РЕГЛАМЕНТ (ЕС) 2016/679 ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА
от 27 апреля 2016 года

о защите физических лиц в связи с обработкой персональных данных и о свободном перемещении таких данных, а также об отмене Директивы 95/46/ЕС (Общий регламент по защите данных)

Аббревиатура: GDPR

ГЛАВА III
ПРАВА СУБЪЕКТА ДАННЫХ

Раздел 1
Прозрачность и порядок осуществления прав

Статья 12
Прозрачность информации, коммуникации и порядок осуществления прав субъекта данных

1. Оператор принимает надлежащие меры для предоставления субъекту данных любой информации, указанной в статьях 13 и 14, и любых сообщений в соответствии со статьями 15–22 и 34, относящихся к обработке, в краткой, прозрачной, понятной и легко доступной форме, с использованием ясного и простого языка, в частности в отношении любой информации, специально предназначенной для ребенка. Информация предоставляется в письменной форме или иными средствами, в том числе, когда это уместно, в электронной форме. По запросу субъекта данных информация может предоставляться устно при условии, что личность субъекта данных подтверждена иными средствами.

2. Оператор содействует осуществлению субъектом данных его прав в соответствии со статьями 15–22. В случаях, указанных в статье 11(2), оператор не отказывает в выполнении запроса субъекта данных на осуществление его прав в соответствии со статьями 15–22, за исключением случаев, когда оператор докажет, что он не в состоянии идентифицировать субъекта данных.

3. Оператор предоставляет субъекту данных информацию о действиях, предпринятых по запросу в соответствии со статьями 15–22, без неоправданной задержки и в любом случае в течение одного месяца с момента получения запроса. При необходимости этот срок может быть продлен еще на два месяца с учетом сложности и количества запросов. Оператор информирует субъекта данных о таком продлении в течение одного месяца с момента получения запроса, указав причины задержки. Если субъект данных подает запрос в электронной форме, информация по возможности предоставляется в электронной форме, если субъект данных не запросил иной формат.

4. Если оператор не предпринимает действий по запросу субъекта данных, он без промедления и не позднее одного месяца с момента получения запроса информирует субъекта данных о причинах непринятия мер, а также о возможности подать жалобу в надзорный орган и обратиться за судебной защитой.

5. Информация, предоставляемая в соответствии со статьями 13 и 14, а также любые сообщения и действия, предпринимаемые в соответствии со статьями 15–22 и 34, предоставляются бесплатно. Если запросы субъекта данных являются явно необоснованными или чрезмерными, в частности вследствие их повторяющегося характера, оператор вправе:

(a) взимать разумную плату с учетом административных расходов на предоставление информации или сообщения либо выполнение запрашиваемых действий; или

(b) отказать в выполнении запроса.

Обязанность доказать явно необоснованный или чрезмерный характер запроса возлагается на оператора.

6. Без ущерба для статьи 11, если у оператора имеются обоснованные сомнения относительно личности физического лица, подавшего запрос, указанный в статьях 15–21, оператор вправе запросить предоставление дополнительной информации, необходимой для подтверждения личности субъекта данных.

7. Информация, подлежащая предоставлению субъектам данных в соответствии со статьями 13 и 14, может сопровождаться стандартизированными пиктограммами с целью предоставления легко заметного, понятного и ясно читаемого содержательного обзора предполагаемой обработки. Если пиктограммы представлены в электронной форме, они должны быть машиночитаемыми.

8. Комиссия уполномочена принимать делегированные акты в соответствии со статьей 92 для определения информации, подлежащей представлению посредством пиктограмм, и процедур предоставления стандартизированных пиктограмм.

Раздел 2
Информация и доступ к персональным данным

Статья 13
Информация, предоставляемая в случае, когда персональные данные собираются у субъекта данных

1. Если персональные данные, относящиеся к субъекту данных, собираются у самого субъекта данных, оператор в момент получения персональных данных предоставляет субъекту данных следующую информацию:

(a) сведения об операторе и его контактные данные, а также, если применимо, сведения и контактные данные представителя оператора;

(b) контактные данные ответственного за защиту данных, если применимо;

(c) цели обработки персональных данных, а также правовое основание обработки;

(d) если обработка осуществляется на основании пункта (f) статьи 6(1), законные интересы, преследуемые оператором или третьей стороной;

(e) получатели или категории получателей персональных данных, если таковые имеются;

(f) если применимо, намерение оператора передать персональные данные в третью страну или международную организацию и наличие либо отсутствие решения Комиссии о достаточности уровня защиты, либо, в случае передач, предусмотренных статьей 46 или 47 либо вторым абзацем статьи 49(1), ссылку на соответствующие или надлежащие гарантии и способы получения их копии или информацию о месте, где они доступны.

2. Помимо информации, указанной в пункте 1, оператор в момент получения персональных данных предоставляет субъекту данных следующую дополнительную информацию, необходимую для обеспечения справедливой и прозрачной обработки:

(a) срок хранения персональных данных либо, если это невозможно, критерии определения такого срока;

(b) наличие права запросить у оператора доступ к персональным данным, их исправление или удаление, ограничение обработки данных, относящихся к субъекту данных, либо право возразить против обработки, а также право на переносимость данных;

(c) если обработка основана на пункте (a) статьи 6(1) или пункте (a) статьи 9(2), наличие права отозвать согласие в любое время без ущерба для законности обработки, осуществленной на основании согласия до его отзыва;

(d) право подать жалобу в надзорный орган;

(e) является ли предоставление персональных данных законодательным или договорным требованием либо требованием, необходимым для заключения договора, обязан ли субъект данных предоставить персональные данные, а также возможные последствия непредоставления таких данных;

(f) наличие автоматизированного принятия решений, включая профилирование, указанного в статье 22(1) и (4), а также, по меньшей мере в соответствующих случаях, существенную информацию о применяемой логике, значении и предполагаемых последствиях такой обработки для субъекта данных.

