Навигация
GDPR > Стаття 27. Представники контролерів або операторів, які не мають осідків у Союзі
Скачать в PDF

Стаття 27 GDPR. Представники контролерів або операторів, які не мають осідків у Союзі

1. У разі застосування статті 3(2), контролер або оператор повинен призначити в письмовій формі представника в Союзі.

Связанные статьи

2. Обов’язок, установлений у параграфі 1 цієї статті, не застосовують до:

(a) опрацювання, яке призначено для окремого випадку, воно не передбачає, у великих обсягах, опрацювання спеціальних категорій даних, як вказано в статті 9(1), або опрацювання даних про судимості і кримінальні злочини, вказані в статті 10, та ймовірно не призведе до виникнення ризику для прав і свобод фізичних осіб, з огляду на специфіку, контекст, масштаб і цілі опрацювання; або

Связанные статьи

(b) органу чи установи публічної влади.

3. Представник має осідок в одній з держав-членів, де перебувають суб’єкти даних, чиї персональні дані опрацьовують у зв’язку з пропонуванням їм товарів чи послуг, або чию поведінку відстежують.

4. Представник отримує мандат від контролера або оператора, за яким до нього можуть звертатися окрім або замість контролера або оператора, зокрема, наглядові органи і суб’єкти даних, з усіх питань, пов’язаних з опрацюванням, з метою забезпечення відповідності цьому Регламенту.

5. Призначення представника контролером або оператором необхідно здійснювати без обмеження судових позовів, які могли бути ініційовані проти контролера або оператора як таких.

ISO 27701 Преамбулы Оставить комментарий
ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 27 GDPR:

6.3.1.1 Должностные функции и обязанности, связанные с информационной безопасностью

Руководство по внедрению 

Организация должна назначить контактное лицо для использования клиентом в отношении обработки PII. Когда организация является контроллером ПИИ, необходимо назначить точку контакта для субъектов ПИИ относительно обработки их ПИИ (см. 7.3.2 ISO 27701).


для доступа к полному тексту

Преамбулы

(80) Якщо контролер або оператор, що не має осідку в Союзі, опрацьовує персональні дані суб'єктів даних, які перебувають в Союзі, опрацювання даних яких стосується надання товарів чи постачання послуг, незалежно від необхідності здійснення оплати суб'єктом даних таким суб'єктам даних у Союзі або моніторингу їхньої поведінки мірою вираження їхньої поведінки в Союзі, контролер і оператор повинні призначити представника, за винятком ситуацій, коли опрацювання призначено для окремого випадку, включає опрацювання, у великих масштабах, спеціальних категорій персональних даних або опрацювання персональних даних щодо судимостей та кримінальних злочинів, та ймовірно створить ризик для прав і свобод фізичних осіб, враховуючи специфіку, масштаб і цілі опрацювання або якщо контролер є органом публічної влади. Представник повинен діяти від імені контролера або оператора, та до нього може звертатися будь-який наглядовий орган. Представника необхідно чітко призначати на підставі письмового доручення контролера або оператора діяти від його імені у контексті його зобов'язань згідно з цим Регламентом. Призначення такого представника не впливає на обов'язки або відповідальність контролера або оператора згідно з цим Регламентом. Такий представник повинен виконувати свої обов'язки згідно з повноваженнями, отриманими від контролера або оператора, в тому числі, співпрацюючи з компетентними наглядовими органами щодо будь-якої дії, вчиненої для забезпечення відповідності цьому Регламенту. На призначеного представника поширюється застосування виконавчого провадження у випадку порушень з боку контролера або оператора.

Оставить комментарий
[js-disqus]