Статья 83 📖 GDPR. Общие условия для наложения административных штрафов

Статья 83 GDPR. Общие условия для наложения административных штрафов

Article 83 GDPR. General conditions for imposing administrative fines

1. Каждый надзорный орган должен гарантировать, что наложение административного штрафа за нарушения данного Регламента, упомянутые в параграфах 4, 5 и 6 настоящей статьи, в каждом индивидуальном случае является эффективным, соразмерным и сдерживающим.

1. Each supervisory authority shall ensure that the imposition of administrative fines pursuant to this Article in respect of infringements of this Regulation referred to in paragraphs 4, 5 and 6 shall in each individual case be effective, proportionate and dissuasive.

2. Административные штрафы накладываются в зависимости от обстоятельств каждого индивидуального случая, в дополнение или вместо мер, указанных в пунктах a-h и j параграфа 2 статьи 58. При решении вопроса о наложении административного взыскания и установлении его размера, в каждом индивидуальном случае необходимо принимать во внимание:

2. Administrative fines shall, depending on the circumstances of each individual case, be imposed in addition to, or instead of, measures referred to in points (a) to (h) and (j) of Article 58(2). When deciding whether to impose an administrative fine and deciding on the amount of the administrative fine in each individual case due regard shall be given to the following:

Связанные статьи

Статья 58 GDPR. Полномочия

Article 58 GDPR. Powers

[…]

2. Каждый надзорный орган должен располагать следующими корректирующими полномочиями:

2. Each supervisory authority shall have all of the following corrective powers:

(a) выдавать предупреждения контролёру или процессору о том, что запланированная обработка данных может нарушать положения настоящего Регламента;

(a) to issue warnings to a controller or processor that intended processing operations are likely to infringe provisions of this Regulation;

(b) делать предупреждения контролёру или процессору, если обработка данных нарушила положения настоящего Регламента;

(b) to issue reprimands to a controller or a processor where processing operations have infringed provisions of this Regulation;

(c) потребовать от контролёра или процессора удовлетворения запроса субъекта данных относительно осуществления его прав согласно настоящему Регламенту;

(c) to order the controller or the processor to comply with the data subject’s requests to exercise his or her rights pursuant to this Regulation;

(d) потребовать, при необходимости, от контролёра или процессора приведения процесса обработки данных в соответствие с положениями настоящего Регламента в установленном порядке и в установленный срок;

(d) to order the controller or processor to bring processing operations into compliance with the provisions of this Regulation, where appropriate, in a specified manner and within a specified period;

(e) потребовать, чтобы контролёр сообщил субъекту данных о нарушении безопасности персональных данных;

(e) to order the controller to communicate a personal data breach to the data subject;

(f) наложить временное или окончательное ограничение на обработку данных, включая запрет обработки;

(f) to impose a temporary or definitive limitation including a ban on processing;

(g) потребовать исправления или уничтожения персональных данных, или ограничения обработки согласно Статьям 16, 17 и 18, а также уведомления об указанных действиях получателей, которым были раскрыты персональные данные согласно Статье 17(2) и Статье 19;

(g) to order the rectification or erasure of personal data or restriction of processing pursuant to Articles 16, 17 and 18 and the notification of such actions to recipients to whom the personal data have been disclosed pursuant to Article 17(2) and Article 19;

(h) отозвать сертификат, или потребовать от сертификационного органа отзыва сертификата, предоставленного согласно Статьям 42 и 43, или потребовать, чтобы сертификационный орган не выдавал сертификат, если требования для сертификации не выполняются или больше не выполняются;

(h) to withdraw a certification or to order the certification body to withdraw a certification issued pursuant to Articles 42 and 43, or to order the certification body not to issue certification if the requirements for the certification are not or are no longer met;

[…]

(j) потребовать приостановить передачу данных получателю в третьей стране или международной организации.

(j) to order the suspension of data flows to a recipient in a third country or to an international organisation.

(а) характер, тяжесть и продолжительность нарушения с учетом характера, объема или цели обработки, количества пострадавших субъектов данных и размера причиненного им вреда;

(a) the nature, gravity and duration of the infringement taking into account the nature scope or purpose of the processing concerned as well as the number of data subjects affected and the level of damage suffered by them;

Связанные статьи

Руководство по применению и определению административных штрафов для целей Регламента 2016/679

Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679

Продолжительность нарушения может свидетельствовать, к примеру, о:

Duration of the infringement may be illustrative of, for example:

a) умышленные действия со стороны контроллера данных, или

a) wilful conduct on the data controller’s part, or

b) непринятие соответствующих превентивных мер, или

b) failure to take appropriate preventive measures, or

c) неспособность принять необходимые технические и организационные меры.

c) inability to put in place the required technical and organisational measures.

(b) умышленный или небрежный характер нарушения

(b) the intentional or negligent character of the infringement

(b) преднамеренный или непреднамеренный характер нарушения;

(b) the intentional or negligent character of the infringement;

Связанные статьи

Руководство по применению и определению административных штрафов для целей Регламента 2016/679

Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679

В качестве примеров обстоятельств, указывающих на умышленный характер нарушения, можно рассматривать незаконную обработку данных, явным образом санкционированную высшим руководящим звеном контролера, или осуществленную вопреки совету должностного лица по защите данных; а также игнорирование существующих стратегий, к примеру, получение и обработка данных о сотрудниках конкурента с намерением дискредитировать этого конкурента на рынке.

Circumstances indicative of intentional breaches might be unlawful processing authorised explicitly by the top management hierarchy of the controller, or in spite of advice from the data protection officer or in disregard for existing policies, for example obtaining and processing data about employees at a competitor with an intention to discredit that competitor in the market.

