 4(11) of the GDPR defines consent as: “any freely given, specific, informed and unambiguous indication of the data subject’s wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her.”

8. Статья 4 (11) GDPR определяет согласие как: “добровольное, конкретное, информированное и однозначное волеизъявление, в котором субъект данных с помощью заявления или четкого утвердительного действия дает согласие на обработку своих персональных данных”

9. The basic concept of consent remains similar to that under the Directive 95/46/EC and consent is one of the lawful grounds on which personal data processing has to be based, pursuant to Article 6 of the GDPR. [10] Besides the amended definition in Article 4(11), the GDPR provides additional guidance in Article 7 and in recitals 32, 33, 42, and 43 as to how the controller must act to comply with the main elements of the consent requirement.

9. Данная концепция согласия является аналогичной той, которая закреплена в Директиве 95/46/EC, и согласие является одним из правовых оснований, на которых должна основываться обработка персональных данных, в соответствии со статьей 6 GDPR.[10] Помимо измененного определения в Статье 4 (11), GDPR предоставляет дополнительные указания в Статье 7 и преамбулах 32, 33, 42 и 43 относительно того, как контролер должен действовать, чтобы соответствовать основным элементам требования о согласии.

_{[10] Consent was defined in Directive 95/46/EC as “any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed” which must be ‘unambiguously given’ in order to make the processing of personal data legitimate (Article 7(a) of Directive 95/46/EC)). See WP29 Opinion 15/2011 on the definition of consent (WP 187) for examples on the appropriateness of consent as lawful basis. In this Opinion, WP29 has provided guidance to distinguish where consent is an appropriate lawful basis from those where relying on the legitimate interest ground (perhaps with an opportunity to opt out) is sufficient or a contractual relation would be recommended. See also WP29 Opinion 06/2014, paragraph III.1.2, p. 14 and further. Explicit consent is also one of the exemptions to the prohibition on the processing of special categories of data: See Article 9 GDPR.}

_{[10] Согласие в Директиве 95/46 / ЕС было определено как «любое добровольное, конкретное и информированное волеизъявление, которым субъект данных дает свое согласие на обработку персональных данных, относящихся к нему», которое должно быть “однозначным”, чтобы обработка персональных данных была законной (Статья 7 (а) Директивы 95/46 / ЕС)). См. Мнение Рабочей группы 29 статьи от 15/2011 о понятии согласия (РГ 187), где приведены примеры уместного согласия в качестве правового основания. В этом Мнении Рабочая группа 29 статьи предоставила инструкции, чтобы отличить, где согласие является целесообразным правовым основанием, от тех, где достаточно опираться на легитимный интерес (вероятно, с возможностью отказаться) или подходящим основанием будет контракт. См. также Мнение Рабочей группы 29 статьи от 06/2014, параграф III.1.2, стр.14 и далее. Явно выраженное согласие также является одним из исключений в отношении запрета на обработку специальных категорий данных: См. статью 9 GDPR.}

10. Finally, the inclusion of specific provisions and recitals on the withdrawal of consent confirms that consent should be a reversible decision and that there remains a degree of control on the side of the data subject.

10. Наконец, включение конкретных положений и возможность отозвать согласие подтверждает то, что согласие должно быть обратимым решением и что со стороны субъекта данных сохраняется определенный контроль.

3. ELEMENTS OF VALID CONSENT

3. ЭЛЕМЕНТЫ ДЕЙСТВИТЕЛЬНОГО СОГЛАСИЯ

11. Article 4(11) of the GDPR stipulates that consent of the data subject means any: – freely given, – specific, – informed and – unambiguous indication of the data subject’s wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her.

11. Статья 4 (11) GDPR гласит, что согласие субъекта данных означает любое: – добровольное – конкретное – информированное – однозначное волеизъявление в котором субъект данных с помощью заявления или четкого утвердительного действия дает согласие на обработку своих персональных данных.

12. In the sections below, it is analysed to what extent the wording of Article 4(11) requires controllers to change their consent requests/forms, in order to ensure compliance with the GDPR. [11]

12. В разделах ниже анализируется, в какой степени формулировка Статьи 4 (11) требует, чтобы контролеры изменили свои запросы/формы согласия, чтобы обеспечить соответствие с GDPR.[11]

_{[11] For guidance with regard to ongoing processing activities based on consent in Directive 95/46, see chapter 7 of this document and recital 171 of the GDPR.}

_{[11] Рекомендации в отношении текущей обработки данных на основе согласия, содержащегося в Директиве 95/46, см. в главе 7 настоящего документа и в статье 171 GDPR.}

3.1 Free / freely given [12]

3.1

_{[12] In several opinions, the Article 29 Working Party has explored the limits of consent in situations where it cannot be freely given. This was notably the case in its Opinion 15/2011 on the definition of consent (WP 187), Working Document on the processing of personal data relating to health in electronic health records (WP 131), Opinion 8/2001 on the processing of personal data in the employment context (WP48), and Second opinion 4/2009 on processing of data by the World Anti-Doping Agency (WADA) (International Standard for the Protection of Privacy and Personal Information, on related provisions of the WADA Code and on other privacy issues in the context of the fight against doping in sport by WADA and (national) anti-doping organizations (WP 162).}

13. The element “free” implies real choice and control for data subjects. As a general rule, the GDPR prescribes that if the data subject has no real choice, feels compelled to consent or will endure negative consequences if they do not consent, then consent will not be valid. [13] If consent is bundled up as a non-negotiable part of terms and conditions it is presumed not to have been freely given. Accordingly, consent will not be considered to be free if the data subject is unable to refuse or withdraw his or her consent without detriment. [14] The notion of imbalance between the controller and the data subject is also taken into consideration by the GDPR.

13. Элемент “свободный” предполагает реальный выбор и контроль для субъектов данных. По общему правилу GDPR предписывает, что если субъект данных не имеет реального выбора, вынужден согласиться или потерпит негативные последствия, если не согласится, то согласие не будет являться действительным.[13] Если согласие рассматривается в качестве безоговорочной части условия, то предполагается, что оно не было дано добровольно. Соответственно, согласие не будет считаться свободным, если субъект данных не может отказаться или отозвать свое согласие без ущерба для себя.[14] Понятие дисбаланса власти между контролером и субъектом данных также принимается во внимание GDPR.

_{[13] See Opinion 15/2011 on the definition of consent (WP187), p. 12}

_{[13] См. Мнение 15/2011 о понятии согласия (РГ 187), стр.12}

_{[14] See Recitals 42, 43 GDPR and WP29 Opinion 15/2011 on the definition of consent, adopted on 13 July 2011, (WP 187), p. 12.}

_{[14] См. преамбулы 42,43 GDPR и Мнение Рабочей группы 29-й статьи от 15/2011 о понятии согласия, принятое 13.07.2011 (РГ 187), стр.12.}

14. When assessing whether consent is freely given, one should also take into account the specific situation of tying consent into contracts or the provision of a service as described in Article 7(4). Article 7(4) has been drafted in a non-exhaustive fashion by the words “inter alia”, meaning that there may be a range of other situations which are caught by this provision. In general terms, any element of inappropriate pressure or influence upon the data subject (which may be manifested in many different ways) which prevents a data subject from exercising their free will, shall render the consent invalid.

14. При оценке того, дается ли согласие свободно, следует учитывать не только конкретную ситуацию, связанную с закреплением согласия в контрактах или с предоставлением услуги, как описано в статье 7(4). Статья 7(4) была сформулирована в неисчерпывающей форме, что подтверждается выражением «среди прочего». Это означает, что может существовать ряд других ситуаций, которые охватываются этим положением. В общих чертах, любой элемент ненадлежащего давления или влияния на субъекта данных (который может проявляться разными способами), который не позволяет субъекту данных осуществлять свою волю в свободной форме, делает согласие недействительным.

15. [Example 1] A mobile app for photo editing asks its users to have their GPS localisation activated for the use of its services. The app also tells its users it will use the collected data for behavioural advertising purposes. Neither geo-localisation or online behavioural advertising are necessary for the provision of the photo editing service and go beyond the delivery of the core service provided. Since users cannot use the app without consenting to these purposes, the consent cannot be considered as being freely given.

15. [Пример 1] Сервис по редактированию фотографий запрашивает согласие на обработку геолокационных данных о месте нахождения человека. Сервис уведомляет пользователя, что данные о месте нахождения собираются, чтобы изучить поведение пользователя и рекламировать товары и услуги. Для предоставления услуги редактирования фотографий не требуются данные о месте нахождения, данные о поведении пользователя и реклама в Интернете, поэтому согласие выходит за рамки предоставления основной услуги. Так как пользователи не могут использовать приложение без согласия с перечисленными целями, согласие не может считаться добровольным.

3.1.1 Imbalance of power

3.1.1 Дисбаланс власти

16. Recital 43 [15] clearly indicates that it is unlikely that public authorities can rely on consent for processing as whenever the controller is a public authority, there is often a clear imbalance of power in the relationship between the controller and the data subject. It is also clear in most cases that the data subject will have no realistic alternatives to accepting the processing (terms) of this controller. The EDPB considers that there are other lawful bases that are, in principle, more appropriate to the activity of public authorities. [15]

16. В преамбуле 43 [15] четко указывается, что государственные органы редко могут полагаться на согласие при обработке данных, так как в тех ситуациях, когда контролер является государственным органом, чаще всего существует явный дисбаланс в отношениях между контролером и субъектом данных. Также очевидно, что в большинстве случаев у субъекта данных не будет реальных альтернатив по принятию обработки (условий) этого контролера. EDPB считает, что существуют иные правовые основания, которые стоит применять в отношениях с деятельностью органов государственной власти.[15]

_{[15] Recital 43 GDPR states: “In order to ensure that consent is freely given, consent should not provide a valid legal ground for the processing of personal data in a specific case where there is a clear imbalance between the data subject and the controller, in particular where the controller is a public authority and it is therefore unlikely that consent was freely given in all the circumstances of that specific situation. (…)”}

_{[15] Преамбула 43 GDPR гласит: “Для обеспечения добровольности согласия, оно не должно предоставлять допустимое правовое основание для обработки персональных данных в отдельных случаях, когда имеет место явное неравенство между субъектом данных и контролёром, особенно когда контролёр является публичным органом власти и поэтому низка вероятность того, что во всех условиях данного отдельного случая согласие дано свободно. (…)”}

17. Without prejudice to these general considerations, the use of consent as a lawful basis for data processing by public authorities is not totally excluded under the legal framework of the GDPR. The following examples show that the use of consent can be appropriate under certain circumstances.

17. Не затрагивая эти общие аспекты, использование согласия в качестве правового основания для обработки данных государственными органами полностью не исключается в соответствии с правовой базой GDPR. Следующие примеры показывают, что использование согласия может быть целесообразным при определенных обстоятельствах.

18. [Example 2] A local municipality is planning road maintenance works. As the road works may disrupt traffic for a long time, the municipality offers its citizens the opportunity to subscribe to an email list to receive updates on the progress of the works and on expected delays. The municipality makes clear that there is no obligation to participate and asks for consent to use email addresses for this (exclusive) purpose. Citizens that do not consent will not miss out on any core service of the municipality or the exercise of any right, so they are able to give or refuse their consent to this use of data freely. All information on the road works will also be available on the municipality’s website.

18. [Пример 2] Местный муниципалитет планирует ремонтные работы. Поскольку дорожные работы могут нарушить движение на долгое время, муниципалитет предлагает гражданам подписаться на рассылку, чтобы получать обновления о ходе работ и ожидаемых задержках. Муниципалитет ясно дает понять, что данная возможность носит добровольный характер, и просит дать согласие на использование адресов электронной почты только для этой (исключительной) цели. Граждане, которые не дают согласие, не лишаются услуг, предлагаемые муниципалитетом или реализации какого-либо права, поэтому они могут свободно давать согласие или отказываться. Вся информация о дорожных работах также будет доступна на сайте муниципалитета.

19. [Example 3] An individual who owns land needs certain permits from both her local municipality and from the provincial government under which the municipality resides. Both public bodies require the same information for issuing their permit, but are not accessing each other’s databases. Therefore, both ask for the same information and the land owner sends out her details to both public bodies. The municipality and the provincial authority ask for her consent to merge the files, to avoid duplicate procedures and correspondence. Both public bodies ensure that this is optional and that the permit requests will still be processed separately if she decides not to consent to the merger of her data. The land owner is able to give consent to the authorities for the purpose of merging the files freely.

19. [Пример 3] Лицо, владеющее землей, нуждается в определенных разрешениях как от своего местного муниципалитета, так и от провинциальных органов власти, которым принадлежит муниципалитет. Оба государственных органа требуют идентичную информацию для выдачи разрешения, но не имеют доступа к базам данных друг друга. Поэтому они запрашивают одну и ту же информацию, и собственник земли отправляет сведения в оба государственных органа. Муниципалитет и провинциальная власть просят дать согласие на объединение файлов, чтобы избежать дублирования процедур и переписки. Оба государственных органа гарантируют, что это действие не является обязательным, и что запросы на разрешение будут по-прежнему обрабатываться отдельно, если субъект решит не соглашаться на слияние своих данных. Владелец земли добровольно может дать согласие властям с целью объединения файлов.

20. [Example 4] A public school asks students for consent to use their photographs in a printed student magazine. Consent in these situations would be a genuine choice as long as students will not be denied education or services and could refuse the use of these photographs without any detriment. [16]

20. [Пример 4] Государственная школа просит студентов дать согласие на использование их фотографий в студенческом журнале. Согласие в таких ситуациях будет реальным выбором, если учащимся не будет отказано в образовании или услугах, и они могут отказаться от использования этих фотографий без какого-либо ущерба.[16]

_{[16] For the purposes of this example, a public school means a publically funded school or any educational facility that qualifies as a public authority or body by national law.}

_{[16] Для целей данного примера, государственная школа означает государственную школу или любое образовательное учреждение, которое в соответствии с национальным законодательством квалифицируется как государственное учреждение.}

21. An imbalance of power also occurs in the employment context. [17] Given the dependency that results from the employer/employee relationship, it is unlikely that the data subject is able to deny his/her employer consent to data processing without experiencing the fear or real risk of detrimental effects as a result of a refusal. It is unlikely that an employee would be able to respond freely to a request for consent from his/her employer to, for example, activate monitoring systems such as camera observation in a workplace, or to fill out assessment forms, without feeling any pressure to consent. [18] Therefore, the EDPB deems it problematic for employers to process personal data of current or future employees on the basis of consent as it is unlikely to be freely given. For the majority of such data processing at work, the lawful basis cannot and should not be the consent of the employees (Article 6(1)(a)) due to the nature of the relationship between employer and employee. [19]

21. Дисбаланс власти также возникает в контексте занятости.[17] Учитывая иерархию, которая возникает в результате отношений между работодателем и работником, маловероятно, что субъект данных сможет отказать своему работодателю в согласии на обработку данных, не испытывая страха или реального риска неблагоприятных последствий в результате отказа. Сложно представить, что работник сможет свободно давать согласие, например, активировать системы мониторинга, такие как камеры наблюдения на рабочем месте, или заполнять формы оценки, не чувствуя никакого давления.[18] Таким образом, EDPB считает проблематичным для работодателей обрабатывать персональные данные нынешних или будущих сотрудников, опираясь на такое основание как согласие, поскольку вряд ли они будут предоставлены свободно. Для большей части такой обработки данных на работе законным основанием не может и не должно быть согласие работников (статья 6 (1а)) из-за характера отношений между работодателем и работником.[19]

_{[17] See also Article 88 GDPR, where the need for protection of the specific interests of employees is emphasized and a possibility for derogations in Member State law is created. See also Recital 155.}

_{[17] См. также статья 88 GDPR, где подчеркивается необходимость защиты особых интересов работников и допускаются изъятия в законодательстве государства-члена. Смотрите также преамбулу 155.}

_{[18] See Opinion 15/2011 on the definition of consent (WP 187), pp. 12-14 , Opinion 8/2001 on the processing of personal data in the employment context (WP 48), Chapter 10, Working document on the surveillance of electronic communications in the workplace (WP 55), paragraph 4.2 and Opinion 2/2017 on data processing at work (WP 249), paragraph 6.2}

_{[18] См. также Мнение от 15/2011 о понятии согласия (РГ 187), стр.12-14, Мнение от 8/2001 об обработке персональных данных в контексте занятости (РГ 48), раздел 10, Рабочий документ о наблюдении за электронными средствами связи на рабочем месте (РГ 55), параграф 4.2 и Мнение от 2/2017 об обработке данных в трудовых отношениях (РГ 249), параграф 6.2.}

_{[19] See Opinion 2/2017 on data processing at work, page 6-7}

_{[19] См. также Мнение от 2/2017 об обработке данных в трудовых отношениях (РГ 249), стр. 6-7.}

22. However this does not mean that employers can never rely on consent as a lawful basis for processing. There may be situations when it is possible for the employer to demonstrate that consent actually is freely given. Given the imbalance of power between an employer and its staff members, employees can only give free consent in exceptional circumstances, when it will have no adverse consequences at all whether or not they give consent.[20]

22. Однако это не означает, что работодатели никогда не могут ссылаться на согласие в качестве правового основания для обработки данных. Могут быть ситуации, когда работодатель может продемонстрировать, что согласие в действительности дается свободно. Учитывая дисбаланс власти между работодателем и его сотрудниками, последние могут дать свободное согласие только в исключительных обстоятельствах, когда это не будет иметь неблагоприятных последствий для них, независимо от того, дано согласие или нет. [20]

_{[20] See also Opinion 2/2017 on data processing at work (WP249), paragraph 6.2.}

_{[20] См. также Мнение от 2/2017 об обработке данных в трудовых отношениях (РГ 249), параграф 6.2.}

23. [Example 5] A film crew is going to be filming in a certain part of an office. The employer asks all the employees who sit in that area for their consent to be filmed, as they may appear in the background of the video. Those who do not want to be filmed are not penalised in any way but instead are given equivalent desks elsewhere in the building for the duration of the filming.

23. [Пример 5] Съемочная группа собирается снимать в конкретной части офиса. Работодатель просит всех сотрудников, которые сидят на своих рабочих местах, дать согласие на съемку, поскольку они могут появиться на заднем плане видео. Те, кто не хочет, чтобы их снимали, ни в коем случае не наказываются, а вместо этого получают эквивалентные рабочие места в других частях офиса на время съемок.

24. Imbalances of power are not limited to public authorities and employers, they may also occur in other situations. As highlighted by the WP29 in several Opinions, consent can only be valid if the data subject is able to exercise a real choice, and there is no risk of deception, intimidation, coercion or significant negative consequences (e.g. substantial extra costs) if he/she does not consent. Consent will not be free in cases where there is any element of compulsion, pressure or inability to exercise free will.

24. Дисбаланс власти не ограничивается государственными органами и работодателями, они также могут возникать в других ситуациях. Как подчеркивала РГ29 в нескольких Мнениях, согласие может быть действительным, только если субъект данных может сделать реальный выбор, и нет риска обмана, запугивания, принуждения или значительных негативных последствий (например, существенных дополнительных затрат), если он/она не дает согласия. Согласие не будет свободным в тех случаях, когда есть какой-либо элемент принуждения, давления или отсутствие свободы волеизъявления.

