Больше
Оглавл.
ГЛАВА I. Общие положения (1-4)
Статья 1. Предмет и задачиСтатья 2. Материальная сфера действияСтатья 3. Территориальная сфера действияСтатья 4. Определения
ГЛАВА II. Принципы (5-11)
Статья 5. Принципы, касающиеся обработки персональных данныхСтатья 6. Законность обработкиСтатья 7. Условия согласияСтатья 8. Условия, применимые к согласию ребенка в случае оказания услуг информационного обществаСтатья 9. Обработка специальных категорий персональных данныхСтатья 10. Обработка персональных данных, касающихся судимостей и правонарушенийСтатья 11. Обработка, не требующая идентификации
ГЛАВА III. ПРАВА СУБЪЕКТА ДАННЫХ (12-23)
Статья 12. Прозрачное информирование и коммуникация, а также режим осуществления прав субъекта данныхСтатья 13. Информация, предоставляемая в случае сбора персональных данных от субъекта данныхСтатья 14. Информация, предоставляемая при получении персональных данных не от субъекта данныхСтатья 15. Право доступа субъекта данныхСтатья 16. Право на уточнение данныхСтатья 17. Право на удаление данных ("право быть забытым")Статья 18. Право на ограничение обработкиСтатья 19. Обязанность уведомления относительно изменения или уничтожения персональных данных или ограничения обработкиСтатья 20. Право на переносимость данныхСтатья 21. Право на возражениеСтатья 22. Автоматизированное принятие решений в индивидуальных случаях, в том числе профилированиеСтатья 23. Ограничения
ГЛАВА IV. Контролёр и процессор (24-43)
Статья 24. Предмет и задачиСтатья 25. Защита персональных данных: проектируемая и по умолчаниюСтатья 26. Со-контролёрыСтатья 27. Представители контролёров или процессоров, не имеющих организационной единицы в СоюзеСтатья 28. ПроцессорСтатья 29. Обработка от имени контролёра или процессораСтатья 30. Учет деятельности по обработкеСтатья 31. Сотрудничество с надзорным органомСтатья 32. Безопасность обработкиСтатья 33. Уведомление надзорного органа о нарушении безопасности персональных данныхСтатья 34. Уведомление субъекта данных о нарушении безопасности персональных данныхСтатья 35. Оценка воздействия на защиту персональных данныхСтатья 36. Предварительная консультация
Статья 37. Назначение инспектора по защите персональных данных
Статья 38. Должность инспектора по защите персональных данныхСтатья 39. Задачи инспектора по защите персональных данныхСтатья 40. Кодексы поведенияСтатья 41. Мониторинг утвержденных кодексов поведенияСтатья 42. СертификацияСтатья 43. Органы по сертификации
ГЛАВА V. Передача персональных данных в третьи страны или международным организациям (44-50)
Статья 44. Общий принцип передачиСтатья 45. Передача данных на основании решения об адекватностиСтатья 46. Передача данных при условии осуществления надлежащих гарантийСтатья 47. Обязательные корпоративные правилаСтатья 48. Передача или раскрытие данных, не разрешенное законодательством СоюзаСтатья 49. Отступление от соблюдения обязательств в особых случаяхСтатья 50. Международное сотрудничество в области защиты персональных данных
ГЛАВА VI. Независимые надзорные органы (51-59)
Статья 51. Надзорный органСтатья 52. НезависимостьСтатья 53. Общие условия для членов надзорного органаСтатья 54. Правила учреждения надзорного органаСтатья 55. КомпетенцияСтатья 56. Компетенция ведущего надзорного органаСтатья 57. ЗадачиСтатья 58. ПолномочияСтатья 59. Отчет о деятельности
ГЛАВА VII. Сотрудничество и согласованность (60-70)
Статья 60. Сотрудничество между ведущим надзорным органом и иными заинтересованными надзорными органамиСтатья 61. Взаимная помощьСтатья 62. Совместные операции надзорных органовСтатья 63. Механизм согласованияСтатья 64. Заключение Европейского совета по защите персональных данныхСтатья 65. Разрешение споров Европейским советом по защите персональных данныхСтатья 66. Процедура срочностиСтатья 67. Обмен информациейСтатья 68. Европейский совет по защите персональных данныхСтатья 69. НезависимостьСтатья 70. Задачи Европейского совета по защите персональных данныхСтатья 71. ОтчетыСтатья 72. ПроцедураСтатья 73. ПредседательСтатья 74. Задачи ПредседателяСтатья 75. СекретариатСтатья 76. Конфиденциальность
ГЛАВА VIII. Средства правовой защиты, ответственность и санкции (77-84)
Статья 77. Право подать жалобу в надзорный органСтатья 78. Право на эффективные средства судебной защиты против надзорного органаСтатья 79. Право на эффективные средства судебной защиты в отношении контролёра или процессораСтатья 80. Представительство субъектов данныхСтатья 81. Приостановление производства по делуСтатья 82. Ответственность и право на компенсациюСтатья 83. Общие условия для наложения административных штрафовСтатья 84. Санкции
ГЛАВА IX. Положения, касающиеся отдельных случаев обработки (85-91)
Статья 85. Обработка и свобода выражения мнений и распространения информацииСтатья 86. Обработка и доступ общественности к официальным документамСтатья 87. Обработка национального идентификационного номераСтатья 88. Обработка в контексте занятостиСтатья 89. Гарантии и изъятия касающиеся обработки для архивных целей в публичном интересе, для целей научного или исторического исследования или в статистических целяхСтатья 90. Обязательства сохранения секретностиСтатья 91. Действующие нормы защита персональных данных церквей и религиозных организаций
ГЛАВА X. Делегированные акты и исполнительные акты (92-93)
Статья 92. Реализация подзаконных актовСтатья 93. Процедура Комитета
ГЛАВА XI. Заключительные положения (94-95)
Статья 94. Отмена Директивы 95/46/ЕССтатья 95. Соотношение с Директивой 2002/58/ЕССтатья 96. Соотношение с ранее заключенными соглашениямиСтатья 97. Отчеты Европейской КомиссииСтатья 98. Пересмотр иных правовых актов Евросоюза о защита персональных данныхСтатья 99. Вступление в силу и применение
GDPR > Статья 37. Назначение инспектора по защите персональных данных
Скачать в PDF

