|
ЕВРОПЕЙСКИЙ ПАРЛАМЕНТ И СОВЕТ ЕВРОПЕЙСКОГО СОЮЗА,
принимая во внимание Договор об учреждении Европейского Сообщества и, в частности, статью ЮОа этого Договора,
принимая во внимание предложение Комиссии (1),
принимая во внимание мнение Комитета по экономическим и социальным вопросам (2),
действуя в соответствии с процедурой, установленной статьей 189Ь Договора,
ПРИНЯЛИ НАСТОЯЩУЮ ДИРЕКТИВУ:
Глава I
ОБЩИЕ ПОЛОЖЕНИЯ
Статья 1. Предмет Директивы
1. В соответствии с настоящей Директивой, государства-участники защищают фундаментальные права и свободы физических лиц, и, в частности, их право на неприкосновенность частной жизни применительно к обработке персональных данных.
2. Государства-участники не будут ни ограничивать, ни запрещать свободный поток персональных данных между государствами-участниками по причинам, связанным с защитой, допускаемой в п. 1.
Статья 2. Определения
Для целей настоящей Директивы:
(a) «персональные данные» означают любую информацию, связанную с идентифицированным или идентифицируемым физическим лицом («субъектом данных»); идентифицируемым лицом является лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификационный номер или на один или несколько факторов, специфичных для его физической, психологической, ментальной, экономической, культурной или социальной идентичности;
(b) «обработка персональных данных» («обработка») означает любую операцию или набор операций, выполняемых над персональными данными, как автоматическими средствами, так и без таковых, такие как сбор, запись, организация, хранение, актуализация или изменение, извлечение, консультирование, использование, раскрытие посредством передачи, распространения или предоставления иного доступа, группировка, блокирование, стирание или разрушение;
(c) «картотека персональных данных» («картотека») означает любой структурированный набор личных данных, являющийся доступным в соответствии с определенными критериями, централизованный, децентрализованный или распределенный на функциональной или географической основе;
(d) «контролер» означает физическое или юридическое лицо, официальный орган, агентство или иной орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных; в случае, когда цели или средства обработки определяются национальным законодательством или законами, или нормами Сообщества, контролер или особые критерии его назначения могут устанавливаться национальным законом или законом Сообщества;
(e) «обработчик» означает физическое или юридическое лицо, официальный орган, агентство или иной орган, который обрабатывает персональные данные по поручению контролера;
(f) «третья сторона» означает любое физическое или юридическое лицо, официальный орган, агентство или иной орган, кроме субъекта данных, контролера, обработчика и лиц, которые уполномочены обрабатывать данные с прямой санкции контролера или обработчика;
(g) «получатель» означает физическое или юридическое лицо, официальный орган, агентство или иной орган, которому раскрываются данные, являющееся или не являющееся третьей стороной; однако власти, могущие получать данные в рамках частного запроса, не должны считаться получателями;
(h) «согласие субъекта данных» означает любое свободно данное конкретное и сознательное указание о своей воле, которым субъект данных оповещает о своем согласии на обработку касающихся его персональных данных.
Статья 3. Пределы
1. Настоящая Директива применяется к обработке персональных данных, полностью или частично автоматическими средствами, и обработке средствами, отличными от автоматических, персональных данных, составляющих часть картотеки или предназначенных составлять часть картотеки.
2. Настоящая Директива не применяется к обработке персональных данных:
• в ходе деятельности, выходящей за рамки закона Сообщества, таких как указано в Разделах V и VI Соглашения о Европейском Союзе, и в любом случае к операциям по обработке, касающимся общественной безопасности, обороны, государственной безопасности (включая экономическое благосостояние государства, если операции по обработке относятся с вопросам государственной безопасности) и деятельности государства в сферах уголовного права,
• физическим лицом в ходе чисто личной или бытовой деятельности.
Статья 4. Применимое национальное законодательство
1. Каждое государство-участник применяет национальные положения, которые оно принимает на основании настоящей Директивы для обработки персональных данных в случае, если:
(a) обработка осуществляется в контексте деятельности учреждения контролера на территории государства-участника; если тот же контролер учреждается на территории нескольких государств-участников, он должен предпринять необходимые меры в обеспечение того, чтобы каждое из этих учреждений выполняло обязательства, установленные применимым национальным законодательством;
(b) контролер учрежден не на территории государства-участника, а в месте, где его национальное законодательство применяется на основании международного публичного права;
(c) контролер учрежден не на территория Сообщества и, в целях обработки персональных данных, использует оборудование, автоматизированное или иное, расположенное на территории указанного государства-участника, если такое оборудование не используется только для целей транзита по территории Сообщества.
2. При обстоятельствах, указанных в пункте 1 (с), контролер должен назначить представителя, учрежденного на территории такого государства-участника, без ущерба для судебных исков, которые могут быть возбуждены против самого контролера.
