(1) Защита физических лиц в отношении обработки персональных данных является фундаментальным правом. Статья 8(1) Хартии Европейского союза по правам человека (далее – Хартия) и статья 16(1) Договора о функционировании Европейского союза (далее – TFEU) предусматривают, что каждый имеет право на защиту своих персональных данных.

(2) Принципы и правила защиты физических лиц в отношении обработки их персональных данных должны, независимо от гражданства или места жительства лиц, уважать их фундаментальные права и свободы, в частности их право на защиту персональных данных. Настоящий Регламент призван содействовать формированию свободного, безопасного, справедливого пространства, а также общего экономического пространства; содействовать созданию единого экономического пространства, а также экономическому и социальному развитию, укреплению и сближению экономик на внутреннем рынке, содействовать благосостоянию физических лиц.

(3) Директива 95/46/ЕС Европейского Парламента и Совета [4] направлена на гармонизацию защиты основных прав и свобод физических лиц в отношении обработки персональных данных и обеспечение свободного движения персональных данных между государствами-членами.

_{[4] Директива 95/46/EC Европейского Парламента и Совета ЕС от 24 октября 1995 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (Официальный журнал Европейского союза N L 281, 23.11.1995, стр. 31). https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=OJ:L:1995:281:TOC}

(4) Обработка персональных данных должна быть организована таким образом, чтобы служить человечеству. Право на защиту персональных данных не является абсолютным; оно должно рассматриваться исходя из своих функции в обществе и должно быть уравновешено с другими основными правами в соответствии с принципом пропорциональности. Настоящий Регламент исходит из соблюдения всех основных прав, свобод и принципов, закреплённых в Хартии и предусмотренных в договорах, в том числе, уважение частной и семейной жизни, неприкосновенности жилища и тайны переписки, защиты персональных данных, свободы мысли, совести и вероисповедания, свободы мнений и выражений, свободы предпринимательской деятельности, права на возмещение вреда и справедливое судебное разбирательство, а также на культурное, религиозное и языковое разнообразие.

(5) Экономическая и социальная интеграция, обусловленная функционированием внутреннего рынка, привела к существенному росту трансграничных потоков персональных данных. Увеличился обмен персональными данными между государственными и частными структурами, включая физических лиц, организации и предприятия в рамках Союза. Национальные органы государств-членов, в соответствии с правом Союза, призваны сотрудничать и обмениваться персональными данными, чтобы иметь возможность выполнять свои обязательства или решать задачи от имени уполномоченного органа в другом государстве-члене.

(6) Стремительные технологические изменения и глобализация вызвали новые проблемы для защиты персональных данных. Масштаб сбора и обмена персональными данными значительно вырос. Благодаря технологиям как частные компании, так и государственные органы могут в беспрецедентных масштабах использовать персональные данные для осуществления своей деятельности. Физические лица все чаще делают свою персональную информацию доступной публично и глобально. Технологии изменили как экономику, так и общественную жизнь; они должны способствовать свободному движению персональных данных внутри Союза, а также их передаче третьим странам и международным организациям, одновременно они должны обеспечивать высокий уровень защиты персональных данных.

(7) Такие изменения требуют серьезной и более согласованной защиты персональных данных в рамках Союза, которые обеспечиваются строгими правоприменительными мерами, с учётом важности создания доверительной обстановки, позволяющей цифровой экономике развиваться на внутреннем рынке. Физические лица должны обладать контролем над своими персональными данными. Необходимо повысить уровень правовой и практической определенности для физических лиц, субъектов хозяйствования и государственных органов.

(8) В той мере, в которой настоящий Регламент позволяет уточнение или ограничение своих норм законодательством государства-члена, государства-члены могут (насколько это необходимо для обеспечения согласованности и для того, чтобы нормы национального права были понятны для лиц, в отношении которых применяются) инкорпорировать части настоящего Регламента в свое национальное законодательство.

