Исполнительный регламент к Закону о защите персональных данных

Статья 1

Глава I · Определения и общие положения

Для целей настоящего Регламента слова и выражения имеют значения, установленные Законом о защите персональных данных. Если контекст не требует иного: 1. Закон — Закон о защите персональных данных. 2. Компетентное управление — подразделение Министерства, отвечающее за защиту персональных данных. 3. Разрешение — согласие Министерства на обработку контролером персональных данных. 4. Раскрытие — предоставление третьему лицу любым способом и для любой цели доступа к персональным данным для ознакомления, получения или использования. 5. Нарушение безопасности персональных данных — неправомерный доступ, повлекший уничтожение, изменение, раскрытие, получение доступа или незаконную обработку данных.

Статья 2

Глава I · Определения и общие положения

Контролер или обработчик, в зависимости от обстоятельств, обязан представить компетентному управлению запрошенные документы, данные, сведения и иные материалы в течение 30 дней со дня запроса.

Статья 3

Глава I · Определения и общие положения

Контролер вправе привлечь обработчика по договору. Во взаимоотношениях с третьими лицами по оказываемым услугам обработчик действует от имени контролера для целей гражданской и административной ответственности перед Министерством; это не исключает уголовной ответственности обработчика за нарушение Закона или Регламента.

Статья 4

Глава I · Определения и общие положения

До обработки персональных данных контролер обязан получить явно выраженное согласие субъекта. Согласие действительно, если оно: 1) дано полностью дееспособным лицом; 2) выражено ясно и без принуждения; 3) дано письменно, в электронной форме либо иным способом, определенным контролером.

Статья 5

Глава II · Получение разрешения

Для применения статьи 5 Закона контролер до обработки указанных категорий данных обязан получить разрешение Министерства по установленной форме. В заявлении указываются: имя, адрес и электронная почта ответственного за защиту данных; цель обработки; виды и классификация данных; привлекаемый обработчик; получатели и третьи лица; места передачи или хранения; системы управления и защиты данных; иные сведения по требованию Министерства.

Статья 6

Глава II · Получение разрешения

К заявлению о выдаче разрешения контролер прилагает свою политику защиты персональных данных и утвержденные меры реагирования на нарушение безопасности данных.

Статья 7

Глава II · Получение разрешения

Компетентное управление рассматривает полностью укомплектованное заявление в срок до 45 дней. Отказ должен быть мотивирован; отсутствие ответа по истечении срока считается отказом. Заявитель вправе обжаловать отказ Министру в течение 60 дней со дня уведомления либо достоверного сведения о нем. Отсутствие ответа на жалобу в течение 30 дней считается отказом.

Статья 8

Глава II · Получение разрешения

После уплаты установленного сбора Министр выдает разрешение на срок не более пяти лет с указанием данных его обладателя. Разрешение может продлеваться на один или несколько аналогичных сроков по той же процедуре.

Статья 9

Глава II · Получение разрешения

Контролер обязан уведомить компетентное управление по установленной форме об изменении сведений в разрешении в течение 15 дней со дня изменения.

Статья 10

Глава II · Получение разрешения

Разрешение аннулируется: по заявлению контролера; при нарушении им Закона или Регламента; при несвоевременном уведомлении об изменении сведений; либо если разрешение получено путем обмана, введения в заблуждение, подделки или представления недостоверных данных.

Статья 11

Глава III · Обработка данных ребёнка

До обработки персональных данных ребенка контролер или обработчик обязан получить явно выраженное согласие его законного представителя. У ребенка можно запросить минимально необходимые сведения о представителе для проверки личности и получения согласия.

Статья 12

Глава III · Обработка данных ребёнка

При обработке данных ребенка цель должна быть ясной, непосредственной, безопасной и не связанной с обманом или введением в заблуждение; обработка ограничивается минимальным объемом данных, необходимым для заявленной цели.

Статья 13

Глава III · Обработка данных ребёнка

Контролер или обработчик обязан предоставить законному представителю ребенка средства доступа к его персональным данным для их обновления и изменения.

Статья 14

Глава III · Обработка данных ребёнка

Персональные данные ребенка нельзя раскрывать или передавать третьим лицам без явно выраженного согласия его законного представителя.

Статья 15

Глава III · Обработка данных ребёнка

От имени недееспособного, ограниченно дееспособного или утратившего дееспособность лица действует его законный представитель, опекун или попечитель. К обработке данных такого лица применяются положения настоящей главы.

Статья 16

Глава IV · Права субъекта данных

Субъект данных вправе бесплатно подать контролеру письменное заявление об осуществлении прав по пунктам «а»—«д» статьи 11 Закона. Контролер рассматривает его не более 45 дней. До принятия решения субъект вправе потребовать приостановить обработку.

Статья 17

Глава IV · Права субъекта данных

Контролер вправе полностью или частично отказать, если запрос необоснованно повторяется либо его исполнение требует чрезвычайных усилий. Мотивированный отказ сообщается в срок, установленный статьей 16.

Статья 18

Глава IV · Права субъекта данных

Субъект вправе требовать удаления данных, если цель обработки достигнута, согласие отозвано с учетом статьи 17 либо обработка не соответствует Закону или Регламенту. Контролер может отказать, если хранение требуется законом, судебным актом или обязательством либо между контролером и субъектом имеется спор.

Статья 19

Глава IV · Права субъекта данных

Субъект вправе получить у контролера читаемую и ясную электронную либо бумажную копию обрабатываемых данных при условии, что она не содержит данных, идентифицирующих другое лицо.

Статья 20

Глава IV · Права субъекта данных

Субъект вправе перенести свои данные к новому контролеру; действующий контролер обязан осуществить перенос, если это предусмотрено законом.

Статья 21

Глава V · Обязанности контролера и обработчика

Контролер или обработчик размещает политику защиты персональных данных на видном месте, доступном субъекту до начала обработки. Политика как минимум должна описывать механизм и порядок осуществления прав по Закону и Регламенту.

Статья 22

Глава V · Обязанности контролера и обработчика

До направления рекламных, маркетинговых или коммерческих материалов контролер обязан получить письменное согласие, сообщить способ рассылки, предусмотреть бесплатный механизм отказа и немедленно прекратить рассылку после получения требования об отказе.

Статья 23

Глава V · Обязанности контролера и обработчика

Контролер и обработчик обязаны назначить внешнего аудитора, аккредитованного и лицензированного Министерством и независимого от них. Аудитору предоставляется доступ к реестрам, системам обработки и данным, необходимым для проверки.

Статья 24

Глава V · Обязанности контролера и обработчика

Контролер и обработчик представляют компетентному управлению копию отчета внешнего аудитора не позднее 60 дней со дня его назначения.