Общие положения о защите данных

«GDPR» перенаправляется сюда. Чтобы узнать об экономическом термине, см. Валовой внутренний продукт региона .

Регламент (ЕС) 2016/679

Регламент Европейского Союза
Текст, ЕЭЗ имеющий отношение к
Заголовок	Положение о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, а также об отмене Директивы 95/46/EC (Директива о защите данных)
Сделано	Европейский парламент и Совет Европейского Союза
на журнал Ссылка	L119, 4 мая 2016 г., с. 1–88
История
Дата создания	14 апреля 2016 г.
Дата реализации	25 мая 2018 г.
Подготовительные тексты
комиссии Предложение	COM/2012/010 финал – 2012/0010 (COD)
Другое законодательство
Заменяет	Директива о защите данных
Действующее законодательство

Общий регламент по защите данных ( Регламент (ЕС) 2016/679 , сокращенно GDPR ) — это регламент Европейского Союза о конфиденциальности информации в Европейском Союзе (ЕС) и Европейской экономической зоне (ЕЭЗ). GDPR является важным компонентом законодательства ЕС о конфиденциальности и законодательства о правах человека , в частности статьи 8(1) Хартии основных прав Европейского Союза . Он также регулирует передачу персональных данных за пределы ЕС и ЕЭЗ. Целью GDPR является усиление контроля и прав частных лиц в отношении их личной информации, а также упрощение правил для международного бизнеса . Она заменяет Директиву о защите данных 95/46/EC и, среди прочего, упрощает терминологию.

Европейский парламент и Совет Европейского Союза приняли GDPR 14 апреля 2016 года, который вступит в силу 25 мая 2018 года. Будучи постановлением ЕС (а не директивой ) , GDPR имеет силу закона сам по себе и без необходимости транспозиции ​ . Однако он также предоставляет отдельным государствам-членам возможность изменять (отступать от) некоторых его положений.

В качестве примера эффекта Брюсселя это регулирование стало моделью для многих других законов по всему миру, в том числе в Бразилии, Японии, Сингапуре, Южной Африке, Южной Корее, Шри-Ланке и Таиланде. После выхода из Европейского Союза Соединенное Королевство приняло «GDPR Великобритании», идентичный GDPR. Закон Калифорнии о конфиденциальности потребителей (CCPA), принятый 28 июня 2018 года, во многом похож на GDPR.

Содержание

GDPR 2016 состоит из одиннадцати глав, касающихся общих положений, принципов, прав субъекта данных, обязанностей контролеров или обработчиков данных, передачи персональных данных в третьи страны, надзорных органов, сотрудничества между государствами-членами, средств правовой защиты, ответственности или санкций за нарушение права и различные заключительные положения. В декларативной части 4 провозглашается, что «обработка персональных данных должна быть направлена ​​на служение человечеству».

Общие положения

Постановление применяется, если контролер данных (организация, которая собирает информацию о живых людях, независимо от того, находятся они в ЕС или нет) или процессор (организация, которая обрабатывает данные от имени контролера данных, например, поставщики облачных услуг), или данные субъект (человек) находится в ЕС. При определенных обстоятельствах, Постановление также распространяется на организации, базирующиеся за пределами ЕС, если они собирают или обрабатывают персональные данные лиц, находящихся на территории ЕС. Постановление не распространяется на обработку данных лицом для «чисто личной или бытовой деятельности и, следовательно, не связанной с профессиональной или коммерческой деятельностью». (Концерт 18).

По мнению Европейской комиссии , «Персональные данные — это информация, которая относится к идентифицированному или идентифицируемому физическому лицу. Если вы не можете напрямую идентифицировать физическое лицо на основе этой информации, вам необходимо подумать, можно ли еще идентифицировать это физическое лицо. Вам следует принять во внимание информацию вы обрабатываете данные вместе со всеми средствами, которые могут быть разумно использованы вами или любым другим лицом для идентификации этого человека». Точные определения таких терминов, как «персональные данные», «обработка», «субъект данных», «контролер» и «обработчик» приведены в статье 4 Регламента.