Статья 37 GDPR. Назначение инспектора по защите персональных данных

Article 37 GDPR. Designation of the data protection officer

1. Контролёр и процессор должны назначить инспектора по защите персональных данных в любом из следующих случаев:

1. The controller and the processor shall designate a data protection officer in any case where:

(a) обработка осуществляется государственным органом или учреждением, за исключением судов при осуществлении правосудия;

(a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;

(b) основная деятельность контролёра или процессора состоит из операций по обработке данных, которые в силу своего характера, объема и/или целей, требуют регулярного и систематического мониторинга субъектов данных в больших масштабах; или

(b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or

Связи
Связи

(c) основная деятельность контролёра или процессора заключается в обработке специальных категорий данных в больших масштабах согласно статье 9 и персональных данных, касающихся судимостей и правонарушений согласно статье 10.

(c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 or personal data relating to criminal convictions and offences referred to in Article 10.

Связи
Связи

2. Группа компаний может назначить единого инспектора по защите персональных данных при условии, что инспектор по защите персональных данных легко доступен из каждой организационной единицы.

2. A group of undertakings may appoint a single data protection officer provided that a data protection officer is easily accessible from each establishment.

Связи
Связи

3. В случае если контролёр или процессор является государственным органом или учреждением, единый инспектор по защите персональных данных может быть назначен для нескольких таких органов или ведомств с учетом их организационной структуры и размера.

3. Where the controller or the processor is a public authority or body, a single data protection officer may be designated for several such authorities or bodies, taking account of their organisational structure and size.

4. В случаях, отличных от указанных в параграфе 1, контролёр или процессор, или ассоциации и иные органы, представляющие категории контролёров или процессоров могут или, если этого требует законодательство Союза или государства-члена, должны назначить инспектора по защите персональных данных. Инспектор по защите персональных данных может действовать от лица указанных ассоциаций и иных органов, представляющих контролёров или процессоров.

4. In cases other than those referred to in paragraph 1, the controller or processor or associations and other bodies representing categories of controllers or processors may or, where required by Union or Member State law shall, designate a data protection officer. The data protection officer may act for such associations and other bodies representing controllers or processors.

5. Инспектор по защите персональных данных должен назначаться на основе профессиональных качеств и, в частности, на основе экспертного знания законодательства и практики в сфере защиты персональных данных, а также способности выполнять задачи, указанные в статье 39.

5. The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article 39.

Связи
Связи

6. Инспектор по защите персональных данных может являться сотрудником контролёра или процессора, либо выполнять задачи на основе договора об оказании услуг.

6. The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service contract.

7. Контролёр или процессор публикует контактные данные инспектора по защите персональных данных и сообщает их надзорному органу.

7. The controller or the processor shall publish the contact details of the data protection officer and communicate them to the supervisory authority.

Общий регламент защиты персональных данных (GDPR) Европейского союза

Перевод на русский язык выполнен одновременно с 4 официальных языков Евросоюза (английский, польский, французский и немецкий) коллективом профессионалов в области информационной приватности: С.Воронкевич, А.Богуславская, П.Лозовенко, И.Чернышева, С.Радыно, С.Головнева. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, MBA. Маппинг статей и преамбул сделан на основе публикации ICO — https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf
© Перевод на русский ООО «Дата Прайваси Офис».

General Data Protection Regulation (EU GDPR)

The latest consolidated version of the Regulation with corrections by Corrigendum, OJ L 127, 23.5.2018, p. 2 ((EU) 2016/679). Source: EUR-lex.

Комментарий эксперта ISO 27701 Преамбулы Офиц. документы и решения Оставьте комментарий
Комментарий эксперта

В статье идет речь о том, в каких случаях и при каких условиях следует назначать или нанимать инспектора по защите персональных данных (DPO).