3.1.2 Conditionality

3.1.2 Обусловленность

25. To assess whether consent is freely given, Article 7(4) GDPR plays an important role.[21]

25. Для того чтобы оценить, свободно ли дается согласие, важную роль играет статья 7(4) GDPR.[21]

_{[21] Article 7(4) GDPR: “When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.” See also Recital 43 GDPR, that states: “[…] Consent is presumed not to be freely given if it does not allow separate consent to be given to different personal data processing operations despite it being appropriate in the individual case, or if the performance of a contract, including the provision of a service, is dependent on the consent, despite such consent not being necessary for such performance.” For more information and examples, see Opinion 06/2014 on the notion of legitimate interest of the data controller under Article 7 of Directive 95/46/EC, adopted by WP29 on 9 April 2014, p. 16-17. (WP 217).}

_{[21] Статья 7(4) GDPR: “При оценке, выражено ли согласие добровольно, наибольшее внимание следует уделить, помимо всего прочего, тому, не обуславливается ли выполнение договора (в том числе исполнение услуги) дачей согласия на обработку персональных данных, которые не нужны для выполнения договора.” См. также преамбула 43 GDPR, которая гласит: “Согласие не считается данным свободно, когда нет возможности установить, что оно было дано на конкретную операцию по обработке персональных данных, даже если оно подходит для отдельного случая, или если исполнение договора, включая предоставление услуг, зависит от согласия, несмотря на то, что такое согласие не является необходимым для исполнения договора.” Более подробную информацию и примеры см. во Мнении от 06/2014 о понятии легитимных интересов контролера согласно 7 статьи Директивы 95/46/ЕС, принятой Рабочей группой 29-й статьи 9 апреля 2014 года, стр. 16-17 (РГ 217).}

26. Article 7(4) GDPR indicates that, inter alia, the situation of “bundling” consent with acceptance of terms or conditions, or “tying” the provision of a contract or a service to a request for consent to process personal data that are not necessary for the performance of that contract or service, is considered highly undesirable. If consent is given in this situation, it is presumed to be not freely given (recital 43). Article 7(4) seeks to ensure that the purpose of personal data processing is not disguised nor bundled with the provision of a contract of a service for which these personal data are not necessary. In doing so, the GDPR ensures that the processing of personal data for which consent is sought cannot become directly or indirectly the counter-performance of a contract. The two lawful bases for the lawful processing of personal data, i.e. consent and contract cannot be merged and blurred.

26. Статья 7(4) GDPR указывает, что, в частности, ситуация “связывания” согласия с принятием условий или положений, а также “привязки” выполнения договора или предоставление услуги к запросу о согласии на обработку персональных данных, которые не являются необходимыми для выполнения этого контракта или услуги, считается крайне нежелательной. Если в этой ситуации дается согласие, то предполагается, что оно не дается свободно (преамбула 43). Статья 7(4) направлена на обеспечение того, чтобы цель обработки персональных данных не скрывалась и не увязывалась с предоставлением договора об оказании услуг, для которых эти персональные данные не являются необходимыми. При этом GDPR гарантирует, что обработка персональных данных, на которую запрашивается согласие, не может прямо или косвенно стать поводом для исполнения контракта. Таким образом, существует два разных основания для законной обработки: согласие и контракт, которые, в свою очередь, не могут быть объединены либо размыты.

27. Compulsion to agree with the use of personal data additional to what is strictly necessary limits data subject’s choices and stands in the way of free consent. As data protection law is aiming at the protection of fundamental rights, an individual’s control over their personal data is essential and there is a strong presumption that consent to the processing of personal data that is unnecessary, cannot be seen as a mandatory consideration in exchange for the performance of a contract or the provision of a service.

27. Принуждение к согласию на использование дополнительных персональных данных, кроме тех, которые являются действительно необходимыми для получения, ограничивает выбор субъекта данных и препятствует свободному согласию. Поскольку закон о защите персональных данных направлен на защиту фундаментальных прав, контроль индивида над своими персональными данными является действительно значимым. Существует строгая презумпция, что согласие на обработку персональных данных, которое не является необходимым, не может рассматриваться как обязательный элемент для исполнения контракта или оказание услуги.

28. Hence, whenever a request for consent is tied to the performance of a contract by the controller, a data subject that does not wish to make his/her personal data available for processing by the controller runs the risk to be denied services they have requested.

28. Таким образом, когда запрос о согласии связан с исполнением договора контролером, субъект данных, который не желает предоставлять свои персональные данные для обработки, рискует получить отказ в услугах, которые он запросил.

29. To assess whether such a situation of bundling or tying occurs, it is important to determine what the scope of the contract is and what data would be necessary for the performance of that contract.

29. Чтобы оценить, существуют ли ситуации с таким объединением или связыванием, важно определить, какова сфера действия контракта и какие данные будут необходимы для исполнения этого контракта.

30. According to Opinion 06/2014 of WP29, the term “necessary for the performance of a contract” needs to be interpreted strictly. The processing must be necessary to fulfil the contract with each individual data subject. This may include, for example, processing the address of the data subject so that goods purchased online can be delivered, or processing credit card details in order to facilitate payment. In the employment context, this ground may allow, for example, the processing of salary information and bank account details so that wages can be paid.[22] There needs to be a direct and objective link between the processing of the data and the purpose of the execution of the contract.

30. Согласно Мнению от 06/2014 РГ29, термин “необходимо для исполнения контракта” подлежит строгому толкованию. Обработка персональных данных является необходимым элементом при исполнении контракта с каждым субъектом данных. Это может включать, например, обработку адресов субъекта данных, чтобы доставить продукты, которые были приобретены онлайн, или обработку данных кредитной карточки для удобной оплаты. В контексте занятости, это основание может применяться, например, при обработке информации о заработной плате и данных банковского счёта, чтобы заработная плата могла быть начислена.[22] Необходимо установить прямую и объективную связь между обработкой данных и целью исполнения контракта.

_{[22] The appropriate lawful basis could then be Article 6(1)(b) (contract).}

_{[22] См. также статью 9(2) GDPR.}

31. If a controller seeks to process personal data that are in fact necessary for the performance of a contract, then consent is not the appropriate lawful basis.

31. Если контролер собирается обрабатывать персональные данные, которые фактически необходимы для выполнения контракта, то согласие не является действительным правовым основанием.

32. Article 7(4) is only relevant where the requested data are not necessary for the performance of the contract, (including the provision of a service), and the performance of that contract is made conditional on the obtaining of these data on the basis of consent. Conversely, if processing is necessary to perform the contract (including to provide a service), then Article 7(4) does not apply.

32. Статья 7 (4) относится только к тем случаям, когда запрашиваемые данные не являются необходимыми для выполнения контракта (включая предоставление услуги), и выполнение этого контракта обусловлено получением этих данных на основе согласие. И наоборот, если обработка необходима для выполнения договора (в том числе для предоставления услуги), то статья 7 (4) не применяется.

33. [Example 6] A bank asks customers for consent to allow third parties to use their payment details for direct marketing purposes. This processing activity is not necessary for the performance of the contract with the customer and the delivery of ordinary bank account services. If the customer’s refusal to consent to this processing purpose would lead to the denial of banking services, closure of the bank account, or, depending on the case, an increase of the fee, consent cannot be freely given.

33. [Пример 6] Банк просит у клиентов согласие на использование их данных об оплате для целей маркетинга. Эта обработка не является необходимой для исполнения контракта и предоставления обычных банковских услуг. Если отказ клиента дать согласие на эту обработку приведет к отказу в предоставлении банковских услуг, закрытию банковского счета или увеличению комиссии, то очевидно, что согласие не может носить свободный характер и быть отозвано.

34. The choice of the legislator to highlight conditionality, amongst others, as a presumption of a lack of freedom to consent, demonstrates that the occurrence of conditionality must be carefully scrutinized. The term “utmost account” in Article 7(4) suggests that special caution is needed from the controller when a contract (which could include the provision of a service) has a request for consent to process personal data tied to it.

34. Выбор законодателя выделить обусловленность, среди прочего, как факт отсутствия свободы при согласии, показывает, что возникновение обусловленности должно быть тщательно изучено. Термин “наибольшее внимание” в статье 7(4) предполагает, что контролер должен проявлять особую осторожность, когда в связи с исполнением договора (который может включать предоставление услуги) есть запрос на согласие на обработку персональных данных.

35. As the wording of Article 7(4) is not construed in an absolute manner, there might be very limited space for cases where this conditionality would not render the consent invalid. However, the word “presumed” in Recital 43 clearly indicates that such cases will be highly exceptional.

35. Поскольку формулировка статьи 7(4) не толкуется в безоговорочном смысле, случаи, когда эта обусловленность не повлечет недействительность согласия, будут довольно редкими. Однако термин “предполагаемый” в преамбуле 43, четко указывает, что такие случаи будут носить исключительный характер.

36. In any event, the burden of proof in Article 7(4) is on the controller.[23] This specific rule reflects the general principle of accountability which runs throughout the GDPR. However, when Article 7(4) applies, it will be more difficult for the controller to prove that consent was given freely by the data subject.[24]

36. В любом случае, бремя доказывания лежит на контролере (в соответствии со статьей 7(4)).[23]Эта конкретная норма отражает общий принцип подотчетности, который закреплен в GDPR. Однако, когда применяется статья 7(4), у контролера могут возникнуть сложности при доказывании, что субъект данных дал согласие добровольно.[24]

_{[23] See also Article 7(1) GDPR, which states that the controller needs to demonstrate that the data subject’s agreement was freely given.}

_{[23] См. также статью 7(1) GDPR, которая гласит, что контролеру необходимо продемонстрировать, что согласие субъекта данных было дано свободно.}

_{[24] To some extent, the introduction of this paragraph is a codification of existing WP29 guidance. As described in Opinion 15/2011, when a data subject is in a situation of dependence on the data controller – due to the nature of the relationship or to special circumstances – there may be a strong presumption that freedom to consent is limited in such contexts (e.g. in an employment relationship or if the collection of data is performed by a public authority). With Article7(4) in force, it will be more difficult for the controller to prove that consent was given freely by the data subject. See: Opinion 15/2011 on the definition of consent (WP 187), pp. 12-17.}

_{[24] В определенной степени, введение этого пункта является кодификацией существующих рекомендаций Рабочей группы 29-й статьи. Как описано во Мнении 15/2011, когда субъект данных находится в зависимости от контролера данных (из-за характера отношений или особых обстоятельств) может быть веское основание полагать, что свобода согласия является ограниченной (например, в трудовых отношениях или если сбор данных осуществляется государственным органом). С учетом статьи 7(4) контролеру будет труднее доказать, что согласие было предоставлено субъектом данных свободно. См.: Мнение от 15/2011 о понятии согласия (РГ 187), стр. 12-17.}

37. The controller could argue that his organisation offers data subjects genuine choice if they were able to choose between a service that includes consenting to the use of personal data for additional purposes on the one hand, and an equivalent service offered by the same controller that does not involve consenting to data use for additional purposes on the other hand. As long as there is a possibility to have the contract performed or the contracted service delivered by this controller without consenting to the other or additional data use in question, this means there is no longer a conditional service. However, both services need to be genuinely equivalent.

37. Контролер может утверждать, что его организация предлагает субъектам данных реальный выбор, если они могли выбрать между услугами, одна из которых включает согласие на использование персональных данных в дополнительных целях, и другая, которая не предполагает согласие на использование данных в дополнительных целях. Если существует возможность исполнения контракта или предоставления контролером услуг по контракту без согласия на другое/дополнительное использование данных, о котором идет речь, это означает, что предоставление услуги не зависит от каких-либо условий. В любом случае, обе услуги должны быть действительно равноценными.

38. The EDPB considers that consent cannot be considered as freely given if a controller argues that a choice exists between its service that includes consenting to the use of personal data for additional purposes on the one hand, and an equivalent service offered by a different controller on the other hand. In such a case, the freedom of choice would be made dependent on what other market players do and whether an individual data subject would find the other controller’s services genuinely equivalent. It would furthermore imply an obligation for controllers to monitor market developments to ensure the continued validity of consent for their data processing activities, as a competitor may alter its service at a later stage. Hence, using this argument means a consent relying on an alternative option offered by a third party fails to comply with the GDPR. , meaning that a service provider cannot prevent data subjects from accessing a service on the basis that they do notconsent

38. EDPB считает, что согласие не может считаться добровольным, если контроллер утверждает, что существует выбор между его услугой, которая включает согласие на использование персональных данных для дополнительных целей, с одной стороны, и эквивалентной услугой, предлагаемой другим контроллером, с другой стороны. В таком случае свобода выбора будет зависеть от того, что делают другие участники рынка, и от того, сочтет ли отдельный субъект данных услуги других контролеров действительно равноценными. Кроме того, это будет означать, что контроллеры обязаны следить за развитием рынка, чтобы обеспечить постоянную действительность согласия на их действия по обработке данных, поскольку конкурент может изменить свою услугу на более позднем этапе. Следовательно, использование этого аргумента означает, что это согласие не соответствует GDPR.

39. In order for consent to be freely given, access to services and functionalities must not be made conditional on the consent of a user to the storing of information, or gaining of access to information already stored, in the terminal equipment of a user (so called cookie walls) [25].

39. Для того, чтобы согласие было дано свободно, необходимо, чтобы доступ к услугам и функциональным возможностям не был обусловлен согласием пользователя на хранение информации или на получение доступа к уже сохраненной информации в используемом устройстве пользователя (т.н. cookie walls)

_{[25] As clarified above, the GDPR conditions for obtaining valid consent are applicable in situations falling within the scope of the e-Privacy Directive.}

_{[25] Как пояснено выше, условия для получения действительного согласия, установленные GDPR, применимы к ситуациям, которые подпадают под сферу действия e-Privacy Directive – Директивы об электронной конфиденциальности.}

40. Example 6a: A website provider puts into place a script that will block content from being visible exceptfor a request to accept cookies and the information about which cookies are being set and for whatpurposes data will be processed. There is no possibility to access the content without clicking on the“Accept cookies” button. Since the data subject is not presented with a genuine choice, its consent isnot freely given.

40. [Пример 6а]: веб-разработчик создает скрипт, который блокирует отображение контента, кроме как отображение запроса на прием файлов cookies и на получение информации о том, какие cookies уже установлены на устройство и для каких целей данные будут обрабатываться. Таким образом, нет возможности получить доступ к содержанию сайта без нажатия на кнопку “Принять cookies”. Поскольку субъекту данных не предоставляется реальный выбор, такое согласие нельзя квалифицировать как данное свободно.

41. This does not constitute valid consent, as the provision of the service relies on the data subject clickingthe “Accept cookies” button. It is not presented with a genuine choice.

Это не является действительным согласием, поскольку предоставление сервиса зависит от того, нажал ли субъект данных на кнопку “Принять cookies”. Субъекту не предоставлен реальный выбор.

3.1.3 Granularity

3.1.3 Гранулированность

42. A service may involve multiple processing operations for more than one purpose. In such cases, the data subjects should be free to choose which purpose they accept, rather than having to consent to a bundle of processing purposes. In a given case, several consents may be warranted to start offering a service, pursuant to the GDPR.

42. Предоставление услуги может включать несколько операций по обработке данных для более чем одной цели. В таких случаях, субъекты данных должны иметь право выбирать, какую именно цель они принимают, вместо того, чтобы соглашаться на все цели сразу. В данном случае может быть получено несколько согласий на начальном этапе предоставления услуги в соответствии с GDPR.

43. Recital 43 clarifies that consent is presumed not to be freely given if the process/procedure for obtaining consent does not allow data subjects to give separate consent for personal data processing operations respectively (e.g. only for some processing operations and not for others) despite it being appropriate in the individual case. Recital 32 states “Consent should cover all processing activities carried out for the same purpose or purposes. When the processing has multiple purposes, consent should be given for all of them”.

43. Преамбула 43 уточняет, что предполагается, что согласие не является свободным, если невозможно дать отдельного согласия на разные операции по обработке персональных данных (например, только для некоторых операций обработки, а не для всех), несмотря на то, что оно в конкретном случае было бы уместным. Преамбула 32 гласит: “Согласие должно охватывать все способы обработки персональных данных, осуществляемые для достижения одной и той же цели.В случае, если обработка персональных данных имеет несколько целей, необходимо получить согласие для каждой из них.”

44. If the controller has conflated several purposes for processing and has not attempted to seek separate consent for each purpose, there is a lack of freedom. This granularity is closely related to the need of consent to be specific, as discussed in section 3.2 further below. When data processing is done in pursuit of several purposes, the solution to comply with the conditions for valid consent lies in granularity, i.e. the separation of these purposes and obtaining consent for each purpose.

44. Если контролер объединил несколько целей для обработки и не попытался получить отдельное согласие для каждой цели, то это означает отсутствие свободы. Эта гранулированность тесно связано с необходимостью конкретности согласия, речь об этом пойдет далее в разделе 3.2. Когда обработка данных выполняется для достижения нескольких целей, для действительного согласия нужно соблюсти такое условие гранулированности, то есть дробление этих целей и получения согласия для каждой из них.

45. [Example 7] Within the same consent request a retailer asks its customers for consent to use their data to send them marketing by email and also to share their details with other companies within their group. This consent is not granular as there is no separate consents for these two separate purposes, therefore the consent will not be valid. In this case, a specific consent should be collected to send the contact details to commercial partners. Such specific consent will be deemed valid for each partner (see also section 3.3.1), whose identity has been provided to the data subject at the time of the collection of his or her consent, insofar as it is sent to them for the same purpose (in this example: a marketing purpose).

45. [Пример 7] Розничный торговец (англ. retailer) запрашивает у своих клиентов согласие на использование их данных для отправки маркетинговых сообщений по электронной почте, а также для передачи их данных другим компаниям в рамках одной группы. Это согласие не является гранулированным, поскольку нет отдельных согласий для этих двух отдельных целей, поэтому согласие не будет действительным. В этом случае необходимо получить конкретное согласие на отправку контактных данных коммерческим партнерам. Такое конкретное согласие будет считаться действительным для каждого партнера (см. также раздел 3.3.1), чья личность была предоставлена субъекту данных во время сбора его или ее согласия, поскольку оно направляется им для той же цель (в этом примере: для целей маркетинга).

3.1.4 Detriment

3.1.4 Отрицательный эффект

46. The controller needs to demonstrate that it is possible to refuse or withdraw consent without detriment (recital 42). For example, the controller needs to prove that withdrawing consent does not lead to any costs for the data subject and thus no clear disadvantage for those withdrawing consent.

46. Контролер должен продемонстрировать, что можно отказаться или отозвать согласие без ущерба (преамбула 42). Например, контролер должен доказать, что отзыв согласия не приводит к каким-либо расходам для субъекта данных и, таким образом, не имеет явных неблагоприятных условий для тех, кто отзывает согласие.

47. Other examples of detriment are deception, intimidation, coercion or significant negative consequences if a data subject does not consent. The controller should be able to prove that the data subject had a free or genuine choice about whether to consent and that it was possible to withdraw consent without detriment.

47. Другими примерами отрицательного эффекта являются обман, запугивание, принуждение или значительные негативные последствия, если субъект данных не дает согласия. Контролер должен иметь возможность доказать, что субъект данных имел свободный или реальный выбор в отношении принятия согласия и что его можно было отозвать без ущерба для субъекта данных.

48. If a controller is able to show that a service includes the possibility to withdraw consent without any negative consequences e.g. without the performance of the service being downgraded to the detriment of the user, this may serve to show that the consent was given freely. The GDPR does not preclude all incentives but the onus would be on the controller to demonstrate that consent was still freely given in all the circumstances.

48. Если контроллер может продемонстрировать, что предоставление услуги включает в себя возможность отозвать согласие без каких-либо негативных последствий, например,без снижения эффективности услуги в ущерб пользователю, это может означать, что согласие было дано свободно. GDPR не исключает всех поощрений, но ответственность за то, чтобы согласие по-прежнему давалось свободно при любых обстоятельствах, лежит на контролере.

49. [Example 8] When downloading a lifestyle mobile app, the app asks for consent to access the phone’s accelerometer. This is not necessary for the app to work, but it is useful for the controller who wishes to learn more about the movements and activity levels of its users. When the user later revokes that consent, she finds out that the app now only works to a limited extent. This is an example of detriment as meant in Recital 42, which means that consent was never validly obtained (and thus, the controller needs to delete all personal data about users’ movements collected this way).

49. [Пример 8] При загрузке мобильного приложения, оно запрашивает согласие на доступ к акселерометру телефона. Это не обязательно для работы приложения, но это полезно для контролера, который хочет узнать больше о движениях и уровнях активности своих пользователей. Когда пользователь позже отзывает это согласие, он обнаруживает, что приложение теперь работает только в ограниченном режиме. Это пример ущерба, который подразумевается в преамбуле 42, что означает, что согласие никогда не являлось действительным (и, следовательно, контролер должен удалить все личные данные о перемещениях пользователей, собранных таким образом).