3. Если оператор намеревается впоследствии обрабатывать персональные данные в целях, отличных от тех, для которых они были собраны, до такой дальнейшей обработки оператор предоставляет субъекту данных информацию об иной цели, а также любую соответствующую дополнительную информацию, указанную в пункте 2.

4. Пункты 1, 2 и 3 не применяются в той мере, в какой субъект данных уже располагает соответствующей информацией.

Статья 14
Информация, предоставляемая в случае, когда персональные данные не были получены от субъекта данных

1. Если персональные данные не были получены от субъекта данных, оператор предоставляет субъекту данных следующую информацию:

(a) сведения об операторе и его контактные данные, а также, если применимо, сведения и контактные данные представителя оператора;

(b) контактные данные ответственного за защиту данных, если применимо;

(c) цели обработки персональных данных, а также правовое основание обработки;

(d) категории соответствующих персональных данных;

(e) получатели или категории получателей персональных данных, если таковые имеются;

(f) если применимо, намерение оператора передать персональные данные получателю в третьей стране или международной организации и наличие либо отсутствие решения Комиссии о достаточности уровня защиты либо, в случае передач, предусмотренных статьей 46 или 47 либо вторым абзацем статьи 49(1), ссылку на соответствующие или надлежащие гарантии и способы получения их копии или информацию о месте, где они доступны.

2. Помимо информации, указанной в пункте 1, оператор предоставляет субъекту данных следующую информацию, необходимую для обеспечения справедливой и прозрачной обработки в отношении субъекта данных:

(a) срок хранения персональных данных либо, если это невозможно, критерии определения такого срока;

(b) если обработка осуществляется на основании пункта (f) статьи 6(1), законные интересы, преследуемые оператором или третьей стороной;

(c) наличие права запросить у оператора доступ к персональным данным, их исправление или удаление, ограничение обработки данных, относящихся к субъекту данных, а также право возразить против обработки и право на переносимость данных;

(d) если обработка основана на пункте (a) статьи 6(1) или пункте (a) статьи 9(2), наличие права отозвать согласие в любое время без ущерба для законности обработки, осуществленной на основании согласия до его отзыва;

(e) право подать жалобу в надзорный орган;

(f) источник происхождения персональных данных и, если применимо, получены ли они из общедоступных источников;

(g) наличие автоматизированного принятия решений, включая профилирование, указанного в статье 22(1) и (4), а также, по меньшей мере в соответствующих случаях, существенную информацию о применяемой логике, значении и предполагаемых последствиях такой обработки для субъекта данных.

3. Оператор предоставляет информацию, указанную в пунктах 1 и 2:

(a) в разумный срок после получения персональных данных, но не позднее одного месяца, с учетом конкретных обстоятельств обработки персональных данных;

(b) если персональные данные предполагается использовать для связи с субъектом данных — не позднее момента первого обращения к такому субъекту данных; или

(c) если предполагается раскрытие персональных данных другому получателю — не позднее момента первого такого раскрытия.

4. Если оператор намеревается впоследствии обрабатывать персональные данные в целях, отличных от тех, для которых данные были получены, до такой дальнейшей обработки оператор предоставляет субъекту данных информацию об иной цели, а также любую соответствующую дополнительную информацию, указанную в пункте 2.

5. Пункты 1–4 не применяются в той мере, в какой:

(a) субъект данных уже располагает информацией;

(b) предоставление такой информации оказывается невозможным или потребовало бы несоразмерных усилий, в частности в случае обработки в целях архивирования в общественных интересах, научных или исторических исследований либо статистических целях, при соблюдении условий и гарантий статьи 89(1), либо в той мере, в какой обязанность, указанная в пункте 1 настоящей статьи, может сделать невозможным или серьезно затруднить достижение целей такой обработки. В таких случаях оператор принимает надлежащие меры для защиты прав, свобод и законных интересов субъекта данных, включая опубликование информации;

(c) получение или раскрытие данных прямо предусмотрено правом Союза или государства-члена, которому подчиняется оператор и которое предусматривает надлежащие меры по защите законных интересов субъекта данных; или

(d) персональные данные должны оставаться конфиденциальными в силу обязанности соблюдать профессиональную тайну, установленной правом Союза или государства-члена, включая установленную законом обязанность сохранять тайну.

Статья 15
Право субъекта данных на доступ

1. Субъект данных имеет право получить от оператора подтверждение того, обрабатываются ли относящиеся к нему персональные данные, и, если обработка осуществляется, получить доступ к персональным данным и следующей информации:

(a) цели обработки;

(b) категории соответствующих персональных данных;

(c) получатели или категории получателей, которым персональные данные были или будут раскрыты, в частности получатели в третьих странах или международных организациях;

(d) по возможности — предполагаемый срок хранения персональных данных либо, если это невозможно, критерии определения такого срока;

(e) наличие права запросить у оператора исправление или удаление персональных данных либо ограничение обработки персональных данных, относящихся к субъекту данных, или возразить против такой обработки;

(f) право подать жалобу в надзорный орган;

(g) если персональные данные не были получены от субъекта данных — любую доступную информацию об их источнике;

(h) наличие автоматизированного принятия решений, включая профилирование, указанного в статье 22(1) и (4), а также, по меньшей мере в соответствующих случаях, существенную информацию о применяемой логике, значении и предполагаемых последствиях такой обработки для субъекта данных.

2. Если персональные данные передаются в третью страну или международную организацию, субъект данных имеет право быть проинформированным о соответствующих гарантиях в соответствии со статьей 46, относящихся к такой передаче.

3. Оператор предоставляет копию обрабатываемых персональных данных. За любые дополнительные копии, запрошенные субъектом данных, оператор вправе взимать разумную плату, основанную на административных расходах. Если субъект данных подает запрос в электронной форме и не запрашивает иной формат, информация предоставляется в широко используемой электронной форме.

