Навігація
GDPR > Стаття 27. Представники контролерів або операторів, які не мають осідків у Союзі
Завантажити в PDF

Стаття 27 GDPR. Представники контролерів або операторів, які не мають осідків у Союзі

1. У разі застосування статті 3(2), контролер або оператор повинен призначити в письмовій формі представника в Союзі.

Пов'язані норми

2. Обов’язок, установлений у параграфі 1 цієї статті, не застосовують до:

(a) опрацювання, яке призначено для окремого випадку, воно не передбачає, у великих обсягах, опрацювання спеціальних категорій даних, як вказано в статті 9(1), або опрацювання даних про судимості і кримінальні злочини, вказані в статті 10, та ймовірно не призведе до виникнення ризику для прав і свобод фізичних осіб, з огляду на специфіку, контекст, масштаб і цілі опрацювання; або

Пов'язані норми

(b) органу чи установи публічної влади.

3. Представник має осідок в одній з держав-членів, де перебувають суб’єкти даних, чиї персональні дані опрацьовують у зв’язку з пропонуванням їм товарів чи послуг, або чию поведінку відстежують.

4. Представник отримує мандат від контролера або оператора, за яким до нього можуть звертатися окрім або замість контролера або оператора, зокрема, наглядові органи і суб’єкти даних, з усіх питань, пов’язаних з опрацюванням, з метою забезпечення відповідності цьому Регламенту.

5. Призначення представника контролером або оператором необхідно здійснювати без обмеження судових позовів, які могли бути ініційовані проти контролера або оператора як таких.

ISO 27701 Преамбули Залишити коментар
ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 6.1.1.

Here is the relevant paragraph to article 27 GDPR:

6.3.1.1 Information security roles and responsibilities

Implementation guidance

The organization should designate a point of contact for use by the customer regarding the processing of PII. When the organization is a PII controller, designate a point of contact for PII principals regarding the processing of their PII (see 7.3.2).

The organization should appoint one or more persons responsible for developing, implementing, maintaining and monitoring an organization-wide governance and privacy program, to ensure compliance with all applicable laws and regulations regarding the processing of PII.

(EN) […]


to read the full text

Преамбули

(80) Якщо контролер або оператор, що не має осідку в Союзі, опрацьовує персональні дані суб'єктів даних, які перебувають в Союзі, опрацювання даних яких стосується надання товарів чи постачання послуг, незалежно від необхідності здійснення оплати суб'єктом даних таким суб'єктам даних у Союзі або моніторингу їхньої поведінки мірою вираження їхньої поведінки в Союзі, контролер і оператор повинні призначити представника, за винятком ситуацій, коли опрацювання призначено для окремого випадку, включає опрацювання, у великих масштабах, спеціальних категорій персональних даних або опрацювання персональних даних щодо судимостей та кримінальних злочинів, та ймовірно створить ризик для прав і свобод фізичних осіб, враховуючи специфіку, масштаб і цілі опрацювання або якщо контролер є органом публічної влади. Представник повинен діяти від імені контролера або оператора, та до нього може звертатися будь-який наглядовий орган. Представника необхідно чітко призначати на підставі письмового доручення контролера або оператора діяти від його імені у контексті його зобов'язань згідно з цим Регламентом. Призначення такого представника не впливає на обов'язки або відповідальність контролера або оператора згідно з цим Регламентом. Такий представник повинен виконувати свої обов'язки згідно з повноваженнями, отриманими від контролера або оператора, в тому числі, співпрацюючи з компетентними наглядовими органами щодо будь-якої дії, вчиненої для забезпечення відповідності цьому Регламенту. На призначеного представника поширюється застосування виконавчого провадження у випадку порушень з боку контролера або оператора.

Залишити коментар
[js-disqus]