Глава II
ОБЩИЕ НОРМЫ О ЗАКОННОСТИ ОБРАБОТКИ ЛИЧНЫХ ДАННЫХ
Статья 5
Государства-участники, в пределах положений настоящей Главы, определят подробнее условия, в соответствии с которыми обработка персональных данных является законной.
Раздел I
Принципы, касающиеся качества данных
Статья 6
1. Государства-участники примут меры, чтобы персональные данные: (а) обрабатывались корректно и законно;
(b) собирались для объявленных, явных и законных целей, и в дальнейшем не обрабатывались каким-либо образом, несовместимым с этими целями. Дальнейшая обработка данных для исторических, статистических или научных целей не считается несовместимой с данными принципами при условии, что государства-участники обеспечат соответствующие гарантии;
(c) были адекватными, относящимися к делу и не избыточными в отношении целей, для которых они собираются и/или в дальнейшем обрабатываются;
(d) были точными и — если необходимо — актуальными; должны быть предприняты любые обоснованные шаги, чтобы неточные или неполные данные, применительно к целям, для которых они собирались или для которых они впоследствии обрабатывались, удалялись или уточнялись;
(e) хранились в форме, позволяющей идентификацию субъектов данных не долее, чем это необходимо для целей, с которыми данные собирались или впоследствии обрабатывались. Государства-участники установят необходимые гарантии для персональных данных, хранимых более длительные сроки в исторических, статистических или научных целей.
2. Контроль за выполнением пункта 1 является обязанностью контролера.
Раздел II
Критерии для легитимизации обработки данных
Статья 7
Государства-участники обеспечат, что личные данные будут обрабатываться только в случае, если:
(a) субъект данных недвусмысленно дал свое согласие; или
(b) обработка необходима для исполнения контракта, в котором субъект данных является стороной или для принятия мер до заключения контракта по просьбе субъекта данных; или
(c) обработка необходима для выполнения юридического обязательства, субъектом которого является контролер; или
(d) обработка необходима для защиты жизненных интересов субъекта данных; или
(e) обработка необходима в целях обеспечения законных интересов контролера или третьей стороны (сторон), которым раскрыты данные, кроме случаев, когда такие интересы перекрываются интересами фундаментальных прав и свобод субъекта данных, защита которых требуется согласно Статье 1(1).
Раздел III
Особые категории обработки
Статья 8. Обработка особых категорий данных
1. Государства-участники запретят обработку персональных данных, раскрывающих расовое или этническое происхождение, политические взгляды, вероисповедание или философское воззрение, членство в профессиональном союзе, а также обработку данных, касающихся здоровья или интимной жизни.
2. Пункт 1 не применяется в случае, если:
(a) субъект данных дал свое явное согласие на обработку таких данных, кроме случаев, когда законами государства-участника установлено, что указанный в п. 1 запрет не может быть отменен на основании согласия субъекта данных; или
(b) обработка необходима в целях исполнения обязательств и особых прав контролера в сфере законодательства о труде в той мере, в какой это допускается национальным законодательством, предусматривающим адекватные гарантии; или
(c) обработка необходима для защиты жизненных интересов субъекта данных или иного лица, если субъект данных физически или юридически неспособен дать свое согласие; или
(d) обработка осуществляется в ходе законной деятельности с надлежащими гарантиями фондом, ассоциацией или любой иной некоммерческой организацией в политических, философских, религиозных или профсоюзных целях и при условии, что обработка относится исключительно к членам организации или лицам, имеющим регулярный контакт с нею в связи с ее целями, и что данные не раскрываются третьим лицам без согласия субъекта данных; или
(e) обработка относится к данным, которые явно сделаны общедоступными субъектом данных, или являются необходимыми для внесения, поддержания или защиты судебных исков.
3. Пункт 1 не применяется в случае, если обработка данных требуется в целях превентивной медицины, медицинского диагноза, предоставления медицинского обслуживания, лечения или управления услугами здравоохранения, а также если такие данные находятся во владении лица, профессионально занимающегося медицинской деятельностью в соответствии с национальным законодательством или правилами, установленными компетентными национальными органами, устанавливающими обязательства сохранения профессиональной тайны, или иного лица, также имеющего эквивалентные обязательства по сохранению тайны.
4. При условии предоставления надлежащих гарантий, государства-участники могут по причинам особого общественного интереса установить исключения дополнительно к указанным в п. 2 либо посредством национального законодательства, либо по решению надзорного органа.
5. Обработка данных, касающихся правонарушений, уголовного наказания или мер безопасности, может осуществляться только под контролем официального органа, или — если в соответствии с национальным законодательством предусмотрены надлежащие особые гарантии — с учетом частичных исключений, установленных государством-участником в соответствии с национальными нормами, предусматривающими надлежащие особые гарантии. Однако полный реестр уголовных приговоров может вестись только под контролем официального органа.