Постановление не распространяется на обработку персональных данных в целях национальной безопасности или правоохранительных органов ЕС; однако отраслевые группы, обеспокоенные возможным конфликтом законов, задаются вопросом, является ли статья 48 GDPR может быть использован для того, чтобы помешать контролеру данных, на которого распространяется действие законов третьей страны, выполнить законный приказ правоохранительных, судебных органов или органов национальной безопасности этой страны о раскрытии таким органам персональных данных лица из ЕС, независимо от того, находятся ли данные в ЕС или за его пределами. Статья 48 гласит, что любое решение суда или трибунала и любое решение административного органа третьей страны, требующее от контролера или обработчика передачи или раскрытия персональных данных, не могут быть признаны или подлежать исполнению каким-либо образом, если они не основаны на международном соглашении, например договор о взаимной правовой помощи, действующий между запрашивающей третьей страной (не входящей в ЕС) и ЕС или государством-членом. Пакет реформ по защите данных также включает отдельную Директиву о защите данных для полиции и сектора уголовного правосудия, которая устанавливает правила обмена личными данными на уровне штата , Союза и международном уровне.

Единый свод правил применяется ко всем государствам-членам ЕС. Каждое государство-член создает независимый надзорный орган (SA) для рассмотрения и расследования жалоб, применения санкций к административным правонарушениям и т. д. SA в каждом государстве-члене сотрудничают с другими SA, оказывая взаимную помощь и организуя совместные операции. Если у компании есть несколько предприятий в ЕС, у нее должен быть один SA в качестве «ведущего органа» в зависимости от местоположения ее «основного предприятия», где осуществляется основная деятельность по переработке. Таким образом, ведущий орган действует как « единое окно », контролируя всю перерабатывающую деятельность этого бизнеса на всей территории ЕС ( статьи 46–55 GDPR). Европейский совет по защите данных (EDPB) координирует деятельность SA. Таким образом, EDPB заменяет предусмотренную статьей 29 Рабочую группу по защите данных, . Существуют исключения для данных, обрабатываемых в контексте трудоустройства или национальной безопасности, которые по-прежнему могут регулироваться правилами отдельных стран ( статьи 2(2)(a) и 88 GDPR).

Принципы и законные цели

Статья 5 устанавливает шесть принципов, касающихся законности обработки персональных данных. Первый из них предусматривает, что данные должны обрабатываться законно, справедливо и прозрачно. Статья 6 развивает этот принцип, уточняя, что персональные данные не могут обрабатываться, если для этого нет хотя бы одного юридического основания. Другие принципы относятся к «ограничению цели», « минимизации данных », «точности», «ограничению хранения» и «целостности и конфиденциальности».

Статья 6 гласит, что законными целями являются:

• (а) если субъект данных дал согласие на обработку своих персональных данных;
• (б) для выполнения договорных обязательств с субъектом данных или для выполнения задач по запросу субъекта данных, который находится в процессе заключения договора;
• (c) Для соблюдения юридических обязательств контролера данных;
• (d) Для защиты жизненно важных интересов субъекта данных или другого физического лица;
• (e) Для выполнения задачи в общественных интересах или в рамках официальной власти;
• (f) Для законных интересов контролера данных или третьей стороны, если только эти интересы не перевешивают интересы субъекта данных или ее или его прав в соответствии с Хартией основных прав (особенно в случае детей).

Если информированное согласие используется в качестве законного основания для обработки, согласие должно быть явным для собранных данных и для каждой цели использования данных ( статья 7 ; определено в статье 4 ). Согласие должно быть конкретным, свободно данным, ясно сформулированным и недвусмысленным подтверждением, данным субъектом данных; онлайн-форма, в которой параметры согласия структурированы как вариант отказа, выбранный по умолчанию, является нарушением GDPR, поскольку согласие не подтверждается однозначно пользователем. Кроме того, несколько типов обработки не могут быть «объединены» в один запрос подтверждения, поскольку это не является специфичным для каждого использования данных, а отдельные разрешения не предоставляются свободно. (Концерт 32).

