Статья 60 📖 GDPR. Сотрудничество между ведущим надзорным органом и иными заинтересованными надзорными органами

Статья 60 GDPR. Сотрудничество между ведущим надзорным органом и иными заинтересованными надзорными органами

Article 60 GDPR. Cooperation between the lead supervisory authority and the other supervisory authorities concerned

1. Ведущий надзорный орган должен сотрудничать с иными заинтересованными надзорными органами в соответствии с настоящей Статьей в стремлении достигнуть консенсуса. Ведущий надзорный орган и заинтересованные надзорные органы должны обмениваться всей существенной информацией друг с другом.

1. The lead supervisory authority shall cooperate with the other supervisory authorities concerned in accordance with this Article in an endeavour to reach consensus. The lead supervisory authority and the supervisory authorities concerned shall exchange all relevant information with each other.

2. Ведущий надзорный орган может запросить в любое время иные заинтересованные надзорные органы оказать взаимную помощь в порядке Статьи 61, а также может проводить совместные операции в соответствии со Статьей 62, в частности для проведения расследований или осуществления мониторинга использования мер, качающихся контролёра или процессора, учрежденных в другом государстве-члене.

2. The lead supervisory authority may request at any time other supervisory authorities concerned to provide mutual assistance pursuant to Article 61 and may conduct joint operations pursuant to Article 62, in particular for carrying out investigations or for monitoring the implementation of a measure concerning a controller or processor established in another Member State.

Связанные статьи

Статья 61 GDPR. Взаимная помощь

Article 61 GDPR. Mutual assistance

Статья 62 GDPR. Совместные операции надзорных органов

Article 62 GDPR. Joint operations of supervisory authorities

3. Ведущий надзорный орган должен незамедлительно передать соответствующую информацию по вопросу другим заинтересованным надзорным органам. Он без промедления должен представить проект решения другим заинтересованным надзорным органам для их заключения и должен учесть их позицию.

3. The lead supervisory authority shall, without delay, communicate the relevant information on the matter to the other supervisory authorities concerned. It shall without delay submit a draft decision to the other supervisory authorities concerned for their opinion and take due account of their views.

4. В случае, когда любой из других заинтересованных надзорных органов в течение четырех недель после проведения консультаций согласно параграфу 3 настоящей Статьи выскажет соответствующее и мотивированное возражение против этого проекта решения, ведущий надзорный орган, если он не поддержит соответствующее и мотивированное возражение, либо посчитает, что возражение не существенно или не обосновано, отправляет данное дело на механизм согласованности, упомянутый в Статье 63.

4. Where any of the other supervisory authorities concerned within a period of four weeks after having been consulted in accordance with paragraph 3 of this Article, expresses a relevant and reasoned objection to the draft decision, the lead supervisory authority shall, if it does not follow the relevant and reasoned objection or is of the opinion that the objection is not relevant or reasoned, submit the matter to the consistency mechanism referred to in Article 63.

Связанные статьи

Статья 63 GDPR. Механизм согласования

Article 63 GDPR. Consistency mechanism

5. Когда ведущий надзорный орган намерен поддержать соответствующее и мотивированное возражение, он передает иным заинтересованным надзорным органам доработанный проект решения для их заключения. Такой доработанный проект решения в течение двух недель проходит процедуру, указанную в параграфе 4.

5. Where the lead supervisory authority intends to follow the relevant and reasoned objection made, it shall submit to the other supervisory authorities concerned a revised draft decision for their opinion. That revised draft decision shall be subject to the procedure referred to in paragraph 4 within a period of two weeks.

6. Если ни один из других заинтересованных надзорных органов не возражает против проекта решения, который был представлен ведущим надзорным органом в течение срока, указанного в параграфах 4 и 5, ведущий надзорный орган и заинтересованные надзорные органы считаются согласными с таким проектом решения и должны быть связаны таким проектом решения.

6. Where none of the other supervisory authorities concerned has objected to the draft decision submitted by the lead supervisory authority within the period referred to in paragraphs 4 and 5, the lead supervisory authority and the supervisory authorities concerned shall be deemed to be in agreement with that draft decision and shall be bound by it.

7. Ведущий надзорный орган должен принять решение и уведомить о нем главное учреждение или единственное учреждение контролёра или процессора, сообразно обстоятельствам, а также проинформировать другие заинтересованные надзорные органы и Европейский совет по защите персональных данных относительно соответствующего решения, включая краткое изложение соответствующих фактов и оснований. Надзорный орган, которому подана жалоба, информирует заявителя о таком решении.