4. Право на получение копии, указанное в пункте 3, не должно ущемлять права и свободы других лиц.

Раздел 3
Исправление и удаление

Статья 16
Право на исправление

Субъект данных имеет право потребовать от оператора без неоправданной задержки исправления неточных персональных данных, относящихся к нему. С учетом целей обработки субъект данных имеет право потребовать дополнения неполных персональных данных, в том числе путем предоставления дополнительного заявления.

Статья 17
Право на удаление («право быть забытым»)

1. Субъект данных имеет право потребовать от оператора удаления относящихся к нему персональных данных без неоправданной задержки, а оператор обязан удалить персональные данные без неоправданной задержки, если применяется одно из следующих оснований:

(a) персональные данные больше не являются необходимыми для целей, для которых они были собраны или иным образом обработаны;

(b) субъект данных отзывает согласие, на котором основывается обработка в соответствии с пунктом (a) статьи 6(1) или пунктом (a) статьи 9(2), и отсутствует иное правовое основание для обработки;

(c) субъект данных возражает против обработки в соответствии со статьей 21(1), и отсутствуют преобладающие законные основания для обработки, либо субъект данных возражает против обработки в соответствии со статьей 21(2);

(d) персональные данные обрабатывались незаконно;

(e) персональные данные должны быть удалены для выполнения юридической обязанности, предусмотренной правом Союза или государства-члена, которому подчиняется оператор;

(f) персональные данные были собраны в связи с предложением услуг информационного общества, указанных в статье 8(1).

2. Если оператор сделал персональные данные общедоступными и обязан в соответствии с пунктом 1 удалить персональные данные, оператор, с учетом доступных технологий и стоимости реализации, принимает разумные меры, включая технические меры, для информирования операторов, обрабатывающих персональные данные, о том, что субъект данных потребовал удаления такими операторами любых ссылок на эти данные либо их копий или воспроизведений.

3. Пункты 1 и 2 не применяются в той мере, в какой обработка необходима:

(a) для осуществления права на свободу выражения мнений и информации;

(b) для выполнения юридической обязанности, требующей обработки в соответствии с правом Союза или государства-члена, которому подчиняется оператор, либо для выполнения задачи, осуществляемой в общественных интересах или при реализации официальных полномочий, возложенных на оператора;

(c) по причинам общественного интереса в области общественного здравоохранения в соответствии с пунктами (h) и (i) статьи 9(2), а также статьей 9(3);

(d) для архивирования в общественных интересах, научных или исторических исследований либо статистических целей в соответствии со статьей 89(1), если право, указанное в пункте 1, может сделать невозможным или серьезно затруднить достижение целей такой обработки; или

(e) для установления, осуществления или защиты юридических требований.

Статья 18
Право на ограничение обработки

1. Субъект данных имеет право потребовать от оператора ограничения обработки в одном из следующих случаев:

(a) точность персональных данных оспаривается субъектом данных — на период, позволяющий оператору проверить точность персональных данных;

(b) обработка является незаконной, и субъект данных возражает против удаления персональных данных, требуя вместо этого ограничения их использования;

(c) оператор больше не нуждается в персональных данных для целей обработки, однако они необходимы субъекту данных для установления, осуществления или защиты юридических требований;

(d) субъект данных возразил против обработки в соответствии со статьей 21(1) — на период проверки того, имеют ли законные основания оператора преимущество перед основаниями субъекта данных.

2. Если обработка была ограничена в соответствии с пунктом 1, такие персональные данные, за исключением хранения, могут обрабатываться только с согласия субъекта данных либо для установления, осуществления или защиты юридических требований, защиты прав другого физического или юридического лица либо по причинам важного общественного интереса Союза или государства-члена.

3. Субъект данных, добившийся ограничения обработки в соответствии с пунктом 1, информируется оператором до отмены такого ограничения.

Статья 19
Обязанность уведомления об исправлении или удалении персональных данных либо ограничении обработки

Оператор сообщает каждому получателю, которому были раскрыты персональные данные, о любом исправлении или удалении персональных данных либо ограничении обработки, осуществленных в соответствии со статьей 16, статьей 17(1) и статьей 18, если только это не оказывается невозможным или не требует несоразмерных усилий.

Оператор информирует субъекта данных о таких получателях по запросу субъекта данных.

Статья 20
Право на переносимость данных

1. Субъект данных имеет право получить относящиеся к нему персональные данные, которые он предоставил оператору, в структурированном, широко используемом и машиночитаемом формате, а также имеет право передать такие данные другому оператору без препятствий со стороны оператора, которому персональные данные были предоставлены, если:

(a) обработка основана на согласии в соответствии с пунктом (a) статьи 6(1) или пунктом (a) статьи 9(2) либо на договоре в соответствии с пунктом (b) статьи 6(1); и

(b) обработка осуществляется автоматизированными средствами.

2. При осуществлении права на переносимость данных в соответствии с пунктом 1 субъект данных имеет право потребовать передачи персональных данных непосредственно от одного оператора другому, если это технически осуществимо.

3. Осуществление права, предусмотренного пунктом 1 настоящей статьи, не затрагивает статью 17. Это право не применяется к обработке, необходимой для выполнения задачи, осуществляемой в общественных интересах или при реализации официальных полномочий, возложенных на оператора.

4. Право, предусмотренное пунктом 1, не должно ущемлять права и свободы других лиц.

Раздел 4
Право на возражение и автоматизированное принятие индивидуальных решений

Статья 21
Право на возражение

1. Субъект данных имеет право в любое время возразить по причинам, связанным с его конкретной ситуацией, против обработки относящихся к нему персональных данных, осуществляемой на основании пункта (e) или (f) статьи 6(1), включая профилирование на основании этих положений. Оператор прекращает обработку персональных данных, если только не докажет наличие убедительных законных оснований для обработки, имеющих преимущество перед интересами, правами и свободами субъекта данных, либо если обработка необходима для установления, осуществления или защиты юридических требований.

