Навигация
GDPR > Статья 24. Предмет и задачи
Скачать в PDF

Статья 24 GDPR. Предмет и задачи

Article 24 GDPR. Subject-matter and objectives

1. Принимая во внимание характер, масштабы, контекст и цели обработки, а также риски, связанные с той или иной вероятностью и серьезностью нарушения прав и свобод физических лиц, контролёр принимает соответствующие технические и организационные меры для того, чтобы обеспечить и быть в состоянии продемонстрировать, что обработка выполняется в соответствии с настоящим Регламентом. При необходимости эти меры пересматриваются и обновляются.

1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 24(1) GDPR:

7.2.8 Записи, связанные с обработкой ПИИ

Средство управления

Организация должна определить и надежно вести необходимые записи в поддержку своих обязательств по обработке ПИИ.

Руководство по внедрению

Способ ведения записей обработки ПИИ состоит в том, чтобы иметь перечень или список действий по обработке ПИИ, которые выполняет организация. Такой перечень может включать в себя:


для доступа к полному тексту

Связанные статьи

2. В тех случаях, когда они пропорциональны процессам обработки, меры, упомянутые в параграфе 1, включают в себя осуществление контролёрами соответствующих политик защиты данных.

2. Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 24(2) GDPR:

6.2.1.1 Политики информационной безопасности

Руководство по внедрению

Либо путем разработки отдельных политик конфиденциальности, либо путем усиления политик информационной безопасности, организация должна подготовить заявление, касающееся поддержки и приверженности достижению соответствия применимому законодательству и / или нормативам в области защиты ПИИ и договорным условиям, согласованным между организацией. и его партнеры, субподрядчики и соответствующие третьи стороны (клиенты, поставщики и т. д.), которые должны четко распределять обязанности между ними.


для доступа к полному тексту

3. Соблюдение утвержденных кодексов поведения, упомянутых в статье 40 или утвержденных механизмов сертификации, упомянутых в статье 42, может использоваться в качестве элемента для демонстрации соблюдения обязанностей контролёра.

3. Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 24(3) GDPR:

5.2.1 Понимание организации и ее контекста

Организация включает в число своих заинтересованных сторон (см. ISO/IEC 27001:2013, 4.2) те стороны, которые имеют интересы или обязанности, связанные с обработкой ПИИ, включая субъектов ПИИ.


для доступа к полному тексту

Связанные статьи
Комментарий эксперта Преамбулы Руководство и прецедентное право Оставить комментарий
Комментарий эксперта

(EN) A controller is a person or an organization that determines the personal data to process and the purposes and means of the processing (Article 4(7)). The definition rightly points to the decision-making capacity of the entity that “decides why and how data will be processed” (ULD Schleswig-Holstein/Wirtschaftsakademie, Opinion of Advocate General).


для доступа к полному тексту

Автор
Louis-Philippe Gratton
Луи-Филипп Граттон PhD, LLM
Эксперт в Privacy
Преамбулы

(74) Должна быть установлена юридическая и материальная ответственность контролёра за обработку персональных данных, выполняемую контролёром или от его имени. В частности, контролёр должен быть обязан внедрять оптимальные и эффективные меры и быть способным продемонстрировать соответствие деятельности по обработке данных Регламенту, в том числе, соответствие степени эффективности этих мер. Меры должны учитывать характер, масштаб, контекст и цели обработки, а также риск для прав и свобод физических лиц.

(74) The responsibility and liability of the controller for any processing of personal data carried out by the controller or on the controller's behalf should be established. In particular, the controller should be obliged to implement appropriate and effective measures and be able to demonstrate the compliance of processing activities with this Regulation, including the effectiveness of the measures. Those measures should take into account the nature, scope, context and purposes of the processing and the risk to the rights and freedoms of natural persons.

(75) Риск для прав и свобод физических лиц разной степени вероятности и серьезности может возникать в результате обработки персональных данных, которая может привести к физическому, материальному или нематериальному ущербу, в частности, в случаях, когда обработка может вызвать дискриминацию, кражу личности или ее мошенническое использование, финансовые потери, ущерб для репутации, нарушение конфиденциальности персональных данных, находящихся под защитой профессиональной тайны, несанкционированную отмену псевдонимизации, или создать другие значительные экономические или социальные проблемы; в случаях, когда субъекты данных могут быть лишены своих прав и свобод или возможности осуществлять контроль над своими персональными данными; в случаях, когда обрабатываются персональные данные, которые раскрывают расовое или этническое происхождение, политические убеждения, религиозные и философские воззрения, членство в профессиональных союзах, а также когда обрабатываются генетические данные, данные, касающиеся здоровья, данные о сексуальной жизни, уголовных судимостях и правонарушениях или о связанных с ними мерах безопасности; в случаях, когда оцениваются персональные аспекты, в частности, анализируются или прогнозируются аспекты, касающихся трудовых показателей, экономической ситуации, здоровья, личных предпочтений, интересов, благонадёжности, поведения, местонахождения или передвижения, в целях создания или использования персональных профилей; в случаях, когда обрабатываются персональные данные слабозащищённых физических лиц, в частности, детей; или в случаях, когда обработка охватывает большое количество персональных данных и затрагивает большое количество субъектов данных.