7. The lead supervisory authority shall adopt and notify the decision to the main establishment or single establishment of the controller or processor, as the case may be and inform the other supervisory authorities concerned and the Board of the decision in question, including a summary of the relevant facts and grounds. The supervisory authority with which a complaint has been lodged shall inform the complainant on the decision.

ISO 27701 Связанные статьи

ISO 27701

Связанные статьи

Руководство по территориальной сфере действия GDPR (статья 3)

Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)

Организационная единица в Союзе

“An establishment in the Union”

Порог для «постоянных структур [9]» может быть довольно низким, когда деятельность контролера сосредоточена на предоставлении услуг в режиме онлайн. В результате в некоторых обстоятельствах присутствие в Союзе одного единственного сотрудника или агента не-ЕС-организации, может быть достаточным для создания постоянной структуры (приравненной к «организационной единице» для целей статьи 3(1)), если этот сотрудник или агент действует с достаточной степенью постоянства. И наоборот, когда сотрудник находится в ЕС, но обработка не выполняется в Союзе в контексте деятельности сотрудника из ЕС (т. е. Обработка относится к действиям контролера за пределами ЕС), простое присутствие сотрудника в ЕС не приведет к тому, что эта обработка попадет в сферу действия GDPR. Другими словами, простого присутствия работника в ЕС недостаточно для применения GDPR, поскольку для того, чтобы рассматриваемая обработка попадала в сферу действия GDPR, она также должна выполняться в контексте деятельности сотрудника из ЕС.

The threshold for “stable arrangement [9]” can actually be quite low when the centre of activities of a controller concerns the provision of services online. As a result, in some circumstances, the presence of one single employee or agent of a non-EU entity in the Union may be sufficient to constitute a stable arrangement (amounting to an ‘establishment’ for the purposes of Art 3(1)) if that employee or agent acts with a sufficient degree of stability. Conversely, when an employee is based in the EU but the processing is not being carried out in the context of the activities of the EU-based employee in the Union (i.e. the processing relates to activities of the controller outside the EU), the mere presence of an employee in the EU will not result in that processing falling within the scope of the GDPR. In other words, the mere presence of an employee in the EU is not as such sufficient to trigger the application of the GDPR, since for the processing in question to fall within the scope of the GDPR, it must also be carried out in the context of the activities of the EU-based employee.

_{[9] Weltimmo, параграф 31.}

_{[9] Weltimmo, paragraph 31.}

Тот факт, что организация, не являющаяся членом ЕС, ответственна за обработку данных, не имеет филиала или дочерней компании в государстве-члене, не исключает возможности наличия ее организационной единицы в значении закона ЕС о защите данных. Хотя понятие организационной единицы является широким, оно не без ограничений. Невозможно сделать вывод о том, что организация не из ЕС, имеет организационную единицу в Союзе только потому, что веб-сайт организации доступен в Союзе [10].

The fact that the non-EU entity responsible for the data processing does not have a branch or subsidiary in a Member State does not preclude it from having an establishment there within the meaning of EU data protection law. Although the notion of establishment is broad, it is not without limits. It is not possible to conclude that the non-EU entity has an establishment in the Union merely because the undertaking’s website is accessible in the Union [10].

_{[10] CJEU, Verein für Konsumenteninformation v. Amazon EU Sarl, Дело C‑191/15, 28 Июль 2016, параграф 76 (далее — “Verein für Konsumenteninformation”).}

_{[10] CJEU, Verein für Konsumenteninformation v. Amazon EU Sarl, Case C‑191/15, 28 July 2016, paragraph 76 (hereafter “Verein für Konsumenteninformation”).}

8. В порядке изъятия из параграфа 7, в случае, когда отказано в удовлетворении жалобы или она отклонена, надзорный орган, которому она была подана, должен принять решение и уведомить о нем заявителя, а также проинформировать соответствующего контролёра.

8. By derogation from paragraph 7, where a complaint is dismissed or rejected, the supervisory authority with which the complaint was lodged shall adopt the decision and notify it to the complainant and shall inform the controller thereof.

9. В случае, когда ведущий надзорный орган и заинтересованные надзорные органы соглашаются отказать в удовлетворении жалобы или отклонить часть жалобы, и предпринимают действия по другим частям такой жалобы, должно быть принято отдельное решение по каждым отдельным частям жалобы. ведущий надзорный орган должен принять решение относительно той части, касающейся действий, связанных с контролёром, должен уведомить о нем главное учреждение или единственное учреждение контролёра или процессора на территории своего государства-члена, а также должен проинформировать об этом соответствующего заявителя, при этом надзорный орган заявителя должен вынести решение относительно части, связанной с отказом в удовлетворении жалобы или с ее отклонением, и должен уведомить об этом заявителя и проинформировать контролёра или процессора.