2. Если персональные данные обрабатываются в целях прямого маркетинга, субъект данных имеет право в любое время возразить против обработки относящихся к нему персональных данных в таких целях, включая профилирование, в той мере, в какой оно связано с таким прямым маркетингом.

3. Если субъект данных возражает против обработки в целях прямого маркетинга, персональные данные больше не обрабатываются в этих целях.

4. Не позднее момента первого обращения к субъекту данных право, указанное в пунктах 1 и 2, должно быть прямо доведено до его сведения и представлено ясно и отдельно от любой другой информации.

5. В контексте использования услуг информационного общества и независимо от Директивы 2002/58/ЕС субъект данных может осуществить свое право на возражение автоматизированными средствами с использованием технических спецификаций.

6. Если персональные данные обрабатываются для научных или исторических исследований либо статистических целей в соответствии со статьей 89(1), субъект данных по причинам, связанным с его конкретной ситуацией, имеет право возразить против обработки относящихся к нему персональных данных, за исключением случаев, когда обработка необходима для выполнения задачи по причинам общественного интереса.

Статья 22
Автоматизированное принятие индивидуальных решений, включая профилирование

1. Субъект данных имеет право не быть объектом решения, основанного исключительно на автоматизированной обработке, включая профилирование, которое влечет для него юридические последствия или аналогичным образом существенно влияет на него.

2. Пункт 1 не применяется, если решение:

(a) необходимо для заключения или исполнения договора между субъектом данных и оператором;

(b) разрешено правом Союза или государства-члена, которому подчиняется оператор, и которое также предусматривает соответствующие меры для защиты прав, свобод и законных интересов субъекта данных; или

(c) основано на явном согласии субъекта данных.

3. В случаях, указанных в пунктах (a) и (c) пункта 2, оператор принимает соответствующие меры для защиты прав, свобод и законных интересов субъекта данных, по меньшей мере права на получение вмешательства человека со стороны оператора, выражение своей точки зрения и оспаривание решения.

4. Решения, указанные в пункте 2, не должны основываться на специальных категориях персональных данных, указанных в статье 9(1), за исключением случаев, когда применяется пункт (a) или (g) статьи 9(2) и приняты соответствующие меры для защиты прав, свобод и законных интересов субъекта данных.

Раздел 5
Ограничения

Статья 23
Ограничения

1. Право Союза или государства-члена, которому подчиняется оператор или обработчик данных, может посредством законодательной меры ограничить объем обязанностей и прав, предусмотренных статьями 12–22 и 34, а также статьей 5 в той мере, в какой ее положения соответствуют правам и обязанностям, предусмотренным статьями 12–22, если такое ограничение соблюдает сущность основных прав и свобод и является необходимой и пропорциональной мерой в демократическом обществе для обеспечения:

(a) национальной безопасности;

(b) обороны;

(c) общественной безопасности;

(d) предупреждения, расследования, выявления или уголовного преследования преступлений либо исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и их предотвращение;

(e) других важных целей общего общественного интереса Союза или государства-члена, в частности важного экономического или финансового интереса Союза или государства-члена, включая денежно-кредитную, бюджетную и налоговую сферы, общественное здравоохранение и социальное обеспечение;

(f) защиты независимости судебной власти и судебных разбирательств;

(g) предупреждения, расследования, выявления и преследования нарушений профессиональной этики в регулируемых профессиях;

(h) функции мониторинга, инспектирования или регулирования, связанной, даже эпизодически, с осуществлением официальных полномочий в случаях, указанных в пунктах (a)–(e) и (g);

(i) защиты субъекта данных или прав и свобод других лиц;

(j) обеспечения исполнения гражданско-правовых требований.

2. В частности, любая законодательная мера, указанная в пункте 1, должна содержать конкретные положения, по меньшей мере, если применимо, относительно:

(a) целей обработки или категорий обработки;

(b) категорий персональных данных;

(c) объема введенных ограничений;

(d) гарантий для предотвращения злоупотреблений, незаконного доступа или передачи;

(e) указания оператора или категорий операторов;

(f) сроков хранения и применимых гарантий с учетом характера, объема и целей обработки или категорий обработки;

(g) рисков для прав и свобод субъектов данных; и

(h) права субъектов данных быть проинформированными об ограничении, если только это не может нанести ущерб цели ограничения.

Статья 34
Информирование субъекта данных о нарушении безопасности персональных данных

1. Если нарушение безопасности персональных данных может привести к высокому риску для прав и свобод физических лиц, оператор без неоправданной задержки сообщает субъекту данных о нарушении безопасности персональных данных.

2. Сообщение субъекту данных, указанное в пункте 1 настоящей статьи, должно содержать на ясном и простом языке описание характера нарушения безопасности персональных данных, а также по меньшей мере информацию и меры, предусмотренные пунктами (b), (c) и (d) статьи 33(3).

3. Информирование субъекта данных, указанное в пункте 1, не требуется, если выполняется одно из следующих условий:

(a) оператор внедрил надлежащие технические и организационные меры защиты, и эти меры были применены к персональным данным, затронутым нарушением безопасности, в частности меры, делающие персональные данные непонятными для любого лица, не имеющего разрешения на доступ к ним, например шифрование;

(b) оператор принял последующие меры, обеспечивающие, что высокий риск для прав и свобод субъектов данных, указанный в пункте 1, более не может реализоваться;

(c) информирование потребовало бы несоразмерных усилий. В таком случае вместо этого осуществляется публичное сообщение или принимается аналогичная мера, посредством которой субъекты данных информируются столь же эффективно.

