Статья 45 📖 GDPR. Передача данных на основании решения об адекватности

Статья 45 GDPR. Передача данных на основании решения об адекватности

Article 45 GDPR. Transfers on the basis of an adequacy decision

1. Передача персональных данных в третью страну или международную организацию может иметь место, когда Комиссия пришла к выводу о том, что третья страна, территория либо одна или несколько конкретных отраслей внутри этой третьей стране или эта международная организация обеспечивает адекватный уровень защиты. Такая передача не требует специального разрешения.

1. A transfer of personal data to a third country or an international organisation may take place where the Commission has decided that the third country, a territory or one or more specified sectors within that third country, or the international organisation in question ensures an adequate level of protection. Such a transfer shall not require any specific authorisation.

Преамбулы

(103) Комиссия может принять решение в отношении всего Союза о том, что третья страна, территория или особый сектор в третьей стране или международная организация предлагает адекватный уровень защиты данных, обеспечивая тем самым правовую определённость и единообразие на территории Союза в отношении третьей страны или международной организации, которая, как считается, обеспечивает такой уровень защиты. В этих случаях передача персональных данных в третью страну или международную организацию может осуществляться без обязательного получения какого-либо дополнительного разрешения. Европейская Комиссия может также отозвать такое решение, предоставив уведомление и полную информацию о причинах отмены, третьей стране или международной организации.

(103) The Commission may decide with effect for the entire Union that a third country, a territory or specified sector within a third country, or an international organisation, offers an adequate level of data protection, thus providing legal certainty and uniformity throughout the Union as regards the third country or international organisation which is considered to provide such level of protection. In such cases, transfers of personal data to that third country or international organisation may take place without the need to obtain any further authorisation. The Commission may also decide, having given notice and a full statement setting out the reasons to the third country or international organisation, to revoke such a decision.

2. При оценке адекватности уровня защиты, Комиссии следует принимать во внимание, в частности, следующие элементы:

2. When assessing the adequacy of the level of protection, the Commission shall, in particular, take account of the following elements:

Преамбулы

(104) В соответствии с основополагающими ценностями Союза к которым, в том числе, относится защита прав человека, Европейская Комиссия при оценке третьей страны, территории или особого сектора в третьей стране должна учитывать то, каким образом третья страна соблюдает принципы правового государства, обеспечивает доступность правосудия, так же как и соблюдает нормы и стандарты международного права прав человека, равно как и его общего и отраслевого законодательства, включая законодательство, касающееся общественной безопасности, обороны и национальной безопасности, наряду с общественным порядком и уголовным правом. При принятии решения о достаточности мер в отношении территории или особого сектора в третьей стране следует учитывать чёткие и объективные критерии, например, конкретный вид обработки, область применения правовых стандартов и действующего в третьей стране законодательства. Третья страна должна предоставить гарантии, обеспечивающие соответствующий уровень защиты, соразмерный уровню, гарантированному в Союзе, в особенности, если персональные данные обрабатываются в одном или нескольких особых секторах. В частности, третья страна должна обеспечить эффективный независимый мониторинг защиты персональных данных, а также должна предусматривать механизмы сотрудничества с органами государств-членов по защите персональных данных, а субъектам данных должны быть предоставлены эффективные и обладающие силой принудительного исполнения права, а также эффективную административную и судебную защиту.

(104) In line with the fundamental values on which the Union is founded, in particular the protection of human rights, the Commission should, in its assessment of the third country, or of a territory or specified sector within a third country, take into account how a particular third country respects the rule of law, access to justice as well as international human rights norms and standards and its general and sectoral law, including legislation concerning public security, defence and national security as well as public order and criminal law. The adoption of an adequacy decision with regard to a territory or a specified sector in a third country should take into account clear and objective criteria, such as specific processing activities and the scope of applicable legal standards and legislation in force in the third country. The third country should offer guarantees ensuring an adequate level of protection essentially equivalent to that ensured within the Union, in particular where personal data are processed in one or several specific sectors. In particular, the third country should ensure effective independent data protection supervision and should provide for cooperation mechanisms with the Member States' data protection authorities, and the data subjects should be provided with effective and enforceable rights and effective administrative and judicial redress.

(105) Наряду с международными обязательствами, которые приняла на себя третья страна или международная организация, Европейская Комиссия должна принять во внимание обязательства, возникающие вследствие участия третьей страны или международной организации в многосторонних или региональных системах, в частности, в отношении защиты персональных данных, а также исполнение таких обязательств. В частности, необходимо учесть присоединение третьей страны к Конвенции Совета Европы от 28 января 1981 г. о защите физических лиц при автоматизированной обработке персональных данных и к ее дополнительному протоколу. Европейская Комиссия должна проконсультироваться с Европейским советом по защите персональных данных при оценке уровня защиты в третьих странах или международных организациях.