9. Where the lead supervisory authority and the supervisory authorities concerned agree to dismiss or reject parts of a complaint and to act on other parts of that complaint, a separate decision shall be adopted for each of those parts of the matter. The lead supervisory authority shall adopt the decision for the part concerning actions in relation to the controller, shall notify it to the main establishment or single establishment of the controller or processor on the territory of its Member State and shall inform the complainant thereof, while the supervisory authority of the complainant shall adopt the decision for the part concerning dismissal or rejection of that complaint, and shall notify it to that complainant and shall inform the controller or processor thereof.

10. После получения уведомления о решении ведущего надзорного органа в порядке параграфов 7 и 9, контролёр или процессор должны предпринять необходимые меры для обеспечения соблюдения решения касательно обработки данных в отношении всех своих учреждений в Евросоюзе. контролёр или процессор должны уведомить ведущий надзорный орган о мерах, предпринятых для соблюдения этого решения, который информирует об этом иные заинтересованные надзорные органы.

10. After being notified of the decision of the lead supervisory authority pursuant to paragraphs 7 and 9, the controller or processor shall take the necessary measures to ensure compliance with the decision as regards processing activities in the context of all its establishments in the Union. The controller or processor shall notify the measures taken for complying with the decision to the lead supervisory authority, which shall inform the other supervisory authorities concerned.

11. Когда, в исключительных случаях, заинтересованный надзорный орган имеет основания полагать, что существует настоятельная необходимость действовать в целях защиты интересов субъектов данных, применяется процедура срочности, упомянутая в Статье 66.

11. Where, in exceptional circumstances, a supervisory authority concerned has reasons to consider that there is an urgent need to act in order to protect the interests of data subjects, the urgency procedure referred to in Article 66 shall apply.

Связанные статьи

Статья 66 GDPR. Процедура срочности

Article 66 GDPR. Urgency procedure

12. Ведущий надзорный орган и иные заинтересованные надзорные органы предоставляют информацию, требуемую в соответствии с настоящей Статьей друг другу, электронным способом, с использованием стандартных форм.

12. The lead supervisory authority and the other supervisory authorities concerned shall supply the information required under this Article to each other by electronic means, using a standardised format.

Общий регламент защиты персональных данных (GDPR) Европейского союза

Перевод на русский язык выполнен одновременно с 4 официальных языков Евросоюза (английский, польский, французский и немецкий) коллективом профессионалов в области информационной приватности: С.Воронкевич, А.Богуславская, П.Лозовенко, И.Чернышева, С.Радыно, С.Головнева. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, FIP, MBA. Маппинг статей и преамбул сделан на основе публикации ICO — https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf
© Перевод на русский ООО «Дата Прайваси Офис».

General Data Protection Regulation (EU GDPR)

The latest consolidated version of the Regulation with corrections by Corrigendum, OJ L 127, 23.5.2018, p. 2 ((EU) 2016/679). Source: EUR-lex.

Преамбулы Руководство и прецедентное право Оставить комментарий

Преамбулы

(124) Если обработка персональных данных осуществляется в контексте деятельности организационной единицы контролёра или процессора в Союзе, и контролёр или процессор имеют организационные единицы в нескольких государствах-членах, или если обработка, осуществляемая в контексте деятельности единственной организационной единицы контролёра или процессора в Евросоюзе, существенно влияет или может существенно повлиять на субъекты данных в нескольких государствах-членах, надзорный орган, курирующий основную организационную единицу контролёра или процессора или единственную организационную единицу контролёра или процессора должен выступать в роли главного органа. Он должен сотрудничать с другими органами, к которым относится дело постольку, поскольку контролёр или процессор имеет организационную единицу на территории соответствующего государства-члена, поскольку на субъектов данных, проживающих на их территории, оказывается существенное воздействие, или поскольку им была подана жалоба. Также если субъект данных, не проживающий в указанном государстве-члене, подал жалобу, надзорный орган, в который была подана жалоба, должен также являться надзорным органом, к которому относится дело. В рамках своих задач по изданию руководящих указаний по любому вопросу, затрагивающему применение настоящего Регламента, Европейский совет по защите персональных данных должен иметь возможность издавать указания, в частности, в отношении критериев, которые должны быть приняты во внимание, для того чтобы удостовериться, влияет ли обработка на субъекты данных в нескольких государствах-членах, а также относительно того, что представляет собой адекватное и мотивированное возражение.

