REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL от 27.04.16 (перевод)

Правила (часть I)

о защите физических лиц в отношении обработки (их) персональных данных и о свободном перемещении таких данных и отмене Директивы 95/46/EC (Общие правила защиты данных)

ЕВРОПЕЙСКИЙ ПАРЛАМЕНТ И СОВЕТ ЕВРОПЕЙСКОГО СОЮЗА,
Принимая во внимание Договор о функционировании Европейского союза и, в частности, его статью 16,
Принимая во внимание предложение Европейской комиссии,
После передачи проекта (настоящего) законодательного акта национальным парламентам,
Принимая во внимание мнение Европейского экономического и социального комитета (1),
Принимая во внимание мнение Комитета регионов (2),
Действуя в соответствии с обычной законодательной процедурой (3),

В то время как:
(1) Защита физических лиц в отношении обработки персональных данных является основополагающим правом. Статья 8 Устава основных прав Европейского союза («Хартия») и статья 16 Договора о функционировании Европейского союза (TFEU) предусматривают, что каждый человек имеет право на защиту личных данных о нём или о ней.
(2) Принципы и правила защиты физических лиц в отношении обработки их персональных данных должны, независимо от их гражданства или места жительства, уважать их основные права и свободы, в частности их право на защиту персональных данных. Настоящий Регламент призван содействовать достижениям в области свободы, безопасности и справедливости и (установлению) экономического союза, экономическому и социальному прогрессу, укреплению и сближению экономики на внутреннем рынке и благосостоянию физических лиц.
(3) Директива 95/46/EC Европейского парламента и Совета (4) направлена ​​на гармонизацию защиты основных прав и свобод физических лиц в отношении деятельности по обработке ПД и обеспечения свободного потока ПД между государствами-членами.
(4) Обработка ПД должна быть разработана для общих целей человечества. Право на защиту ПД не является абсолютным правом; его следует рассматривать в отношении его функции в обществе и (оно должно) быть сбалансированным с другими основными правами в соответствии с принципом пропорциональности. Настоящий Регламент уважает все основные права и соблюдает свободы и принципы, признанные в Уставе, закрепленные в договорах, в частности уважение частной и семейной жизни, жилища и коммуникаций, защиту личных данных, свободу мысли, совести и религии, свободу выражения мнений и (распространения) информации, свободу ведения бизнеса, (а также) право на эффективное средство правовой защиты и справедливое судебное разбирательство, культурное, религиозное и языковое разнообразие.
(5) Экономическая и социальная интеграция, обусловленная функционированием внутреннего рынка, привела к значительному увеличению трансграничных потоков ПД. Увеличился обмен ПД между государственными и частными субъектами, включая физических лиц, ассоциации и предприятия в Союзе. Национальным властям в государствах-членах в соответствии с законодательством Союза предлагается сотрудничать и обмениваться личными данными, с тем чтобы они могли выполнять свои обязанности или выполнять задачи от имени органа в другом государстве-члене.
(6) Быстрые технологические разработки и глобализация вызвали новые проблемы для защиты ПД. Значительно увеличился масштаб сбора и обмена ПД. Технология позволяет частным компаниям и государственным органам использовать ПД в беспрецедентных масштабах для продолжения своей деятельности. Персоны всё чаще предоставляют личную информацию публично и глобально. Технология трансформировала как экономику, так и социальную жизнь, а также должна способствовать свободному распространению ПД в рамках Союза и передаче третьим странам и международным организациям, обеспечивая при этом высокий уровень защиты ПД.
(7) Для (наступления) этих событий требуется сильная и согласованная структура защиты ПД в Союзе, при поддержке сильной правоприменительной практики, учитывая важность создания доверия, которое позволит цифровой экономике развиваться на внутреннем рынке. Физические лица должны контролировать свои ПД. Необходимо укрепить юридическую и практическую определённость для физических лиц, экономических операторов и органов государственной власти.