Субъектам данных должно быть разрешено отозвать это согласие в любое время, и процесс этого не должен быть сложнее, чем процесс согласия. ( Статья 7(3) ). Контроллер данных не может отказать в обслуживании пользователям, которые отклоняют согласие на обработка, которая не является строго необходимой для использования услуги. ( Статья 8 ) Согласие для детей, определенных в постановлении как не достигших 16-летнего возраста (хотя с возможностью для государств-членов в индивидуальном порядке сделать этот возраст менее 13 лет ( Статья 8(1) ), должно быть дано родителем или опекуном ребенка и поддающимся проверке ( статья 8 ).

Если согласие на обработку уже было предоставлено в соответствии с Директивой о защите данных, контролеру данных не нужно повторно получать согласие, если обработка документирована и получена в соответствии с требованиями GDPR (декларатив 171).

Права субъекта данных

Прозрачность и условия

Статья 12 требует, чтобы контролер данных предоставлял информацию «субъекту данных в краткой, прозрачной, понятной и легко доступной форме, используя ясный и простой язык, в частности, для любой информации, адресованной конкретно ребенку».

Информация и доступ

Право доступа ( статья 15 ) является правом субъекта данных. Оно дает людям право на доступ к своим личным данным и информации о том, как эти личные данные обрабатываются. Контроллер данных должен предоставить по запросу обзор категорий обрабатываемых данных (статья 15(1)(b)), а также копию фактических данных ( статья 15(3) ); кроме того, контролер данных должен информировать субъекта данных о подробностях обработки, таких как цели обработки ( статья 15(1)(a) ), кому передаются данные ( статья 15(1)(c) ) и как он получил данные ( статья 15(1)(g) ).

Субъект данных должен иметь возможность передавать персональные данные из одной электронной системы обработки в другую без препятствий со стороны контролера данных. Данные, которые были достаточно анонимизированы, исключаются, но данные, которые были только обезличены, но которые можно связать с рассматриваемым лицом, например, путем предоставления соответствующего идентификатора, не исключаются. Однако на практике предоставление таких идентификаторов может оказаться затруднительным, как, например, в случае с Siri от Apple , где данные голоса и стенограммы хранятся с личным идентификатором, доступ к которому производитель ограничивает. или в онлайн-поведенческом таргетинге, который в значительной степени зависит от отпечатков пальцев устройства , которые может быть сложно захватить, отправить и проверить.

Включены как данные, «предоставляемые» субъектом данных, так и данные, которые «наблюдаются», например, о поведении. Кроме того, данные должны предоставляться контролером в структурированном и широко используемом стандартном электронном формате. Право на переносимость данных предусмотрено статьей 20 GDPR.

Исправление и удаление

Право на забвение было заменено более ограниченным правом на удаление в версии GDPR, принятой Европейским парламентом в марте 2014 года. Статья 17 предусматривает, что субъект данных имеет право потребовать удаления связанных с ним персональных данных по любому из ряда оснований, включая несоблюдение статьи 6(1) (законность), которая включает случай (f), если законные интересы контролера игнорируются интересами или основными правами и свободами субъекта данных, которые требуют защиты персональных данных (см. также Google Spain SL, Google Inc. против Испанского агентства по защите данных, Марио Костеха Гонсалес ).

Право на возражение и автоматизированные решения

Статья 21 GDPR позволяет физическому лицу возражать против обработки личной информации в маркетинговых или не связанных с обслуживанием целях. Это означает, что контролер данных должен предоставить физическому лицу право остановить или запретить контролеру обработку его персональных данных.

Есть некоторые случаи, когда это возражение не применимо. Например, если:

1. Юридические или официальные полномочия осуществляются
2. «Законный интерес», когда организации необходимо обработать данные, чтобы предоставить субъекту данных услугу, на которую он подписался.
3. Задача, выполняемая в общественных интересах.

GDPR также ясно указывает, что контролер данных должен информировать людей об их праве на возражение при первом общении с ними. Это должно быть ясно и отдельно от любой другой информации, которую предоставляет контролер, и предоставлять им варианты того, как лучше всего возражать против обработки их данных.

Бывают случаи, когда контролер может отклонить запрос в обстоятельствах, когда запрос на возражение является «явно необоснованным» или «чрезмерным», поэтому каждый случай возражения должен рассматриваться индивидуально. Другие страны, такие как Канада также, следуя GDPR, рассматривают возможность принятия законодательства, регулирующего автоматизированное принятие решений в соответствии с законами о конфиденциальности, хотя существуют политические вопросы относительно того, является ли это лучшим способом регулирования ИИ.