(124) Where the processing of personal data takes place in the context of the activities of an establishment of a controller or a processor in the Union and the controller or processor is established in more than one Member State, or where processing taking place in the context of the activities of a single establishment of a controller or processor in the Union substantially affects or is likely to substantially affect data subjects in more than one Member State, the supervisory authority for the main establishment of the controller or processor or for the single establishment of the controller or processor should act as lead authority. It should cooperate with the other authorities concerned, because the controller or processor has an establishment on the territory of their Member State, because data subjects residing on their territory are substantially affected, or because a complaint has been lodged with them. Also where a data subject not residing in that Member State has lodged a complaint, the supervisory authority with which such complaint has been lodged should also be a supervisory authority concerned. Within its tasks to issue guidelines on any question covering the application of this Regulation, the Board should be able to issue guidelines in particular on the criteria to be taken into account in order to ascertain whether the processing in question substantially affects data subjects in more than one Member State and on what constitutes a relevant and reasoned objection.

(125) Руководящий орган должен обладать компетенцией по принятию юридически обязательных решений в отношении мер, посредством которых осуществляются полномочия, предоставленные ему в соответствии с настоящим Регламентом. Являясь руководящим, надзорный орган должен содействовать привлечению других заинтересованных надзорных органов к участию в процессе принятия решений, а также их координации. Если принимается решение относительно полного или частичного отклонения жалобы субъекта данных, такое решение должно быть принято надзорным органом, в который была направлена жалоба.

(125) The lead authority should be competent to adopt binding decisions regarding measures applying the powers conferred on it in accordance with this Regulation. In its capacity as lead authority, the supervisory authority should closely involve and coordinate the supervisory authorities concerned in the decision-making process. Where the decision is to reject the complaint by the data subject in whole or in part, that decision should be adopted by the supervisory authority with which the complaint has been lodged.

(126) Решение должно быть принято совместно руководящим надзорным органом и соответствующими заинтересованными надзорными органами, а также быть прямо адресовано главному или единственному учреждению контролёра или процессора, и иметь обязательный характер для контролёра и процессора. Контролёр или процессор должны принять необходимые меры для обеспечения соблюдения настоящего Регламента и исполнения решения, о котором руководящий надзорный орган должен уведомить главное учреждение контролёра или процессора, относительно обработки в Союзе.

(126) The decision should be agreed jointly by the lead supervisory authority and the supervisory authorities concerned and should be directed towards the main or single establishment of the controller or processor and be binding on the controller and processor. The controller or processor should take the necessary measures to ensure compliance with this Regulation and the implementation of the decision notified by the lead supervisory authority to the main establishment of the controller or processor as regards the processing activities in the Union.

(127) Каждый надзорный орган, не действующий в качестве руководящего надзорного органа, должен обладать компетенцией по рассмотрению местным кейсов, когда контролёр или процессор учрежден в нескольких государствах-членах, но предмет конкретной обработки относится только к обработке, осуществляемой в одном государстве-члене, и только субъектов данных в этом единственном государстве-члене, например, когда предмет касается обработки персональных данных сотрудников в конкретном контексте занятости государства-члена. В таких случаях надзорный орган должен незамедлительно проинформировать руководящий надзорный орган о подобном кейсе. После получения соответствующей информации, руководящий надзорный орган должен решить, будет ли он рассматривать этот вопрос в соответствии с положениями о сотрудничестве между руководящим надзорным органом и заинтересованными надзорными органами («принцип одного окна») или надзорный орган, который его проинформировал, должен рассмотреть дело на локальном уровне. При решении вопроса, относительно рассмотрения кейса, руководящий надзорный орган должен принять во внимание, находится ли контролёр или процессор в государстве-члене надзорного органа, который его проинформировал, в целях гарантии эффективного исполнения решения в отношении контролёра или процессора Если руководящий надзорный орган решает рассматривать вопрос, проинформировавший его надзорный орган должен иметь возможность представить проект решения, который руководящий надзорный орган должен принять во внимание при подготовке своего проекта решения в рамках принципа одного окна.

