Руководство по 25 статье GDPR (Защита персональных данных: проектируемая и по умолчанию) в соответствии с Регламентом 2016/679

3.1 Прозрачность [24]

_{[24] Более подробно о том, как понимать концепцию прозрачности, можно прочитать в документе Рабочей группы по статье 29 “Руководящие принципы прозрачности согласно Регламенту 2016/679”. WP 260 rev.01, 11 апреля 2018 года: ec.europa.eu/newsroom/article29/document.cfm?action=display&doc_id=51025 – одобрено EDPB}

65. Контроллер должен быть ясным и открытым для субъектов данных в отношении того, как он будет собирать, использовать и распространять персональные данные. Прозрачность – это то, что позволяет субъектам данных понять и, если необходимо, использовать их права, закрепленные в статьях 15-22. Этот принцип закреплен в статьях 12, 13, 14 и 34 GDPR. Следует также принять меры и гарантии в поддержку принципа прозрачности для поддержания осуществления положений этих статей

65. Ключевые элементы спроектированной приватности по умолчанию в соответствии с принципом прозрачности могут включать в себя:

•Ясность – информация должна быть изложена ясным и понятным языком, должна быть краткой и понятной.

•Семантика – коммуникация должна быть понятной для аудитории.

•Доступность – информация должна быть легкодоступной для субъекта данных.

•Контекстуальная – информация должна предоставляться в соответствующее время и в надлежащее форме.

•Релевантность– информация должна быть релевантной и применимой к конкретному субъекту данных.

•Универсальная конструкция – информация должна быть доступна для всех субъектов данных, включая использование машиночитаемой информации для облегчения и автоматизации чтения и ясности.

•Понятность – субъекты данных должны иметь разумное понимание того, что они могут ожидать от обработки их персональных данных, особенно в тех случаях, когда субъекты данных являются детьми или другими уязвимыми группами населения.

•Многоканальность – информация должна предоставляться в различных каналах и средствах массовой информации, помимо текстовой, чтобы увеличить вероятность того, что информация эффективно достигнет субъекта данных.

• Многоуровневая – Информация должна быть многоуровневой, чтобы устранить противоречие между целостностью и пониманием, учитывая при этом обоснованные ожидания субъектов данных.

Статья 24 GDPR. Предмет и задачи

1. Принимая во внимание характер, масштабы, контекст и цели обработки, а также риски, связанные с той или иной вероятностью и серьезностью нарушения прав и свобод физических лиц, контролёр принимает соответствующие технические и организационные меры для того, чтобы обеспечить и быть в состоянии продемонстрировать, что обработка выполняется в соответствии с настоящим Регламентом. При необходимости эти меры пересматриваются и обновляются.

2. В тех случаях, когда они пропорциональны процессам обработки, меры, упомянутые в параграфе 1, включают в себя осуществление контролёрами соответствующих политик защиты данных.

3. Соблюдение утвержденных кодексов поведения, упомянутых в статье 40 или утвержденных механизмов сертификации, упомянутых в статье 42, может использоваться в качестве элемента для демонстрации соблюдения обязанностей контролёра.

Статья 25 GDPR. Защита персональных данных: проектируемая и по умолчанию

1. Принимая во внимание текущий уровень научно-технического прогресса, затраты на внедрение, характер, масштаб, контекст и цель обработки, а также риски, связанные с той или иной вероятностью и серьезностью нарушения прав и свобод физических лиц, вызванные обработкой, контролёр, как во время определения средств обработки, так и во время самой обработки, внедряет надлежащие технические и организационные меры, например, псевдонимизацию, предназначенные для эффективного внедрения принципов защиты персональных данных, таких как минимизация данных, а также для интеграции необходимых гарантий в обработку с целью соблюдения требований настоящего Регламента и защиты прав субъектов данных.

2. Контролёр внедряет надлежащие технические и организационные меры для обеспечения того, чтобы по умолчанию обрабатывались только персональные данные, обработка которых требуется для конкретной цели обработки. Это обязательство распространяется на количество собранных персональных данных, степень их обработки, срок их хранения и их доступность. В частности, такие меры должны гарантировать, что персональные данные не будут доступны без вмешательства лица для неопределенного круга физических лиц по умолчанию.

3. Утвержденный механизм сертификации, упомянутый в статье 42, может служить одним элементов для демонстрации соответствия требованиям, изложенным в параграфах 1 и 2 настоящей статьи.

Статья 32 GDPR. Безопасность обработки

1. Принимая во внимание текущий уровень научно-технического прогресса, стоимость внедрения и характер, масштабы, контекст и цели обработки, а также риски, связанные с той или иной вероятностью и серьезностью нарушения прав и свобод физических лиц, контролёр и процессор должны реализовать соответствующие технические и организационные меры для обеспечения уровня безопасности соответствующего данным рискам, включая в частности при необходимости:

(a) псевдонимизацию и шифрование персональных данных;

(b) способность обеспечить постоянную конфиденциальность, целостность, доступность и устойчивость систем и сервисов обработки;

(c) способность своевременно восстанавливать доступность персональных данных в случае возникновения физического или технического инцидента;

(d) регулярное тестирование, оценку и измерение эффективности технических и организационных мер по обеспечению безопасности обработки.