(105) Apart from the international commitments the third country or international organisation has entered into, the Commission should take account of obligations arising from the third country's or international organisation's participation in multilateral or regional systems in particular in relation to the protection of personal data, as well as the implementation of such obligations. In particular, the third country's accession to the Council of Europe Convention of 28 January 1981 for the Protection of Individuals with regard to the Automatic Processing of Personal Data and its Additional Protocol should be taken into account. The Commission should consult the Board when assessing the level of protection in third countries or international organisations.

(a) верховенство закона, уважение прав человека и фундаментальных свобод, относящееся законодательство — как общее, так и отраслевое — в том числе касательно общественной безопасности, обороны, национальной безопасности и уголовного права, а также доступа органов государственной власти к персональным данным, а также применение этого законодательства, правила защиты персональных данных, профессиональные нормы, меры безопасности, в том числе правила дальнейшей передачи персональных данных в другую третью страну или другую международную организацию, которые должны соблюдаться в этой стране или международной организации, прецедентное право, и наличие действующих и осуществимых прав субъектов данных и эффективных административных и судебных средств правовой защиты субъектов данных, чьи персональные данные передаются;

(a) the rule of law, respect for human rights and fundamental freedoms, relevant legislation, both general and sectoral, including concerning public security, defence, national security and criminal law and the access of public authorities to personal data, as well as the implementation of such legislation, data protection rules, professional rules and security measures, including rules for the onward transfer of personal data to another third country or international organisation which are complied with in that country or international organisation, case-law, as well as effective and enforceable data subject rights and effective administrative and judicial redress for the data subjects whose personal data are being transferred;

(b) существование и эффективное функционирование в третьей стране или международной организации одного или нескольких независимых надзорных органов, обязанных обеспечивать и приводить в исполнение норм защиты персональных данных — в том числе, имеющих адекватные правоприменительные полномочия, и обязанных оказывать помощь и консультации субъектам данных в ходе реализации ими своих прав, а также сотрудничать с надзорными органами государств-членов; и

(b) the existence and effective functioning of one or more independent supervisory authorities in the third country or to which an international organisation is subject, with responsibility for ensuring and enforcing compliance with the data protection rules, including adequate enforcement powers, for assisting and advising the data subjects in exercising their rights and for cooperation with the supervisory authorities of the Member States; and

(c) международные обязательства, взятые на себя третьей страной или международной организацией, или другие обязательства, вытекающие из имеющих обязательную юридическую силу конвенций и документов, а также вытекающие из участия в многосторонних или региональных систем, в частности, в области защиты персональных данных.

(c) the international commitments the third country or international organisation concerned has entered into, or other obligations arising from legally binding conventions or instruments as well as from its participation in multilateral or regional systems, in particular in relation to the protection of personal data.

3. После выполнения оценки адекватности степени защиты, Комиссия может посредством исполнительного акта принять решение о том, что третья страна, территория или одна или несколько определенных отраслей в этой третьей стране, международная организация обеспечивает адекватный уровень защиты в значении параграфа 2 данной статьи. Исполнительный акт должен предусматривать механизм периодической проверки — по крайней мере, каждые четыре года — в ходе которой должны учитываться все значимые изменения в третьей стране или международной организации. Исполнительный акт должен определять территориальную и отраслевую сферу своего действия, и, если применимо, определять надзорный орган или органы, указанные в пункте (b) параграфа 2 настоящей статьи. Исполнительный акт должен быть принят в соответствии с процедурой экспертизы, указанной статье 93(2).

3. The Commission, after assessing the adequacy of the level of protection, may decide, by means of implementing act, that a third country, a territory or one or more specified sectors within a third country, or an international organisation ensures an adequate level of protection within the meaning of paragraph 2 of this Article. The implementing act shall provide for a mechanism for a periodic review, at least every four years, which shall take into account all relevant developments in the third country or international organisation. The implementing act shall specify its territorial and sectoral application and, where applicable, identify the supervisory authority or authorities referred to in point (b) of paragraph 2 of this Article. The implementing act shall be adopted in accordance with the examination procedure referred to in Article 93(2).

Связанные статьи

Статья 93 GDPR. Процедура Комитета

Article 93 GDPR. Committee procedure

[…]

2. В случае, когда сделана ссылка на настоящий параграф, должна применяться Статья 5 Регламента (ЕС) 182/2011.

2. Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.

[…]

4 Европейская Комиссия должна, на регулярной основе, осуществлять мониторинг изменений в третьих странах и международных организациях, которые могут повлиять на выполнение решений, принятых согласно параграфу 3 настоящей Статьи, а также решений, принятых на основе Статьи 25(6) Директивы 95/46/ЕС.

