Article 58 📖 GDPR. Powers

Статья 58 GDPR. Полномочия

1. Каждый надзорный орган должен располагать следующими полномочиями по расследованию:

(a) требовать от контролёра и процессора и, где это применимо, от представителя контролёра или процессора предоставления любой информации, необходимой ему для выполнения его задач;

(b) проводить расследования в форме аудитов защиты данных;

(c) проводить ревизию сертификатов, выданных согласно Статье 42(7);

Статья 42 GDPR. Сертификация

[…]

7. Сертификация предоставляется контролёру или процессору на срок не более трех лет и может быть продлена на тех же самых условиях в случае, если соответствующие требования продолжают соблюдаться. Сертификация должна быть отозвана органами по сертификации, указанными в Статье 43, или компетентным надзорным органом, если требования для сертификации больше не соблюдаются или больше не выполняются.

[…]

(d) уведомить контролёра или процессора о предполагаемом нарушении настоящего Регламента;

(e) получить от контролёра или процессора доступ ко всем персональным данным и всей информации, необходимой ему для выполнения его задач;

(f) получить доступ к любым помещениям контролёра или процессора, а также к оборудованию и средствам для обработки данных в соответствии с процессуальным законодательством Евросоюза или государства-члена ЕС.

2. Каждый надзорный орган должен располагать следующими корректирующими полномочиями:

(a) выдавать предупреждения контролёру или процессору о том, что запланированная обработка данных может нарушать положения настоящего Регламента;

(b) делать предупреждения контролёру или процессору, если обработка данных нарушила положения настоящего Регламента;

(c) потребовать от контролёра или процессора удовлетворения запроса субъекта данных относительно осуществления его прав согласно настоящему Регламенту;

(d) потребовать, при необходимости, от контролёра или процессора приведения процесса обработки данных в соответствие с положениями настоящего Регламента в установленном порядке и в установленный срок;

(e) потребовать, чтобы контролёр сообщил субъекту данных о нарушении безопасности персональных данных;

(f) наложить временное или окончательное ограничение на обработку данных, включая запрет обработки;

(g) потребовать исправления или уничтожения персональных данных, или ограничения обработки согласно Статьям 16, 17 и 18, а также уведомления об указанных действиях получателей, которым были раскрыты персональные данные согласно Статье 17(2) и Статье 19;

Статья 16 GDPR. Право на уточнение данных

Субъект данных имеет право потребовать от контролёра без неоправданной задержки исправить свои неточные персональные данные. Принимая во внимание цели обработки субъект персональных данных имеет право на внесение дополнений в неполное персональные данных, в том числе путем представления дополнительного заявления.

Статья 17 GDPR. Право на удаление данных ("право быть забытым")

[…]

2. Если контролёр обнародовал персональные данные и он согласно параграфу 1 обязан удалить персональные данные, контролёр, принимая во внимание имеющихся технологические возможности и расходы на внедрение должен принять разумные меры, в том числе технические меры, чтобы проинформировать контролёров, которые обрабатывают персональные данные, о том, что субъект данных затребовал от них удаление любых ссылок, копий или точных повторений указанных персональных данных.

[…]

Статья 18 GDPR. Право на ограничение обработки

Статья 19 GDPR. Обязанность уведомления относительно изменения или уничтожения персональных данных или ограничения обработки

Контролёр должен сообщить о любом исправлении или удалении персональных данных, либо ограничении обработки, осуществляемых в соответствии со Статьей 16, Статьей 17(1) и Статьей 18, каждому получателю, которому были раскрыты персональные данные, кроме случаев, когда это оказывается невозможным или требует несоразмерных усилий. Контролёр должен проинформировать субъекта данных об этих получателях, если субъект данных запросит его об этом.

(h) отозвать сертификат, или потребовать от сертификационного органа отзыва сертификата, предоставленного согласно Статьям 42 и 43, или потребовать, чтобы сертификационный орган не выдавал сертификат, если требования для сертификации не выполняются или больше не выполняются;

Статья 42 GDPR. Сертификация

Статья 43 GDPR. Органы по сертификации

(i) наложить административный штраф в соответствии со Статьей 83 в дополнение к мерам, указанным в этой части, или вместо них, в зависимости от обстоятельств каждого отдельного случая;

(j) потребовать приостановить передачу данных получателю в третьей стране или международной организации.