Государства-участники могут установить, что данные, касающиеся административных санкций или судебных решений по гражданским делам, также могут обрабатываться под контролем официального органа.
6. Исключения из пункта 1, предусмотренные в пп. 4 и 5, должны сообщаться Комиссии.
7. Государства-участники определяют условия, на которых может обрабатываться национальный идентификационный номер или любой иной идентификатор общего назначения.
Статья 9. Обработка персональных данных и свобода выражения
Государства-участники установят освобождения или исключения из положений настоящей главы, главы IV и главы VI для обработки персональных данных, осуществляемой исключительно в целях журналистики или в целях художественного или литературного творчества, только если они необходимы для применения права на неприкосновенность частной жизни с правилами, регулирующими свободу слова.
Раздел IV
Информация, передаваемая субъекту данных
Статья 10. Информация в случаях сбора данных у субъекта данных
Государства-участники обеспечат, что контролер или его представитель предоставят субъекту данных, у которого получены касающиеся его данные, по меньшей мере следующую информацию, кроме случаев, когда он уже обладает ею:
(a) личность контролера или его представителя, если таковой имеется;
(b) цели обработки, для которых предназначены данные;
(c) любую иную информацию, такую, как:
• получатели или категории получателей данных;
• является ли ответ на вопросы обязательным или добровольным, а также возможные последствия отказа от ответа;
• наличие права доступа и права уточнять касающиеся его данные в той мере, в какой требуется дополнительная информация, касающаяся конкретных обстоятельств, при которых собираются данные, чтобы гарантировать корректную обработку применительно к субъекту данных.
Статья 11. Информация в случаях, когда данные были получены не у субъекта данных
1. Если данные были получены не у субъекта данных, государства-участники обеспечат, что контролер или его представитель на момент документирования персональных данных или в случае, когда предполагается разглашение данных третьей стороне, не позднее времени, когда данные впервые разглашаются, предоставит субъекту данных по меньшей мере следующую информацию, кроме случаев, когда он уже обладает ею:
(a) личность контролера или его представителя, если таковой имеется;
(b) цели обработки;
(c) любую иную информацию, такую, как:
• категории используемых данных;
• получатели или категории получателей данных;
• наличие права доступа и права уточнять касающиеся его данные в той мере, в какой требуется дополнительная информация, касающаяся конкретных обстоятельств, при которых собираются данные;
• гарантии корректной обработки применительно к субъекту данных.
2. Пункт 1 не применяется в тех случаях, когда, в частности, для обработки в статистических целях или же в целях исторических или научных исследований, предоставление такой информации оказывается невозможным или может повлечь непропорциональные усилия, или же если документирование или разглашение прямо определяются законом.
Раздел V
Право субъекта данных на доступ к данным
Статья 12. Право доступа
Государства-участники гарантируют право каждого субъекта данных получать от контролера:
(a) без принуждения и без чрезмерной отсрочки или затягивания:
• подтверждение того, были ли или нет в обработке относящиеся к нему данные, и информацию по меньшей мере о целях обработки, категории используемых данных, получателях или категориях получателей, которым сообщаются данные,
• контакты с ним в доступной форме касательно обрабатываемых данных и любой доступной информации, касающейся их источника,
• сведения о логике, используемой в любой автоматической обработке данных, касающихся его, по меньшей мере в случае автоматических решений, указанных в ст. 15(1);
(b) по мере необходимости — уточнение, стирание или блокировку данных, не соответствующих положениям настоящей Директивы, в частности, в связи с неполным или неточным характером данных;
(c) уведомление третьих лиц, которым раскрываются данные, о любых уточнениях, стирании или блокировках данных, произведенных в соответствии с п. (Ь), если это не оказывается невозможным или требующим непропорциональных усилий.
Раздел VI
Исключения и ограничения
Статья 13
1. Государства-участники могут принимать законодательные меры для ограничения сферы обязательств и прав, предусмотренных в статьях 6(1), 10, 11(1), 12 и 21, если такое ограничение является необходимой мерой для обеспечения:
(a) национальной безопасности;
(b) обороны;
(c) общественной безопасности;
(d) предотвращения, расследования, раскрытия и обвинения по уголовным преступлениям или нарушений этики в регулируемых профессиях;
(e) важных экономических или финансовых интересов государства-участника или Европейского Союза, включая финансовые, бюджетные и налоговые вопросы;
(f) мониторинговых, инспекционных или управленческих функций, связанных, хотя бы и случайно, с осуществлением официальных полномочий, указанных в п. (с), (d) и (е);
(g) защиты субъекта данных или прав и свобод иных лиц.