Право на компенсацию

Статья 82 GDPR предусматривает, что любое лицо, понесшее материальный или нематериальный ущерб в результате нарушения настоящего Регламента, имеет право на получение компенсации от контролера или процессора за причиненный ущерб.

В решении Österreichische Post (C-300/21) Суд Европейского Союза дал толкование права на компенсацию. Статья 82(1) GDPR требует для возмещения убытков (i) нарушения GDPR, (ii) (фактического) понесенного ущерба и (iii) причинной связи между нарушением и понесенным ущербом. Не обязательно, чтобы причиненный ущерб достиг определенной степени серьезности. В Европе не существует определенной концепции ущерба. Компенсация определяется на национальном уровне в соответствии с национальным законодательством. Необходимо учитывать принципы эквивалентности и эффективности.

См. также заключение Генерального адвоката по делу Krankenversicherung Nordrhein (C-667/21).

Контроллер и процессор

Контролеры данных должны четко раскрывать информацию о любом сборе данных , объявлять законную основу и цель обработки данных, а также указывать, как долго данные хранятся и передаются ли они третьим лицам или за пределами ЕЭЗ. Фирмы обязаны защищать данные сотрудников и потребителей до такой степени, чтобы извлекались только необходимые данные с минимальным вмешательством в конфиденциальность данных со стороны сотрудников, потребителей или третьих лиц. Фирмы должны иметь внутренний контроль и правила для различных отделов, таких как аудит, внутренний контроль и операции. Субъекты данных имеют право запросить портативную копию данных, собранных контролером, в общем формате, а также право на удаление своих данных при определенных обстоятельствах. Государственные органы и предприятия, основная деятельность которых состоит в регулярной или систематической обработке персональных данных, обязаны нанять сотрудника по защите данных (DPO), который отвечает за контроль соблюдения GDPR. Контролеры данных должны сообщать утечки данных национальным надзорным органам в течение 72 часов, если они оказывают негативное влияние на конфиденциальность пользователей. В некоторых случаях нарушители GDPR могут быть оштрафованы на сумму до 20 миллионов евро или до 4% от годового мирового оборота за предыдущий финансовый год в случае предприятия, в зависимости от того, что больше.

Чтобы иметь возможность продемонстрировать соответствие GDPR, контролер данных должен реализовать меры, которые соответствуют принципам защиты данных по замыслу и по умолчанию. Статья 25 требует, чтобы меры защиты данных были включены в разработку бизнес-процессов для продуктов и услуг. Такие меры включают псевдонимизацию персональных данных контролером в кратчайшие сроки (пункт 78 декларативной информации). Ответственность и ответственность контролера данных заключается в принятии эффективных мер и возможности продемонстрировать соответствие действий по обработке, даже если обработка выполняется обработчиком данных от имени контролера (пункт 74 декларативной части). При сборе данных субъекты данных должны быть четко проинформированы об объеме сбора данных, правовой основе обработки персональных данных, как долго хранятся данные, передаются ли данные третьей стороне и/или за пределы ЕС. и любое автоматизированное принятие решений , принимаемое исключительно на алгоритмической основе. Субъекты данных должны быть проинформированы о своих правах на конфиденциальность в соответствии с GDPR, включая их право отозвать согласие на обработку данных в любое время, их право просматривать свои личные данные и получить доступ к обзору того, как они обрабатываются , их право на получение портативного устройства. копию сохраненных данных , их право на удаление своих данных при определенных обстоятельствах , их право оспаривать любое автоматизированное принятие решения, которое было принято исключительно на алгоритмической основе, а также их право подавать жалобы в орган по защите данных . Таким образом, субъекту данных также должны быть предоставлены контактные данные контролера данных и назначенного им сотрудника по защите данных, где это применимо.

Оценка воздействия на защиту данных ( статья 35 ) должна проводиться в случае возникновения особых рисков для прав и свобод субъектов данных. Требуется оценка и смягчение рисков, а в случае высоких рисков требуется предварительное одобрение органов по защите данных.