4. Если оператор еще не сообщил субъекту данных о нарушении безопасности персональных данных, надзорный орган, оценив вероятность того, что нарушение может привести к высокому риску, вправе потребовать от оператора сделать это либо решить, что выполнено одно из условий, указанных в пункте 3.

РЕСПУБЛИКА МОЛДОВА
ПАРЛАМЕНТ

ЗАКОН № 195 от 25 июля 2024 года
о защите персональных данных

ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

Вступил в силу 23 августа 2026 года

Раздел 1
Прозрачность и порядок осуществления прав субъекта персональных данных

Статья 12
Прозрачность информации, коммуникации и порядок осуществления прав субъекта персональных данных

(1) Оператор принимает надлежащие меры для предоставления субъекту персональных данных любой информации, указанной в статьях 13 и 14, а также любых сообщений в соответствии со статьями 15–22 и 34, относящихся к обработке, в краткой, прозрачной, понятной и легко доступной форме, с использованием ясного и простого языка, особенно в случае информации, предоставляемой ребенку. Информация предоставляется в письменной форме или иными средствами, в том числе, когда это уместно, в электронной форме. По запросу субъекта персональных данных информация может предоставляться устно при условии, что личность субъекта персональных данных подтверждена иными средствами.

(2) Оператор содействует осуществлению прав субъекта персональных данных в соответствии со статьями 15–22. В случаях, указанных в статье 11(2), оператор не отказывает в выполнении запроса субъекта персональных данных на осуществление его прав в соответствии со статьями 15–22, за исключением случаев, когда оператор докажет, что он не в состоянии идентифицировать субъекта персональных данных.

(3) Оператор предоставляет субъекту персональных данных информацию о действиях, предпринятых по запросу в соответствии со статьями 15–22, без неоправданной задержки, но не позднее одного месяца с момента получения запроса. При необходимости этот срок может быть продлен еще на два месяца с учетом сложности и количества запросов. Оператор информирует субъекта персональных данных о таком продлении в течение одного месяца с момента получения запроса, указав причины задержки. Если субъект персональных данных подает запрос в электронной форме, информация по возможности предоставляется в электронной форме, если субъект не запросил иной формат.

(4) Если оператор не предпринимает действий по запросу субъекта персональных данных, он без промедления и не позднее одного месяца с момента получения запроса информирует субъекта о причинах непринятия мер и о возможности подать жалобу в Центр и обратиться в суд.

(5) Информация, предоставляемая в соответствии со статьями 13 и 14, а также любые сообщения и действия, предпринимаемые в соответствии со статьями 15–22 и 34, предоставляются бесплатно. Если запросы субъекта персональных данных являются явно необоснованными или чрезмерными, в частности вследствие их повторяющегося характера, оператор вправе:

a) взимать разумную плату с учетом административных расходов на предоставление информации или сообщения либо выполнение запрашиваемых действий; или

b) отказать в выполнении запроса.

Обязанность доказать явно необоснованный или чрезмерный характер запроса возлагается на оператора.

(6) Без ущерба для статьи 11, если у оператора имеются обоснованные сомнения относительно личности физического лица, подавшего запрос, указанный в статьях 15–21, оператор вправе запросить дополнительную информацию, необходимую для подтверждения личности субъекта персональных данных.

(7) Информация, подлежащая предоставлению субъектам персональных данных в соответствии со статьями 13 и 14, может сопровождаться стандартизированными пиктограммами с целью предоставления легко заметного, понятного и ясно читаемого обзора предполагаемой обработки. Если пиктограммы представлены в электронной форме, они должны быть машиночитаемыми.

(8) Центр может утверждать акты для определения информации, подлежащей представлению посредством пиктограмм, и порядка предоставления стандартизированных пиктограмм.

Раздел 2
Информация и доступ к персональным данным

Статья 13
Информация, предоставляемая в случае, когда персональные данные собираются у субъекта персональных данных

(1) Если персональные данные, относящиеся к субъекту персональных данных, собираются у самого субъекта, оператор в момент получения этих данных предоставляет субъекту следующую информацию:

a) сведения об операторе и его контактные данные, а также, если применимо, сведения и контактные данные его представителя;

b) контактные данные ответственного за защиту персональных данных, если применимо;

c) цели обработки персональных данных, а также правовое основание обработки;

d) если обработка осуществляется на основании статьи 6(1)(f), законные интересы, преследуемые оператором или третьей стороной;

e) получатели или категории получателей персональных данных;

f) если применимо, намерение оператора передать персональные данные получателю в другом государстве или международной организации и наличие либо отсутствие решения Центра о достаточности уровня защиты либо, в случае передач, указанных в статьях 46, 47 или статье 49(2), ссылку на надлежащие или соответствующие гарантии и способы получения их копии, если они были предоставлены.

(2) Помимо информации, указанной в пункте (1), в момент получения персональных данных оператор предоставляет субъекту персональных данных следующую дополнительную информацию, необходимую для обеспечения справедливой и прозрачной обработки:

a) срок хранения персональных данных либо, если это невозможно, критерии определения такого срока;

b) наличие права запросить у оператора доступ к относящимся к субъекту персональным данным, их исправление или удаление либо ограничение обработки, право возразить против обработки, а также право на переносимость данных;

c) если обработка основана на статье 6(1)(a) или статье 9(2)(a), наличие права отозвать согласие в любое время без ущерба для законности обработки, осуществленной на основании согласия до его отзыва;

d) право подать жалобу в Центр;

e) является ли предоставление персональных данных законодательной или договорной обязанностью либо условием, необходимым для заключения договора, обязан ли субъект персональных данных предоставить эти данные и каковы возможные последствия невыполнения такой обязанности;

f) наличие автоматизированного принятия решений, включая профилирование, указанного в статье 22(1) и (4), а также, по меньшей мере в соответствующих случаях, существенную информацию о применяемой логике, значении и предполагаемых последствиях такой обработки для субъекта персональных данных.