2. С учетом адекватных законных гарантий, в частности, того, что данные не используются для принятия мер или решений, касающихся любого конкретного лица, государства-участники могут — в случае, если явно отсутствует риск нарушения неприкосновенности частной жизни субъекта данных — законодательными мерами ограничить права, установленные в ст. 12, если данные обрабатываются исключительно в целях научных исследований, или хранятся в персонифицированной форме в течение срока, не превышающего период, необходимый исключительно для целей сбора статистики.
Раздел VII
Право субъекта данных на возражения
Статья 14. Право субъекта данных на возражения
Государства-участники предоставят субъекту данных право:
(a) по меньшей мере в случаях, указанных в статье 7 (е) и (f), в любое время высказывать на законном основании возражение против обработки касающихся его данных, кроме случаев, когда национальным законодательством определено иное. Если возражение является обоснованным, контролер обязан прекратить обработку этих данных;
(b) бесплатно высказывать возражение против обработки касающихся его персональных данных, которые, по мнению контролера, обрабатываются для целей прямого маркетинга, или получать уведомление прежде, чем персональные данные будут впервые раскрыты третьим сторонам, или использованы по их поручению в целях прямого маркетинга, и в явной форме получать право бесплатно высказывать возражение против такого раскрытия или использования.
Государства-участники предпримут необходимые меры, чтобы гарантировать, что все субъекты данных знают о существовании права, указанного в первом абзаце пункта Ь.
Статья 15. Автоматизированные решения в отношении частных лиц
1. Государства-участники предоставят каждому лицу право не оказаться под воздействием решения, порождающего юридические последствия в отношении него или существенно воздействующего на него, и основанного исключительно на автоматической обработке данных, предназначенной для оценки некоторых касающихся его личных аспектов, таких, как выполнение им своей работы, кредитоспособность, надежность, поведение, и т.п.
2. С учетом остальных статей настоящей Директивы, государства-участники обеспечат, что лицо может оказаться под воздействием решения указанного в п. 1, если такое решение:
(a) принято в ходе заключения или исполнения контракта, при условии, что запрос на заключение или исполнение контракта, хранящийся у субъекта данных, был удовлетворен, или что приняты надлежащие меры для обеспечения его законных интересов, такие, как соглашения, позволяющие ему высказать свою точку зрения; или
(b) санкционировано законом, также устанавливающим меры для обеспечения законных интересов субъекта данных.
Раздел VIII
Конфиденциальность и безопасность обработки
Статья 16. Конфиденциальность обработки
Любое лицо, действующее с санкции контролера или обработчика, включая самого обработчика, имеющее доступ к персональным данным, не должно вести их обработку кроме как по указанию контролера, если это не требуется от него по закону.
Статья 17. Безопасность обработки
1. Государства-участники обеспечат, что контролер должен будет реализовать надлежащие технические и организационные меры для защиты персональных данных от случайного или незаконного уничтожения или случайной утраты, изменения, неправомерного раскрытия или доступа, в частности, когда обработка влечет передачу данных по сети, а также от всех иных незаконных форм обработки.
С учетом состояния и стоимости их реализации такие меры должны обеспечить надлежащий уровень безопасности для рисков, представленных обработкой и природой защищаемых данных.
2. Государства-участники обеспечат, что контролер должен — в случае, если обработка осуществляется по его поручению — избрать обработчика, предоставляющего достаточные гарантии в отношении мер технической безопасности и организационных мер, регулирующих осуществляемую обработку, и обеспечить соблюдение таких мер.
3. Обработка силами обработчика должна осуществляться на основе соглашения или нормативного акта, содержащего обязательства обработчика перед контролером и, в частности, оговаривающего, что:
• обработчик будет действовать только по указаниям контролера,
• указанные в п. 1 обязательства, определенные законом государства-участника, в котором учрежден обработчик, будут также обязательными для обработчика.
4. В целях поддержания корректности, части контракта или нормативного акта, касающиеся защиты данных, и требования в отношении мер, указанных в п. 1, должны быть оформлены в письменной или иной эквивалентной форме.
Раздел IX
Уведомление
Статья 18. Обязанность уведомлять надзорный орган
1. Государства-участники обеспечат, что контролер или его представитель, если таковой имеется, должен уведомить надзорный орган, указанный в ст. 28 перед осуществлением полностью или частично любой операции по автоматической обработке, либо набора таких операций, предназначенных служить единой цели или нескольким связанным целям.
2. Государства-участники могут в целях упрощения или освобождения от уведомления установить только в следующих случаях нижеследующие условия:
• если для категорий операций по обработке, которые — с учетом обрабатываемых данных — едва ли могут существенно нарушить права и свободы субъекта данных, — они определяют цели обработки, данные или категории данных, подлежащие обработке, категорию или категории субъектов данных, получателей или категории получателей, которым раскрываются данные, и продолжительность времени, в течение которого данные хранятся, и/или
• если контролер, в соответствии с национальным законом, регулирующим его деятельность, назначает должностное лицо по защите персональных данных, ответственное, в частности:
• за обеспечение применения национальных положений, принятых на основании настоящей Директивы;
• за ведение реестра операций по обработке, проводимых контролером, с указанием информации, указаннойх в ст. 21(2).