3. Каждый надзорный орган должен располагать следующими разрешительными и консультативными полномочиями:

(a) консультировать контролёра в соответствии с порядком предварительной консультации, предусмотренным Статьей 36;

Статья 36 GDPR. Предварительная консультация

(b) по собственной инициативе или по запросу выдавать национальному парламенту, правительству государства-члена ЕС или, в соответствии с законодательством государства-члена ЕС, другим институтам или органам, а также общественности заключения по любому вопросу, связанному с защитой персональных данных;

(c) разрешать обработку, указанную в Статье 36(5), если в соответствии с законодательством государства-члена ЕС требуется такое предварительное разрешение;

Статья 36 GDPR. Предварительная консультация

[…]

5. Независимо от параграфа 1 законодательство государства-члена ЕС может обязать контролёров проконсультироваться с надзорным органом, а также получить от него предварительное разрешение на обработку контролёром персональных данных для выполнения задачи в публичном интересе, в том числе при обработке в целях социальной защиты и общественного здравоохранения.

(d) выдавать заключение и утверждать проекты кодексов поведения согласно Статье 40(5);

Статья 40 GDPR. Кодексы поведения

[…]

5. Ассоциации и иные органы, указанные в параграфе 2 настоящей Статьи, которые намерены разработать кодекс поведения, изменить или дополнить существующий кодекс, должны представить проект кодекса, изменения или дополнения компетентному в соответствии со Статьей 55 надзорному органу. Надзорный орган должен предоставить заключение о том, соответствует ли проект кодекса, изменения или дополнения настоящему Регламенту, а также должен утвердить такой проект кодекса, его изменения или расширение, если посчитает, что это обеспечит достаточные надлежащие гарантии.

[…]

(e) аккредитовывать сертификационные органы согласно Статье 43;

Статья 43 GDPR. Органы по сертификации

(f) выдавать сертификаты и утверждать критерии сертификации в соответствии со Статьей 42(5);

Статья 42 GDPR. Сертификация

[…]

5. Сертификация согласно настоящей Статье должна осуществляться органами по сертификации, указанными в Статье 43, или компетентным надзорным органом на основе критериев, утвержденных этим компетентным надзорным органом согласно Статье 58(3) или Европейским советом по защите персональных данных согласно Статье 63. Если критерии утверждаются Европейским советом по защите персональных данных, это может привести к всеобщей сертификации, то есть к Европейскому знаку защиты персональных данных.

[…]

(g) принимать стандартные условия по защите данных, указанные в Статье 28(8) и в пункте (d) Статьи 46(2);

Статья 28 GDPR. Процессор

[…]

8. Надзорный орган может принять стандартные договорные условия, регулирующие вопросы, упомянутые в параграфах 3 и 4 настоящей статьи, в соответствии с процедурой согласования, указанной в статье 63.

[…]

Статья 46 GDPR. Передача данных при условии осуществления надлежащих гарантий

2. Надлежащие гарантии, указанные в параграфе 1, можно обеспечить (без необходимости получения специального разрешения от надзорного органа) с помощью:

(d) стандартных условий о защите данных, принятых надзорным органом и утвержденных Комиссией в соответствии с процедурой экспертизы, указанной в статье 93(2);

(h) утверждать договорные условия, указанные в пункте (a) Статьи 46(3);

Статья 46 GDPR. Передача данных при условии осуществления надлежащих гарантий

3. При условии разрешения компетентного надзорного органа, надлежащие гарантии, указанные в параграфе 1, также могут быть обеспечены, в частности, с помощью:

(a) договорных условий между контролёром или процессором и контролёром, процессором или получателем персональных данных в третьей стране или международной организации; или

(i) утверждать административные соглашения, указанные в пункте (b) Статьи 46(3);

Статья 46 GDPR. Передача данных при условии осуществления надлежащих гарантий

(b) положений, содержащихся в административных соглашениях между органами государственной власти или ведомствами, которые включают обладающие силой принудительного исполнения и эффективные права субъектов данных.