2. При оценке достаточности уровня безопасности необходимо учитывать риски, связанные с обработкой, в частности риски случайного или незаконного уничтожения, потери, изменения, несанкционированного раскрытия или доступа к переданным, хранимым, или другим образом обрабатываемым персональным данным

3. Следование утвержденному кодексу поведения, указанному в статье 40, или утвержденному механизму сертификации, упомянутому в статье 42, может служить элементом демонстрации следования требованиям параграфа 1 настоящей статьи.

4. Контролёр и процессор должны принимать меры для обеспечения того, чтобы любое физическое лицо, действующее от имени контролёра или процессора и имеющее доступ к персональным данным, обрабатывало их исключительно по распоряжениям, полученным от контролёра, за исключением случаев, когда обработка требуется согласно законодательству Союза или государства-члена.

Статья 77 GDPR. Право подать жалобу в надзорный орган

1. Без ущерба для любых иных административных или судебных средств защиты, каждый субъект данных должен обладать правом подачи жалобы в надзорный орган, в том числе, в государстве-члене его/ее обычного места жительства, места работы или места предполагаемого нарушения, если субъект данных считает, что обработка относящихся к нему/ней персональных данных нарушает настоящий Регламент.

2. Надзорный орган, в который была подана жалоба, должен проинформировать заявителя о ходе и результатах жалобы, включая возможность судебной защиты прав в порядке Статьи 78.

Статья 79 GDPR. Право на эффективные средства судебной защиты в отношении контролёра или процессора

1. Без ущерба для любых иных административных или вне-судебных средств защиты, в том числе праву подачи жалобы в надзорный орган, согласно Статье 77, каждый субъект данных должен иметь право на эффективные средства судебной защиты, если он/она считает, что его/ее права по настоящему Регламенту были нарушены в результате обработки его/ее персональных данных в нарушение требований настоящего Регламента.

2. Производство против контролёра или процессора должно быть передано в суд государства-члена, где контролёр или процессор имеют организационную единицу. Как альтернативный вариант, такое производство может быть передано в суд государства-члена, где субъект данных имеет его/ее обычное место жительства, кроме тех случаев, когда контролёр или процессор является органом власти государства-члена, действуя при осуществлении им публичных полномочий.

Статья 3 GDPR. Территориальная сфера действия

1. Настоящий Регламент применяется к обработке персональных данных в контексте деятельности организационной единицы контролёра или процессора в Союзе, независимо от того, производится обработка в Союзе или нет.

2. Настоящий Регламент применяется к обработке персональных данных субъектов данных, находящихся в Союзе, контролёром или процессором, не имеющими организационной единицы в Союзе, если процессы обработки данных касаются:

(a) предложения товаров и услуг субъектам данных, находящимся в Союзе, независимо от того, требуется ли от них оплата, или нет, либо

(b) мониторинга их поведения, если такое поведение происходит в Союзе.

3. Настоящий Регламент применяются к обработке персональных данных контролёром, не имеющим организационной единицы в Союзе, но имеющим организационную единицу в том месте, где согласно международному публичному праву действует законодательство государства-члена.

Статья 46 GDPR. Передача данных при условии осуществления надлежащих гарантий

[…]

2. Надлежащие гарантии, указанные в параграфе 1, можно обеспечить (без необходимости получения специального разрешения от надзорного органа) с помощью:

[…]

(e) утвержденного кодекса поведения согласно ст. 40 вместе с обязательными и обладающими силой принудительного исполнения обязательствами контролёра или процессора в третьей стране применить надлежащие меры, в том числе в отношении прав субъектов данных; или

Статья 41 GDPR. Мониторинг утвержденных кодексов поведения

1. Без ущерба для задач и полномочий компетентного надзорного органа, вытекающих из Статьи 57 и 58, мониторинг соблюдения кодекса поведения согласно Статьей 40 может осуществляться органом, обладающим соответствующим уровнем квалификации в сфере, регулируемой кодексом, а также аккредитованным для таких целей компетентным надзорным органом.

[…]

Статья 55 GDPR. Компетенция

Статья 56 GDPR. Компетенция ведущего надзорного органа

Статья 55 GDPR. Компетенция

Статья 55 GDPR. Компетенция

Статья 63 GDPR. Механизм согласования

С целью способствования согласованному применению настоящего Регламента в Союзе надзорные органы должны сотрудничать друг с другом и в соответствующих случаях с Комиссией посредством механизма согласования, указанного в настоящем Разделе.

Статья 93 GDPR. Процедура Комитета

[…]

2. В случае, когда сделана ссылка на настоящий параграф, должна применяться Статья 5 Регламента (ЕС) 182/2011.

[…]