Таким образом гарантируя, что права и свободы субъекта данных едва ли могут быть существенно нарушены операциями по обработке.
3. Государства-участники могут установить, что п. 1 не применяется к обработке, единственной целью которой является ведение реестра, который в соответствии с законами и нормативными актами предназначен для предоставления информации общественности и который доступен либо общественности в целом, либо любому лицу, проявляющему законный интерес.
4. Государства-участники могут установить освобождение от обязанности уведомления или упрощение уведомления в случае операций по обработке, указанных в ст. 8(2)(d).
5. Государства-участники могут оговорить, что об отдельных либо всех неавтоматизированных операциях по обработке, касающихся персональных данных, должно делаться уведомление, либо установить для таких операций упрощенное уведомление.
Статья 19. Содержание уведомления
1. Государства-участники могут определить информацию, указываемую в уведомлении. Оно, по меньшей мере, должно включать:
(a) имя (наименование) и адрес контролера и его представителя, если таковой имеется;
(b) цель или цели обработки;
(c) описание категории или категорий субъекта данных и данных, или категории относящихся к ним данных;
(d) получателей или категории получателей, которым могут раскрываться данные;
(e) предполагаемую передачу в третьи страны;
(f) общее описание, позволяющее произвести предварительную оценку правомерности мер, принятых согласно ст. 17 для обеспечения безопасности обработки.
2. Государства-участники установят процедуры, согласно которым надлежит уведомлять надзорный орган о любых изменениях, касающихся информации, указанной в п. 1.
Статья 20. Предварительная проверка
1. Государства-участники определят операции по обработке, которые могут с большой вероятностью представлять особый риск для прав и свобод субъектов данных и будут контролировать, чтобы такие операции по обработке проверялись до их начала.
2. Такие предварительные проверки должны осуществляться надзорным органом вслед за получением уведомления от контролера или должностного лица, отвечающего за защиту данных, который при наличии сомнений должен обратиться за консультацией в надзорный орган.
3. Государства-участники могут также проводить такие проверки в контексте подготовки либо меры национального парламента, либо меры, основанной на такой законодательной мере, определяющих характер обработки и устанавливающих надлежащие гарантии.
Статья 21. Гласность операций по обработке
1. Государства-участники примут меры для обеспечения гласности операций по обработке.
2. Государства-участники обеспечат, чтобы в надзорном органе велся реестр операций по обработке, о которых делается уведомление в соответствии со ст. 18.
Реестр должен, по меньшей мере, содержать информацию, перечисленную в ст. 19 (1) (а)-(е).
С реестром может знакомиться любое лицо.
3. Государства-участники обеспечат, применительно к операциям по обработке, не подлежащим уведомлению, что контролеры или иной орган, назначенный государствами-участниками, сделают доступной любому лицу по запросу в надлежащей форме по меньшей мере информацию, указанную в ст. 19 (1) (а)-(е).
Государства-участники могут установить, что данное положение не применяется к обработке, единственной целью которой является ведение реестра, который в соответствии с законами или нормативными актами предназначен для представления информации общественности и который доступен либо общественности в целом, либо любому лицу, имеющему законный интерес.
Глава III
ПРАВОВЫЕ СРЕДСТВА ЗАЩИТЫ, ОТВЕТСТВЕННОСТЬ И САНКЦИИ
Статья 22. Средства зашиты
Без ущерба для любых административных средств защиты, которые могут быть, среди прочего, применены при обращении к надзорному органу, указанному в ст. 28, до обращения в судебные органы, государства-участники обеспечат право любого лица на правовую защиту от любого нарушения прав, гарантированных ему национальным законодательством, применимым к соответствующей обработке.
Статья 23. Ответственность
1. Государства-участники обеспечат, чтобы любое лицо, которому был нанесен ущерб в результате незаконных операций по обработке или любых действий, несовместимых с национальными положениями, принятыми в соответствии с настоящей Директивой, имело право на получение компенсации от контролера за нанесенный ущерб.
2. Контролер может быть освобожден от этой ответственности, полностью или частично, если он докажет, что не несет ответственности за событие, которое вызвало нанесение ущерба.
Статья 24. Санкции
Государства-участники примут надлежащие меры для обеспечения полной реализации положений настоящей Директивы и, в частности, установят санкции, налагаемые в случае нарушения положений, принятых в соответствии с настоящей Директивой.