Статья 25 требует, чтобы защита данных была предусмотрена при разработке бизнес-процессов для продуктов и услуг. Поэтому настройки конфиденциальности по умолчанию должны быть установлены на высоком уровне, а контролер должен принять технические и процедурные меры, чтобы гарантировать, что обработка на протяжении всего жизненного цикла обработки соответствует нормативам. Контролеры также должны внедрить механизмы, гарантирующие, что персональные данные не будут обрабатываться, кроме случаев, когда это необходимо для каждой конкретной цели. Это известно как минимизация данных.

Отчет Агентство Европейского Союза по сетевой и информационной безопасности подробно описывает, что необходимо сделать, чтобы обеспечить конфиденциальность и защиту данных по умолчанию. В нем указывается, что операции шифрования и дешифрования должны выполняться локально, а не с помощью удаленной службы, поскольку и ключи, и данные должны оставаться во власти владельца данных, если требуется обеспечить какую-либо конфиденциальность. В отчете указывается, что аутсорсинговое хранение данных в удаленных облаках практично и относительно безопасно, если только владелец данных, а не облачная служба, владеет ключами расшифровки.

Псевдонимизация

Согласно GDPR, псевдонимизация — это обязательный процесс для хранимых данных, который преобразует персональные данные таким образом, что полученные данные невозможно отнести к конкретному субъекту данных без использования дополнительной информации (в качестве альтернативы другому варианту полных данных). анонимизация ). Примером является шифрование , которое делает исходные данные неразборчивыми в ходе процесса, который невозможно отменить без доступа к правильному ключу дешифрования . GDPR требует, чтобы дополнительная информация (например, ключ дешифрования) хранилась отдельно от псевдонимизированных данных.

Другим примером псевдонимизации является токенизация , которая представляет собой нематематический подход к защите хранящихся данных , при котором конфиденциальные данные заменяются неконфиденциальными заменителями, называемыми токенами. Хотя токены не имеют никакого внешнего или пригодного для использования значения или ценности, они позволяют полностью или частично видеть определенные данные для обработки и анализа, в то время как конфиденциальная информация остается скрытой. Токенизация не меняет тип или длину данных, а это означает, что они могут обрабатываться устаревшими системами, такими как базы данных, которые могут быть чувствительны к длине и типу данных. Это также требует гораздо меньше вычислительных ресурсов для обработки и меньше места для хранения в базах данных, чем традиционно зашифрованные данные.

Псевдонимизация — это технология, повышающая конфиденциальность , и ее рекомендуется снижать риски для соответствующих субъектов данных, а также помогать контролерам и обработчикам выполнять свои обязательства по защите данных (декларативная часть 28).

Записи о деятельности по обработке

Согласно статье 30 , записи о деятельности по обработке должны вестись каждой организацией, соответствующей одному из следующих критериев:

• трудоустроено более 250 человек;
• осуществляемая им обработка может привести к риску для прав и свобод субъектов данных;
• обработка не случайна;
• обработка включает специальные категории данных, указанных в статье 9(1), или персональные данные, относящиеся к уголовным осуждениям и правонарушениям, указанным в статье 10.

Такие требования могут быть изменены каждой страной ЕС. Записи должны быть в электронной форме, и контролер или обработчик и, если применимо, представитель контролера или обработчика должны предоставить записи надзорному органу по запросу.

Записи контролера должны содержать всю следующую информацию:

• имя и контактные данные контролера и, если применимо, совместного контролера, представитель контролера и уполномоченный по защите данных;
• цели обработки;
• описание категорий субъектов данных и категорий персональных данных;
• категории получателей, которым персональные данные были или будут раскрыты, включая получателей в третьих странах или международных организациях;
• где это применимо, передача персональных данных в третью страну или международную организацию, включая идентификацию этой третьей страны или международной организации и, в случае передачи, упомянутой во втором подпараграфе статьи 49(1), документацию, соответствующую гарантии;
• где это возможно, предусмотренные сроки удаления различных категорий данных;
• где возможно, общее описание технических и организационных мер безопасности, упомянутых в статье 32(1).