(3) Если оператор намеревается впоследствии обрабатывать персональные данные в иной цели, чем та, для которой они были собраны, до такой дальнейшей обработки оператор предоставляет субъекту персональных данных информацию об этой иной цели, а также любую соответствующую дополнительную информацию в соответствии с пунктом (2).

(4) Пункты (1)–(3) не применяются в той мере, в какой субъект персональных данных уже располагает соответствующей информацией.

Статья 14
Информация, предоставляемая в случае, когда персональные данные не были получены от субъекта персональных данных

(1) Если персональные данные не были получены от субъекта персональных данных, оператор предоставляет субъекту следующую информацию:

a) сведения об операторе и его контактные данные, а также, если применимо, сведения и контактные данные его представителя;

b) контактные данные ответственного за защиту персональных данных, если применимо;

c) цели обработки персональных данных, а также правовое основание обработки;

d) категории соответствующих персональных данных;

e) получатели или категории получателей персональных данных, если применимо;

f) если применимо, намерение оператора передать персональные данные получателю в другом государстве или международной организации и наличие либо отсутствие решения Центра о достаточности уровня защиты либо, в случае передач, указанных в статьях 46, 47 или статье 49(2), ссылку на надлежащие или соответствующие гарантии и способы получения их копии, если они были предоставлены.

(2) Помимо информации, указанной в пункте (1), оператор предоставляет субъекту персональных данных следующую информацию, необходимую для обеспечения справедливой и прозрачной обработки:

a) срок хранения персональных данных либо, если это невозможно, критерии определения такого срока;

b) если обработка осуществляется на основании статьи 6(1)(f), законные интересы, преследуемые оператором или третьей стороной;

c) наличие права запросить у оператора доступ к относящимся к субъекту персональным данным, их исправление или удаление либо ограничение обработки, право возразить против обработки, а также право на переносимость данных;

d) если обработка основана на статье 6(1)(a) или статье 9(2)(a), наличие права отозвать согласие в любое время без ущерба для законности обработки, осуществленной на основании согласия до его отзыва;

e) право подать жалобу в Центр;

f) источник происхождения персональных данных и, если применимо, получены ли они из общедоступных источников;

g) наличие автоматизированного принятия решений, включая профилирование, указанного в статье 22(1) и (4), а также, по меньшей мере в соответствующих случаях, существенную информацию о применяемой логике, значении и предполагаемых последствиях такой обработки для субъекта персональных данных.

(3) Оператор предоставляет информацию, указанную в пунктах (1) и (2):

a) в разумный срок после получения персональных данных, но не позднее одного месяца, с учетом конкретных обстоятельств, при которых обрабатываются персональные данные;

b) если персональные данные предполагается использовать для связи с субъектом персональных данных — не позднее момента первого обращения к такому субъекту; или

c) если предполагается раскрытие персональных данных другому получателю — не позднее момента их первого раскрытия.

(4) Если оператор намеревается впоследствии обрабатывать персональные данные в иной цели, чем та, для которой они были получены, до такой дальнейшей обработки оператор предоставляет субъекту персональных данных информацию об этой иной цели и любую соответствующую дополнительную информацию в соответствии с пунктом (2).

(5) Пункты (1)–(4) не применяются в той мере, в какой:

a) субъект персональных данных уже располагает соответствующей информацией;

b) предоставление такой информации оказывается невозможным или потребовало бы несоразмерных усилий, в частности при обработке в целях архивирования в общественных интересах, научных или исторических исследований либо статистических целях, при соблюдении условий и гарантий, предусмотренных статьей 54(1), либо если обязанность, указанная в пункте (1) настоящей статьи, может сделать невозможным или серьезно затруднить достижение целей соответствующей обработки. В таких случаях оператор принимает надлежащие меры для защиты прав, свобод и законных интересов субъекта персональных данных, включая опубликование информации;

c) получение или раскрытие данных прямо предусмотрено нормативными актами, устанавливающими надлежащие меры по защите законных интересов субъекта персональных данных; или

d) персональные данные должны оставаться конфиденциальными в силу установленной нормативными актами обязанности соблюдать профессиональную тайну, включая предусмотренную законом обязанность сохранять тайну.

Статья 15
Право субъекта персональных данных на доступ

(1) Субъект персональных данных имеет право получить от оператора подтверждение того, обрабатываются ли относящиеся к нему персональные данные, и, если обработка осуществляется, получить доступ к данным и следующей информации:

a) цели обработки;

b) категории соответствующих персональных данных;

c) получатели или категории получателей, которым персональные данные были или будут раскрыты, в частности получатели в других государствах или международных организациях;

d) предполагаемый срок хранения персональных данных либо, если это невозможно, критерии определения такого срока;

e) наличие права потребовать от оператора исправления или удаления персональных данных либо ограничения обработки персональных данных, относящихся к субъекту, или права возразить против обработки;

f) право подать жалобу в Центр;

g) если персональные данные не были получены от субъекта — любую доступную информацию об их источнике;

h) наличие автоматизированного принятия решений, включая профилирование, указанного в статье 22(1) и (4), а также, по меньшей мере в соответствующих случаях, существенную информацию о применяемой логике, значении и предполагаемых последствиях такой обработки для субъекта персональных данных.

(2) Если персональные данные передаются в другое государство или международную организацию, субъект персональных данных имеет право быть проинформированным о соответствующих гарантиях в соответствии со статьей 46.

(3) Оператор предоставляет копию обрабатываемых персональных данных. За дополнительные копии, запрашиваемые субъектом персональных данных, оператор вправе взимать разумную плату, основанную на административных расходах. Если субъект подает запрос в электронной форме, информация предоставляется в широко используемом электронном формате, если субъект не запросил иной формат.

(4) Право на получение копии, указанное в пункте (3), не должно ущемлять права и свободы других лиц.