Глава IV
ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ В ТРЕТЬИ СТРАНЫ
Статья 25. Принципы
1. Государства-участники обеспечат, что передача в третьи страны персональных данных, находящихся в обработке или предназначенных для обработки после передачи, может осуществляться, только если соответствующая третья страна — без ущерба для выполнения национальных положений, принятых в соответствии с остальными положениями настоящей Директивы, — обеспечивает адекватный уровень защиты.
2. Адекватность уровня защиты, предоставляемого третьей страной, оценивается в свете всех обстоятельств, в которых производится операция или набор операций по передаче данных; особое внимание следует уделять природе данных, цели и продолжительности предполагаемых операций или операций по обработке данных, стране происхождения и стране окончательного назначения, действующим в соответствующей третьей стране положениям закона, как общим, так и частным, а также профессиональным нормам и мерам безопасности, соблюдаемым в такой стране.
3. Государства-участники и Комиссия будут информировать друг друга о случаях, когда они считают, что третья страна не обеспечивает адекватного уровня защиты в смысле п. 2.
4. Если Комиссия в соответствии с процедурой, установленной в
ст. 31 (2), определит, что третья страна не обеспечивает адекватного уровня защиты в значении п. 2 настоящей статьи, государства-участники примут необходимые меры для предотвращения любой передачи данных того же типа соответствующей третьей стране.
5. В надлежащее время Комиссия будет вести переговоры с целью исправления ситуации, проистекающей из определения Комиссии, сделанного в соответствии с п. 4.
6. Комиссия может в соответствии с процедурой, установленной в
ст. 31 (2), определить, что третья страна обеспечивает надлежащий уровень защиты в смысле п. 2 настоящей статьи в силу своего национального законодательства или международных обязательств, которые она приняла, в частности, по окончании переговоров, указанных в п. 5, для защиты неприкосновенности личной жизни и базовых свобод и прав граждан.
Государства-участники предпримут необходимые меры для выполнения решения Комиссии.
Статья 26. Исключения
1. Посредством исключения из ст. 25 и за исключением случаев, когда местным законодательством, регулирующим конкретные случаи, установлено иное, государства-участники обеспечат, что передача персональных данных в третью страну, не обеспечивающую адекватный уровень защиты в смысле ст. 25 (2), может иметь место при условии, что:
(a) субъект данных дал свое недвусмысленное согласие на предполагаемую передачу; или
(b) передача является необходимой для исполнения контракта между субъектом данных и контролером, или для реализации доконтрактных мер, принятых в ответ на запрос субъекта данных; или
(c) передача необходима для заключения или исполнения контракта, заключенного в интересах субъекта данных между контролером и третьей стороной; или
(d) передача необходима или требуется по закону по причинам, представляющим существенный общественный интерес, или для подачи, исполнения судебных исков или защиты по таковым; или
(e) передача необходима для защиты жизненных интересов субъекта данных; или
(f) передача производится из реестра, который в соответствии с законами или нормативными актами предназначен для предоставления информации общественности и который открыт для ознакомления либо общественностью в целом, либо любым лицом, проявляющим законный интерес, в той мере, в какой условия, изложенные в законе, выполняются в конкретном случае.
2. Без ущерба для положений п. 1 государство-участник может уполномочить передачу или серию передач персональных данных в третью страну, которая не обеспечивает надлежащего уровня защиты в смысле ст. 25 (2), если контролер осуществляет адекватные гарантии в отношении защиты неприкосновенности частной жизни и фундаментальных свобод и прав частного лица и в том, что касается осуществления соответствующих прав; такие гарантии могут, в частности, проистекать из надлежащих контрактных обязательств. [...]
Глава V
КОДЕКСЫ ПОВЕДЕНИЯ
Статья 27
1. Государства-участники и Комиссия должны поощрять составление кодексов поведения, призванных содействовать реализации национальных положений, принятых государствами-участниками во исполнение настоящей Директивы с учетом специфики различных секторов.
2. Государства-участники создают условия для того, чтобы торговые ассоциации и иные структуры, представляющие другие категории контрольных органов, которые либо подготовили проекты национальных кодексов поведения, либо намерены внести изменения или дополнения в действующие кодексы, могли вносить их на рассмотрение национальных органов власти. Государства-участники создают условия для того, чтобы названные органы власти могли, помимо прочего, давать заключения о том, соответствуют ли внесенные на их рассмотрение проекты национальным положениям, принятым во исполнение настоящей Директивы. Если необходимо, то органы власти могут консультироваться с субъектами данных или их представителями.
3. Проекты кодексов Сообщества, а также изменения или дополнения к существующим кодексам Сообщества могут представляться на рассмотрение в Рабочую группу, упомянутую в Статье 29. Рабочая группа, помимо прочего, дает заключения о том, соответствуют ли внесенные на ее рассмотрение проекты национальным положениям, принятым во исполнение настоящей Директивы. Если необходимо, она может консультироваться с субъектами данных или их представителями. Комиссия может обеспечивать надлежащий уровень гласности в отношении кодексов, одобренных Рабочей группой.