(127) Each supervisory authority not acting as the lead supervisory authority should be competent to handle local cases where the controller or processor is established in more than one Member State, but the subject matter of the specific processing concerns only processing carried out in a single Member State and involves only data subjects in that single Member State, for example, where the subject matter concerns the processing of employees' personal data in the specific employment context of a Member State. In such cases, the supervisory authority should inform the lead supervisory authority without delay about the matter. After being informed, the lead supervisory authority should decide, whether it will handle the case pursuant to the provision on cooperation between the lead supervisory authority and other supervisory authorities concerned (‘one-stop-shop mechanism’), or whether the supervisory authority which informed it should handle the case at local level. When deciding whether it will handle the case, the lead supervisory authority should take into account whether there is an establishment of the controller or processor in the Member State of the supervisory authority which informed it in order to ensure effective enforcement of a decision vis-à-vis the controller or processor. Where the lead supervisory authority decides to handle the case, the supervisory authority which informed it should have the possibility to submit a draft for a decision, of which the lead supervisory authority should take utmost account when preparing its draft decision in that one-stop-shop mechanism.

(128) Положения о руководящем надзорном органе и принцип одного окна не должны применяться, если обработка осуществляется органами государственной власти или частными организациями в публичных интересах. В указанных случаях единственным надзорным органом, который вправе осуществлять полномочия, предоставленные ему в соответствии с настоящим Регламентом, должен являться надзорный орган государства-члена, в котором учрежден орган государственной власти или частная организация.

(128) The rules on the lead supervisory authority and the one-stop-shop mechanism should not apply where the processing is carried out by public authorities or private bodies in the public interest. In such cases the only supervisory authority competent to exercise the powers conferred to it in accordance with this Regulation should be the supervisory authority of the Member State where the public authority or private body is established.

(130) В случае если надзорный орган, в который была подана жалоба, не является руководящим надзорным органом, руководящий надзорный орган должен сотрудничать с надзорным органом, в который была подана жалоба, в соответствии с положениями о сотрудничестве и содействии, предусмотренными настоящим Регламентом. В этих случаях руководящий надзорный орган при принятии мер, которые должны привести к юридическим последствиям, включая наложение административных штрафов, должен учесть мнение надзорного органа, которому была подана жалоба и который должен оставаться компетентным в случае рассмотрения на территории его собственного государства-члена совместно с компетентным надзорным органом.

(130) Where the supervisory authority with which the complaint has been lodged is not the lead supervisory authority, the lead supervisory authority should closely cooperate with the supervisory authority with which the complaint has been lodged in accordance with the provisions on cooperation and consistency laid down in this Regulation. In such cases, the lead supervisory authority should, when taking measures intended to produce legal effects, including the imposition of administrative fines, take utmost account of the view of the supervisory authority with which the complaint has been lodged and which should remain competent to carry out any investigation on the territory of its own Member State in liaison with the competent supervisory authority.

(131) В случае если другой надзорный орган должен выступать в качестве руководящего надзорного органа в отношении обработки контролёра или процессора, но конкретный предмет жалобы или возможное нарушение касается только обработки контролёра или процессора в государстве-члене, куда жалоба была подана или было обнаружено возможное нарушение, а обстоятельства дела существенно не влияет или не должно влиять на субъектов данных в других государствах-членах, надзорный орган, в который подаётся жалоба или который установил или иным образом был проинформирован о ситуациях, которые влекут за собой возможные нарушения настоящего Регламента, должен приложить усилия для мирного разрешения споров с контролёром и, если это не принесет результата, должен использовать все свои полномочия. К таковым относятся: конкретная обработка на территории государства-члена надзорного органа или в отношении субъектов данных на территории указанного государства-члена; обработка в контексте предложения товаров или услуг, специально предназначенных для субъектов данных на территории государства-члена надзорного органа; обработка, которая должна быть оценена с учётом соответствующих правовых обязательств в соответствии с правом государства-члена.

(131) Where another supervisory authority should act as a lead supervisory authority for the processing activities of the controller or processor but the concrete subject matter of a complaint or the possible infringement concerns only processing activities of the controller or processor in the Member State where the complaint has been lodged or the possible infringement detected and the matter does not substantially affect or is not likely to substantially affect data subjects in other Member States, the supervisory authority receiving a complaint or detecting or being informed otherwise of situations that entail possible infringements of this Regulation should seek an amicable settlement with the controller and, if this proves unsuccessful, exercise its full range of powers. This should include: specific processing carried out in the territory of the Member State of the supervisory authority or with regard to data subjects on the territory of that Member State; processing that is carried out in the context of an offer of goods or services specifically aimed at data subjects in the territory of the Member State of the supervisory authority; or processing that has to be assessed taking into account relevant legal obligations under Member State law.

Руководство и прецедентное право

(EN)

Documents

Article 29 Working Party, Guidelines for Identifying a Controller or Processor’s Lead Supervisory Authority (2017).

EDPB, Guidelines 09/2020 on relevant and reasoned objection under Regulation 2016/679 (2021).

Оставить комментарий

[js-disqus]