Раздел 3
Исправление и удаление

Статья 16
Право на исправление

Субъект персональных данных имеет право потребовать от оператора без неоправданной задержки исправления неточных персональных данных, относящихся к нему. С учетом целей обработки субъект персональных данных имеет право потребовать дополнения неполных персональных данных, в том числе путем предоставления дополнительного заявления.

Статья 17
Право на удаление («право быть забытым»)

(1) Субъект персональных данных имеет право потребовать от оператора удаления относящихся к нему персональных данных без неоправданной задержки, а оператор обязан удалить персональные данные без неоправданной задержки в одном из следующих случаев:

a) персональные данные больше не являются необходимыми для целей, для которых они были собраны или иным образом обработаны;

b) субъект персональных данных отзывает согласие, на котором основывается обработка в соответствии со статьей 6(1)(a) или статьей 9(2)(a), и отсутствует иное правовое основание для обработки;

c) субъект персональных данных возражает против обработки в соответствии со статьей 21(1), и отсутствуют преобладающие законные основания для обработки, либо субъект возражает против обработки в соответствии со статьей 21(2);

d) персональные данные обрабатывались незаконно;

e) персональные данные должны быть удалены для выполнения установленной нормативными актами юридической обязанности, возложенной на оператора;

f) персональные данные были собраны в связи с предложением услуг информационного общества, указанных в статье 8(1).

(2) Если оператор сделал персональные данные общедоступными и обязан в соответствии с пунктом (1) удалить их, оператор с учетом доступных технологий и стоимости реализации принимает разумные меры, включая технические меры, для информирования операторов, обрабатывающих эти персональные данные, о том, что субъект персональных данных потребовал удаления такими операторами любых ссылок на данные либо любых копий или воспроизведений этих персональных данных.

(3) Пункты (1) и (2) не применяются в той мере, в какой обработка необходима:

a) для осуществления права на свободу выражения мнений и информации;

b) для выполнения юридической обязанности, предусматривающей обработку, либо для выполнения задачи, осуществляемой в общественных интересах или при реализации официальных полномочий, возложенных на оператора;

c) по причинам общественного интереса в области общественного здравоохранения в соответствии со статьей 9(2)(h) и (i) и статьей 9(3);

d) для архивирования в общественных интересах, научных или исторических исследований либо статистических целей в соответствии со статьей 54(1), если право, указанное в пункте (1), может сделать невозможным или серьезно затруднить достижение целей такой обработки;

e) для установления, осуществления или защиты права в административном, судебном или внесудебном производстве.

Статья 18
Право на ограничение обработки

(1) Субъект персональных данных имеет право потребовать от оператора ограничения обработки в одном из следующих случаев:

a) субъект персональных данных оспаривает точность данных — на период, позволяющий оператору проверить их точность;

b) обработка является незаконной, а субъект персональных данных возражает против удаления данных и требует вместо этого ограничения их использования;

c) оператор больше не нуждается в персональных данных для целей обработки, однако они необходимы субъекту персональных данных для установления, осуществления или защиты права в административном, судебном или внесудебном производстве;

d) субъект персональных данных возразил против обработки в соответствии со статьей 21(1) — на период проверки того, имеют ли законные права оператора преимущество перед правами субъекта персональных данных.

(2) Если обработка ограничена в соответствии с пунктом (1), такие персональные данные, за исключением хранения, могут обрабатываться только с согласия субъекта персональных данных либо для установления, осуществления или защиты права в административном, судебном или внесудебном производстве, защиты прав другого физического или юридического лица либо по причинам важного общественного интереса.

(3) Субъект персональных данных, добившийся ограничения обработки в соответствии с пунктом (1), информируется оператором до снятия ограничения обработки.

Статья 19
Обязанность уведомления об исправлении или удалении персональных данных либо ограничении обработки

Оператор обязан сообщить каждому получателю, которому были раскрыты персональные данные, о любом исправлении или удалении персональных данных либо ограничении обработки, осуществленных в соответствии со статьей 16, статьей 17(1) и статьей 18, за исключением случаев, когда это оказывается невозможным или требует несоразмерных усилий. Оператор информирует субъекта персональных данных о таких получателях по его запросу.

Статья 20
Право на переносимость данных

(1) Субъект персональных данных имеет право получить относящиеся к нему персональные данные, которые он предоставил оператору, в структурированном, широко используемом и машиночитаемом формате, а также имеет право передать такие данные другому оператору без препятствий со стороны оператора, которому данные были предоставлены, если:

a) обработка осуществляется на основании согласия в соответствии со статьей 6(1)(a) или статьей 9(2)(a) либо договора в соответствии со статьей 6(1)(b); и

b) обработка осуществляется автоматизированными средствами.

(2) При осуществлении права на переносимость данных в соответствии с пунктом (1) субъект персональных данных имеет право потребовать непосредственной передачи персональных данных от одного оператора другому, если это технически возможно.

(3) Осуществление права на переносимость данных не затрагивает положения статьи 17. Это право не применяется к обработке, необходимой для выполнения задачи, осуществляемой в общественных интересах или при реализации официальных полномочий, возложенных на оператора.

(4) Право на переносимость данных не должно ущемлять права и свободы других лиц.

Раздел 4
Право на возражение и автоматизированное принятие индивидуальных решений

Статья 21
Право на возражение

(1) Субъект персональных данных имеет право в любое время возразить по личным причинам против обработки относящихся к нему персональных данных, осуществляемой на основании статьи 6(1)(e) или (f), включая профилирование на основании этих положений. Оператор прекращает обработку персональных данных, за исключением случаев, когда он докажет наличие убедительных законных оснований для обработки, имеющих преимущество перед правами, свободами и законными интересами субъекта персональных данных, либо если целью обработки является установление, осуществление или защита права в административном, судебном или внесудебном производстве.