Глава VI
ОРГАН НАДЗОРА И РАБОЧАЯ ГРУППА ПО ЗАЩИТЕ ИНДИВИДУУМОВ В ОТНОШЕНИИ ОБРАБОТКИ ИХ ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 28. Орган надзора
1. Каждое государство-участник назначает один или несколько государственных органов для надзора за соблюдением на своей территории положений, принятых государствами-участниками во исполнение настоящей Директивы. При выполнении возложенных на них обязанностей указанные органы действуют в условиях полной независимости.
2. Каждое государство-участник создает условия для проведения консультаций с органами надзора при разработке административных мер или правил, касающихся защиты прав и свобод индивидуумов в отношении обработки их персональных данных.
3. Каждый орган надзора наделяется, в частности, следующими полномочиями:
• полномочиями для проведения расследований, в том числе правом доступа к данным, являющимся предметом операций по обработке данных, а также правом получения любой информации, необходимой для исполнения его обязанностей по надзору;
• реальными полномочиями для вмешательства в процесс обработки, в том числе правом вынесения суждений до начала операций по обработке данных в соответствии со ст. 20, а также обеспечения надлежащего уровня гласности в отношении таких суждений; правом отдавать распоряжения относительно блокирования, стирания или уничтожения данных, налагать временный или постоянный запрет на обработку данных, выносить предупреждения и налагать взыскания на контрольный орган, а также передавать такого рода дела на рассмотрение национальных парламентов или иных политических структур;
• полномочиями для возбуждения юридических дел в случаях нарушения национальных положений, принятых во исполнение настоящей Директивы, а также для привлечения внимания судебных органов к упомянутым нарушениям.
Решения органа надзора, повлекшие за собой подачу жалоб, могут быть опротестованы в судебном порядке.
4. Каждый орган надзора обязан рассматривать жалобы, поданные любым лицом или представляющей это лицо ассоциацией касательно защиты его прав и свобод в отношении обработки персональных данных. Заинтересованное лицо должно быть проинформировано о результатах рассмотрения жалобы. Каждый орган надзора обязан, в частности, рассматривать иски любого лица о проверке законности обработки данных в случаях, когда действуют национальные положения, принятые во исполнение ст. 13 настоящей Директивы. В любом случае податель иска должен быть проинформирован о факте проведения проверки.
5. Каждый орган надзора обязан составлять регулярные отчеты о своей деятельности. Отчеты подлежат опубликованию.
6. Вне зависимости от национального закона, применимого к конкретной операции по обработке данных, каждый орган надзора вправе пользоваться на территории его собственного государства-участника полномочиями, возложенными на него в соответствии с п. 3. Каждый орган надзора может воспользоваться своими полномочиями по просьбе соответствующего органа другого государства-участника. Органы надзора должны сотрудничать между собой в той степени, в которой это необходимо для исполнения ими своих обязанностей, в частности, путем обмена любой полезной информацией.
7. Государства-участники обеспечивают соблюдение членами и сотрудниками органов надзора профессиональной тайны в отношении конфиденциальной информации, к которой они имеют доступ, даже после окончания срока их службы в указанных органах.
Статья 29. Рабочая группа по защите индивидуумов в отношении обработки их персональных данных
1. Настоящим создается Рабочая группа по защите индивидуумов в отношении обработки их персональных данных, далее именуемая «Рабочей группой». Она имеет статус консультативного органа и действует в качестве независимой структуры.
2. Рабочая группа состоит из представителя органа или органов надзора, созданного каждым государством-участником, представителя органа или органов, учрежденных для институтов и структур Сообщества, и представителя Комиссии. Каждый член Рабочей группы назначается институтом или органом (органами), которые он представляет. Если государство-участник учредило более одного органа надзора, последние назначают одного общего представителя. Это же правило применяется и в отношении органов, учрежденных для институтов и структур Сообщества.
3. Рабочая группа принимает решения простым большинством голосов представителей органов надзора.
4. Рабочая группа избирает председателя. Срок полномочий председателя составляет два года. Председатель может быть переизбран на новый срок.
5. Секретариат Рабочей группы обеспечивается силами Комиссии.
6. Рабочая группа утверждает свой регламент работы.
7. Рабочая группа рассматривает вопросы, внесенные в повестку дня председателем либо по его собственной инициативе, либо по просьбе представителя органов надзора, либо по просьбе Комиссии.