4. The Commission shall, on an ongoing basis, monitor developments in third countries and international organisations that could affect the functioning of decisions adopted pursuant to paragraph 3 of this Article and decisions adopted on the basis of Article 25(6) of Directive 95/46/EC.

Преамбулы

(106) Европейская Комиссия должна осуществлять мониторинг исполнения решений касательно уровня защиты в третьей стране, на территории или особом секторе третьей страны или в международной организации, а также осуществлять мониторинг исполнения решений, принятых в порядке Статьи 25(6) или Статьи 26(4) Директивы 95/46/ЕС. В своих решениях о достаточности мер Европейская Комиссия должна предусмотреть механизм периодической проверки их исполнения. Периодическая проверка должна проводиться по согласованию с третьей страной или международной организацией и учитывать все соответствующие изменения в третьей стране или международной организации. В целях мониторинга и осуществления периодических проверок Европейская Комиссия должна учитывать мнения и замечания Европейского Парламента и Европейского Совета, а также всех других соответствующих органов и источников. Европейская Комиссия в приемлемый срок должна оценить исполнение таких решений и направить отчёт со всеми соответствующими выводами Комитету, предусмотренному положениями Регламента (ЕС) 182/2011 Европейского Парламента и Европейского Совета ЕС [12] а также Европейскому Парламенту и Европейскому Совету в порядке, предусмотренном настоящим.

(106) The Commission should monitor the functioning of decisions on the level of protection in a third country, a territory or specified sector within a third country, or an international organisation, and monitor the functioning of decisions adopted on the basis of Article 25(6) or Article 26(4) of Directive 95/46/EC. In its adequacy decisions, the Commission should provide for a periodic review mechanism of their functioning. That periodic review should be conducted in consultation with the third country or international organisation in question and take into account all relevant developments in the third country or international organisation. For the purposes of monitoring and of carrying out the periodic reviews, the Commission should take into consideration the views and findings of the European Parliament and of the Council as well as of other relevant bodies and sources. The Commission should evaluate, within a reasonable time, the functioning of the latter decisions and report any relevant findings to the Committee within the meaning of Regulation (EU) No 182/2011 of the European Parliament and of the Council [12] as established under this Regulation, to the European Parliament and to the Council.

_{[12] Регламент (ЕС) 182/2011 Европейского Парламента и Совета ЕС от 16 февраля 2011 г., устанавливающий правила и общие принципы механизмов контроля со стороны государств-членов ЕС за осуществлением Европейской Комиссией имплементационных полномочий (Официальный журнал Европейского союза N L 55, 28.02.2011, стр. 13). https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=OJ:L:2011:055:TOC}

_{[12] Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission's exercise of implementing powers (OJ L 55, 28.2.2011, p. 13). https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=OJ:L:2011:055:TOC}

5. Европейская Комиссия при обнаружении информации, в том числе в результате проверки согласно в параграфу 3 настоящей Статьи, о том, что третья страна, территория, или одна или несколько определенных отраслей третьей страны либо международная организация, больше не обеспечивают надлежащий уровень защиты в значении параграфа 2 настоящей Статьи, должна на столько, на сколько это необходимо, отменить, изменить или приостановить решение, упомянутое в параграфе 3 настоящей Статьи, посредством исполнительных актов, не имеющих обратную силу. Такие исполнительные акты должны приниматься в соответствии с процедурой проверки, предусмотренной Статьей 93 (2).

5. The Commission shall, where available information reveals, in particular following the review referred to in paragraph 3 of this Article, that a third country, a territory or one or more specified sectors within a third country, or an international organisation no longer ensures an adequate level of protection within the meaning of paragraph 2 of this Article, to the extent necessary, repeal, amend or suspend the decision referred to in paragraph 3 of this Article by means of implementing acts without retro-active effect. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).

Связанные статьи

Статья 93 GDPR. Процедура Комитета

Article 93 GDPR. Committee procedure

[…]

2. В случае, когда сделана ссылка на настоящий параграф, должна применяться Статья 5 Регламента (ЕС) 182/2011.

2. Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.

[…]

Исходя из надлежащим образом обоснованных соображений крайней необходимости Европейская Комиссия должна принять исполнительные акты немедленного действия в соответствии с процедурой, упомянутой в статье 93 (3).

On duly justified imperative grounds of urgency, the Commission shall adopt immediately applicable implementing acts in accordance with the procedure referred to in Article 93(3).

Связанные статьи

Статья 93 GDPR. Процедура Комитета

Article 93 GDPR. Committee procedure

[…]

3. В случае, когда сделана ссылка на настоящий параграф, должна применяться Статья 8 Регламента (ЕС) 182/2011 во взаимосвязи с положениями Статьи 5 названного Регламента.

3. Where reference is made to this paragraph, Article 8 of Regulation (EU) No 182/2011, in conjunction with Article 5 thereof, shall apply.