(8) Если в настоящем Регламенте предусматриваются специфический режим регулирования или ограничения правил в соответствии с законодательством государств-членов, государства-члены могут, насколько это необходимо для обеспечения согласованности и обеспечения того, чтобы национальные положения были понятными для лиц, к которым они применяются, включать элементы настоящего Регламента в их национальный закон,
(9) Цели и принципы Директивы 95/46/EC сохраняют свою актуальность, но не препятствуют фрагментации в осуществлении защиты ПД по всему Союзу, правовой неопределенности или широко распространённого общественного мнения о том, что существуют значительные риски для защиты физических лиц, в особенно в отношении онлайн-активности. Различия в уровне защиты прав и свобод физических лиц, в частности права на защиту ПД, в отношении обработки ПД в государствах-членах могут препятствовать свободному распространению ПД во всем Союзе. Таким образом, эти различия могут стать препятствием для осуществления экономической деятельности на уровне Союза, искажать конкуренцию и препятствовать властям в выполнении их обязанностей в соответствии с законодательством Союза. Такая разница в уровнях защиты обусловлена ​​наличием различий в реализации и применении Директивы 95/46/EC.
(10) Для обеспечения последовательного и высокого уровня защиты физических лиц и устранения препятствий для потоков ПД в рамках Союза уровень защиты прав и свобод физических лиц в отношении обработки таких ПД должен быть тождественен во всех государствах-членах. Последовательное и однородное применение правил защиты основных прав и свобод физических лиц в отношении обработки ПД должно обеспечиваться на всей территории Союза. Что касается обработки ПД на предмет соблюдения юридического обязательства, для выполнения задачи, выполняемой в общественных интересах или при осуществлении официальных полномочий, возложенных на контролёра, государствам-членам должно быть разрешено поддерживать или вводить национальные положения для дальнейших указаний по применению настоящих Правил. В соответствии с актом о защите ПД, действующим в соответствии с Директивой 95/46/ЕС, государства-члены имеют несколько законов, относящихся к конкретным секторам, в областях, которые нуждаются в более конкретных положениях. В этом Регламенте также предусмотрен манёвр для государств-членов, чтобы унифицировать его правила, в том числе для обработки специальных категорий ПД («конфиденциальные данные»). В этой связи в настоящих Правилах не исключается законодательство государств-членов, в котором излагаются обстоятельства конкретных ситуаций обработки, включая более точное определение условий, при которых обработка ПД является законной (в подобных случаях).
(11) Люди всё чаще предоставляют личную информацию публично, а эффективная защита ПД по всему Союзу требует усиления и подробного изложения прав субъектов ПД и обязательств тех, кто обрабатывает и определяет обработку ПД, а также унифицирует полномочия по мониторингу и обеспечению соблюдения правил защиты ПД и вводит унифицирует санкций за нарушения в государствах-членах.
(12) Статья 16 TFEU уполномочивает Европейский парламент и Совет устанавливать правила, касающиеся защиты физических лиц в отношении обработки ПД и правил, касающихся свободного перемещения ПД.
(13) Чтобы обеспечить постоянный уровень защиты физических лиц по всему Союзу и предотвратить расхождения, препятствующие свободному перемещению ПД на внутреннем рынке, необходимо (соответствующее) регулирование для обеспечения правовой определенности и прозрачности для экономических операторов, в том числе микро-, малых и средних предприятий, также важно предоставлять физическим лицам во всех государствах-членах одинаковый уровень юридически закрепленных прав и обязанностей и обязанностей для контролёров и (пере/обработчиков) для обеспечения постоянного контроля за обработкой ПД и (создания) тождественных санкций во всех государствах-членах, кроме того, (необходимо и) эффективное сотрудничество между надзорными органами различных государств-членов. Надлежащее функционирование внутреннего рынка требует, чтобы свободное перемещение ПД в пределах Союза не ограничивалось или запрещалось по причинам, связанным с защитой физических лиц в отношении обработки ПД. Для учёта конкретной ситуации в микро-, малых и средних предприятиях это Положение включает в себя отступление для организаций с менее чем 250 сотрудниками в отношении учета. Кроме того, учреждениям и органам Союза, а также государствам-членам и их надзорным органам рекомендуется учитывать конкретные потребности микро-, малых и средних предприятий в применении настоящих Правил. Понятие микро-, малых и средних предприятий должно основываться на статье 2 Приложения к Рекомендации Комиссии 2003/361/EC.