Статья 30
1. Рабочая группа обязана:
(a) рассматривать любые вопросы, относящиеся к применению национальных положений, принятых во исполнение настоящей Директивы с целью обеспечения равного выполнения различными странами указанных положений;
(b) производить для Комиссии оценку уровня защиты персональных данных внутри Сообщества и в третьих странах;
(c) консультировать Комиссию по любым проектам поправок к настоящей Директиве, любым дополнительным или конкретным мерам по защите прав и свобод физических лиц в отношении обработки их персональных данных и любым иным мерам, предлагаемым к принятию Сообществом и затрагивающим упомянутые права и свободы;
(d) давать оценку кодексам поведения, разрабатываемым на уровне Сообщества.
2. Если Рабочая группа приходит к заключению о том, что различия между законами или практическими действиями различных государств-участников могут стать для Сообщества источником неравенства в том, что касается защиты индивидуумов в отношении обработки их персональных данных, она обязана должным образом проинформировать Комиссию.
3. Рабочая группа может по собственной инициативе выступать с рекомендациями по всем вопросам, касающимся защиты лиц в отношении обработки их персональных данных внутри Сообщества.
4. Оценки и рекомендации Рабочей группы доводятся до сведения Комиссии и Комитета, упомянутого в ст. 31.
5. Комиссия информирует Рабочую группу о мерах, принимаемых в ответ на сделанные ею оценки и рекомендации. С этой целью она составляет отчет, который направляется также в Европейский парламент и Совет ЕС. Отчет подлежит опубликованию.
6. Рабочая группа составляет ежегодный отчет о ситуации в сфере защиты физических лиц в отношении обработки их персональных данных внутри Сообщества и в третьих странах, который она представляет Комиссии, Европейскому парламенту и Совету. Отчет подлежит опубликованию.
Глава VII
РЕАЛИЗАЦИЯ МЕР, ПРИНИМАЕМЫХ СООБЩЕСТВОМ
Статья 31. Комитет
1. Комиссия получает помощь от Комитета, создаваемого из представителей государств-участников под председательством представителя Комиссии.
2. Представитель Комиссии представляет в Комитет проект предлагаемых мер. Комитет дает свое заключение о проекте в сроки, устанавливаемые председателем в зависимости от актуальности рассматриваемого вопроса. Заключение утверждается большинством голосов в соответствии со ст. 148 (2) Договора. Голоса представителей государств-участников взвешиваются в соответствии с процедурой, описанной в названной статье. Председатель не голосует. Комиссия утверждает меры, которые подлежат немедленной реализации. Однако, если указанные меры вступают в противоречие с мнением Комитета, они немедленно доводятся Комиссией до сведения Совета. В этом случае:
• Комиссия откладывает реализацию утвержденных ею мер на три месяца со дня доведения их до сведения Совета;
• Совет квалифицированным большинством голосов может принять иное решение в течение периода времени, указанного в предыдущем подпункте.
ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Статья 32
1. Государства-участники вводят в силу законы, правила и административные положения, необходимые для реализации настоящей Директивы, не позднее трех лет со дня принятия последней. При принятии указанных мер делается ссылка на настоящую Директиву; таковая ссылка также может сопровождать официальную публикацию указанных мер. Формы ссылки определяются государствами-членами.
2. Государства-участники создают условия для того, чтобы обработка персональных данных, уже осуществляемая на дату вступления в силу национальных положений, принятых во исполнение настоящей Директивы, была приведена в соответствие с указанными положениями в течение трех лет с указанной даты.
В порядке частичной отмены предыдущего абзаца, государства-участники могут устанавливать, что обработка данных, уже содержащихся в обрабатываемых вручную картотеках на дату вступления в силу национальных положений, принятых во исполнение настоящей Директивы, должна быть приведена в соответствие со ст. 6, 7 и 8 настоящей Директивы в течение 12 лет со дня принятия последней. При этом государства-участники должны обеспечить субъекту данных возможность требовать — в частности, при использовании им своего права доступа — исправления, стирания или блокирования данных, являющихся неполными, неточными или хранящимися не в соответствии с законными целями, преследуемыми контрольным органом.
3. В порядке частичной отмены пункта 2, государства-участники могут устанавливать, при наличии соответствующих гарантий защиты, что данные, сохраняемые исключительно в целях проведения исторических исследований, могут не приводиться в соответствие со ст. 6, 7 и 8 настоящей Директивы.
4. Государства-участники представляют в Комиссию текст положений национальных законов, принимаемых ими в сфере действия настоящей Директивы.
Статья 33
Комиссия регулярно, не позднее чем через три года после даты, указанной в ст. 32 (1), представляет в Совет ЕС и Европарламент отчеты о реализации настоящей Директивы, прилагая к ним, если это необходимо, приемлемые предложения о внесении поправок. Отчеты подлежат опубликованию. В частности, Комиссия анализирует практику применения настоящей Директивы к звуковым и графическим данным, относящимся к физическим лицам, и вносит любые необходимые предложения с учетом развития информационных технологий и уровня прогресса информационного общества. |