50. [Example 9]A data subject subscribes to a fashion retailer’s newsletter with general discounts. The retailer asks the data subject for consent to collect more data on shopping preferences to tailor the offers to his or her preferences based on shopping history or a questionnaire that is voluntary to fill out. When the data subject later revokes consent, he or she will receive non-personalised fashion discounts again. This does not amount to detriment as only the permissible incentive was lost.

50. [Пример 9] Субъект данных подписывается на рассылку модной одежды со скидками. Ритейлер запрашивает у субъекта данных согласие на сбор дополнительных данных о предпочтениях покупок, чтобы адаптировать предложения к его или ее предпочтениям на основе истории покупок или вопросника, который можно заполнить добровольно. Когда субъект данных позднее отзывает согласие, он или она снова получит не персонализированные скидки. Это не наносит ущерба, поскольку было потеряно только допустимое поощрение.

51. [Example 10] A fashion magazine offers readers access to buy new make-up products before the official launch.

51. [Пример 10] Журнал моды предлагает читателям доступ к покупке новых продуктов для макияжа до официального запуска.

52. The products will shortly be made available for sale, but readers of this magazine are offered an exclusive preview of these products. In order to enjoy this benefit, people must give their postal address and agree to subscription on the mailing list of the magazine. The postal address is necessary for shipping and the mailing list is used for sending commercial offers for products such as cosmetics or t-shirts year round.

52. Продукты вскоре будут доступны для продажи, но читателям этого журнала предлагается эксклюзивный предварительный просмотр этих продуктов. Чтобы воспользоваться этим преимуществом, люди должны указать свой почтовый адрес и согласиться на подписку в списке рассылки журнала. Почтовый адрес необходим для доставки, а список рассылки используется для отправки коммерческих предложений на такие товары, как косметика или футболки, круглый год.

53. The company explains that the data on the mailing list will only be used for sending merchandise and paper advertising by the magazine itself and is not to be shared with any other organisation.

53. Компания объясняет, что данные в списке рассылки будут использоваться только для рассылки товаров и рекламы на бумаге самим журналом и не должны передаваться никаким другим организациям.

54. In case the reader does not want to disclose their address for this reason, there is no detriment, as the products will be available to them anyway.

54. В случае, если читатель не хочет раскрывать свой адрес по этой причине, вреда нет, продукты все равно будут ему доступны.

3.2 Specific

3.2 Конкретность

55. Article 6(1)(a) confirms that the consent of the data subject must be given in relation to “one or more specific” purposes and that a data subject has a choice in relation to each of them.[26] The requirement that consent must be ‘specific’ aims to ensure a degree of user control and transparency for the data subject. This requirement has not been changed by the GDPR and remains closely linked to the requirement of ‘informed’ consent. At the same time, it must be interpreted in line with the requirement for ‘granularity’ to obtain ‘free’ consent.[27] In sum, to comply with the element of ‘specific’ the controller must apply: i Purpose specification as a safeguard against function creep, ii Granularity in consent requests, and iii Clear separation of information related to obtaining consent for data processing activities from information about other matters.

55. Статья 6(1а) подтверждает, что согласие субъекта данных должно быть дано в в отношении “одной или нескольких конкретных” целей и что субъект данных может сделать выбор в пользу каждого из них.[26] Требование о том, что согласие должно быть всегда конкретным, направлено на обеспечение определенной степени контроля и прозрачности для субъекта данных. Это требование не было изменено в GDPR и остается тесно связанным с требованием “информированного” согласия. В то же время оно должно толковаться в соответствии с требованиями “гранулирования” для получения “свободного” согласия. [27]Подводя итог, для соответствия элементу “конкретный” контролер должен применять: i Указание цели как защита от “функции ползучести” (англ. function creep) ii Гранулирование запросов о согласии и iii Четкое разделение информации, которая связана с получением согласия на действие по обработке данных, от информации, которая связана с другими вопросами.

_{[26] Further guidance on the determination of ‘purposes’ can be found in Opinion 3/2013 on purpose limitation (WP 203).}

_{[26] Дальнейшие указания по определению «целей» можно найти в Мнении от 3/2013 об ограничении целей (РГ 203).}

_{[27] Recital 43 GDPR states that separate consent for different processing operations will be needed wherever appropriate. Granular consent options should be provided to allow data subjects to consent separately to separate purposes.}

_{[27] Преамбула 43 гласит, что разделение согласия для разных операций по обработке действует в тех случая, где это целесообразно/уместно. Необходимо предоставить варианты гранулированного согласия, которые будут позволять субъектам данных давать отдельное согласие на отдельные цели.}

56. Ad. (i): Pursuant to Article 5(1)(b) GDPR, obtaining valid consent is always preceded by the determination of a specific, explicit and legitimate purpose for the intended processing activity.[28] The need for specific consent in combination with the notion of purpose limitation in Article 5(1)(b) functions as a safeguard against the gradual widening or blurring of purposes for which data is processed, after a data subject has agreed to the initial collection of the data. This phenomenon, also known as function creep, is a risk for data subjects, as it may result in unanticipated use of personal data by the controller or by third parties and in loss of data subject control.

56. Пункт (i): В соответствии со статьей 5(1b) GDPR, получение действительного согласия всегда предшествует определению конкретной, явной и легитимной цели для предполагаемой обработки данных.[28] Необходимость конкретного согласия в совокупности с понятием ограничение целью в соответствии со статьей 5(1b) GDPR, служит гарантией от постепенного расширения или размытия целей, для которых обрабатываются данные, после того, как субъект данных дал согласие на первоначальный сбор данных. Это явление, также известное как “function creep”, представляет риск для субъектов данных, так как оно может привести к неожиданному использованию персональных данных контролером или третьими лицами, а также субъект данных может потерять контроль над персональными данными.

_{[28] See WP 29 Opinion 3/2013 on purpose limitation (WP 203), p. 16, : “For these reasons, a purpose that is vague or general, such as for instance ‘improving users’ experience’, ‘marketing purposes’, ‘IT-security purposes’ or ‘future research’ will – without more detail – usually not meet the criteria of being ‘specific’.”}

_{[28] См. Мнение Рабочей Группы 29-й статьи от 3/2013 об ограничении целей (РГ 203), стр. 16, : “По этим причинам неопределенные или общие цели, такие как, например, “улучшение опыта пользователей”, “маркетинговые цели”, “цели ИТ-безопасности” или “дальнейшие исследования”, не будут, как правило, отвечать критериям “конкретности”.”}

57. If the controller is relying on Article 6(1)(a), data subjects must always give consent for a specific processing purpose.[29] In line with the concept of purpose limitation, Article 5(1)(b) and recital 32, consent may cover different operations, as long as these operations serve the same purpose. It goes without saying that specific consent can only be obtained when data subjects are specifically informed about the intended purposes of data use concerning them.

57. Если контролер ссылается на статью 6 (1а), субъекты данных всегда должны давать согласие для конкретной цели обработки.[29] В соответствии с концепцией ограничение целью, а также статьей 5 (1b) и преамбулой 32, согласие может охватывать различные операции, если эти операции служат одной и той же цели. Безусловно, конкретное согласие может быть получено только в том случае, когда субъекты данных конкретно информированы о предполагаемых целях использования их данных.

_{[29] This is consistent with WP29 Opinion 15/2011 on the definition of consent (WP 187), for example on p. 17.}

_{[29] Это соответствует Мнению Рабочей группы 29-й статьи от 15/2011 о понятии согласия (РГ 187), например, если обратить внимание на стр. 17.}

58. Not with standing the provisions on compatibility of purposes, consent must be specific to the purpose. Data subjects will give their consent with the understanding that they are in control and their data will only be processed for those specified purposes. If a controller processes data based on consent and wishes to process the data for another purpose, too, that controller needs to seek additional consent for this other purpose unless there is another lawful basis which better reflects the situation.

58. Несмотря на положения о совместимости целей, согласие должно соответствовать конкретной цели. Субъекты данных дадут свое согласие при условии, что они контролируют ситуацию, и их данные будут обрабатываться только для указанных целей. Если контроллер обрабатывает данные на основе согласия и желает обрабатывать данные и для другой цели, этому контроллеру необходимо запросить дополнительное согласие для этой другой цели, если только нет другого правового основания, который лучше отражает ситуацию.

59. [Example 11] A cable TV network collects subscribers’ personal data, based on their consent, to present them with personal suggestions for new movies they might be interested in based on their viewing habits. After a while, the TV network decides it would like to enable third parties to send (or display) targeted advertising on the basis of the subscriber’s viewing habits. Given this new purpose, new consent is needed.

59. [Пример 11] Сеть кабельного ТВ собирает персональные данные подписчиков, основываясь на их согласии, чтобы показывать им новые фильмы в соответствии с их индивидуальными предпочтениями, которые будут выявлены на основе просмотренных фильмов. После всего этого сеть кабельного ТВ решает привлечь третьих лиц, которые будут отправлять (или отображать) таргетинговую рекламу, основываясь на предпочтениях подписчиков. При выявлении новой цели, новое согласие необходимо.

60. Ad. (ii): Consent mechanisms must not only be granular to meet the requirement of ‘free’, but also to meet the element of ‘specific’. This means, a controller that seeks consent for various different purposes should provide a separate opt-in for each purpose, to allow users to give specific consent for specific purposes.

60. Пункт (ii): Механизм согласия должен быть не только гранулированным чтобы отвечать требованию “свободный”, но также должен отвечать элементу “конкретный”. Это означает, что контролер, который запрашивает согласие на различные цели должен обеспечить отдельную подписку(opt-in) для каждой цели, чтобы позволить пользователям давать конкретное согласие для конкретных целей.

61. Ad. (iii): Lastly, controllers should provide specific information with each separate consent request about the data that are processed for each purpose, in order to make data subjects aware of the impact of the different choices they have. Thus, data subjects are enabled to give specific consent. This issue overlaps with the requirement that controllers must provide clear information, as discussed in paragraph 3.3. below.

61. Пункт (iii): Наконец, контролер должен предоставлять конкретную информацию с каждым конкретным согласием о том, какие данные обрабатываются и для каких целей, для того, чтобы субъекты данных знали о последствиях и значении различных вариантов выбора, которые они имеют. Вследствие чего, субъекты данных могут дать конкретное согласие. Этот аспект частично совпадает с требованием о том, чтобы контролеры предоставляли четкую информацию, как описано ниже, в пункте 3.3.

3.3 Informed

3.3 Информированность

62. The GDPR reinforces the requirement that consent must be informed. Based on Article 5 of the GDPR, the requirement for transparency is one of the fundamental principles, closely related to the principles of fairness and lawfulness. Providing information to data subjects prior to obtaining their consent is essential in order to enable them to make informed decisions, understand what they are agreeing to, and for example exercise their right to withdraw their consent. If the controller does not provide accessible information, user control becomes illusory and consent will be an invalid basis for processing.

62. GDPR усиливает требование о том, что согласие должно быть информированным. На основании статьи 5 GDPR требование прозрачности является одним из основополагающих принципов, тесно связанных с принципами справедливости и законности. Предоставление информации субъектам данных до получения согласия необходимо для того, чтобы они могли принимать осознанные решения, понимать, с чем они согласны, и, например, осуществлять свое право на отзыв своего согласия. Если контроллер не предоставляет доступную информацию, пользовательский контроль становится иллюзорным, и согласие будет недействительным основанием для обработки.

63. The consequence of not complying with the requirements for informed consent is that consent will be invalid and the controller may be in breach of Article 6 of the GDPR.

63. Несоблюдение требований в отношении информированного согласия влечет тот факт, согласие будет недействительным и контролер может нарушить статью 6 GDPR.

3.3.1 Minimum content requirements for consent to be ‘informed’

3.3.1 Минимальные требования к содержанию для получения согласия быть "информированным"

64. For consent to be informed, it is necessary to inform the data subject of certain elements that are crucial to make a choice. Therefore, the EDPB is of the opinion that at least the following information is required for obtaining valid consent: i. the controller’s identity, [30] ii. the purpose of each of the processing operations for which consent is sought,[31] iii. what (type of) data will be collected and used, [32] iv. the existence of the right to withdraw consent,[33] v. information about the use of the data for automated decision-making in accordance with Article 22 (2)(c)[34] where relevant, and vi. on the possible risks of data transfers due to absence of an adequacy decision and of appropriate safeguards as described in Article 46.[35]

64. Для того, чтобы согласие было информированным, необходимо сообщить субъекту данных о некоторых элементах, которые имеют решающее значение для принятия решения. Исходя из этого, EDPB считает, что для получения действительного согласия требуется, как минимум, следующая информация: i. личность контролера [30], ii. цели для каждой операции обработки, для которых было запрошено согласие [31], iii. какие данные (категории) будут собираться и использоваться [32], iv. наличие права на отзыв своего согласия [33], v. информация об использовании данных для принятия решений, основанных исключительно на автоматизированной обработке, включая профилирование, в соответствии со статьей 22(2) [34] и vi. о возможных рисках передачи данных из-за отсутствия решения об адекватности и соответствующих гарантий, как описано в статье 46. [35].

_{[30] See also Recital 42 GDPR: “ […]For consent to be informed, the data subject should be aware at least of the identity of the controller and the purposes of the processing for which the personal data are intended.[…].”}

_{[30] См. также преамбулу 42 GDPR: “[…] Информированным согласие является когда субъект данных осведомлен, по крайней мере, о наименовании контролёра и целях обработки, для которых предназначаются персональные данные. […]”}

_{[31] Again, see Recital 42 GDPR}

_{[31] См. снова преамбулу 42 GDPR}

_{[32] See also WP29 Opinion 15/2011 on the definition of consent (WP 187) pp.19-20}

_{[32] Cм. также Мнение от 15/2011 о понятии согласия (РГ 187), стр. 19-20}

_{[33] See Article 7(3) GDPR}

_{[33] См. статью 7 (3) GDPR}

_{[34] See also WP29 Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (WP251), paragraph IV.B, p. 20 onwards.}

_{[34] См. также Руководство по автоматизированному принятию индивидуальных решений и профилированию для целей положения Регламента 2016/679 (РГ 251), пункт IV.B, стр. 20 и последующие.}

_{[35] Pursuant to Article 49 (1)(a), specific information is required about the absence of safeguards described in Article 46, when explicit consent is sought. See also WP29 Opinion 15/2011 on the definition of consent (WP 187)p. 19}

_{[35] В соответствии со статьей 49 (1)(а), когда требуется явное согласие, необходима конкретная информация об отсутствии гарантий, описанных в статье 46. Cм. также Мнение от 15/2011 о понятии согласия (РГ 187), стр. 19.}

65. With regard to item (i) and (iii), the EDPB notes that in a case where the consent sought is to be relied upon by multiple (joint) controllers or if the data is to be transferred to or processed by other controllers who wish to rely on the original consent, these organisations should all be named. Processors do not need to be named as part of the consent requirements, although to comply with Articles 13 and 14 of the GDPR, controllers will need to provide a full list of recipients or categories of recipients including processors. To conclude, the EDPB notes that depending on the circumstances and context of a case, more information may be needed to allow the data subject to genuinely understand the processing operations at hand.

65. В отношении пунктов (i) и (iii) EDPB отмечает, что в случае, когда на запрашиваемое согласие ссылаются несколько (совместных) контроллеров или если данные должны передаваться или обрабатываться другими контролерами, которые желают ссылаться на первоначальное согласие, все эти организации должны быть перечислены. Процессоры не должны быть перечислены, в соответствии с требованиями для согласия, но для того, чтобы соответствовать статьям 13 и 14 GDPR, контролерам необходимо будет предоставить полный список получателей или категорий получателей, включая процессоров. В заключение, EDPB указывает, что в зависимости от обстоятельств и контекста определенной ситуации может потребоваться больше информации, чтобы позволить субъекту данных в полной мере понять выполняемые операции обработки.

3.3.2 How to provide information

3.3.2 Как предоставлять информацию

66. The GDPR does not prescribe the form or shape in which information must be provided in order to fulfil the requirement of informed consent. This means valid information may be presented in various ways, such as written or oral statements, or audio or video messages. However, the GDPR puts several requirements for informed consent in place, predominantly in Article 7(2) and Recital 32. This leads to a higher standard for the clarity and accessibility of the information.

66. GDPR не предусматривает форму, в которой должна предоставляться информация для выполнения требования информированного согласия. Это означает, что действительная информация может быть представлена различными способами, такими как письменные или устные заявления, аудио- или видеосообщения. Однако GDPR устанавливает несколько требований к информированному согласию, в особенности в статье 7 (2) и преамбуле 32. Данные положения предписывают высокие стандарты на предмет того, что информация должна быть четкой и ясной.

67. When seeking consent, controllers should ensure that they use clear and plain language in all cases. This means a message should be easily understandable for the average person and not only for lawyers. Controllers cannot use long privacy policies that are difficult to understand or statements full of legal jargon. Consent must be clear and distinguishable from other matters and provided in an intelligible and easily accessible form. This requirement essentially means that information relevant for making informed decisions on whether or not to consent may not be hidden in general terms and conditions.[36]

67. При получении согласия контролеры должны убедиться, что они используют понятный и ясный язык во всех случаях. Это означает, что не только юристы, но и обычный человек должен легко понять суть согласия. Контролеры не могут использовать длинные и неразборчивые политики приватности или заявления, которые наполнены огромным количеством юридической лексики. Согласие должно быть четким, оно должно легко отличаться от других вопросов и предоставляться в доступной и понятной форме. По факту, это требование означает, что информация, которая касается осознанного выбора: соглашаться или нет, не должна быть “спрятана” в общих положениях и условиях.[36]

_{[36] The declaration of consent must be named as such. Drafting, such as “I know that…” does not meet the requirement of clear language.}

_{[36] Заявление о согласии так и должно называться. Такие формулировки как, например, «Я знаю, что …», не отвечает требованию ясного языка.}

68. A controller must ensure that consent is provided on the basis of information that allows the data subjects to easily identify who the controller is and to understand what they are agreeing to. The controller must clearly describe the purpose for data processing for which consent is requested.[37]

68. Контролер должен гарантировать, что согласие предоставляется на основе информации, которая позволяет субъектам данных легко определить, кем является контроллер, и понять, с чем конкретно они согласны. Контролер должен четко описать цель обработки данных, для которых запрашивается согласие.[37]

_{[37] See Articles 4(11) and 7(2) GDPR.}

_{[37] См. статьи 4(11) и 7(2) GDPR.}

69. Other specific guidance on the accessibility has been provided in the WP29 guidelines on transparency. If consent is to be given by electronic means, the request must be clear and concise. Layered and granular information can be an appropriate way to deal with the two-fold obligation of being precise and complete on the one hand and understandable on the other hand.

69. Другие конкретные указания, касающиеся доступности, были даны в Руководстве РГ29 по прозрачности. Если согласие должно быть дано с помощью электронных средств, запрос должен быть четким и кратким. Поэтапная (многоуровневая) и гранулированная информация может стать подходящим способом справиться с двойной обязанностью быть точной и полной, с одной стороны, и понятной, с другой стороны.

70. A controller must assess what kind of audience it is that provides personal data to their organisation. For example, in case the targeted audience includes data subjects that are underage, the controller is expected to make sure information is understandable for minors.[38] After identifying their audience, controllers must determine what information they should provide and, subsequently how they will present the information to data subjects.

70. Контролер обязан проанализировать, какая именно аудитория предоставляет им персональные данные. Например, если целевая аудитория потенциально может состоять из субъектов данных, которые являются несовершеннолетними, то ожидается, что контролер должен удостовериться, что информация понятна в том числе и для них.[38] После того, как контролеры установили, кто составляет их аудиторию, они должны определить, какую информацию они должны предоставить, а затем как они будут представлять эту информацию субъектам данных.

_{[38] See also Recital 58 regarding information understandable for children.}

_{[38] См. также преамбулу 58 относительно информации, понятной для детей.}

71. Article 7(2) addresses pre-formulated written declarations of consent which also concern other matters. When consent is requested as part of a (paper) contract, the request for consent should be clearly distinguishable from the other matters. If the paper contract includes many aspects that are unrelated to the question of consent to the use of personal data, the issue of consent should be dealt with in a way that clearly stands out, or in a separate document. Likewise, if consent is requested by electronic means, the consent request has to be separate and distinct, it cannot simply be a paragraph within terms and conditions, pursuant to Recital 32.[39] To accommodate for small screens or situations with restricted room for information, a layered way of presenting information can be considered, where appropriate, to avoid excessive disturbance of user experience or product design.