(9) Цели и принципы Директивы 95/46/EC сохраняют свою силу, но они не предотвращают фрагментацию при осуществлении защиты данных в рамках Союза, правовую неопределённость или широко распространённое общественное мнение о том, что существуют значительные риски для защиты физических лиц, особенно в отношении их деятельности в интернете. Различия в уровне защиты прав и свобод физических лиц, в частности права на защиту персональных данных, в отношении обработки персональных данных в государствах-членах, могут препятствовать свободному движению персональных данных в границах Союза. Следовательно, такие различия могут препятствовать ведению экономической деятельности в рамках Союза, нарушать свободу конкуренции и препятствовать государственным органам в выполнении их обязанностей, предусмотренных правом Союза. Такая разница в уровнях защиты обусловлена существованием различий в имплементации Директивы 95/46/EC и ее применении.

(10) Для обеспечения согласованного и высокого уровня защиты физических лиц и устранения препятствий для движения потоков персональных данных в рамках Союза, уровень защиты прав и свобод физических лиц в отношении обработки таких данных должен быть одинаковым во всех государствах-членах. В масштабах всего Союза должно обеспечиваться последовательное и однородное применение норм о защите фундаментальных прав и свобод физических лиц в отношении обработки персональных данных. Что касается обработки персональных данных на предмет соответствия соблюдению обязанностей, предусмотренных законом, для выполнения задачи, осуществляемой в общественных интересах или при осуществлении официальных полномочий, возложенных на контролёра, государствам-членам необходимо разрешить утверждать или принимать национальные нормы для применения положений настоящего Регламента. В комплексе нормативных правовых актов общих норм и норм, действующих на одном уровне в сфере защиты данных, которые имплементируют Директиву 95/46/ЕС, в государствах-членах существует отдельное отраслевое законодательство в сферах, которые нуждаются в более конкретных нормах. Настоящий Регламент, в свою очередь, предоставляет возможность свободы действий государствам-членам принимать собственные правила, в том числе, и для обработки особых категорий персональных данных («чувствительные данные»). При этом настоящий Регламент не исключает право государства-члена, которое определяет обстоятельства для особых ситуаций обработки данных, включая определение более чётких условий, при которых такая обработка персональных данных будет правомерной.

(11) Эффективная защита персональных данных в масштабах Союза требует укрепить и детально изложить права субъектов данных, и обязанности тех лиц, кто осуществляет обработку персональных данных и принимает решения в ее отношении, а также имеет аналогичные полномочия по мониторингу и обеспечению соблюдения норм по защите персональных данных, и наложению соответствующих санкций за нарушения в государствах-членах.

(12) Статья 16(2) TFEU уполномочивает Европейский Парламент и Европейский Совет устанавливать правила, касающиеся защиты физических лиц в отношении обработки их персональных данных и правила, касающиеся свободного перемещения персональных данных.

(13) В целях обеспечения соответствующего уровня защиты физических лиц на территории Союза и предотвращения расхождений, затрудняющих свободное движение персональных данных в пределах внутреннего рынка, Регламент необходим для обеспечения правовой определённости и прозрачности для хозяйствующих субъектов, в том числе микро, малых и средних предприятий, для предоставления физическим лицам во всех государствах-членах одинакового уровня юридически закреплённых прав и обязанностей, а также функциональных обязанностей контролёров и процессоров; обеспечения соответствующего мониторинга обработки персональных данных и равнозначных санкций во всех государствах-членах, равно как и для обеспечения эффективного сотрудничества между надзорными органами различных государств-членов. Надлежащее функционирование внутреннего рынка требует, чтобы свободное движение персональных данных в пределах Евросоюза не ограничивалось или запрещалось по причинам, связанным с защитой физических лиц при обработке персональных данных. Для учёта конкретной ситуации на микро, малых и средних предприятиях, настоящий Регламент предусматривает изъятия в отношении ведения учёта для организаций с менее чем 250 сотрудников. Кроме того, учреждениям и органам Евросоюза, а также государствам-членам и их надзорным органам, рекомендуется учитывать конкретные потребности микро, малых и средних предприятий по применению настоящего Регламента. Понятие микро, малых и средних предприятий должно пониматься исходя из статьи 2 Приложения Рекомендации Комиссии 2003/361/ЕС [5].

_{[5] Рекомендация Европейской Комиссии от 6 мая 2003 г. относительно определения микропредприятий, малых и средних предприятий (C(2003) 1422) (Официальный журнал Европейского союза N L 124, 20.05.2003, стр. 36). https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=OJ:L:2003:124:TOC}