Записи обработчика должны содержать всю следующую информацию:

• имя и контактные данные обработчика или обработчиков и каждого контролера, от имени которого действует обработчик, и, если применимо, контролера или представителя обработчика, а также ответственного за защиту данных;
• категории обработки, выполняемой от имени каждого контролера;
• где это применимо, передача персональных данных в третью страну или международную организацию, включая идентификацию этой третьей страны или международной организации, и, в случае передачи, упомянутой во втором подпункте статьи 49(1),
• документация о соответствующих гарантиях;
• где возможно, общее описание технических и организационных мер безопасности, упомянутых в статье 32(1).

Безопасность персональных данных

Контролеры и обработчики персональных данных должны принять соответствующие технические и организационные меры для реализации принципов защиты данных. Бизнес-процессы обработки персональных данных должны быть спроектированы и построены с учетом принципов и обеспечивать меры защиты данных (например, с использованием псевдонимизации или полной анонимизации, где это необходимо). Контролеры данных должны разрабатывать информационные системы с учетом конфиденциальности. Например, по умолчанию используются максимально возможные настройки конфиденциальности, чтобы наборы данных по умолчанию не были общедоступными и не могли использоваться для идентификации субъекта. Никакие персональные данные не могут обрабатываться, если эта обработка не осуществляется на основании одного из шести законных оснований, указанных в постановлении ( согласие , договор, общественное задание, жизненный интерес, законный интерес или законное требование). Если обработка основана на согласии, субъект данных имеет право отозвать его в любое время.

Статья 33 гласит, что контролер данных обязан по закону уведомить надзорный орган без неоправданной задержки, за исключением случаев, когда нарушение маловероятно приведет к риску для прав и свобод отдельных лиц. Чтобы сообщить об утечке данных, может пройти максимум 72 часа после того, как стало известно об утечке данных. Лица должны быть уведомлены, если установлен высокий риск неблагоприятного воздействия ( статья 34 ). Кроме того, обработчик данных должен будет без неоправданной задержки уведомить контролера после того, как ему станет известно об утечке персональных данных ( статья 33 ). Однако уведомление субъектов данных не требуется, если контролер данных принял соответствующие технические и организационные меры защиты, которые делают персональные данные непонятными для любого лица, не имеющего права доступа к ним, например, шифрование ( статья 34 ).

Сотрудник по защите данных

См. также: Сотрудник Европейской комиссии по защите данных.

Статья 37 требует назначения уполномоченного по защите данных. Если обработка осуществляется государственным органом (за исключением судов или независимых судебных органов, действующих в их судебных полномочиях), или если операции по обработке предполагают регулярный и систематический мониторинг субъектов данных в больших масштабах, или если обработка в больших масштабах специальные категории данных и персональных данных, касающихся уголовных судимостей и преступлений ( статьи 9 и статья 10 , ) Должностное лицо по защите данных (DPO) — лицо, обладающее экспертными знаниями законодательства и практики защиты данных — должно быть назначено для оказания помощи контролеру или обработчику данных в контроле их внутреннего соблюдения Регламента.

Назначенный DPO может быть действующим сотрудником контролера или процессора, либо эта роль может быть передана на аутсорсинг внешнему лицу или агентству посредством контракта на обслуживание. В любом случае обрабатывающий орган должен убедиться в отсутствии конфликта интересов в других ролях или интересах, которыми может обладать DPO. Контактные данные DPO должны быть опубликованы обрабатывающей организацией (например, в уведомлении о конфиденциальности) и зарегистрированы в надзорном органе.

DPO аналогичен сотруднику по обеспечению соответствия, и ожидается, что он также будет владеть навыками управления ИТ-процессами, безопасностью данных (включая борьбу с кибератаками ) и другими важными вопросами непрерывности бизнеса, связанными с хранением и обработкой личных и конфиденциальных данных. Требуемый набор навыков выходит за рамки понимания соблюдения законов и правил о защите данных. DPO должен поддерживать актуальный реестр всех данных, собранных и хранящихся от имени организации. Более подробная информация о функциях и роли ответственного за защиту данных была представлена ​​13 декабря 2016 г. (с изменениями от 5 апреля 2017 г.) в руководящем документе.

Организации, базирующиеся за пределами ЕС, также должны назначить лицо, находящееся в ЕС, в качестве представителя и контактного лица для выполнения своих обязательств GDPR ( статья 27 ). Это отдельная роль от функции DPO, хотя существует дублирование обязанностей, что позволяет предположить, что эту роль также может выполнять назначенный DPO.