В большинстве случаев, минимум одного из следующих условий достаточно, чтобы компания была обязана иметь DPO:

  1. если обработка данных производится гос.органами (за исключением судов);
  2. если основная деятельность компании (контролера или процессора) требует регулярного и систематического контроля субъектов данных, включая в себя обработку больших объемов персональных данных, либо сама природа обработки подразумевает постоянный контроль субъектов данных. Например, сервис такси типа Uber использует большие массивы информации как о пассажирах (геолокация, адреса, платежные данные), так и водителей (рейтинг, маршруты, данные об авто и т.п.), что является систематическим мониторингом субъектов данных, следовательно, DPO необходим; 
  3. если основной деятельностью компании (контролера или процессора), является обработка в большом объеме специальных категорий данных или данных, касающихся осужденных по уголовным делам и правонарушений (о специальных категориях данных речь идет в статье 9. Это, например, данные о здоровье, о расовой или этнической принадлежности, о сексуальной ориентации и т.п.). Например, страховая компания обрабатывает широкий спектр персональных данных о большом количестве людей, включая медицинские показания и другую медицинскую информацию. Это можно рассматривать как крупномасштабную обработку данных специальных категорий, соответственно, необходимо назначить DPO.

В качестве пояснения для пункта 2. следует отметить, что в самом Регламенте нет определения, что именно имеется ввиду под “регулярным и систематическим контролем” и под обработкой “в большом объеме”. Однако, надзорные органы поясняют, что “регулярный и систематический контроль” включает все формы отслеживания и профайлинга, как онлайн, так и оффлайн. Примером тут может служить таргетированная реклама. 

При определении большого объема обработки необходимо принимать во внимание следующие факторы:

  • число субъектов данных;
  • объем обрабатываемых персональных данных;
  • диапазон обрабатываемых различных элементов данных;
  • географические масштабы обработки; и
  • продолжительность или постоянство обработки.

Например, сайт ритейлер использует алгоритмы для мониторинга поиска и покупок своих пользователей и на основании этой информации предлагает им рекомендации. Поскольку это происходит непрерывно и в соответствии с заранее определенными критериями, это можно рассматривать как регулярный и систематический мониторинг субъектов данных в широком масштабе. Следовательно, вне зависимости от размера самой компании, будет необходим DPO.

…


для доступа к полному тексту

Автор
Мария Арнст CIPM, TÜV
GDPR консультант
Задать вопрос
ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 37 GDPR:

6.3.1.1 Должностные функции и обязанности, связанные с информационной безопасностью

Руководство по внедрению 

Организация должна назначить контактное лицо для использования клиентом в отношении обработки PII. Когда организация является контроллером ПИИ, необходимо назначить точку контакта для субъектов ПИИ относительно обработки их ПИИ (см. 7.3.2 ISO 27701).
Организация должна назначить одного или нескольких лиц, ответственных за разработку, внедрение, поддержание и мониторинг общеорганизационной программы управления и конфиденциальности, чтобы обеспечить соблюдение всех применимых законов и правил, касающихся обработки ПИИ.
Ответственное лицо должно в соответствующих случаях:

…


для доступа к полному тексту

Преамбулы

(97) В случае, когда обработка осуществляется государственным органом, за исключением судов или независимых судебных органов, действующих в рамках своей судейской дееспособности, если в частном секторе обработка осуществляется контролёром, центральная деятельность которого состоит в обработке, требующей регулярного и систематического мониторинга субъектов данных в большом объеме, либо когда центральная деятельность контролёра или процессора состоит в масштабной обработке специальных категорий персональных данных (чувствительных данных) и данных, связанных с судимостями и правонарушениями, лицо, обладающее экспертными знаниями в области законодательства в сфере защиты персональных данных и практики его применения, должно содействовать контролёру или процессору в осуществлении внутреннего мониторинга соблюдения настоящего Регламента. В частном секторе центральная деятельность контролёра относится к его основному виду деятельности и не относится к обработке персональных данных как вспомогательного вида деятельности. Необходимый уровень экспертных знаний должен определяться, в том числе, в соответствии с выполняемыми операциями по обработке и защитой, которая требуется для обрабатываемых контролёром или процессором персональных данных. Такие инспекторы по защите персональных данных, независимо от того, являются ли они работниками контролёра или нет, должны быть в состоянии исполнять свои обязанности и задачи независимо.

(97) Where the processing is carried out by a public authority, except for courts or independent judicial authorities when acting in their judicial capacity, where, in the private sector, processing is carried out by a controller whose core activities consist of processing operations that require regular and systematic monitoring of the data subjects on a large scale, or where the core activities of the controller or the processor consist of processing on a large scale of special categories of personal data and data relating to criminal convictions and offences, a person with expert knowledge of data protection law and practices should assist the controller or processor to monitor internal compliance with this Regulation. In the private sector, the core activities of a controller relate to its primary activities and do not relate to the processing of personal data as ancillary activities. The necessary level of expert knowledge should be determined in particular according to the data processing operations carried out and the protection required for the personal data processed by the controller or the processor. Such data protection officers, whether or not they are an employee of the controller, should be in a position to perform their duties and tasks in an independent manner.

Офиц. документы и решения Оставьте комментарий