6. Европейская Комиссия должна начать консультации с третьей страной или международной организацией в целях исправления ситуации, которая привела к принятию решения в соответствии с параграфом 5.

6. The Commission shall enter into consultations with the third country or international organisation with a view to remedying the situation giving rise to the decision made pursuant to paragraph 5.

Преамбулы

(107) Европейская Комиссия может признать, что третья страна, территория, отдельный сектор в третьей стране или международная организация больше не гарантируют соответствующий уровень защиты персональных данных. Следовательно, передача персональных данных указанной третьей стране или международной организации должна быть запрещена, за исключением случаев, когда требования настоящего Регламента, касательно передачи персональных данных в соответствии с надлежащими гарантиями соблюдаются, включая обязательные корпоративные правила, и изъятия в конкретных ситуациях. В этом случае следует предусмотреть консультации между Европейской Комиссией и такими третьими странами или международными организациями. Европейская Комиссия своевременно должна проинформировать третью страну или международную организацию о причинах и начать консультацию для устранения возникших затруднений.

(107) The Commission may recognise that a third country, a territory or a specified sector within a third country, or an international organisation no longer ensures an adequate level of data protection. Consequently the transfer of personal data to that third country or international organisation should be prohibited, unless the requirements in this Regulation relating to transfers subject to appropriate safeguards, including binding corporate rules, and derogations for specific situations are fulfilled. In that case, provision should be made for consultations between the Commission and such third countries or international organisations. The Commission should, in a timely manner, inform the third country or international organisation of the reasons and enter into consultations with it in order to remedy the situation.

7. Решение, принятое в соответствии с параграфом 5 настоящей Статьи, действует без ущерба передаче персональных данных третьей стране, территории, или одной или нескольким определенным отраслям третьей страны либо соответствующей международной организации в соответствии со Статьями 46-49.

7. A decision pursuant to paragraph 5 of this Article is without prejudice to transfers of personal data to the third country, a territory or one or more specified sectors within that third country, or the international organisation in question pursuant to Articles 46 to 49.

Связанные статьи

Статья 46 GDPR. Передача данных при условии осуществления надлежащих гарантий

Article 46 GDPR. Transfers subject to appropriate safeguards

Статья 47 GDPR. Обязательные корпоративные правила

Article 47 GDPR. Binding corporate rules

Статья 48 GDPR. Передача или раскрытие данных, не разрешенное законодательством Союза

Article 48 GDPR. Transfers or disclosures not authorised by Union law

Статья 49 GDPR. Отступление от соблюдения обязательств в особых случаях

Article 49 GDPR. Derogations for specific situations

8. Европейская Комиссия должна опубликовать в Официальном Журнале Европейского Союза, а также на своем интернет-сайте список третьих стран, территорий и определенных отраслей третьей страны и международных организаций, в отношении которых она приняла решение о наличии адекватного уровня защиты либо его отсутствии.

8. The Commission shall publish in the Official Journal of the European Union and on its website a list of the third countries, territories and specified sectors within a third country and international organisations for which it has decided that an adequate level of protection is or is no longer ensured.

9. Решения, принятые Европейской Комиссией на основании Статьи 25(6) Директивы 95/46/ЕС, остаются в силе до тех пор, пока они не изменены, заменены или отменены Решением Европейской Комиссии, принятым в соответствии с параграфом 3 или 5 настоящей Статьи.

9. Decisions adopted by the Commission on the basis of Article 25(6) of Directive 95/46/EC shall remain in force until amended, replaced or repealed by a Commission Decision adopted in accordance with paragraph 3 or 5 of this Article.

Общий регламент защиты персональных данных (GDPR) Европейского союза

Перевод на русский язык выполнен одновременно с 4 официальных языков Евросоюза (английский, польский, французский и немецкий) коллективом профессионалов в области информационной приватности: С.Воронкевич, А.Богуславская, П.Лозовенко, И.Чернышева, С.Радыно, С.Головнева. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, FIP, MBA. Маппинг статей и преамбул сделан на основе публикации ICO — https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf
© Перевод на русский ООО «Дата Прайваси Офис».

General Data Protection Regulation (EU GDPR)

The latest consolidated version of the Regulation with corrections by Corrigendum, OJ L 127, 23.5.2018, p. 2 ((EU) 2016/679). Source: EUR-lex.

ISO 27701 Преамбулы Руководство и прецедентное право Оставить комментарий

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 45 GDPR:

7.5.1 Определить основание для передачи ПИИ между юрисдикциями

Средство управления

Организация должна определить и задокументировать соответствующее основание для передачи ПИИ между юрисдикциями.

Руководство по внедрению

Передача ПИИ может быть предметом законодательства и / или регулирования в зависимости от юрисдикции или международной организации, которой данные должны быть переданы (и откуда они происходят).

…

Войти
для доступа к полному тексту

Преамбулы