Средства правовой защиты, ответственность и штрафы

См. также: Штрафы и уведомления GDPR

Помимо определения уголовного преступления в соответствии с национальным законодательством в соответствии со статьей 83 GDPR, могут быть наложены следующие санкции:

• предупреждение в письменной форме в случаях первого и непреднамеренного невыполнения требований
• регулярные периодические проверки защиты данных
• штраф до 10 миллионов евро или до 2% от годового мирового оборота предыдущего финансового года в случае предприятия, в зависимости от того, что больше, если имело место нарушение следующих положений ( статья 83 , параграф 4) ):
  • обязательства контролера и обработчика в соответствии со 8 , 11 , 25–39 . 43 , 42 и статьями
  • обязательства органа по сертификации в соответствии со статьями 42 и 43
  • обязательства контролирующего органа в соответствии со статьей 41(4)
• штраф до 20 миллионов евро или до 4% годового мирового оборота за предыдущий финансовый год в случае предприятия, в зависимости от того, что больше, если имело место нарушение следующих положений ( статья 83 , параграфы 5 и 6). ):
  • основные принципы обработки, включая условия согласия, в соответствии со статьями 5 , 6 , 7 и 9.
  • права субъектов данных в статьями 12–22 со соответствии
  • передача персональных данных получателю в третьей стране или международной организации в соответствии со статьями 44–49.
  • любые обязательства в соответствии с законодательством государства-члена, принятым в соответствии с Главой IX.
  • несоблюдение приказа или временное или окончательное ограничение обработки или приостановка потоков данных надзорным органом в соответствии со статьей 58(2) или непредоставление доступа в нарушение статьи 58(1)

Исключения

Это некоторые случаи, которые конкретно не рассматриваются в GDPR и поэтому рассматриваются как исключения.

• Личная или домашняя деятельность
• Правоохранительные органы
• Национальная безопасность

Когда создавался GDPR, он был создан исключительно для регулирования персональных данных, которые попадают в руки компаний. Что не подпадает под действие GDPR, так это некоммерческая информация или бытовая деятельность. Примером таких домашних занятий могут быть электронные письма между двумя школьными друзьями.

И наоборот, чтобы на него распространялся GDPR, организация или, точнее, «предприятие» должна заниматься «экономической деятельностью». Экономическая деятельность имеет широкое определение в соответствии с законодательством Европейского Союза о конкуренции .

Применимость за пределами Европейского Союза

GDPR также применяется к контролерам и обработчикам данных за пределами Европейской экономической зоны (ЕЭЗ), если они занимаются «предложением товаров или услуг» (независимо от того, требуется ли оплата) субъектам данных в пределах ЕЭЗ или осуществляют мониторинг. поведение субъектов данных в ЕЭЗ (статья 3(2)). Постановление применяется независимо от того, где происходит обработка. Это было истолковано как намеренное предоставление экстерриториальной юрисдикции GDPR предприятиям, не входящим в ЕС, если они ведут бизнес с людьми, находящимися в ЕС. Сомнительно, смогут ли ЕС или его государства-члены на практике обеспечить соблюдение GDPR в отношении организаций, которые не имеют представительства в ЕС.

Представитель ЕС

В соответствии со статьей 27 предприятия, не входящие в ЕС, на которые распространяется действие GDPR, обязаны иметь уполномоченного представителя в Европейском Союзе, «представителя ЕС», который будет служить контактным лицом для выполнения своих обязательств в соответствии с регламентом. Представитель ЕС является контактным лицом Контролера или Обработчика по отношению к европейским органам надзора за соблюдением конфиденциальности и субъектами данных по всем вопросам, связанным с обработкой, для обеспечения соблюдения настоящего GDPR. Роль Представителя ЕС может выполнять физическое (физическое лицо) или юридическое (корпорация) лицо. Учреждение, не входящее в ЕС, должно выдать должным образом подписанный документ (письмо об аккредитации), назначающий данное физическое лицо или компанию своим представителем в ЕС. Указанное обозначение может быть дано только в письменной форме.