71. В статье 7(2) рассматриваются предварительно сформулированные письменные заявления о согласии, которые также касаются других вопросов. Когда согласие запрашивается в рамках (бумажного) контракта, просьба о согласии должна четко отличаться от других вопросов. Если письменный контракт включает в себя много аспектов, не связанных с вопросом о согласии на использование персональных данных, вопрос о согласии должен решаться явно выделяться или быть прописан в в отдельном документе. Аналогичным образом, если согласие запрашивается с помощью электронных средств, запрос на согласие должен быть отдельным и должен отличаться от других вопросов, оно не может быть прописано в виде обычного параграфа в общих положениях и условиях в соответствии с преамбулой 32.[39] Чтобы разместить информацию на маленьких экранах или если мы имеет дело с ограниченным пространством для размещения информации, можно использовать многоуровневый способ предоставления информации, чтобы избежать чрезмерного нарушения пользовательского опыта или проектирования продукта.

_{[39] See also Recital 42 and Directive 93/13/EC, notably Article 5 (plain intelligible language and in case of doubt, the interpretation will be in favour of consumer) and Article 6 (invalidity of unfair terms, contract continues to exist without these terms only if still sensible, otherwise the whole contract is invalid).}

_{[39] См. также преамбулу 42 и Директиву 93/13/ЕС, в частности, статью 5 (понятный язык, в случае сомнений толкование будет в пользу потребителя) и статью 6 (недействительность несправедливых условий, договор продолжает существовать без этих условий только в том случае, если он все еще имеет смысл)}

72. A controller that relies on consent of the data subject must also deal with the separate information duties laid down in Articles 13 and 14 in order to be compliant with the GDPR. In practice, compliance with the information duties and compliance with the requirement of informed consent may lead to an integrated approach in many cases. However, this section is written in the understanding that valid “informed” consent can exist, even when not all elements of Articles 13 and/or 14 are mentioned in the process of obtaining consent (these points should of course be mentioned in other places, such as the privacy notice of a company). WP29 has issued separate guidelines on the requirement of transparency.

72. Контролер, который ссылается на согласие субъекта данных, должен также выполнять отдельные информационные обязанности, изложенные в статьях 13 и 14, для того, чтобы соответствовать требованиям GDPR. На практике, соблюдение информационных обязанностей и соблюдение требований информированного согласия во многих случаях может привести к комплексному подходу. Однако этот раздел написан с учетом того, что действительное «информированное» согласие может существовать, даже если не все элементы статей 13 и/или 14 упоминаются в процессе получения согласия (эти пункты, конечно, следует упомянуть в других местах, например, в уведомлении о приватности компании). РГ29 опубликовала отдельное руководство о требовании по прозрачности.

73. [Example 12] Company X is a controller that received complaints that it is unclear to data subjects for what purposes of data use they are asked to consent to. The company sees the need to verify whether its information in the consent request is understandable for data subjects. X organises voluntary test panels of specific categories of its customers and presents new updates of its consent information to these test audiences before communicating it externally. The selection of the panel respects the principle of independence and is made on the basis of standards ensuring a representative, non-biased outcome. The panel receives a questionnaire and indicates what they understood of the information and how they would score it in terms of understandable and relevant information. The controller continues testing until the panels indicate that the information is understandable. X draws up a report of the test and keeps this available for future reference. This example shows a possible way for X to demonstrate that data subjects were receiving clear information before consenting to personal data processing by X.

73. [Пример 12] Компания X (контролер) получила жалобы на то, что субъектам данных неясно, для каких целей, при даче согласия, будут использоваться их персональные данные. Компания решает проверить, понятна ли ее информация в заявлении на согласие субъектам данных. Группы набираются с учетом принципа независимости и на основе стандартов, которые обеспечивают репрезентативный, непредвзятый результат. Участники получают вопросник и указывают, что они поняли из этой информации и как они оценивают ее с точки зрения понятности и важности. Контроллер продолжает тестирование, пока результаты не покажут, что информация понятна. X составляет отчет об испытании и делает его доступным для дальнейшего использования. В этом примере показан возможный способ для X продемонстрировать, что субъекты данных получали четкую информацию, прежде чем дать согласие на обработку персональных данных X.

74. [Example 13] A company engages in data processing on the basis of consent. The company uses a layered privacy notice that includes a consent request. The company discloses all basic details of the controller and the data processing activities envisaged. [40] However, the company does not indicate how their data protection officer can be contacted in the first information layer of the notice. For the purposes of having a valid lawful basis as meant in Article 6, this controller obtained valid “informed” consent, even when the contact details of the data protection officer have not been communicated to the data subject (in the first information layer), pursuant to Article 13(1)(b) or 14(1)(b) GDPR.

74. [Пример 13] Компания занимается обработкой данных на основе согласия. Компания использует многоуровневое уведомление о приватности, которое включает запрос на согласие. Компания раскрывает все основные сведения о контроллере и предусмотренных действиях по обработке данных.[40] Однако компания не указывает, как можно связаться с их сотрудником по защите данных в уведомлении. В целях наличия действительного правового основания, как указано в статье 6, этот контролер получил действительное «информированное» согласие, даже если контактные данные сотрудника по защите данных не были сообщены субъекту данных (на первом информационном уровне) в уведомление о приватности, в соответствии со статьей 13 (1b) или 14 (1b) GDPR.

_{[40] Note that when the identity of the controller or the purpose of the processing is not apparent from the first information layer of the layered privacy notice (and are located in further sub-layers), it will be difficult for the data controller to demonstrate that the data subject has given informed consent, unless the data controller can show that the data subject in question accessed that information prior to giving consent.}

_{[40] Обратите внимание, что когда личность контроллера или цель обработки не очевидна из первого информационного уровня многоуровневого уведомления о приватности (и расположены на дополнительных подуровнях), контроллеру данных будет трудно продемонстрировать, что субъект данных дал информированное согласие, если только контроллер данных не может продемонстрировать, что рассматриваемый субъект данных получил доступ к этой информации до того, как дал согласие.}

3.4 Unambiguous indication of wishes

3.4 Однозначность

75. The GDPR is clear that consent requires a statement from the data subject or a clear affirmative act which means that it must always be given through an active motion or declaration. It must be obvious that the data subject has consented to the particular processing.

75. Из текста GDPR ясно вытекает, что согласие может выражаться в форме заявления субъекта данных или какого-либо четкого утвердительного действия, что означает, что оно должно быть получено путем активного действия или заявления. Очевидно, что субъект должен быть согласен на конкретную обработку данных.

76. Article 2(h) of Directive 95/46/EC described consent as an “indication of wishes by which the data subject signifies his agreement to personal data relating to him being processed”. Article 4(11) GDPR builds on this definition, by clarifying that valid consent requires an unambiguous indication by means of a statement or by a clear affirmative action, in line with previous guidance issued by the WP29.

76. Статья 2(h) Директивы ЕС 95/46/EC определяет согласие как “наличие волеизъявления, путем которого субъект данных выражает свое согласие на обработку касающихся его данных”. Статья 4(11) GDPR, основанная на этом определении, уточняет, что действительное согласие требует однозначного указания посредством заявления или четкого утвердительного действия, что соответствует предшествующим руководящим принципам РГ29.

77. A “clear affirmative act” means that the data subject must have taken a deliberate action to consent to the particular processing.[41] Recital 32 sets out additional guidance on this. Consent can be collected through a written or (a recorded) oral statement, including by electronic means.

77. «Четкое утвердительное действие» означает, что для согласия на конкретную обработку субъект данных должен предпринять осознанное действие.[41] Преамбула 32 содержит дополнительные указания по этому вопросу. Согласие может быть получено путем письменного или (записанного) устного заявления, в том числе полученного с помощью электронных средств.

_{[41] See Commission Staff Working Paper, Impact Assessment, Annex 2, p. 20 and also pp. 105-106: “As also pointed out in the opinion adopted by WP29 on consent, it seems essential to clarify that valid consent requires the use of mechanisms that leave no doubt of the data subject’s intention to consent, while making clear that – in the context of the on-line environment – the use of default options which the data subject is required to modify in order to reject the processing (‘consent based on silence’) does not in itself constitute unambiguous consent. This would give individuals more control over their own data, whenever processing is based on his/her consent. As regards impact on data controllers, this would not have a major impact as it solely clarifies and better spells out the implications of the current Directive in relation to the conditions for a valid and meaningful consent from the data subject. In particular, to the extent that ‘explicit’ consent would clarify – by replacing “unambiguous” – the modalities and quality of consent and that it is not intended to extend the cases and situations where (explicit) consent should be used as a ground for processing, the impact of this measure on data controllers is not expected to be major.”}

_{[41] См. Рабочий документ сотрудников Комиссии, Оценка воздействия, Приложение 2, с. 20, а также с. 105–106: “Как также указывалось в мнении, принятом РГ29 о согласии, представляется важным пояснить, что для действительного согласия требуется использование механизмов, которые не оставляют сомнений в намерении субъекта данных дать согласие, при этом ясно, что – в контексте онлайн-среды – использование параметров по умолчанию, которые субъект данных должен изменить, чтобы отклонить обработку (“согласие, основанное на молчании”), само по себе не является однозначным согласием. Это дало бы людям больше контроля над своими собственными данными, когда обработка основана на их согласии. Что касается воздействия на контролеров данных, это не окажет существенного влияния, так как оно только поясняет и лучше разъясняет последствия действующей Директивы в отношении условий для действительного и осознанного согласия субъекта данных. В частности, в той мере, в какой “явное” согласие прояснило бы (путем замены “однозначного”) условия и качество согласия и что оно не предназначено для расширения случаев и ситуаций, когда (явное) согласие должно использоваться в качестве основания для обработки, воздействие этой меры на контролеров данных, как ожидается, не будет значительным.”}

78. Perhaps the most literal way to fulfil the criterion of a “written statement” is to make sure a data subject writes in a letter or types an email to the controller explaining what exactly he/she agrees to. However, this is often not realistic. Written statements can come in many shapes and sizes that could be compliant with the GDPR.

78. Возможно, самый буквальный способ соблюдения критерия “письменного заявления” – убедиться, что субъект данных пишет письмо или печатает электронное письмо контролеру, объясняя в нем, на что именно он согласен. Однако, как правило, это нереально. Письменные заявления могут иметь различные формы и размеры, соответствующие требованиям GDPR.

79. Without prejudice to existing (national) contract law, consent can be obtained through a recorded oral statement, although due note must be taken of the information available to the data subject, prior to the indication of consent. The use of pre-ticked opt-in boxes is invalid under the GDPR. Silence or inactivity on the part of the data subject, as well as merely proceeding with a service cannot be regarded as an active indication of choice.

79. Без ущерба для существующего (национального) договорного права, согласие может быть получено посредством записанного устного заявления, хотя необходимо должным образом учитывать информацию, доступную субъекту данных, до указания согласия. Использование предварительно отмеченных полей недействительно в рамках GDPR. При этом молчание или бездействие со стороны субъекта данных, а также простое обращение к услуге не могут рассматриваться как активное указание выбора.

80. [Example 14] When installing software, the application asks the data subject for consent to use non-anonymised crash reports to improve the software. A layered privacy notice providing the necessary information accompanies the request for consent. By actively ticking the optional box stating, “I consent”, the user is able to validly perform a ´clear affirmative act´ to consent to the processing.

80. [Пример 14] При установке программного обеспечения приложение запрашивает у субъекта данных согласие на использование идентифицирующих пользователя отчетов о сбоях для улучшения программного обеспечения. Многоуровневое уведомление о приватности, содержащее необходимую информацию, сопровождается запросом о согласии. Самостоятельно устанавливая флажок «Я согласен», пользователь может правильно выполнить требование «четкого подтверждения», чтобы дать согласие на обработку.

81. A controller must also beware that consent cannot be obtained through the same motion as agreeing to a contract or accepting general terms and conditions of a service. Blanket acceptance of general terms and conditions cannot be seen as a clear affirmative action to consent to the use of personal data. The GDPR does not allow controllers to offer pre-ticked boxes or opt-out constructions that require an intervention from the data subject to prevent agreement (for example ‘opt-out boxes’).[42]

81. Контролер также должен помнить, что согласие не может быть получено посредством того же самого действия, что и согласие на заключение контракта или принятие общих условий предоставления услуг. Полное принятие общих положений и условий не может рассматриваться как четкое подтверждающее действие по согласию на использование персональных данных. GDPR не позволяет контроллерам предлагать предварительно отмеченные флажки или конструкции отказа, которые требуют от субъекта данных дополнительных действий, чтобы избежать “предоставление согласия” (например, «блоки отказа»).[42]

_{[42] See Article 7(2). See also Working Document 02/2013 on obtaining consent for cookies (WP 208), pp. 3-6.}

_{[42] См. Статью 7 (2). См. Также Рабочий Документ 02/2013 о получении согласия на файлы cookie (РГ 208), стр. 3-6.}

82. When consent is to be given following a request by electronic means, the request for consent should not be unnecessarily disruptive to the use of the service for which the consent is provided. [43] An active affirmative motion by which the data subject indicates consent can be necessary when a less infringing or disturbing modus would result in ambiguity. Thus, it may be necessary that a consent request interrupts the use experience to some extent to make that request effective.

82. Когда согласие должно быть дано после запроса с помощью электронных средств, запрос на согласие не должен создавать излишние помехи для использования услуги, на которую предоставляется согласие.[43] Активное подтверждающее действие, посредством которого субъект данных указывает на согласие, может быть необходимо, когда менее нарушающий способ может привести к двусмысленности. Таким образом, может потребоваться, чтобы запрос на согласие в некоторой степени прервал процесс использования, чтобы сделать этот запрос эффективным.

_{[43] See Recital 32 GDPR.}

_{[43] См. преамбулу 32 GDPR.}

83. However, within the requirements of the GDPR, controllers have the liberty to develop a consent flow that suits their organisation. In this regard, physical motions can be qualified as a clear affirmative action in compliance with the GDPR.

83. Тем не менее, в соответствии с требованиями GDPR, контролеры имеют право разрабатывать согласие, которое подходит их организации. В связи с этим физические движения могут быть квалифицированы как четкое подтверждение в соответствии с GDPR.

84. Controllers should design consent mechanisms in ways that are clear to data subjects. Controllers must avoid ambiguity and must ensure that the action by which consent is given can be distinguished from other actions. Therefore, merely continuing the ordinary use of a website is not conduct from which one can infer an indication of wishes by the data subject to signify his or her agreement to a proposed processing operation.

84. Контролеры должны разрабатывать механизмы согласия, понятные субъектам данных. Контролеры должны избегать двусмысленности и должны гарантировать, что действие, на которое дается согласие, можно отличить от других действий. Следовательно, простое продолжение обычного использования веб-сайта не является поведением, из которого можно сделать вывод о том, что субъект данных желает указать свое согласие на предлагаемую операцию обработки.

85. [Example 15] Swiping a bar on a screen, waiving in front of a smart camera, turning a smartphone around clockwise, or in a figure eight motion may be options to indicate agreement, as long as clear information is provided, and it is clear that the motion in question signifies agreement to a specific request (e.g. if you swipe this bar to the left, you agree to the use of information X for purpose Y. Repeat the motion to confirm). The controller must be able to demonstrate that consent was obtained this way and data subjects must be able to withdraw consent as easily as it was given.

85. [Пример 15] Проведение пальцем по экрану, отказ от смарт-камеры, поворот смартфона по часовой стрелке или движение по восьмерке могут быть вариантами, указывающими на согласие, если предоставляется четкая информация, и ясно, что рассматриваемое движение означает согласие на конкретный запрос (например, если вы проведете эту полосу влево, вы соглашаетесь на использование информации X для цели Y. Повторите движение, чтобы подтвердить). Контролер должен иметь возможность продемонстрировать, что согласие было получено таким образом, при этом субъекты данных должны иметь возможность отозвать согласие так же легко, как оно было дано.

86. [Example 16] Based on recital 32, actions such as scrolling or swiping through a webpage orsimilar user activity will not under any circumstances satisfy the requirement of a clear andaffirmative action: such actions may be difficult to distinguish from other activity or inter- action by a user and therefore determining that an unambiguous consent has been obtained will also not be possible. Furthermore, in such a case, it will be difficult to provide a way for the user to withdraw consent in a manner that is as easy as granting it.

86. [Пример 16] Основываясь на пункте 32, такие действия, как прокрутка или пролистывание веб-страницы или аналогичные действия пользователя, ни при каких обстоятельствах не удовлетворяют требованию четкого и подтверждающего действия: такие действия могут быть трудно отличимы от других действий пользователя, и поэтому заявление о том, что было получено однозначное согласие, будет невозможным. Кроме того, в данном случае будет трудно предоставить пользователю возможность отозвать свое согласие таким же простым способом, как и предоставить его.

87. In the digital context, many services need personal data to function, hence, data subjects receive multiple consent requests that need answers through clicks and swipes every day. This may result in a certain degree of click fatigue: when encountered too many times, the actual warning effect of consent mechanisms is diminishing.

87. В цифровом виде многим службам для работы требуются персональные данные, поэтому субъекты данных получают множество запросов о согласии, которые требуют ответы посредством щелчков и смахиваний каждый день. Это может привести к некоторой степени утомляемости от подобных однообразных действий: так как, когда такие щелчки встречаются слишком часто, фактический эффект предупреждения механизмов согласия уменьшается.

88. This results in a situation where consent questions are no longer read. This is a particular risk to data subjects, as, typically, consent is asked for actions that are in principle unlawful without their consent. The GDPR places upon controllers the obligation to develop ways to tackle this issue.

88. Это приводит к ситуации, когда вопросы о согласии больше читаются. Что представляет особый риск для субъектов данных, поскольку, как правило, требуется согласие на действия, которые без его получения считаются незаконными. GDPR возлагает на контролеров обязанность разработать способы решения данной проблемы.

89. An often-mentioned example to do this in the online context is to obtain consent of Internet users via their browser settings. Such settings should be developed in line with the conditions for valid consent in the GDPR, as for instance that the consent shall be granular for each of the envisaged purposes and that the information to be provided, should name the controllers.

89. Часто упоминаемый пример для этого в онлайн-контексте – получение согласия пользователей Интернета через настройки браузера. Такие параметры должны разрабатываться в соответствии с условиями для действительного согласия в GDPR, например, что согласие должно быть гранулированным для каждой из предусмотренных целей и что информация, которая предоставляется, должна содержать имена контролеров.

90. In any event, consent must always be obtained before the controller starts processing personal data for which consent is needed. WP29 has consistently held in its opinions that consent should be given prior to the processing activity.[44] Although the GDPR does not literally prescribe in Article 4(11) that consent must be given prior to the processing activity, this is clearly implied. The heading of Article 6(1) and the wording “has given” in Article 6(1)(a) support this interpretation. It follows logically from Article 6 and Recital 40 that a valid lawful basis must be present before starting a data processing. Therefore, consent should be given prior to the processing activity. In principle, it can be sufficient to ask for a data subject’s consent once. However, controllers do need to obtain a new and specific consent if purposes for data processing change after consent was obtained or if an additional purpose is envisaged.

90. В любом случае, согласие всегда должно быть получено до того, как контроллер начнет обработку персональных данных, для которых требуется согласие. РГ29 всегда придерживалась в своих предыдущих мнениях, что согласие должно быть дано до обработки.[44] Хотя GDPR буквально не предписывает в Статье 4 (11), что согласие должно быть дано до обработки, это явно подразумевается. Заголовок Статьи 6 (1) и формулировка «дал согласие» в Статье 6 (1a) подтверждают это толкование. Из статьи 6 и преамбулы 40 логически следует, что перед началом обработки данных должно быть действительно правовое основание на это действие. Поэтому, согласие должно быть дано до начала обработки. В принципе, может быть достаточно один раз запросить согласие субъекта данных. Однако контролерам необходимо получить новое и конкретное согласие, если цели обработки данных изменились после получения согласия или если предусмотрена дополнительная цель.