(14) Защита, предоставляемая настоящим Положением, должна применяться к физическим лицам независимо от их гражданства или места жительства в отношении обработки их ПД. Настоящее Положение не распространяется на обработку ПД, которые касаются юридических лиц и, в частности, предприятий, созданных в качестве юридических лиц, включая имя и форму юридического лица и контактные данные юридического лица.
(15) Чтобы предотвратить серьёзный риск обхода (положений Правил), защита физических лиц должна быть технологически нейтральной и не должна зависеть от используемых методов. Защита физических лиц должна применяться к обработке ПД автоматическими средствами, а также (в режиме) ручной обработки, если ПД содержатся или предназначены для содержания в системе (подобной) подачи. Файлы или наборы файлов, а также их титульные страницы, которые не структурированы в соответствии с конкретными критериями, не должны подпадать под действие этого Правила.
(16) Настоящий Регламент не применяется к вопросам защиты основных прав и свобод или свободному потоку ПД, относящихся к деятельности, которая выходит за рамки законодательства Союза, например, деятельности в области национальной безопасности. Настоящее Положение не применяется к обработке ПД государствами-членами при осуществлении деятельности в связи с общей внешней политикой и политикой безопасности Союза.
(17) Регламент (ЕС) № 45/2001 Европейского парламента и Совета применяется к обработке персональных данных учреждениями, органами, офисами и агентствами Союза. Регламент (ЕС) № 45/2001 и другие правовые акты Союза, применимые к такой обработке ПД, должны быть адаптированы к принципам и правилам, установленным в настоящих Правилах и применяемым в свете настоящих Правил. Для обеспечения надёжной и согласованной структуры защиты ПД в Союзе после принятия настоящих Правил необходимо следовать соответствующим требованиям Правил (ЕС) № 45/2001, с тем чтобы разрешить применение в то же время, что и настоящие Правила.
(18) Настоящий Регламент не применяется к обработке ПД физическим лицом в ходе чисто личной или бытовой деятельности и, таким образом, без связи с профессиональной или коммерческой деятельностью. Личная или бытовая деятельность может включать переписку и ведение адресов, или социальные сети и онлайн-деятельность, осуществляемую в контексте такой деятельности. Однако настоящие Правила применяются к контроллёрам или обработчикам, которые предоставляют средства для обработки ПД для такой личной или бытовой деятельности.
(19) Защита физических лиц в отношении обработки ПД компетентными органами в целях предотвращения, расследования, обнаружения или преследования уголовных преступлений или исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и предотвращение их свободного перемещения, является предметом конкретного правового акта Союза. Поэтому это Положение не должно применяться к процессам обработки для этих целей. Однако ПД, обрабатываемые государственными органами на основании настоящих Правил, должны, при использовании в этих целях, регулироваться более конкретным правовым актом Союза, а именно Директивой (ЕС) 2016/680 Европейского парламента и Совета. Государства-члены могут поручить компетентным органам по смыслу Директивы (ЕС) 2016/680 задачи, которые не обязательно выполняются для целей предотвращения, расследования, обнаружения или уголовного преследования за уголовные преступления или исполнения уголовных наказаний, включая охрану предотвращения и предотвращения угроз общественной безопасности, с тем чтобы обработка ПД для этих и других целей, поскольку она входит в сферу действия законодательства Союза, подпадала под действие настоящих Правил.
Что касается обработки персональных данных этими компетентными органами для целей, подпадающих под действие настоящих Правил, государства-члены должны иметь возможность поддерживать или вводить более конкретные положения, регулирующие применение настоящих Правил. Такие положения могут более точно определять конкретные требования к обработке ПД этими компетентными органами для этих и других целей с учётом конституционной, организационной и административной структуры соответствующего государства-члена. Когда обработка ПД частными органами подпадает под действие настоящих Правил, в настоящем Регламенте должно предусматриваться возможность для государств-членов в конкретных условиях ограничить законом определённые обязательства и права, когда такое ограничение представляет собой необходимую и пропорциональную меру демократического общества в целях защиты конкретных (критически) важных интересов, включая общественную безопасность и предотвращение, расследование, выявление или уголовное преследование за совершение уголовных преступлений или исполнение уголовных наказаний, включая защиту от угроз общественной безопасности и предотвращение их. Это актуально, например, в рамках борьбы с отмыванием денег или для деятельности судебных лабораторий.