Иными примерами обстоятельств, указывающих на наличие умысла, могут служить:

Other examples here might be:

• изменение персональных данных для создания ложного (положительного) представления о том, были ли достигнуты определенные цели — мы видели это в контексте целевых показателей времени ожидания в больнице

• amending personal data to give a misleading (positive) impression about whether targets have been met – we have seen this in the context of targets for hospital waiting times

• торговля персональными данными в маркетинговых целях, то есть продажа данных по «предпочтению» без проверки / без учета мнений субъектов данных о том, как их данные должны использоваться

• the trade of personal data for marketing purpose ie selling data as ‘opted in’ without checking/disregarding data subjects’ views about how their data should be used

На небрежный характер нарушения могут указывать такие обстоятельства как несоблюдение существующих стратегий, человеческий фактор (ошибка), неспособность произвести проверку опубликованной информации на предмет наличия в ней персональных данных, несвоевременное применение технических обновлений, непринятие стратегий (а не просто неприменение их).

Other circumstances, such as failure to read and abide by existing policies, human error, failure to check for personal data in information published, failure to apply technical updates in a timely manner, failure to adopt policies (rather than simply failure to apply them)may be indicative of negligence.

(c) любые действия, предпринятые контролёром или процессором для уменьшения ущерба, причиненного субъектами данных;

(c) any action taken by the controller or processor to mitigate the damage suffered by data subjects;

(d) степень ответственности контролёра или процессора, учитывая предпринятые ими технические и организационные меры согласно статьям 25 и 32;

(d) the degree of responsibility of the controller or processor taking into account technical and organisational measures implemented by them pursuant to Articles 25 and 32;

Связанные статьи

Статья 25 GDPR. Защита персональных данных: проектируемая и по умолчанию

Article 25 GDPR. Data protection by design and by default

Статья 32 GDPR. Безопасность обработки

Article 32 GDPR. Security of processing

(e) любые относящиеся предыдущие нарушения со стороны контролёра или процессора;

(e) any relevant previous infringements by the controller or processor;

Связанные статьи

Руководство по применению и определению административных штрафов для целей Регламента 2016/679

Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679

(e) любые соответствующие предыдущие нарушения, совершенные контролером или процессором;

(e) any relevant previous infringements by the controller or processor;

Надзорному органу надлежит оценить:

The supervisory authority should assess:

• Совершал ли контроллер / процессор ранее аналогичное нарушение?

• Has the controller/processor committed the same infringement earlier?

• Нарушил ли контролер / процессор Регламент таким же образом? (например, в результате недостаточного знания существующих процедур в организации или вследствие ненадлежащей оценки рисков, несвоевременного реагирования на запросы от субъекта данных, неоправданной задержки ответа на запросы и так далее).

• Has the controller/ processor committed an infringement of the Regulation in the same manner? (for example as a consequence of insufficient knowledge of existing routines in the organisation, or as a consequence of inappropriate risk assessment, not being responsive to requests from the data subject in a timely manner, unjustified delay in responding to requests and so on).

(f) степень сотрудничества с надзорным органом в целях устранения нарушения и смягчения возможных негативных последствий нарушения;

(f) the degree of cooperation with the supervisory authority, in order to remedy the infringement and mitigate the possible adverse effects of the infringement;

(g) категории персональных данных, пострадавших в результате нарушения;

(g) the categories of personal data affected by the infringement;

Связанные статьи

Руководство по применению и определению административных штрафов для целей Регламента 2016/679

Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679

(g) категории персональных данных, затронутых нарушением;

(g) the categories of the personal data affected by the infringement;

Вот некоторые примеры ключевых вопросов, на которые надзорный орган может счесть необходимым ответить, если это уместно в конкретном случае:

Some examples of key questions that the supervisory authority may find it necessary to answer here, if appropriate to the case, are:

• Касается ли нарушение обработки особых категорий данных, указанных в статьях 9 или 10 Регламента?

• Does the infringement concern processing of special categories of data set out in articles 9 or 10 of the Regulation?

• Поддаются ли данные прямой / косвенной идентификации?

• Is the data directly identifiable/ indirectly identifiable?

• Включает ли обработка данных, распространение которых приведет к непосредственному ущербу / опасности для человека (что не подпадает под категорию статей 9 или 10)?

• Does the processing involve data whose dissemination would cause immediate damage/distress to the individual (which falls outside the category of article 9 or 10)?

• Доступны ли данные напрямую без технической защиты или же они зашифрованы [13]?

• Is the data directly available without technical protections, or is it encrypted [13]?

_{[13] То, что нарушение касается только косвенно идентифицируемых или даже псевдонимных / зашифрованных данных, не всегда следует рассматривать как «дополнительный» смягчающий фактор. В отношении этих нарушений общая оценка других критериев может дать умеренное или убедительное указание на то, что следует наложить штраф.}

_{[13] It shouldn’t always be considered ‘a bonus’ mitigating factor that the breach only concerns indirectly identifiable or even pseudonymous/encrypted data. For those breaches, an overall assessment of the other criteria might give a moderate or strong indication that a fine should be imposed.}

(h) каким образом надзорный орган узнал о нарушении, в частности, уведомил ли контролёр или процессор о нарушении и, если уведомил, то в какой степени;

(h) the manner in which the infringement became known to the supervisory authority, in particular whether, and if so to what extent, the controller or processor notified the infringement;

(i) исполнение мер, упомянутых в статье 58(2), по тому же самому делу, если таковые ранее применялись в отношении контролёра или процессора;

(i) where measures referred to in Article 58(2) have previously been ordered against the controller or processor concerned with regard to the same subject-matter, compliance with those measures;