_{[44] WP29 has consistently held this position since Opinion 15/2011 on the definition of consent (WP 187), pp. 30-31.}

_{[44] РГ29 неизменно придерживалась этой позиции в Мнении от 15/2011 о понятии согласия (РГ 187), стр. 30-31.}

4. OBTAINING EXPLICIT CONSENT

4. ПОЛУЧЕНИЕ ОТЧЕТЛИВОГО СОГЛАСИЯ

91. Explicit consent is required in certain situations where serious data protection risk emerge, hence, where a high level of individual control over personal data is deemed appropriate. Under the GDPR, explicit consent plays a role in Article 9 on the processing of special categories of data, the provisions on data transfers to third countries or international organisations in the absence of adequate safeguards in Article 49 [45], and in Article 22 on automated individual decision-making, including profiling.[46]

91. Отчетливое согласие требуется в определенных ситуациях, например, когда возникает серьезный риск защиты данных, и, следовательно, когда высокий уровень индивидуального контроля над личными данными считается целесообразным. В рамках GDPR отчетливое согласие упоминается в статье 9 об обработке специальных категорий данных, в положениях о передаче данных третьим странам или международным организациям при отсутствии адекватных гарантий в статье 49 [45] и в статье 22 об автоматизированном индивидуальном решении, в том числе профилирование.[46]

_{[45] According to Article 49 (1)(a) GDPR, explicit consent can lift the ban on data transfers to countries without adequate levels of data protection law. Also note Working document on a common interpretation of Article 26(1) of Directive 95/46/EC of 24 October 1995 (WP 114), p. 11, where WP29 has indicated that consent for data transfers that occur periodically or on an on-going basis is inappropriate.}

_{[45] В соответствии со статьей 49 (1a) GDPR, явное согласие может снять запрет на передачу данных в страны без надлежащего уровня закона о защите данных. Также обратите внимание на рабочий документ по общему толкованию статьи 26 (1) Директивы 95/46 / ЕС от 24 октября 1995 г. (РГ 114), стр. 11, где РГ29 указала, что согласие на передачу данных, которое происходит периодически или на постоянной основе, является неуместным.}

_{[46] In Article 22, the GDPR introduces provisions to protect data subjects against decision-making based solely on automated processing, including profiling. Decisions made on this basis are allowed under certain legal conditions. Consent plays a key role in this protection mechanism, as Article 22(2)(c) GDPR makes clear that a controller may proceed with automated decision making, including profiling, that may significantly affect the individual, with the data subject’s explicit consent. WP29 have produced separate guidelines on this issue: WP29 Guidelines on Automated decision-making and Profiling for the purposes of Regulation 2016/679, 3 October 2017 (WP 251).}

_{[46] В статье 22 GDPR предусматривается положения для защиты субъектов данных от принятия решений, основанных исключительно на автоматизированной обработке, включая профилирование. Решения, принятые на этой основе, допускаются при определенных правовых условиях. Согласие играет ключевую роль в этом механизме защиты, поскольку в статье 22 (2c) GDPR четко указывается, что контролер может приступить к автоматизированному принятию решений, включая профилирование, которые могут оказать существенное влияние на личность, с отчетливого согласия субъекта данных. РГ29 разработал отдельные руководящие принципы по этому вопросу: РГ29 Руководящие указания по автоматизированному принятию решений и профилированию для целей Регламента 2016/679 от 3 октября 2017 года (РГ 251).}

92. The GDPR prescribes that a “statement or clear affirmative action” is a prerequisite for ‘regular’ consent. As the ‘regular’ consent requirement in the GDPR is already raised to a higher standard compared to the consent requirement in Directive 95/46/EC, it needs to be clarified what extra efforts a controller should undertake in order to obtain the explicit consent of a data subject in line with the GDPR.

92. GDPR предписывает, что «заявление или четкое утвердительное действие» является предварительным условием для обычного согласия. Поскольку «требование об обычном согласии в GDPR уже повышено до более высокого стандарта по сравнению с требованием о согласии в Директиве 95/46 / EC, необходимо уточнить, какие дополнительные усилия должен предпринять контролер для получения отчетливого согласия субъект данных в соответствии с GDPR.

93. The term explicit refers to the way consent is expressed by the data subject. It means that the data subject must give an express statement of consent. An obvious way to make sure consent is explicit would be to expressly confirm consent in a written statement. Where appropriate, the controller could make sure the written statement is signed by the data subject, in order to remove all possible doubt and potential lack of evidence in the future.[47]

93. Термин «отчетливое» относится к способу выражения согласия субъектом данных. Это означает, что субъект данных должен дать явное заявление о согласии. Очевидный способ убедиться, что согласие является отчетливым, состоит в том, чтобы прямо подтвердить согласие в письменном заявлении. В соответствующих случаях контролер может убедиться, что письменное заявление подписано субъектом данных, чтобы устранить все возможные сомнения и потенциальное отсутствие доказательств в будущем.[47]

_{[47] See also WP29 Opinion 15/2011, on the definition of consent (WP 187), p. 25.}

_{[47] См. также Мнение от 15/2011 о понятии согласия (РГ 187), стр.25.}

94. However, such a signed statement is not the only way to obtain explicit consent and, it cannot be said that the GDPR prescribes written and signed statements in all circumstances that require valid explicit consent. For example, in the digital or online context, a data subject may be able to issue the required statement by filling in an electronic form, by sending an email, by uploading a scanned document carrying the signature of the data subject, or by using an electronic signature. In theory, the use of oral statements can also be sufficiently express to obtain valid explicit consent, however, it may be difficult to prove for the controller that all conditions for valid explicit consent were met when the statement was recorded.

94. Однако такое подписанное заявление не является единственным способом получения отчетливого согласия, и также нельзя утверждать, что GDPR указывает, что при любых обстоятельствах, которые требуют отчетливого согласия, должны быть подписанные заявления в письменном виде. Например, в цифровом или интерактивном контексте субъект данных может предоставить требуемое заявление, заполнив электронную форму, отправив электронное письмо, загрузив отсканированный документ с подписью субъекта данных или используя электронную подпись. Теоретически, использование устных заявлений также может быть достаточно, чтобы получить действительное отчетливое согласие, однако контролеру будет трудно доказать, что все условия для действительного отчетливого согласия были выполнены при регистрации заявления.

95. An organisation may also obtain explicit consent through a telephone conversation, provided that the information about the choice is fair, intelligible and clear, and it asks for a specific confirmation from the data subject (e.g. pressing a button or providing oral confirmation).

95. Организация может также получить отчетливое согласие посредством телефонного разговора при условии, что информация о выборе является справедливой, понятной и ясной, и она запрашивает конкретное подтверждение от субъекта данных (например, нажатие кнопки или предоставление устного подтверждения).

96. [Example 17] A data controller may also obtain explicit consent from a visitor to its website by offering an explicit consent screen that contains Yes and No check boxes, provided that the text clearly indicates the consent, for instance “I, hereby, consent to the processing of my data”, and not for instance, “It is clear to me that my data will be processed”. It goes without saying that the conditions for informed consent as well as the other conditions for obtaining valid consent should be met.

96. [Пример 17] Контроллер данных может также получить явное согласие посетителя на своем веб-сайте, предложив на экране отчетливое согласие, которое содержит флажки “Да” и “Нет”, при условии, что в тексте четко указано согласие, например “Я, настоящим подтверждением, даю согласие на обработку моих данных”, а не, например, “Мне ясно, что мои данные будут обработаны”. Само собой разумеется, что должны быть выполнены условия для информированного согласия, а также другие условия для получения действительного согласия.

97. [Example 18] A clinic for cosmetic surgery seeks explicit consent from a patient to transfer his medical record to an expert whose second opinion is asked on the condition of the patient. The medical record is a digital file. Given the specific nature of the information concerned, the clinic asks for an electronic signature of the data subject to obtain valid explicit consent and to be able to demonstrate that explicit consent was obtained.[48]

97. Пример [18] Клиника косметологической хирургии запрашивает у пациента отчетливое согласие на передачу его медицинской карты специалисту, у которого запрашивается мнение о состоянии пациента. Медицинская карта – это цифровой файл. Учитывая специфический характер соответствующей информации, клиника запрашивает электронную подпись субъекта данных для получения действительного отчетливого согласия и возможности продемонстрировать, что отчетливое согласие было получено.[48]

_{[48] This example is without prejudice to EU Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market.}

_{[48] Этот пример не затрагивает Регламент ЕС (ЕС) № 910/2014 Европейского Парламента и Совета от 23 июля 2014 года об электронной идентификации и удостоверительных сервисах для электронных трансакций на внутреннем рынке.}

98. Two stage verification of consent can also be a way to make sure explicit consent is valid. For example, a data subject receives an email notifying them of the controller’s intent to process a record containing medical data. The controller explains in the email that he asks for consent for the use of a specific set of information for a specific purpose. If the data subjects agrees to the use of this data, the controller asks him or her for an email reply containing the statement ‘I agree’. After the reply is sent, the data subject receives a verification link that must be clicked, or an SMS message with a verification code, to confirm agreement.

98. Двухэтапная проверка согласия также может быть способом проверки достоверности отчетливого согласия. Например, субъект данных получает электронное письмо с уведомлением о намерении контроллера обработать запись, содержащую медицинские данные. Контроллер объясняет в электронном письме, что он запрашивает согласие на использование определенной информации для конкретной цели. Если субъекты данных соглашаются на обработку этих данных, контролер запрашивает ответ по электронной почте, содержащий утверждение «Я согласен». После отправки ответа субъект данных получает ссылку для подтверждения, которую необходимо нажать, или SMS-сообщение с кодом подтверждения для подтверждения соглашения.

99. Article 9(2) does not recognize “necessary for the performance of a contract” as an exception to the general prohibition to process special categories of data. Therefore controllers and Member States that deal with this situation should explore the specific exceptions in Article 9(2) subparagraphs (b) to (j). Should none of the exceptions (b) to (j) apply, obtaining explicit consent in accordance with the conditions for valid consent in the GDPR remains the only possible lawful exception to process such data.

99. Статья 9 (2) не предусматривает «необходимое для исполнения договора» как исключение из общего запрета на обработку специальных категорий данных. Поэтому контролерам и государствам-членам, имеющим дело с этой ситуацией, следует изучить конкретные исключения в подпунктах (b) – (j) статьи 9 (2). Если ни одно из исключений (b) – (j) не применяется, получение отчетливого согласия в соответствии с условиями действительного согласия в GDPR остается единственным возможным законным исключением для обработки таких данных.

100. [Example 19] An airline company, Holiday Airways, offers an assisted travelling service for passengers that cannot travel unassisted, for example due to a disability. A customer books a flight from Amsterdam to Budapest and requests travel assistance to be able to board the plane. Holiday Airways requires her to provide information on her health condition to be able to arrange the appropriate services for her (hence, there are many possibilities e.g. wheelchair on the arrival gate, or an assistant travelling with her from A to B.) Holiday Airways asks for explicit consent to process the health data of this customer for the purpose of arranging the requested travel assistance. -The data processed on the basis of consent should be necessary for the requested service. Moreover, flights to Budapest remain available without travel assistance. Please note that since that data are necessary for the provision of the requested service, Article 7 (4) does not apply.

100. [Пример 19] Авиакомпания Holiday Airways предлагает услугу помощи пассажирам, которые не могут путешествовать без посторонней помощи, например, из-за инвалидности. Клиент заказывает рейс из Амстердама в Будапешт и запрашивает помощь в путешествии, чтобы иметь возможность сесть на самолет. Компания Holiday Airways требует, чтобы человек предоставил информацию о состоянии своего здоровья, чтобы иметь возможность организовать для него соответствующие услуги (следовательно, существует множество вариантов, например, инвалидная коляска у ворот прибытия или помощник, путешествующий с ним из А в B.) Holiday Airways просит отчетливое согласие на обработку данных о состоянии здоровья этого клиента с целью организации запрашиваемой помощи в поездках. -Данные, обработанные на основе согласия, должны быть необходимы для запрашиваемой услуги. Кроме того, рейсы в Будапешт остаются доступными и без помощи в путешествиях. Обратите внимание, что поскольку эти данные необходимы для предоставления запрошенной услуги, статья 7 (4) не применяется.

101. [Example 20] A successful company is specialised in providing custom-made ski- and snowboard goggles, and other types of customised eyewear for outdoors sports. The idea is that people could wear these without their own glasses on. The company receives orders at a central point and delivers products from a single location all across the EU.

101. [Пример 20] Успешная компания специализируется на предоставлении индивидуальных лыжных и сноубордических очков и других видов индивидуальных очков для занятий спортом на открытом воздухе. Идея в том, что люди могут носить их без собственных очков. Компания получает заказы в центральном пункте и поставляет продукцию из одного места по всему ЕС.

102. In order to be able to provide its customised products to customers who are short-sighted, this controller requests consent for the use of information on customers’ eye condition. Customers provide the necessary health data, such as their prescription data online when they place their order. Without this, it is not possible to provide the requested customized eyewear. The company also offers series of goggles with standardized correctional values. Customers that do not wish to share health data could opt for the standard versions. Therefore, an explicit consent under Article 9 is required and consent can be considered to be freely given.

102. Чтобы иметь возможность предоставлять свои индивидуальные продукты клиентам, у которых поставлен диагноз “близорукость”, этот контроллер запрашивает согласие на использование информации о состоянии глаз клиентов. Клиенты предоставляют необходимые данные о состоянии здоровья, такие как данные о рецептах, в режиме онлайн, когда они размещают свой заказ. Без этого невозможно предоставить запрошенные индивидуальные очки. Компания также предлагает серию защитных очков со стандартными коррекционными значениями. Клиенты, которые не хотят предоставлять данные о состоянии здоровья, могут выбрать стандартные варианты. Следовательно, требуется отчетливое согласие в соответствии со статьей 9, и согласие можно считать добровольным.

5. ADDITIONAL CONDITIONS FOR OBTAINING VALID CONSENT

5. ДОПОЛНИТЕЛЬНЫЕ УСЛОВИЯ ПОЛУЧЕНИЯ ДЕЙСТВИТЕЛЬНОГО СОГЛАСИЯ

103. The GDPR introduces requirements for controllers to make additional arrangements to ensure they obtain, and maintain and are able to demonstrate, valid consent. Article 7 of the GDPR sets out these additional conditions for valid consent, with specific provisions on keeping records of consent and the right to easily withdraw consent. Article 7 also applies to consent referred to in other articles of GDPR, e.g. Articles 8 and 9. Guidance on the additional requirement to demonstrate valid consent and on withdrawal of consent is provided below.

103. GDPR устанавливает требования к контролерам для принятия дополнительных мер для обеспечения того, чтобы они получали, поддерживали и могли продемонстрировать действительное согласие. В статье 7 GDPR изложены данные дополнительные условия для действительного согласия с конкретными положениями о ведении записей о согласии и праве с легкостью отозвать согласие. Статья 7 также применяется к согласию, указанному в других статьях GDPR, например, Статьи 8 и 9. Инструкции о дополнительном требовании для подтверждения действительного согласия и об отзыве согласия приведены ниже.

5.1 Demonstrate consent

5.1 Демонстрация согласия

104. In Article 7(1), the GDPR clearly outlines the explicit obligation of the controller to demonstrate a data subject’s consent. The burden of proof will be on the controller, according to Article 7(1).

104. В статье 7(1) GDPR четко определяется обязательство контролера продемонстрировать согласие субъекта данных. Бремя доказывания будет лежать на контролере, в соответствии со статьей 7 (1).

105. Recital 42 states: “Where processing is based on the data subject’s consent, the controller should be able to demonstrate that the data subject has given consent to the processing operation.”

105. Преамбула 42 гласит: “Если обработка осуществляется на основании согласия субъекта данных, контролёр должен быть в состоянии продемонстрировать, что субъект данных дал согласие на операцию по обработке.”

106. Controllers are free to develop methods to comply with this provision in a way that is fitting in their daily operations. At the same time, the duty to demonstrate that valid consent has been obtained by a controller, should not in itself lead to excessive amounts of additional data processing. This means that controllers should have enough data to show a link to the processing (to show consent was obtained) but they shouldn’t be collecting any more information than necessary.

106. Контролеры вправе свободно разрабатывать методы для соблюдения этого положения таким образом, чтобы они соответствовали их каждодневной работе. В то же время, обязанность продемонстрировать, что действительное согласие было получено контроллером, сама по себе не должна приводить к чрезмерным объемам дополнительной обработки данных. Это означает, что у контроллеров должно быть достаточно данных, чтобы сослаться на обработку (чтобы показать, что согласие было получено), но они не должны собирать больше информации, чем необходимо.

107. It is up to the controller to prove that valid consent was obtained from the data subject. The GDPR does not prescribe exactly how this must be done. However, the controller must be able to prove that a data subject in a given case has consented. As long as a data processing activity in question lasts, the obligation to demonstrate consent exists. After the processing activity ends, proof of consent should be kept no longer then strictly necessary for compliance with a legal obligation or for the establishment, exercise or defence of legal claims, in accordance with Article 17(3)(b) and (e).

107. Контролер должен доказать, что действительное согласие было получено от субъекта данных. GDPR не указывает, как именно это должно быть сделано. Тем не менее, контроллер должен быть в состоянии доказать, что субъект данных в определенном случае дал свое согласие. До тех пор, пока рассматриваемая деятельность по обработке данных длится, существует обязанность продемонстрировать согласие. После того, как обработка заканчивается, доказательство о наличии согласия больше не должно быть строго необходимо для соблюдения юридического обязательства или для установления, осуществления или защиты законных претензий, в соответствии со статьей 17 (3b) и (3e).

108. For instance, the controller may keep a record of consent statements received, so he can show how consent was obtained, when consent was obtained and the information provided to the data subject at the time shall be demonstrable. The controller shall also be able to show that the data subject was informed and the controller´s workflow met all relevant criteria for a valid consent. The rationale behind this obligation in the GDPR is that controllers must be accountable with regard to obtaining valid consent from data subjects and the consent mechanisms they have put in place. For example, in an online context, a controller could retain information on the session in which consent was expressed, together with documentation of the consent workflow at the time of the session, and a copy of the information that was presented to the data subject at that time. It would not be sufficient to merely refer to a correct configuration of the respective website.

108. Например, контролер может вести учет полученных заявлений о согласии, чтобы он мог продемонстрировать, как и когда было получено согласие, и информация, предоставленная субъекту данных в то время, тоже должна быть наглядной. Контролер также должен иметь возможность продемонстрировать, что субъект данных был проинформирован, и рабочий процесс контроллера удовлетворял всем соответствующим критериям для получения действительного согласия. Суть этого обязательства в GDPR заключается в том, что контролеры должны нести ответственность за получение действительного согласия субъектов данных и за механизмов согласия, которые они создали. Например,если рассматривать получение согласия онлайн, контроллер может сохранять информацию о сеансе, в котором выражено согласие, вместе с документацией процесса согласования во время сеанса и копией информации, которая была представлена субъекту данных в то время. Недостаточно просто указать правильную конфигурацию соответствующего веб-сайта.

109. [Example 21] A hospital sets up a scientific research programme, called project X, for which dental records of real patients are necessary. Participants are recruited via telephone calls to patients that voluntarily agreed to be on a list of candidates that may be approached for this purpose. The controller seeks explicit consent from the data subjects for the use of their dental record. Consent is obtained during a phone call by recording an oral statement of the data subject in which the data subject confirms that they agree to the use of their data for the purposes of project X.

109. [Пример 21] Больница устанавливает программу научных исследований, которая называется «Проект X», для которой необходимы стоматологические записи существующих пациентов. Участников, а именно – пациентов, которые добровольно согласились быть в списке кандидатов и к которым можно было обратиться с данной целью, набирают с помощью телефонных звонков. Контролер запрашивает явное согласие субъектов данных на использование их зубной карты. Согласие получается во время телефонного звонка путем записи устного заявления субъекта данных, в котором субъект данных подтверждает, что он согласен на использование своих данных для целей Проекта X.

110. There is no specific time limit in the GDPR for how long consent will last. How long consent lasts will depend on the context, the scope of the original consent and the expectations of the data subject. If the processing operations change or evolve considerably then the original consent is no longer valid. If this is the case, then new consent needs to be obtained.