(2) Если персональные данные обрабатываются в целях прямого маркетинга, субъект персональных данных имеет право в любое время возразить против обработки относящихся к нему персональных данных в этих целях, включая профилирование, в той мере, в какой оно связано с соответствующим прямым маркетингом.

(3) Если субъект персональных данных возражает против обработки в целях прямого маркетинга, персональные данные больше не обрабатываются в этих целях.

(4) Не позднее момента первого обращения к субъекту персональных данных право, указанное в пунктах (1) и (2), должно быть прямо доведено до его сведения и представлено ясно и отдельно от любой другой информации.

(5) В контексте использования услуг информационного общества, в отступление от положений Закона № 284/2004 об услугах информационного общества, субъект персональных данных может осуществить право на возражение автоматизированными средствами с использованием технических спецификаций.

(6) Если персональные данные обрабатываются для научных или исторических исследований либо статистических целей в соответствии со статьей 54(1), субъект персональных данных по личным причинам имеет право возразить против обработки относящихся к нему персональных данных, кроме случаев, когда обработка необходима для выполнения задачи по причинам общественного интереса.

Статья 22
Автоматизированное принятие индивидуальных решений, включая профилирование

(1) Субъект персональных данных имеет право не быть объектом решения, основанного исключительно на автоматизированной обработке, включая профилирование, которое влечет юридические последствия для субъекта либо аналогичным образом существенно влияет на него.

(2) Пункт (1) не применяется, если решение:

a) необходимо для заключения или исполнения договора между субъектом персональных данных и оператором;

b) разрешено нормативными актами, которые также предусматривают соответствующие меры для защиты прав, свобод и законных интересов субъекта персональных данных; или

c) основано на явном согласии субъекта персональных данных.

(3) В случаях, указанных в пункте (2)(a) и (c), оператор принимает соответствующие меры для защиты прав, свобод и законных интересов субъекта персональных данных, включая по меньшей мере право на вмешательство человека со стороны оператора, право выразить свою точку зрения и право оспорить решение.

(4) Решения, указанные в пункте (2), не могут основываться на специальных категориях персональных данных, указанных в статье 9(1), за исключением случаев, когда применяется статья 9(2)(a) или (g) и приняты соответствующие меры для защиты прав, свобод и законных интересов субъекта персональных данных.

Раздел 5
Ограничения

Статья 23
Ограничения

(1) Права и обязанности, предусмотренные статьями 12–22 и 34, а также положения статьи 5 в той мере, в какой они соответствуют правам и обязанностям, предусмотренным статьями 12–22, могут быть ограничены законом, если такое ограничение соблюдает сущность основных прав и свобод и является необходимой и пропорциональной мерой в демократическом обществе для обеспечения:

a) национальной безопасности;

b) обороны;

c) общественной безопасности;

d) предупреждения, расследования, выявления или уголовного преследования преступлений либо исполнения уголовных наказаний, включая защиту от угроз общественной безопасности и их предотвращение;

e) других важных целей общего общественного интереса Республики Молдова, в частности важного экономического или финансового интереса Республики Молдова, включая денежно-кредитную, бюджетную и налоговую сферы, общественное здравоохранение и социальное обеспечение;

f) защиты независимости судебной власти и судебных разбирательств;

g) предупреждения, расследования, выявления и преследования нарушений профессиональной этики в регулируемых профессиях;

h) функции мониторинга, инспектирования или регулирования, связанной, даже эпизодически, с осуществлением официальных полномочий в случаях, указанных в пунктах a)–e) и g);

i) защиты субъекта персональных данных либо прав и свобод других лиц;

j) обеспечения исполнения гражданско-правовых требований.

(2) Любой закон, принятый в соответствии с пунктом (1), должен содержать конкретные положения, по меньшей мере, если применимо, относительно:

a) целей обработки или категорий обработки;

b) категорий персональных данных;

c) объема введенных ограничений;

d) гарантий для предотвращения злоупотреблений, незаконного доступа или передачи;

e) указания оператора или категорий операторов;

f) сроков хранения и применимых гарантий с учетом характера, объема и целей обработки или категорий обработки;

g) рисков для прав и свобод субъектов персональных данных;

h) права субъектов персональных данных быть проинформированными об ограничении, за исключением случаев, когда это может нанести ущерб цели ограничения.

Статья 34
Информирование субъекта персональных данных о нарушении безопасности персональных данных

(1) Если нарушение безопасности персональных данных может привести к высокому риску для прав и свобод физических лиц, оператор без неоправданной задержки информирует субъекта персональных данных о таком нарушении.

(2) Сообщение субъекту персональных данных, указанное в пункте (1), должно содержать ясное и простое описание характера нарушения безопасности персональных данных, а также по меньшей мере информацию и меры, предусмотренные статьей 33(3)(b)–(d).

(3) Информирование субъекта персональных данных, указанное в пункте (1), не требуется, если выполняется одно из следующих условий:

a) оператор внедрил надлежащие технические и организационные меры защиты, и эти меры были применены к персональным данным, затронутым нарушением безопасности, в частности меры, обеспечивающие, чтобы персональные данные становились непонятными для любого лица, не имеющего разрешения на доступ к ним, например шифрование;

b) оператор принял последующие меры, обеспечивающие, что высокий риск для прав и свобод субъектов персональных данных, указанный в пункте (1), более не может реализоваться;

c) информирование потребовало бы несоразмерных усилий. В таком случае осуществляется публичное сообщение или принимается аналогичная мера, посредством которой субъекты персональных данных информируются столь же эффективно.

(4) Если оператор не сообщил субъекту персональных данных о нарушении безопасности персональных данных, Центр, оценив вероятность того, что нарушение может привести к высокому риску, вправе потребовать от оператора проинформировать субъекта персональных данных либо решить, что выполнено одно из условий, указанных в пункте (3).