(j) утверждать обязательные корпоративные правила согласно Статье 47.

Статья 47 GDPR. Обязательные корпоративные правила

4. Полномочия, предоставленные надзорному органу согласно настоящей Статье, осуществляются при условии наличия соответствующих гарантий, том числе эффективных средств судебной защиты и надлежащих правовых процедур, установленных в законодательстве Евросоюза или государства-члена ЕС в соответствии с Хартией.

5. Каждое государство-член ЕС должно законодательно предусмотреть, что его надзорный орган вправе довести до сведения органов судебной власти факт нарушения настоящего Регламента и, в соответствующих случаях, вправе начать судебный процесс или иным образом участвовать в нем в целях обеспечения исполнения положений настоящего Регламента.

6. Каждое государство-член ЕС может законодательно предусмотреть, что его надзорный орган должен обладать полномочиями, дополнительными к полномочиям, указанным в параграфах 1, 2 и 3. Выполнение указанных полномочий не влияет на эффективное осуществление Главы VII.

Общий регламент защиты персональных данных (GDPR) Европейского союза

Перевод на русский язык выполнен одновременно с 4 официальных языков Евросоюза (английский, польский, французский и немецкий) коллективом профессионалов в области информационной приватности: С.Воронкевич, А.Богуславская, П.Лозовенко, И.Чернышева, С.Радыно, С.Головнева. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, FIP, MBA. Маппинг статей и преамбул сделан на основе публикации ICO – https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf
© Перевод на русский ООО “Дата Прайваси Офис”.

Recitals Guidelines & Case Law Leave a comment

Recitals

(129) Для того, чтобы обеспечить согласованный мониторинг и исполнение настоящего Регламента в Союзе, надзорный орган в каждом государстве-члене должен иметь одинаковые задачи и эффективные полномочия, в том числе полномочия по рассмотрению и устранению недостатков, наложению санкций, разрешительные и консультативные полномочия, в том числе, в случаях получения жалоб от физических лиц, и без ущерба полномочиям органов уголовного преследования, в соответствии с правом государства-члена полномочия по оповещению судебных органов о факте нарушения настоящего Регламента, а также полномочия по участию в судебном процессе. Эти полномочия также должны включать в себя полномочие по временному или окончательному ограничению обработки и ее запрету. Государства-члены могут определить иные задачи, связанные с защитой персональных данных в порядке, установленном настоящим Регламентом. Полномочия надзорных органов должны осуществляться беспристрастно, справедливо и в разумный срок в соответствии с процессуальными механизмами защиты, установленными в праве Союза или праве государства-члена. В частности, каждая мера должна быть конкретной, необходимой и соразмерной с точки зрения обеспечения соблюдения настоящего Регламента, учитывать обстоятельства каждого отдельного случая, уважать право каждого человека быть услышанным перед любыми индивидуальными мерами, которые могут повлиять на него/нее и не допускать излишних издержек и чрезмерных неудобств для соответствующих лиц. Следственные полномочия, такие как доступ к помещениям, должны осуществляться в соответствии с конкретными требованиями процессуального права государства-члена, например, требованием получить предварительное судебное разрешение. Каждая юридически обязывающая мера надзорного органа должна быть составлена в письменной форме, быть чёткой и однозначной, указывать на надзорный орган, который принял такую меру, дату принятия меры, иметь подпись руководителя или уполномоченного им члена надзорного органа, указание причин принятия этой меры, а также содержать ссылки на право выбора средств правовой защиты. Это не должно исключать дополнительных требований в соответствии с процессуальным правом государства-члена. Принятие юридически обязывающего решения подразумевает, что оно может привести к судебному пересмотру в государстве-члене надзорного органа, принявшего решение.

Guidelines & Case Law

Case law

CJEU, Data Protection Commissioner/Facebook Ireland Ltd and Schrems, C-311/18 (2020).