110. В GDPR нет конкретных временных рамок для продления срока действия согласия. Срок действия согласия зависит от содержания, объема первоначального согласия и требований субъекта данных. Если операции обработки изменяются: обычно или значительно, то первоначальное согласие больше не является действительным. В таком случае, необходимо получить новое согласие.

111. The EDPB recommends as a best practice that consent should be refreshed at appropriate intervals. Providing all the information again helps to ensure the data subject remains well informed about how their data is being used and how to exercise their rights.[49]

111. EDPB рекомендует, в качестве оптимальной практики, чтобы согласие обновлялось через соответствующие промежутки времени. Повторное предоставление всей информации помогает гарантировать, что субъект данных до сих пор хорошо информирован о том, как используются его данные и как он может осуществлять свои права.[49]

_{[49] SeeArticle 29 Working Party guidelines on transparency under Regulation 2016/679 WP260 rev.01-endorsed by the EDPB.}

_{[49] См. Руководство 29-й статьи по прозрачности}

5.2 Withdrawal of consent

5.2 Отзыв согласия

112. Withdrawal of consent is given a prominent place in the GDPR. The provisions and recitals on withdrawal of consent in the GDPR can be regarded as codification of the existing interpretation of this matter in WP29 Opinions.[50]

112. Отзыв согласия занимает особое место в GDPR. Положения и комментарии об отмене согласия в Регламенте можно рассматривать как кодификацию существующего толкования этого вопроса в Мнениях РГ 29.[50]

_{[50] WP29 has discussed this subject in their Opinion on consent (see Opinion 15/2011 on the definition of consent (WP 187), pp. 9, 13, 20, 27 and 32-33) and, inter alia, their Opinion on the use of location data. (see Opinion 5/2005 on the use of location data with a view to providing value-added services (WP 115), p. 7).}

_{[50] PГ29 обсудила этот вопрос в своем Мнении о согласии (см. Мнение 15/2011 о понятии согласия (РГ 187), стр. 9, 13, 20, 27 и 32-33) и, в частности, в своем Мнении об использовании данных о местоположении. (см. Мнение 5/2005 об использовании данных о местоположении с целью предоставления дополнительных услуг (РГ 115), стр. 7).}

113. Article 7(3) of the GDPR prescribes that the controller must ensure that consent can be withdrawn by the data subject as easy as giving consent and at any given time. The GDPR does not say that giving and withdrawing consent must always be done through the same action.

113.Cтатья 7 (3) GDPR предусматривает, что контролер должен обеспечить возможность для субъекта данных отозвать свое согласие так же просто, как и дать его в любой момент времени. При этом в GDPR не говорится, что предоставление и отзыв согласия всегда должны осуществляться одним и тем же действием.

114. However, when consent is obtained via electronic means through only one mouse-click, swipe, or keystroke, data subjects must, in practice, be able to withdraw that consent equally as easily. Where consent is obtained through use of a service-specific user interface (for example, via a website, an app, a log-on account, the interface of an IoT device or by e-mail), there is no doubt a data subject must be able to withdraw consent via the same electronic interface, as switching to another interface for the sole reason of withdrawing consent would require undue effort. Furthermore, the data subject should be able to withdraw his/her consent without detriment. This means, inter alia, that a controller must make withdrawal of consent possible free of charge or without lowering service levels.[51]

114. Однако, когда согласие получено с помощью электронных средств всего лишь одним щелчком мыши, свайпом или нажатием клавиши, субъекты данных должны на практике иметь возможность отозвать это согласие также легко. В тех случаях, когда согласие получается посредством использования интерфейса пользователя (например, через веб-сайт, приложение, учетную запись для входа в систему, интерфейс устройства IoT или по электронной почте), субъект данных, несомненно должен иметь возможность отозвать согласие через тот же электронный интерфейс, поскольку переключение на другой интерфейс по единственной причине – отзыва согласия – потребует чрезмерных усилий. Кроме того, субъект данных должен иметь возможность отозвать свое согласие без ущерба. Это означает, в частности, что контроллер должен сделать для субъекта данных отзыв согласия бесплатным или без снижения уровня обслуживания.[51]

_{[51] See also opinion WP29 Opinion 4/2010 on the European code of conduct of FEDMA for the use of personal data in direct marketing (WP 174) and the Opinion on the use of location data with a view to providing value-added services (WP 115).}

_{[51] См. также Мнение РГ29 4/2010 о Европейском кодексе поведения FEDMA для использования персональных данных в прямом маркетинге (РГ 174) и Mнение об использовании данных о местонахождении с целью предоставления дополнительных услуг (РГ 115 )}

115. [Example 22] A music festival sells tickets through an online ticket agent. With each online ticket sale, consent is requested in order to use contact details for marketing purposes. To indicate consent for this purpose, customers can select either No or Yes. The controller informs customers that they have the possibility to withdraw consent. To do this, they could contact a call centre on business days between 8am and 5pm, free of charge. The controller in this example does not comply with article 7(3) of the GDPR. Withdrawing consent in this case requires a telephone call during business hours, this is more burdensome than the one mouse-click needed for giving consent through the online ticket vendor, which is open 24/7.

115. [Пример 22] Музыкальный фестиваль продает билеты через онлайн-агента по продаже билетов. При каждой продаже билетов через Интернет запрашивается согласие на использование контактных данных в маркетинговых целях. Чтобы указать согласие для этой цели, клиенты могут выбрать «Нет» или «Да». Контроллер сообщает клиентам, что у них есть возможность отозвать согласие. Для этого они могут бесплатно связаться с колл-центром в рабочие дни с 8:00 до 17:00. Контролер в этом примере не соответствует статье 7 (3) GDPR. Так как для отзыва согласия в этом случае требуется телефонный звонок в рабочее время, а это более обременительно, чем один щелчок мыши необходимый для получения согласия через онлайн-продавца билетов, который открыт 24/7.

116. The requirement of an easy withdrawal is described as a necessary aspect of valid consent in the GDPR. If the withdrawal right does not meet the GDPR requirements, then the consent mechanism of the controller does not comply with the GDPR. As mentioned in section 3.1 on the condition of informed consent, the controller must inform the data subject of the right to withdraw consent prior to actually giving consent, pursuant to Article 7(3) of the GDPR. Additionally, the controller must as part of the transparency obligation inform the data subjects on how to exercise their rights.[52]

116. Требование легкого отзыва согласия описывается как необходимый аспект явного согласия в GDPR. Если право отзыва не соответствует требованиям GDPR, то механизм запроса согласия со стороны контролера соответственно тоже противоречит Регламенту. Как упомянуто в разделе 3.1 о необходимости соблюдения условия информированного согласия, контролер должен сообщить субъекту данных о праве отзыва согласия до его фактического предоставления в соответствии со статьей 7 (3) GDPR. Кроме того, для соблюдения принципа прозрачности контроллер должен информировать субъекта данных о том, как именно осуществлять свои права.[52]

_{[52] Recital 39 GDPR, which refers to Articles 13 and 14 of that Regulation, states that “natural persons should be made aware of risks, rules, safeguards and rights in relation to the processing of personal data and how to exercise their rights in relation to such processing.}

_{[52] Преамбула 39 GDPR, которая ссылается на статьи 13 и 14, гласит, что “физические лица должны быть осведомлены о рисках, правилах, средствах защиты и правах в отношении обработки персональных данных и о том, как реализовать свои права в связи с такой обработкой.”}

117. As a general rule, if consent is withdrawn, all data processing operations that were based on consent and took place before the withdrawal of consent – and in accordance with the GDPR – remain lawful, however, the controller must stop the processing actions concerned. If there is no other lawful basis justifying the processing (e.g. further storage) of the data, they should be deleted by the controller.[53]

117. Как правило, в случае отзыва согласия все операции обработки данных, которые были основаны на согласии и проводились до его отзыва – и в соответствии с GDPR – остаются законными, однако после контроллер должен незамедлительно прекратить соответствующие действия по обработке. Если нет других правовых оснований, оправдывающих обработку данных (например, дальнейшее хранение) контроллер должен их удалить.[53]

_{[53] See Article 17(1)(b) and (3) GDPR.}

_{[53] См. статью 17(1)(b) и (3) GDPR.}

118. As mentioned earlier in these guidelines, it is very important that controllers assess the purposes for which data is actually processed and the lawful grounds on which it is based prior to collecting the data. Often companies need personal data for several purposes, and the processing is based on more than one lawful basis, e.g. customer data may be based on contract and consent. Hence, a withdrawal of consent does not mean a controller must erase data that are processed for a purpose that is based on the performance of the contract with the data subject. Controllers should therefore be clear from the outset about which purpose applies to each element of data and which lawful basis is being relied upon.

118. Как упоминалось ранее в данном Руководстве, очень важно, чтобы контролеры оценивали цели, для которых данные фактически обрабатываются, и правовые основания, на которых они основаны, до сбора данных. Часто компании нуждаются в персональных данных для нескольких целей, и обработка производится на более чем одним законным основанием, например данные клиента могут быть основаны на контракте и согласии. Следовательно, отзыв согласия не означает, что контролер должен стереть данные, обрабатывающихся с целью, которая основана на исполнении контракта с субъектом данных. Поэтому с самого начала контролеры должны четко представлять себе, какая цель применима к каждому компоненту данных и на какое правовое основание они опираются.

119. Controllers have an obligation to delete data that was processed on the basis of consent once that consent is withdrawn, assuming that there is no other purpose justifying the continued retention.[54] Besides this situation, covered in Article 17 (1)(b), an individual data subject may request erasure of other data concerning him that is processed on another lawful basis, e.g. on the basis of Article 6(1)(b).[55] Controllers are obliged to assess whether continued processing of the data in question is appropriate, even in the absence of an erasure request by the data subject.[56]

119. Контролеры обязаны удалять данные, которые были обработаны на основе согласия, после того, как это согласие было отозвано, при условии, что нет другой цели, оправдывающей продолжение хранения.[54] Помимо этой ситуации, описанной в статье 17 (1) (b), субъект данных может запросить удаление других данных, касающихся его, которые обрабатываются на в связи с другим правовым основанием, например, на основании, упомянутом в статье 6 (1) (b).[55] Контролеры обязаны оценивать целесообразность продолжения обработки данных, даже при отсутствии запроса на удаление от субъекта данных.[56]

_{[54] In that case, the other purpose justifying the processing must have its own separate legal basis. This does not mean the controller can swap from consent to another lawful basis, see section 6 below.}

_{[54] В этом случае другая цель, оправдывающая обработку, должна иметь свое отдельное правовое основание. Это не означает, что контроллер может изменить согласие на другое правовое основание, см. раздел 6 ниже.}

_{[55] See Article 17, including exceptions that may apply, and Recital 65 GDPR}

_{[55] См. статью 17, включая исключения, которые могут применяться, и преамбулу 65 GDPR.}

_{[56] See also Article 5 (1)(e) GDPR}

_{[56] См. также статью 5 (1)(e) GDPR.}

120. In cases where the data subject withdraws his/her consent and the controller wishes to continue to process the personal data on another lawful basis, they cannot silently migrate from consent (which is withdrawn) to this other lawful basis. Any change in the lawful basis for processing must be notified to a data subject in accordance with the information requirements in Articles 13 and 14 and under the general principle of transparency.

120. В тех случаях, когда субъект данных отзывает свое согласие и контроллер желает продолжить обработку персональных данных на ссылаясь на другое правовое основание, он не может молча переключиться с согласия (которое отозвано) на это другое правовое основание. Кроме того, любое изменение в правовом основании для обработки должно быть сообщено субъекту данных в соответствии с требованиями к информации в статьях 13 и 14 и в соответствии с общим принципом прозрачности.

6. INTERACTION BETWEEN CONSENT AND OTHER LAWFUL GROUNDS IN ARTICLE 6 GDPR

6. ВЗАИМОСВЯЗЬ МЕЖДУ СОГЛАСИЕМ И ДРУГИМИ ПРАВОВЫМИ ОСНОВАНИЯМИ В СТАТЬЕ 6 GDPR

121. Article 6 sets the conditions for a lawful personal data processing and describes six lawful bases on which a controller can rely. The application of one of these six bases must be established prior to the processing activity and in relation to a specific purpose.[57]

121. Статья 6 закрепляет условия для законной обработки персональных данных и описывает шесть правовых оснований, на которые может опираться контролер. Применение одного из этих шести оснований должно быть установлено до обработки и в отношении конкретной цели.[57]

_{[57] Pursuant to Articles 13 (1)(c) and/or 14(1)(c), the controller must inform the data subject thereof.}

_{[57] В соответствии со статьями 13 (1) (c) и / или 14 (1) (c) контролер должен сообщить об этом субъекту данных.}

122. It is important to note here that if a controller chooses to rely on consent for any part of the processing, they must be prepared to respect that choice and stop that part of the processing if an individual withdraws consent. Sending out the message that data will be processed on the basis of consent, while actually some other lawful basis is relied on, would be fundamentally unfair to individuals.

122. Здесь важно отметить, что если контроллер ссылается на согласие для какой-либо части обработки, он должен быть готов учесть этот выбор и прекратить эту часть обработки, если физическое лицо отзывает свое согласие. Отправка сообщения о том, что данные будут обрабатываться на основе согласия, в то время как на самом деле используется какое-то другое правовое основание, была бы принципиально несправедливой по отношению к отдельным лицам.

123. In other words, the controller cannot swap from consent to other lawful bases. For example, it is not allowed to retrospectively utilise the legitimate interest basis in order to justify processing, where problems have been encountered with the validity of consent. Because of the requirement to disclose the lawful basis which the controller is relying upon at the time of collection of personal data, controllers must have decided in advance of collection what the applicable lawful basis is.

123. Иными словами, контролер не может менять правовые основания. Например, не разрешается ретроспективно использовать легитимный интерес в качестве основания для обработки, когда возникли проблемы с действительностью согласия. В связи с требованием раскрыть правовое основание, на которое опирается контролер во время сбора персональных данных, контролеры должны были заблаговременно решить, какое правовое основание применимо.

7 SPECIFIC AREAS OF CONCERN IN THE GDPR

7.1

Children (Article 8)

Дети (Статья 8)

124. Compared to the current directive, the GDPR creates an additional layer of protection where personal data of vulnerable natural persons, especially children, are processed. Article 8 introduces additional obligations to ensure an enhanced level of data protection of children in relation to information society services. The reasons for the enhanced protection are specified in Recital 38: “ […] they may be less aware of the risks, consequences and safeguards concerned and their rights in relation to the processing of personal data […]” Recital 38 also states that “Such specific protection should, in particular, apply to the use of personal data of children for the purposes of marketing or creating personality or user profiles and the collection of personal data with regard to children when using services offered directly to a child.” The words ‘in particular’ indicate that the specific protection is not confined to marketing or profiling but includes the wider ‘collection of personal data with regard to children’.

124. По сравнению с действующей Директивой, GDPR создает дополнительный уровень защиты, где обрабатываются личные данные уязвимых физических лиц, особенно детей. Статья 8 вводит дополнительные обязательства по обеспечению повышенного уровня защиты данных детей в отношении услуг информационного общества. Причины усиленной защиты указаны в преамбуле 38: “[…] они могут быть менее осведомлены о рисках, последствиях, гарантиях и правах, связанных с обработкой персональных данных […]” Преамбула 38 также гласит: “Такая особая защита должна, в частности, применяться к использованию персональных данных детей в маркетинговых целях или для создания персональных (пользовательских) профилей и сбора персональных данных, связанных с детьми, в процессе использования ими услуги, ориентированные непосредственно на детей.” Слова «в частности» указывают на то, что конкретная защита не ограничивается маркетингом или профилированием, а включает более широкий «сбор персональных данных, связанных с детьми».

125. Article 8(1) states that where consent applies, in relation to the offer of information society services directly to a child, the processing of the personal data of a child shall be lawful where the child is at least 16 years old. Where the child is below the age of 16 years, such processing shall be lawful only if and to the extent that consent is given or authorised by the holder of parental responsibility over the child.[58] Regarding the age limit of valid consent the GDPR provides flexibility, Member States can provide by law a lower age, but this age cannot be below 13 years.

125. Статья 8 (1) гласит, что в тех случаях, когда согласие применяется в отношении предложения услуг информационного общества непосредственно ребенку, обработка персональных данных ребенка является законной, при условии, что ребенку не менее 16 лет. Если ребенок не достиг 16-летнего возраста, такая обработка является законной только в том случае, если согласие дано или разрешено лицом, несущим родительскую ответственность за ребенка.[58] Что касается предельного возраста действительного согласия, то GDPR обеспечивает гибкость – государства-члены могут по закону установить более низкий возраст, но этот возраст не может быть ниже 13 лет.

_{[58] Without prejudice to the possibility of Member State law to derogate from the age limit, see Article 8(1).}

_{[58] Без ущерба для возможности, при котором законодательство государств-членов может отойти от возрастного ограничения, см. статью 8 (1).}

126. As mentioned in section 3.1. on informed consent, the information shall be understandable to the audience addressed by the controller, paying particular attention to the position of children. In order to obtain “informed consent” from a child, the controller must explain in language that is clear and plain for children how it intends to process the data it collects. [59] If it is the parent that is supposed to consent, then a set of information may be required that allows adults to make an informed decision.

126. Как указано в разделе 3.1, при информированном согласии информация должна быть понятна аудитории, к которой обращается контролер, уделяя особое внимание положению детей. Чтобы получить «информированное согласие» от ребенка, контролер должен объяснить на простом и понятном для детей языке, как он намеревается обрабатывать данные, которые собирает.[59] Если предполагается, что это согласие принадлежит родителю, то может потребоваться тот набор информации, который поможет взрослым принимать обоснованное решение.

_{[59] Recital 58 GDPR re-affirms this obligation, in stating that, where appropriate, a controller should make sure the information provided is understandable for children.}

_{[59] Преамбула 58 GDPR подтверждает это обязательство, заявляя, что, где это уместно, контролер должен убедиться, что предоставленная информация понятна для детей.}

127. It is clear from the foregoing that Article 8 shall only apply when the following conditions are met: – The processing is related to the offer of information society services directly to a child.[60], [61] – The processing is based on consent.

127. Из вышеизложенного ясно, что статья 8 применяется только при соблюдении следующих условий: – Обработка связана с предложением услуг информационного общества непосредственно ребенку. [60],[61] – Обработка основана на согласии.

_{[60] According to Article 4(25) GDPR an information society service means a service as defined in point (b) of Article 1(1) of Directive 2015/1535: “(b) ‘service’ means any Information Society service, that is to say, any service normally provided for remuneration, at a distance, by electronic means and at the individual request of a recipient of services. For the purposes of this definition: (i) ‘at a distance’ means that the service is provided without the parties being simultaneously present; (ii) ‘by electronic means’ means that the service is sent initially and received at its destination by means of electronic equipment for the processing (including digital compression) and storage of data, and entirely transmitted, conveyed and received by wire, by radio, by optical means or by other electromagnetic means; (iii) ‘at the individual request of a recipient of services’ means that the service is provided through the transmission of data on individual request.” An indicative list of services not covered by this definition is set out in Annex I of the said Directive. See also Recital 18 of Directive 2000/31.}

_{[60] В соответствии со статьей 4 (25) GDPR услуга информационного общества означает услугу, определенную в пункте (b) статьи 1 (1) Директивы 2015/1535: «(b)«услуга» означает любые услуги информационного общества, а именно любые услуги, обычно оказываемые за вознаграждение, дистанционно, с помощью электронных средств связи и по индивидуальному запросу получателя услуг. В целях настоящего определения: (i) «дистанционно» означает, что услуга предоставляется в отсутствие сторон; (ii) «с помощью электронных средств связи» означает, что услуга подлежит отправлению в исходном виде и получению в месте назначения с помощью электронного оборудования для обработки (включая цифровое сжатие) и хранения данных и полностью передана, доставлена и получена с помощью телеграфа, радиосвязи, оптических или других электромагнитных средств связи; (iii) «по индивидуальному запросу получателя услуг» означает, что услуга предоставляется посредством передачи данных по индивидуальному запросу». Примерный перечень услуг, не подпадающих под перечень данного определения, указан в Приложении I к настоящей Директиве. См. также преамбулу 18 Директивы 2000/31.}

_{[61] According to the UN Convention on the Protection of the Child, Article 1, “[…] a child means every human being below the age of eighteen years unless under the law applicable to the child, majority is attained earlier,” see United Nations, General Assembly Resolution 44/25 of 20 November 1989 (Convention on the Rights of the Child).}

_{[61] В соответствии со статьей 1 Конвенции ООН о правах ребенка, “[…] ребенком является каждое человеческое существо до достижения 18-летнего возраста, если по закону, применимому к данному ребенку, он не достигает совершеннолетия ранее.” См. ООН, резолюция 44/25 Генеральной Ассамблеи от 20 ноября 1989 года (Конвенция о правах ребенка).}

7.1.1 Information society service

7.1.1 Услуги информационного общества

128. To determine the scope of the term ‘information society service” in the GDPR, reference is made in Article 4(25) GDPR to Directive 2015/1535.