(75) The risk to the rights and freedoms of natural persons, of varying likelihood and severity, may result from personal data processing which could lead to physical, material or non-material damage, in particular: where the processing may give rise to discrimination, identity theft or fraud, financial loss, damage to the reputation, loss of confidentiality of personal data protected by professional secrecy, unauthorised reversal of pseudonymisation, or any other significant economic or social disadvantage; where data subjects might be deprived of their rights and freedoms or prevented from exercising control over their personal data; where personal data are processed which reveal racial or ethnic origin, political opinions, religion or philosophical beliefs, trade union membership, and the processing of genetic data, data concerning health or data concerning sex life or criminal convictions and offences or related security measures; where personal aspects are evaluated, in particular analysing or predicting aspects concerning performance at work, economic situation, health, personal preferences or interests, reliability or behaviour, location or movements, in order to create or use personal profiles; where personal data of vulnerable natural persons, in particular of children, are processed; or where processing involves a large amount of personal data and affects a large number of data subjects.

(76) Вероятность и серьёзность риска для прав и свобод субъекта данных должны определяться с учётом характера, масштаба, контекста и целей обработки. Риск должен определяться на основе объективной оценки, посредством которой устанавливается, связана ли обработка данных с риском или высоким риском.

(76) The likelihood and severity of the risk to the rights and freedoms of the data subject should be determined by reference to the nature, scope, context and purposes of the processing. Risk should be evaluated on the basis of an objective assessment, by which it is established whether data processing operations involve a risk or a high risk.

(77) Рекомендации по внедрению необходимых мер и по демонстрации соответствия контролёром или процессором, особенно в отношении идентификации риска, связанного с обработкой, их оценки с точки зрения происхождения, характера, вероятности, серьезности и определения оптимальных методов минимизации риска, могут быть представлены, в частности, в форме утверждённых кодексов поведения, утверждённых сертификатов, инструкций Совета или указаний инспектора по защите персональных данных. Совет может также издавать инструкции по операциям обработки, которые, как считается, вряд ли могут привести к высокому риску для прав и свобод физических лиц, а также может указать, какие меры могут быть достаточными в этих случаях для реагирования на такой риск.

(77) Guidance on the implementation of appropriate measures and on the demonstration of compliance by the controller or the processor, especially as regards the identification of the risk related to the processing, their assessment in terms of origin, nature, likelihood and severity, and the identification of best practices to mitigate the risk, could be provided in particular by means of approved codes of conduct, approved certifications, guidelines provided by the Board or indications provided by a data protection officer. The Board may also issue guidelines on processing operations that are considered to be unlikely to result in a high risk to the rights and freedoms of natural persons and indicate what measures may be sufficient in such cases to address such risk.

(83) Чтобы обеспечить безопасность и предотвратить обработку в нарушение настоящего Регламента, контролёр или процессор должны оценить риски, присущие обработке, и внедрить меры по минимизации этих рисков, например, шифрование. Эти меры должны обеспечить оптимальный уровень защиты, в том числе конфиденциальности, принимая во внимание текущий уровень научно-технического прогресса и затраты на внедрение в зависимости от рисков, а также характера подлежащих защите персональных данных. При оценке риска, связанного с нарушением защиты данных, необходимо уделить внимание рискам, имеющим место при обработке персональных данных, таким как случайное или незаконное уничтожение, потеря, изменение, несанкционированное раскрытие или несанкционированный доступ к передающимся, хранящимся или иным образом обрабатываемым данным, которые могут привести к физическому, материальному или нематериальному ущербу.

(83) In order to maintain security and to prevent processing in infringement of this Regulation, the controller or processor should evaluate the risks inherent in the processing and implement measures to mitigate those risks, such as encryption. Those measures should ensure an appropriate level of security, including confidentiality, taking into account the state of the art and the costs of implementation in relation to the risks and the nature of the personal data to be protected. In assessing data security risk, consideration should be given to the risks that are presented by personal data processing, such as accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed which may in particular lead to physical, material or non-material damage.

Руководство и прецедентное право Оставить комментарий
[js-disqus]