(20) Хотя настоящие Правила применяются, в частности, (в) деятельности судов и других судебных органов, законодательство Союза или государства-члена может определять (дополнительные) процедуры обработки в отношении ПД судами и другими судебными органами. Полномочия надзорных органов не должны охватывать обработку ПД, когда суды действуют в своём судебном порядке, с тем, чтобы обеспечить независимость судебной власти в выполнении её задач, включая принятие решений. Должна быть предусмотрена возможность поручить надзор за такими операциями по обработке ПД конкретным органам судебной системы государства-члена, которые должны, в частности, обеспечивать соблюдение настоящих Правил, (а также стремиться) повышать осведомленность членов судебных органов об их обязательствах по этому вопросу, включая регулирование и обработку жалоб в отношении таких операций с ПД.
(21) Настоящее Положение не наносит ущерба применению Директивы 2000/31/EC Европейского парламента и Совета, в частности, правил ответственности поставщиков промежуточных услуг, (указанных) в Статьях 12-15 этой Директивы. Эта Директива направлена ​​на содействие надлежащему функционированию внутреннего рынка путём обеспечения свободного перемещения услуг (единого) информационного общества между государствами-членами.
(22) Любая обработка ПД в контексте деятельности по созданию контролирующих и иных органов в Союзе должна осуществляться в соответствии с настоящим Регламентом независимо от того, производится ли сама обработка в рамках Союза или вне. Учреждение подразумевает эффективное и реальное осуществление деятельности посредством стабильных механизмов. Правовая форма таких соглашений, будь то через филиал или дочернее предприятие с отдельной правосубъектностью, не является определяющим фактором в этом отношении.
(23) В целях обеспечения того, чтобы физические лица не были лишены защиты, на которую они имеют право на основании настоящих Правил, обработка ПД, находящихся в Союзе контролирующими организациями, не установленным в Союзе, должна придерживаться настоящих Правил, в которых деятельность по обработке связана с предложением товаров или услуг таким субъектам ПД независимо от того, связана ли она с оплатой. Чтобы определить, предлагает ли такой контроллер или процессор товары или услуги субъектам ПД, находящимся в Союзе, должно быть установлено, что контроллёр или процессор предусматривает предоставление услуг субъектам ПД в одном или нескольких государствах-членах в Союз. В то время как простая доступность веб-сайта контроллера, процессора или посредника в Союзе, адреса электронной почты или других контактных данных или использование языка, обычно используемого в третьей стране, где установлен контроллёр, является недостаточной для установления таких факторов в целях обработки ПД, (втор же время) как использование языка или валюты, обычно используемой в одном или нескольких государствах-членах, с возможностью заказывать товары и услуги на этом языке или упоминание клиентов или пользователей, которые находятся в Союзе, указывает очевидно на то, что контроллер предусматривает предоставление товаров или услуг субъектам ПД в Союзе.
(24) Обработка ПД субъектов данных, находящихся в Союзе контроллёром или процессором, не установленным в Союзе, также должна регулироваться настоящими Правилами, когда она связана с мониторингом поведения таких субъектов ПД в той мере, в какой их поведение связано с рамками Союза. Чтобы определить, можно ли рассматривать процесс обработки для контроля за поведением субъектов ПД, следует установить, отслеживаются ли физические лица в Интернете, включая возможное последующее использование методов обработки ПД, которые есть в профиле физического лица, в частности. (такой подход имеет значение при определении) принятия решения относительно возможного анализа или прогноза предпочтений, (анализа) поведение и отношений.
(25) В тех случаях, когда законодательство государств-членов применяется в силу международного публичного права, это Положение должно также применяться к контролёру, не установленному в Союзе, например, в дипломатическом представительстве или консульском учреждении государства-члена.

Оригинал на английском - https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32016R0679