128. Чтобы определить область применения термина «информационное общество» в GDPR, в статье 4 (25) GDPR дается ссылка на Директиву 2015/1535.

129. While assessing the scope of this definition, the EDPB also refers to case law of the ECJ.[62] The ECJ held that information society services cover contracts and other services that are concluded or transmitted on-line. Where a service has two economically independent components, one being the online component, such as the offer and the acceptance of an offer in the context of the conclusion of a contract or the information relating to products or services, including marketing activities, this component is defined as an information society service, the other component being the physical delivery or distribution of goods is not covered by the notion of an information society service. The online delivery of a service would fall within the scope of the term information society service in Article 8 GDPR.

129. При оценке сферы применения этого определения, EDPB также ссылается на прецедентное право Европейского Суда.[62] Европейский суд постановил, что услуги информационного общества охватывают контракты и другие услуги, которые заключаются или передаются в режиме онлайн. Если услуга имеет два экономически независимых компонента, один из которых является онлайн-компонентом, таким как предложение и принятие предложения, в контексте заключения договора или информации, касающейся продуктов или услуг, включая маркетинговую деятельность, этот компонент определяется как услуга информационного общества, а другой компонент, представляющий собой реальную доставку или распределение товаров, не охватывается понятием услуги информационного общества. Предоставление услуги в режиме онлайн подпадает под действие термина «информационное общество» в статье 8 GDPR.

_{[62] See European Court of Justice, 2 December 2010 Case C-108/09, (Ker-Optika), paragraphs 22 and 28. In relation to ‘composite services’, the EDPB also refers to Case C-434/15 (Asociacion Profesional Elite Taxi v Uber Systems Spain SL), para 40, which states that an information society service forming an integral part of an overall service whose main component is not an information society service (in this case a transport service), must not be qualified as ‘an information society service’.}

_{[62] См. решение Европейского суда от 2 декабря 2010 г., Дело C-108/09 (Ker-Optika), пункты 22 и 28. В отношении «комплексных услуг» EDPB также ссылается на дело C-434/15 (Asociacion Profesional Elite Taxi v Uber Systems Spain SL), пункт 40, в котором говорится, что услуга информационного общества, являющаяся неотъемлемой частью общей услуги, основной компонент которой не является услуга информационного общества (в данном случае транспортной услугой), не должна квалифицироваться как «услуга информационного общества»}

7.1.2 Offered directly to a child

7.1.2 Предлагается непосредственно ребенку

130. The inclusion of the wording ‘offered directly to a child’ indicates that Article 8 is intended to apply to some, not all information society services. In this respect, if an information society service provider makes it clear to potential users that it is only offering its service to persons aged 18 or over, and this is not undermined by other evidence (such as the content of the site or marketing plans) then the service will not be considered to be ‘offered directly to a child’ and Article 8 will not apply.

130. Употребление формулировки «предлагается непосредственно ребенку» означает, что статья 8 предназначена для применения к некоторым, а не ко всем услугам информационного общества. В этом отношении, если поставщик услуг информационного общества дает понять потенциальным пользователям, что он предлагает свои услуги только лицам в возрасте 18 лет и старше, и это не идет в разрез с другими доказательствами (такими как содержание сайта или маркетинговые планы) тогда услуга не будет считаться «предложенной непосредственно ребенку», и статья 8 не будет применяться.

7.1.3 Age

7.1.3 Возраст

131. The GDPR specifies that “Member States may provide by law for a lower age for those purposes provided that such lower age is not below 13 years.” The controller must be aware of those different national laws, by taking into account the public targeted by its services. In particular it should be noted that a controller providing a cross-border service cannot always rely on complying with only the law of the Member State in which it has its main establishment but may need to comply with the respective national laws of each Member State in which it offers the information society service(s). This depends on whether a Member State chooses to use the place of main establishment of the controller as a point of reference in its national law, or the residence of the data subject. First of all the Member States shall consider the best interests of the child during making their choice. The Working Group encourages the Member States to search for a harmonized solution in this matter.

131. GDPR указывает, что “Государства-члены могут законодательно предусмотреть меньший возраст для указанных целей при условии, что такой возраст не ниже 13 лет.” Контролер должен знать об этих национальных законах, принимая во внимание аудиторию, на которую ориентированы его услуги. В частности, следует отметить, что контролер, предоставляющий трансграничную услугу, не всегда может полагаться на соблюдение только законодательства государства-члена, в котором он имеет свое юридическое лицо, но может нуждаться в соблюдении соответствующих национальных законов каждого государства-члена, в котором предлагает услуги информационного общества. Это зависит от того, решит ли государство-член использовать место регистрации контролера в качестве отправной точки в своем национальном законодательстве или место жительства субъекта данных. Прежде всего, государства-члены должны учитывать все возможные интересы ребенка при выборе. Рабочая группа призывает государства-члены искать согласованное решение по этому вопросу.

133. If the users state that they are over the age of digital consent then the controller can carry out appropriate checks to verify that this statement is true. Although the need to undertake reasonable efforts to verify age is not explicit in the GDPR it is implicitly required, for if a child gives consent while not old enough to provide valid consent on their own behalf, then this will render the processing of data unlawful.

133. Если пользователи заявляют, что они старше возраста цифрового согласия, то контроллер может выполнить соответствующие проверки, чтобы убедиться, что это является правдой. Хотя необходимость предпринять разумные усилия для проверки возраста явно не указана в GDPR, это требуется косвенно, поскольку, если ребенок дает согласие, будучи еще недостаточно взрослым, чтобы предоставить действительное согласие от своего имени, это сделает обработку данных незаконной.

134. If the user states that he/she is below the age of digital consent then the controller can accept this statement without further checks, but will need to go on to obtain parental authorisation and verify that the person providing that consent is a holder of parental responsibility.

134. Если пользователь заявляет, что он / она не достиг возраста цифрового согласия, то контроллер может принять это заявление без дальнейших проверок, но ему необходимо будет получить разрешение родителей и убедиться, что лицо, предоставляющее такое согласие, является законным представителем (родители).

135. Age verification should not lead to excessive data processing. The mechanism chosen to verify the age of a data subject should involve an assessment of the risk of the proposed processing. In some low-risk situations, it may be appropriate to require a new subscriber to a service to disclose their year of birth or to fill out a form stating they are (not) a minor.[63] If doubts arise the controller should review their age verification mechanisms in a given case and consider whether alternative checks are required.[64]

135. Проверка возраста не должна приводить к чрезмерной обработке данных. Механизм, выбранный для проверки возраста субъекта данных, должен включать оценку риска предлагаемой обработки. В некоторых ситуациях с низким риском может быть целесообразным потребовать от нового подписчика услуги указать год своего рождения или заполнить форму с указанием того, являются ли они несовершеннолетними.[63] Если возникают сомнения, контролер должен пересмотреть свои механизмы проверки возраста в конкретном случае и рассмотреть вопрос о необходимости альтернативных проверок.[64]

_{[63] Although this may not be a watertight solution in all cases, it is an example to deal with this provision.}

_{[63] Хотя это не всегда может быть неопровержимым решением, это пример для рассмотрения этого положения.}

_{[64] See WP29 Opinion 5/2009 on social networking services (WP 163).}

_{[64] См. Мнение РГ29 от 5/2009 о социальных сетях (РГ 163).}

7.1.4 Children’s consent and parental responsibility

7.1.4 Согласие детей и родительские права

136. Regarding the authorisation of a holder of parental responsibility, the GDPR does not specify practical ways to gather the parent’s consent or to establish that someone is entitled to perform this action.[65] Therefore, the EDPB recommends the adoption of a proportionate approach, in line with Article 8(2) GDPR and Article 5(1)(c) GDPR (data minimisation). A proportionate approach may be to focus on obtaining a limited amount of information, such as contact details of a parent or guardian.

136. Что касается разрешения законных представителей (родителей), GDPR не указывает практические способы получения согласия родителя или установления того, что кто-то имеет право выполнять это действие.[65] Поэтому EDPB рекомендует принять пропорциональный подход в соответствии со статьей 8 (2) GDPR и статьей 5 (1) (c) GDPR (минимизация данных). Пропорциональный подход может заключаться в том, чтобы сосредоточиться на получении ограниченного объема информации, такой как контактные данные родителя или опекуна.

_{[65] WP 29 notes that it not always the case that the holder of parental responsibility is the natural parent of the child and that parental responsibility can be held by multiple parties which may include legal as well as natural persons.}

_{[65] РГ29 отмечает, что не всегда тот, у кого есть родительские права, является кровный родитель ребенка, и что иметь родительские права могут иные стороны, в число которых могут входить как юридические, так и физические лица.}

137. What is reasonable, both in terms of verifying that a user is old enough to provide their own consent, and in terms of verifying that a person providing consent on behalf of a child is a holder of parental responsibility, may depend upon the risks inherent in the processing as well as the available technology. In low-risk cases, verification of parental responsibility via email may be sufficient. Conversely, in high-risk cases, it may be appropriate to ask for more proof, so that the controller is able to verify and retain the information pursuant to Article 7(1) GDPR.[66] Trusted third party verification services may offer solutions which minimise the amount of personal data the controller has to process itself.

137. Понять, что является разумным, как с точки зрения проверки того, что пользователь достаточно взрослый, чтобы предоставить свое согласие, так и с точки зрения проверки того, что лицо, дающее согласие от имени ребенка, является законным представителем, может зависеть от рисков, присущих обработке, а также доступных технологий. В случаях низкого риска может быть достаточным подтверждение родительских прав по электронной почте. И наоборот, в случаях высокого риска может быть целесообразным запросить дополнительные доказательства, чтобы контроллер мог проверить и сохранить информацию в соответствии со статьей 7 (1) GDPR.[66] Доверенные внешние службы проверки могут предлагать решения, которые сводят к минимуму количество персональных данных, которые контроллер должен обработать сам.

_{[66] For example, a parent or guardian could be asked to make a payment of €0,01 to the controller via a bank transaction, including a brief confirmation in the description line of the transaction that the bank account holder is a holder of parental responsibility over the user. Where appropriate, an alternative method of verification should be provided to prevent undue discriminatory treatment of persons that do not have a bank account.}

_{[66] Например, родителю или опекуну может быть предложено произвести платеж в размере 0,01 евро контроллеру посредством банковской транзакции, включая краткое подтверждение в строке описания транзакции, что владелец банковского счета является законным представителем Пользователя. Там, где это уместно, следует предусмотреть альтернативный метод проверки для предотвращения дискриминационного обращения с лицами, не имеющими банковского счета.}

138. [Example 23] An online gaming platform wants to make sure underage customers only subscribe to its services with the consent of their parents or guardians. The controller follows these steps:

138. [Пример 23] Игровая онлайн-платформа хочет, чтобы несовершеннолетние клиенты подписывались на ее услуги только с согласия их родителей или опекунов. Контроллер выполняет следующие действия:

139. Step 1: ask the user to state whether they are under or over the age of 16 (or alternative age of digital consent) If the user states that they are under the age of digital consent:

139. Шаг 1: попросите пользователя указать, не достигли ли они возраста 16 лет (или альтернативного возраста цифрового согласия). Если пользователь заявляет, что он не достиг возраста цифрового согласия:

140. Step 2: service informs the child that a parent or guardian needs to consent or authorise the processing before the service is provided to the child. The user is requested to disclose the email address of a parent or guardian. Step 3: service contacts the parent or guardian and obtains their consent via email for processing and take reasonable steps to confirm that the adult has parental responsibility.

140. Шаг 2: сервис информирует ребенка о том, что родитель или опекун должен дать согласие или разрешить обработку, прежде чем услуга будет оказана ребенку. Пользователю предлагается указать адрес электронной почты родителя или опекуна. Шаг 3: служба связывается с родителем или опекуном и получает их согласие по электронной почте для обработки и принимает подходящие меры, чтобы подтвердить, что у взрослого есть родительские права.

141. Step 4: in case of complaints, the platform takes additional steps to verify the age of the subscriber.

141. Шаг 4: в случае жалоб, платформа предпринимает дополнительные шаги для проверки возраста подписчика.

142. If the platform has met the other consent requirements, the platform can comply with the additional criteria of Article 8 GDPR by following these steps.

142. Если платформа удовлетворяет другим требованиям согласия, платформа может соответствовать дополнительным критериям Статьи 8 GDPR, выполнив следующие действия.

143. The example shows that the controller can put itself in a position to show that reasonable efforts have been made to ensure that valid consent has been obtained, in relation to the services provided to a child. Article 8(2) particularly adds that “The controller shall make reasonable efforts to verify that consent is given or authorised by the holder of parental responsibility over the child, taking into consideration available technology.”

143. Пример демонстрирует, что контролер может поставить себя в положение, позволяющее доказать, что были предприняты разумные усилия для обеспечения получения действительного согласия в отношении услуг, предоставляемых ребенку. Статья 8(2), в частности, добавляет, что “В таких случаях контролёр, учитывая доступные технологические возможности, должен принять разумные усилия для того, чтобы удостовериться, что согласие было дано лицом, обладающим родительскими правами в отношении ребенка, или было дано с его одобрения.”

144. It is up to the controller to determine what measures are appropriate in a specific case. As a general rule, controllers should avoid verification solutions which themselves involve excessive collection of personal data.

144. Именно контролер должен определить, какие меры подходят в конкретном случае. Как правило, контролеры должны избегать дополнительных проверок, которые сами по себе предполагают чрезмерный сбор персональных данных.

145. The EDPB acknowledges that there may be cases where verification is challenging (for example where children providing their own consent have not yet established an ‘identity footprint’, or where parental responsibility is not easily checked. This can be taken into account when deciding what efforts are reasonable, but controllers will also be expected to keep their processes and the available technology under constant review.

145. EDPB признает, что могут быть случаи, когда проверка сопряжена с некоторыми трудностями (например, когда дети, дающие свое собственное согласие, еще не установили “присутствие личности” (англ. identity footprint), или когда нелегко проверить наличие родительских прав). Это можно принять во внимание при принятии решения о том, какие разумные меры следует предпринимать, но ожидается, что контролеры также будут постоянно следить за своими процессами и доступными технологиями.

146. With regard to the data subject’s autonomy to consent to the processing of their personal data and have full control over the processing, consent by a holder of parental responsibility or authorized by a holder of parental responsibility for the processing of personal data of children can be confirmed, modified or withdrawn, once the data subject reaches the age of digital consent.

146. Что касается самостоятельности субъекта персональных данных давать согласие на обработку своих персональных данных и осуществлять полный контроль за их обработкой, то согласие законного представителя на обработку персональных данных детей может быть подтверждено, изменено или отозвано только до того момента, когда субъект персональных данных достигнет возраста цифрового согласия.

147. In practice, this means that if the child does not take any action, consent given by a holder of parental responsibility or authorized by a holder of parental responsibility for the processing of personal data given prior to the age of digital consent, will remain a valid ground for processing.

147. На практике это означает, что если ребенок не предпринимает каких-либо действий, согласие, данное законным представителем, ответственным за обработку персональных данных, предоставленных до достижения возраста цифрового согласия, останется действительным основанием для обработки.

148. After reaching the age of digital consent, the child will have the possibility to withdraw the consent himself, in line with Article 7(3). In accordance with the principles of fairness and accountability, the controller must inform the child about this possibility.[67]

148. После достижения возраста цифрового согласия ребенок будет иметь возможность отозвать согласие самостоятельно, в соответствии со статьей 7 (3). В соответствии с принципами справедливости и ответственности контролер должен проинформировать ребенка об этой возможности.[67]

_{[67] Also, data subjects should be aware of the right to be forgotten as laid down in Article 17, which is in particular relevant for consent given when the data subject was still a child, see recital 63.}

_{[67] Кроме того, субъекты данных должны знать о праве быть забытым, как это предусмотрено в статье 17, которая особенно важна для согласия, полученного, когда субъект данных еще был ребенком, см. преамбулу 63.}

149. It is important to point out that in accordance with Recital 38, consent by a parent or guardian is not required in the context of preventive or counselling services offered directly to a child. For example the provision of child protection services offered online to a child by means of an online chat service do not require prior parental authorisation.

149. Важно отметить, что в соответствии с преамбулой 38, согласие родителя или опекуна не требуется в контексте предупредительных или консультационных услуг, предлагаемых непосредственно ребенку. Например, предоставление услуг по защите детей, предлагаемых ребенку в Интернете посредством онлайн-чата, не требует предварительного разрешения родителей.

150. Finally, the GDPR states that the rules concerning parental authorization requirements vis-à-vis minors shall not interfere with “the general contract law of Member States such as the rules on the validity, formation or effect of a contract in relation to a child”. Therefore, the requirements for valid consent for the use of data about children are part of a legal framework that must be regarded as separate from national contract law. Therefore, this guidance paper does not deal with the question whether it is lawful for a minor to conclude online contracts. Both legal regimes may apply simultaneously, and, the scope of the GDPR does not include harmonization of national provisions of contract law.

150. Наконец, GDPR гласит, что положения, касающиеся требований к родительскому разрешению в отношении несовершеннолетних, не должны препятствовать «общему договорному праву государств-членов, затрагивая нормы о действительности, заключения сделки или правовых последствиях сделки в отношении ребенка». Таким образом, требования к действительному согласию на использование данных о детях являются частью правовой базы, которая должна рассматриваться отдельно от национального договорного права. Таким образом, это Руководство не затрагивает вопрос о том, является ли законным для несовершеннолетнего заключение онлайн-контрактов. Оба правовых режима могут применяться одновременно, и сфера действия GDPR не включает гармонизацию национальных положений договорного права.

7.2 Scientific research

7.2 Научное исследование

151. The definition of scientific research purposes has substantial ramifications for the range of data processing activities a controller may undertake. The term ‘scientific research’ is not defined in the GDPR. Recital 159 states “(…) For the purposes of this Regulation, the processing of personal data for scientific research purposes should be interpreted in a broad manner. (…)”, however the EDPB considers the notion may not be stretched beyond its common meaning and understands that ‘scientific research’ in this context means a research project set up in accordance with relevant sector-related methodological and ethical standards, in conformity with good practice.

151. Определение целей научных исследований имеет существенные последствия для целого ряда действий по обработке данных, которые может выполнять контроллер. Термин «научные исследования» не определен в GDPR. Преамбула 159 гласит “(…) В рамках настоящего Регламента обработка персональных данных для целей научного исследования должна трактоваться расширительно. (…)”, однако EDPB считает, что понятие не может быть расширено за пределы его общего значения, и исходит из того, что “научные исследования” в этом контексте означают исследовательский проект, созданный в соответствии с соответствующими отраслевыми методологическими и этическими стандартами в соответствии с передовой практикой.

152. When consent is the legal basis for conducting research in accordance with the GDPR, this consent for the use of personal data should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation. An example of such a procedural obligation, where the processing is based not on consent but on another legal basis, is to be found in the Clinical Trials Regulation. In the context of data protection law, the latter form of consent could be considered as an additional safeguard.[68] At the same time, the GDPR does not restrict the application of Article 6 to consent alone, with regard to processing data for research purposes. As long as appropriate safeguards are in place, such as the requirements under Article 89(1), and the processing is fair, lawful, transparent and accords with data minimisation standards and individual rights, other lawful bases such as Article 6(1)(e) or (f) may be available.[69] This also applies to special categories of data pursuant to the derogation of Article 9(2)(j).[70]

152. Когда согласие является правовым основанием для проведения исследований в соответствии с GDPR, это согласие на использование персональных данных следует отличать от других требований о согласии, которые служат этическим стандартом или процессуальным обязательством. Пример такого процессуального обязательства, когда обработка основана не на согласии, а на другом правовом основании, можно найти в Регламенте о клинических испытаниях (Clinical Trials Regulation). В контексте законодательства о защите данных, последняя форма согласия может рассматриваться как дополнительная гарантия.[68] В то же время GDPR не ограничивает применение статьи 6 только согласием в отношении обработки данных в исследовательских целях. Пока имеются соответствующие гарантии, такие как требования согласно статье 89 (1), и пока обработка является справедливой, законной, прозрачной и соответствует стандартам минимизации данных и индивидуальным правам, могут быть доступны и другие законные основания, таким как статья 6 (1) ( е) или (f).[69] Это также относится к специальным категориям данных в соответствии с исключением из статьи 9 (2) (j).[70]

_{[68] See also Recital 161 of the GDPR.}

_{[68] См. также преамбулу 161 GDPR.}

_{[69] Article 6(1)(c) may also be applicable for parts of the processing operations specifically required by law, such as gathering reliable and robust data following the protocol as approved by the Member State under the Clinical Trial Regulation.}

_{[69] Статья 6 (1) (с) может также применяться к отдельным элементам операций по обработке, которые конкретно требуются по закону, например, для сбора достоверных и надежных данных в соответствии с протоколом, утвержденным государством-членом в соответствии с Регламентом о клинических испытаний.}

_{[70] Specific testing of medicinal products may take place on the basis of an EU or national law pursuant to Article 9(2)(i).}

_{[70] Специальное тестирование лекарственных средств может проводиться на основании законодательства ЕС или национального законодательства в соответствии со статьей 9 (2) (i).}

153. Recital 33 seems to bring some flexibility to the degree of specification and granularity of consent in the context of scientific research. Recital 33 states: “It is often not possible to fully identify the purpose of personal data processing for scientific research purposes at the time of data collection. Therefore, data subjects should be allowed to give their consent to certain areas of scientific research when in keeping with recognised ethical standards for scientific research. Data subjects should have the opportunity to give their consent only to certain areas of research or parts of research projects to the extent allowed by the intended purpose.”

153. Преамбула 33, как можно заметить, обеспечивает своеобразную гибкость в конкретизации и детализации согласия в контексте научного исследования. Преамбула 33 гласит: “Зачастую невозможно в полной мере определить цель обработки персональных данных, предназначенных для научных исследований в момент сбора данных. Поэтому субъектам данных должна предоставляться возможность дать своё согласие для отдельных сфер научных исследований, исходя из соответствия их целей признанным этическим стандартам научных исследований. Субъекты данных должны иметь возможность давать своё согласие только в отношении отдельных сфер исследований или части научно-исследовательских проектов в соответствии с поставленной целью.”

154. First, it should be noted that Recital 33 does not disapply the obligations with regard to the requirement of specific consent. This means that, in principle, scientific research projects can only include personal data on the basis of consent if they have a well-described purpose. For the cases where purposes for data processing within a scientific research project cannot be specified at the outset, Recital 33 allows as an exception that the purpose may be described at a more general level.

154. Во-первых, следует отметить, что преамбула 33 не нарушает обязательства в отношении требования конкретного согласия. Это означает, что научно-исследовательские проекты могут включать персональные данные только на основании согласия, если они имеют четко описанную цель. Для случаев, когда цели обработки данных в рамках проекта научных исследований не могут быть определены с самого начала, преамбула 33 допускает в качестве исключения, что цель может быть описана в более общих чертах.

155. Considering the strict conditions stated by Article 9 GDPR regarding the processing of special categories of data, the EDPB notes that when special categories of data are processed on the basis of explicit consent, applying the flexible approach of Recital 33 will be subject to a stricter interpretation and requires a high degree of scrutiny.

155. Учитывая строгие условия, установленные статьей 9 GDPR в отношении обработки специальных категорий данных, EDPB отмечает, что, когда специальные категории данных обрабатываются на основе явного согласия, применение гибкого подхода преамбулы 33 будет подвергаться более строгой интерпретации и будет требовать высокой степени проверки.

156. When regarded as a whole, the GDPR cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes for which consent of the data subject is asked.

156. В целом, GDPR нельзя толковать как документ, позволяющий контроллеру обойти ключевой принцип определения целей, для которых запрашивается согласие субъекта данных.

157. When research purposes cannot be fully specified, a controller must seek other ways to ensure the essence of the consent requirements are served best, for example, to allow data subjects to consent for a research purpose in more general terms and for specific stages of a research project that are already known to take place at the outset. As the research advances, consent for subsequent steps in the project can be obtained before that next stage begins. Yet, such a consent should still be in line with the applicable ethical standards for scientific research.

157. В тех случаях, когда цели исследования не могут быть полностью определены, контролер должен искать другие способы обеспечения наилучшего выполнения требований о согласии, например, чтобы субъекты данных могли дать согласие на исследовательскую цель в более общих чертах и на конкретные этапы исследовательского проекта, которые уже известны с самого начала. По мере продвижения исследований, согласие на последующие этапы в проекте может быть получено до начала следующего этапа. Тем не менее, такое согласие должно по-прежнему соответствовать применимым этическим стандартам для научных исследований.

158. Moreover, the controller may apply further safeguards in such cases. Article 89(1), for example, highlights the need for safeguards in data processing activities for scientific or historical or statistical purposes. These purposes “shall be subject to appropriate safeguards, in accordance with this regulation, for the rights and freedoms of data subject.” Data minimization, anonymisation and data security are mentioned as possible safeguards.[71] Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data.

158. Кроме того, контроллер может применять дополнительные меры безопасности в таких случаях. Например, в статье 89 (1) подчеркивается необходимость гарантий при обработке для целей научного или исторического исследования или в статистических целях. Эти цели: “подлежит соответствующим гарантиям, согласно настоящему Регламенту, в отношении прав и свобод субъекта данных.” В качестве возможных гарантий упоминаются минимизация данных, анонимизация и защита данных.[71] Анонимизация является предпочтительным решением, как только цель исследования может быть достигнута без обработки персональных данных. Как только цель исследования может быть достигнута без обработки персональных данных, предпочтительным решением является анонимизация.

_{[71] See for example Recital 156. The processing of personal data for scientific purposes should also comply with other relevant legislation such as on clinical trials, see Recital 156, mentioning Regulation (EU) No 536/2014 of the European Parliament and of the Council of 16 April 2014 on clinical trials on medicinal products for human use. See also WP29 Opinion 15/2011 on the definition of consent (WP 187), p. 7: “Moreover, obtaining consent does not negate the controller’s obligations under Article 6 with regard to fairness, necessity and proportionality, as well as data quality. For instance, even if the processing of personal data is based on the consent of the user, this would not legitimise the collection of data which is excessive in relation to a particular purpose.” […] As a principle, consent should not be seen as an exemption from the other data protection principles, but as a safeguard. It is primarily a ground for lawfulness, and it does not waive the application of other principles.”}

_{[71] См., например, преамбулу 156. Обработка персональных данных в научных целях должна также соответствовать другим соответствующим законам, таким как клинические испытания, см. преамбулу 156, в котором упоминается Регламент (ЕС) № 536/2014 Европейского парламента и Совета от 16 апреля 2014 года о клинических испытаниях лекарственных средств, предназначенных для использования человеком. См. также Мнение РГ29 от 15/2011 о понятии согласия (РГ 187), стр.7: “Более того, получение согласия также не отменяет и никоим образом не уменьшает обязанности контролера соблюдать принципы обработки, закрепленные в GDPR, особенно в статье 6, по вопросам справедливости, необходимости и соразмерности, а также качества данных. Даже если обработка персональных данных основана на согласии субъекта, это приведет к незаконному сбору данных, если предоставление согласия не является необходимым по отношению к определенной цели обработки/ […] В принципе, согласие должно рассматриваться не как исключение из других принципов защиты данных, а как гарантия. Это прежде всего основание для законности, и оно не исключает применения других принципов.”}

159. Transparency is an additional safeguard when the circumstances of the research do not allow for a specific consent. A lack of purpose specification may be offset by information on the development of the purpose being provided regularly by controllers as the research project progresses so that, over time, the consent will be as specific as possible. When doing so, the data subject has at least a basic understanding of the state of play, allowing him/her to assess whether or not to use, for example, the right to withdraw consent pursuant to Article 7(3).[72]

159. Прозрачность является дополнительной гарантией, когда обстоятельства исследования не позволяют получить конкретное согласие. Отсутствие конкретизации цели может быть компенсировано информацией о разработке цели, которая регулярно предоставляется контролерами в ходе выполнения исследовательского проекта, так что со временем согласие будет настолько конкретным, насколько это возможно. При этом субъект данных имеет, по крайней мере, базовое представление о состоянии исполнения, позволяющее ему оценить, следует ли использовать, например, право отозвать согласие в соответствии со статьей 7(3).[72]

_{[72] Other transparency measures may also be relevant. When controllers engage in data processing for scientific purposes, while full information cannot be provided at the outset, they could designate a specific contact person for data subjects to address with questions.}

_{[72] Другие меры прозрачности также могут иметь значение. Когда контролеры занимаются обработкой данных в научных целях, хотя полная информация не может быть предоставлена с самого начала, они могут назначить конкретное контактное лицо для субъектов данных для решения вопросов.}

160. Also, having a comprehensive research plan available for data subjects to take note of, before they consent could help to compensate a lack of purpose specification.[73] This research plan should specify the research questions and working methods envisaged as clearly as possible. The research plan could also contribute to compliance with Article 7(1), as controllers need to show what information was available to data subjects at the time of consent in order to be able to demonstrate that consent is valid.

160. Кроме того, комплексный план исследований доступен для субъектов данных, чтобы они могли с ним ознакомиться, прежде чем дать согласие. Данная возможность может компенсировать отсутствие конкретизации цели.[73] В этом плане исследований должны быть указаны вопросы исследования и методы работы, изложенные как можно более четко. План исследований также может способствовать соблюдению Статьи 7(1), поскольку контролерам необходимо показать, какая информация была доступна субъектам данных на момент получения согласия, чтобы иметь возможность продемонстрировать, что согласие является действительным.

_{[73] Such a possibility can be found in Article 14(1) of the current Personal Data Act of Finland (Henkilötietolaki, 523/1999)}

_{[73] Такую возможность можно найти в статье 14 (1) действующего Закона о персональных данных Финляндии (Henkilötietolaki, 523/1999).}

161. It is important to recall that where consent is being used as the lawful basis for processing there must be a possibility for a data subject to withdraw that consent. The EDPB notes that withdrawal of consent could undermine types scientific research that require data that can be linked to individuals, however the GDPR is clear that consent can be withdrawn and controllers must act upon this – there is no exemption to this requirement for scientific research. If a controller receives a withdrawal request, it must in principle delete the personal data straight away if it wishes to continue to use the data for the purposes of the research.[74]

161. Важно отметить, что, если согласие используется в качестве правового основания для обработки, у субъекта данных должна быть возможность отозвать это согласие. EDPB отмечает, что отзыв согласия может нанести ущерб видам научных исследований, которые требуют данных, которые могут быть связаны с определенными лицами, однако GDPR устанавливает, что согласие может быть отозвано, и контролеры должны действовать в соответствии с этим – нет никаких исключений из этого требования для научных исследований. Если контролер получает запрос на отзыв согласия, он, в принципе, должен немедленно удалить персональные данные, несмотря на то, что он хочет продолжать использовать эти данные для целей исследования.[74]

_{[74] See also WP29 Opinion 05/2014 on “Anonymisation Techniques” (WP216).}

_{[74] См. также Мнение РГ29 от 05/2014 “Методы анонимизации” (РГ 216).}

7.3 Data subject’s rights

7.3 Права субъекта данных

162. If a data processing activity is based on a data subject’s consent, this will affect that individual’s rights. Data subjects may have the right to data portability (Article 20) when processing is based on consent. At the same time, the right to object (Article 21) does not apply when processing is based on consent, although the right to withdraw consent at any time may provide a similar outcome.

162. Если деятельность по обработке данных основана на согласии субъекта данных, это значительно повлияет на его права. Субъекты данных могут иметь право на переносимость данных (статья 20), если обработка основана на согласии. В то же время, право на возражение (статья 21) не применяется, когда обработка основана на согласии, хотя право отозвать согласие в любое время может обеспечить аналогичный результат.

163. Articles 16 to 20 of the GDPR indicate that (when data processing is based on consent), data subjects have the right to erasure when consent has been withdrawn and the rights to restriction, rectification and access.[75]

163. Статьи с 16 по 20 GDPR указывают, что (когда обработка данных основана на согласии), субъекты данных имеют право на удаление, когда согласие было отозвано, и также право на ограничение, уточнение и доступ.[75]

_{[75] In cases where certain data processing activities are restricted in accordance with Article 18, GDPR, consent of the data subject may be needed to lift restrictions.}

_{[75] В тех случаях, когда определенные виды деятельности по обработке данных ограничены в соответствии со статьей 18 GDPR, для снятия ограничений может потребоваться согласие субъекта данных.}

8. CONSENT OBTAINED UNDER DIRECTIVE 95/46/EC

8. СОГЛАСИЕ ПОЛУЧЕННОЕ В СООТВЕТСТВИИ С ДИРЕКТИВОЙ 95/46/ЕС

164. Controllers that currently process data on the basis of consent in compliance with national data protection law are not automatically required to completely refresh all existing consent relations with data subjects in preparation for the GDPR. Consent which has been obtained to date continues to be valid in so far as it is in line with the conditions laid down in the GDPR.

164. Контролерам, которые в настоящее время обрабатывают данные на основании согласия в соответствии с законодательством о защите данных, не требуется автоматически обновлять все существующие отношения согласия с субъектами данных при подготовке к соответствию GDPR. Согласие, полученное до настоящего времени, остается в силе, поскольку оно соответствует условиям, изложенным в GDPR.

165. It is important for controllers to review current work processes and records in detail, before 25 May 2018, to be sure existing consents meet the GDPR standard (see Recital 171 of the GDPR [76]). In practice, the GDPR raises the bar with regard to implementing consent mechanisms and introduces several new requirements that require controllers to alter consent mechanisms, rather than rewriting privacy policies alone.[77]

165. Важно, чтобы контролеры детально изучили текущие обработки и записи до 25 мая 2018 года, чтобы убедиться, что существующие соглашения соответствуют стандарту GDPR (см. преамбулу 171 GDPR [76]). На практике GDPR поднимает планку в отношении внедрения механизмов согласия и вводит несколько новых требований, которые требуют от контроллеров изменять механизмы согласия, а не всего лишь переписывать политику приватности.[77]

_{[76] Recital 171 GDPR states: “Directive 95/46/EC should be repealed by this Regulation. Processing already under way on the date of application of this Regulation should be brought into conformity with this Regulation within the period of two years after which this Regulation enters into force. Where processing is based on consent pursuant to Directive 95/46/EC, it is not necessary for the data subject to give his or her consent again if the manner in which the consent has been given is in line with the conditions of this Regulation, so as to allow the controller to continue such processing after the date of application of this Regulation. Commission decisions adopted and authorisations by supervisory authorities based on Directive 95/46/EC remain in force until amended, replaced or repealed.”}

_{[76] Преамбула 171 GDPR гласит: “Директива 95/46/ЕС заменяется настоящим Регламентом. Обработка, уже осуществляемая на момент принятия настоящего Регламента, должна быть приведена в соответствии с Регламентом в течение двух лет после его вступления в силу. Если обработка основана на согласии в соответствии с Директивой 95/46/ЕС, субъекту данных необязательно давать свое согласие снова, если способ, которым было получено согласие, соответствует условиям настоящего Регламента, что позволяет контролёру продолжить указанную обработку после даты принятия настоящего Регламента. Решения Европейской Комиссии и разрешения надзорных органов, принятые на основе Директивы 95/46/ЕС, сохраняют свою силу до тех пор, пока они не будут изменены, заменены или отменены.”}

_{[77] As indicated in the introduction, the GDPR provides further clarification and specification of the requirements for obtaining and demonstrating valid consent. Many of the new requirements build upon Opinion 15/2011 on consent.}

_{[77] Как указано во введении, GDPR обеспечивает дальнейшее уточнение и конкретизацию требований для получения и демонстрации действительного согласия. Многие новые требования основаны на Мнении 15/2011 о понятии согласия.}

166. For example, as the GDPR requires that a controller must be able to demonstrate that valid consent was obtained, all presumed consents of which no references are kept will automatically be below the consent standard of the GDPR and will need to be renewed. Likewise as the GDPR requires a “statement or a clear affirmative action”, all presumed consents that were based on a more implied form of action by the data subject (e.g. a pre-ticked opt-in box) will also not be apt to the GDPR standard of consent.

166. Например, поскольку GDPR требует, чтобы контролер был в состоянии продемонстрировать, что было получено действительное согласие, все предполагаемые согласия, ссылки на которые не сохраняются, автоматически будут ниже стандарта согласия GDPR и должны будут быть обновлены. Точно так же, как GDPR требует “заявления или четкого активного действия”, все предполагаемые согласия, которые были основаны на “подразумеваемой форме” действий субъекта данных (например, предварительно отмеченный флажок согласия), также не будут соответствовать стандарту согласия GDPR.

167. Furthermore, to be able to demonstrate that consent was obtained or to allow for more granular indications of the data subject’s wishes, operations and IT systems may need revision. Also, mechanisms for data subjects to withdraw their consent easily must be available and information about how to withdraw consent must be provided. If existing procedures for obtaining and managing consent do not meet the GDPR’s standards, controllers will need to obtain fresh GDPR-compliant consent.

167. Кроме того , чтобы иметь возможность продемонстрировать, что согласие было получено, или обеспечить более детальную информацию о пожеланиях субъекта данных, операциям и ИТ-системам может потребоваться пересмотр. Кроме того, должны быть доступны механизмы, позволяющие субъектам данных легко отозвать свое согласие и предоставить информацию о том, как отозвать согласие. Если существующие процедуры получения и управления согласием не соответствуют стандартам GDPR, контролерам потребуется получить новое согласие в соответствии с GDPR.

168. On the other hand, as not all elements named in Articles 13 and 14 must always be present as a condition for informed consent, the extended information obligations under the GDPR do not necessarily oppose the continuity of consent which has been granted before the GDPR enters into force (see page 15 above). Under Directive 95/46/EC, there was no requirement to inform data subjects of the basis upon which the processing was being conducted.

168. С другой стороны, поскольку не все элементы, названные в статьях 13 и 14, должны всегда присутствовать в качестве условия для информированного согласия, расширенные информационные обязательства в рамках GDPR не всегда противоречат преемственности согласия, которое было предоставлено до вступления в силу GDPR. (см. стр. 15 выше). В соответствии с Директивой 95/46/EC отсутствовало требования информировать субъектов данных об основании, на котором проводилась обработка.

169. If a controller finds that the consent previously obtained under the old legislation will not meet the standard of GDPR consent, then controllers must undertake action to comply with these standards, for example by refreshing consent in a GDPR-compliant way. Under the GDPR, it is not possible to swap between one lawful basis and another. If a controller is unable to renew consent in a compliant way and is also unable –as a one off situation- to make the transition to GDPR compliance by basing data processing on a different lawful basis while ensuring that continued processing is fair and accounted for, the processing activities must be stopped. In any event the controller needs to observe the principles of lawful, fair and transparent processing.

169. Если контролер обнаружит, что согласие, ранее полученное в соответствии со старым законодательством, не будет соответствовать стандарту согласия GDPR, тогда контролеры должны предпринять действия для соблюдения этих стандартов, например, путем обновления согласия в соответствии с GDPR. В рамках GDPR невозможно переключаться с одного правового основания на другой. Если контролер не может обновить согласие соответствующим образом, а также не может – в качестве разовой ситуации – привести свою деятельность в соответствии с GDPR, основывая обработку данных на другом законном основании, и при этом обеспечивая непрерывную и справедливую обработку, операции все равно должны быть остановлены. В любом случае контролеру необходимо соблюдать принципы законной, справедливой и прозрачной обработки.