Неспособность учреждения назначить представителя в ЕС считается незнанием правил и соответствующих обязательств, что само по себе является нарушением GDPR и влечет за собой штраф в размере до 10 миллионов евро или до 2% от годового мирового оборота за предыдущий финансовый год. в случае предприятия, в зависимости от того, что больше. Умышленный или небрежный (умышленная слепота) характер нарушения (неназначение представителя ЕС) скорее может представлять собой отягчающее обстоятельство.

Учреждению не нужно назначать представителя ЕС, если оно занимается лишь эпизодической обработкой, которая не включает в себя в больших масштабах обработку особых категорий данных, указанных в статье 9 (1) GDPR, или обработку персональных данных, касающихся к уголовным осуждениям и правонарушениям, указанным в статье 10, и такая обработка вряд ли приведет к риску для прав и свобод физических лиц, принимая во внимание характер, контекст, объем и цели обработки. Государственные органы и органы, не входящие в ЕС, в равной степени освобождены от налога.

Третьи страны

Глава V GDPR запрещает передачу персональных данных субъектов данных ЕС в страны за пределами ЕЭЗ, известные как третьи страны , если только не установлены соответствующие гарантии или правила защиты данных третьей страны официально не считаются адекватными Европейской комиссией ( статья 45). Среди примеров можно назвать обязательные корпоративные правила , стандартные договорные положения о защите данных, предусмотренные Соглашением об обработке данных (DPA), или схему обязательных и подлежащих исполнению обязательств контролера данных или обработчика, находящегося в третьей стране.

Реализация в Соединенном Королевстве

Объяснение возможных результатов отхода Великобритании от европейского GDPR

На применимость GDPR в Соединенном Королевстве влияет Брексит . Хотя Соединенное Королевство официально вышло из Европейского Союза 31 января 2020 года, оно оставалось субъектом законодательства ЕС, включая GDPR, до конца переходного периода 31 декабря 2020 года. 23 мая 2018 года Соединенное Королевство предоставило королевское согласие на Закон о защите данных 2018 года , который дополнил GDPR, включая аспекты регулирования, которые должны быть определены национальным законодательством, а также уголовные преступления за сознательное или неосторожное получение, перераспределение или сохранение личных данных. данные без согласия контролера данных.

В соответствии с Законом о Европейском Союзе (выходе) 2018 года существующее и соответствующее законодательство ЕС было перенесено в местное законодательство после завершения перехода, а в GDPR были внесены поправки нормативным актом, удаляющие определенные положения, которые больше не нужны из-за нечленства Великобритании в ЕС. ЕВРОСОЮЗ. После этого регламент будет называться «GDPR Великобритании». Великобритания не будет ограничивать передачу персональных данных в страны ЕЭЗ в соответствии с GDPR Великобритании. Тем не менее, Великобритания станет третьей страной в соответствии с GDPR ЕС, а это означает, что персональные данные не могут быть переданы в страну, если не будут установлены соответствующие меры безопасности или Европейская комиссия не примет решение об адекватности британского законодательства о защите данных (Глава V). ). В рамках соглашения о выходе Европейская комиссия обязалась провести оценку адекватности.

Великобритании В апреле 2019 года Управление комиссара по информации (ICO) опубликовало детский кодекс практики использования социальных сетей при использовании их несовершеннолетними, который подлежит принудительному исполнению в соответствии с GDPR, который также включает ограничения на механизмы « лайков » и «полос», чтобы препятствовать использованию социальных сетей. зависимость и использование этих данных для обработки интересов.

В марте 2021 года государственный секретарь по цифровым технологиям, культуре, СМИ и спорту Оливер Дауден заявил, что Великобритания изучает возможность отклонения от GDPR ЕС, чтобы «[сосредоточиться] больше на результатах, которые мы хотим получить, а не на бремени правила, налагаемые на отдельные предприятия».

Заблуждения

Некоторые распространенные заблуждения о GDPR включают в себя:

• Любая обработка персональных данных требует согласия субъекта данных.
  • Фактически, данные могут обрабатываться без согласия, если применяется одно из пяти других законных оснований для обработки, и получение согласия часто может быть неуместным.
• Физические лица имеют абсолютное право на удаление своих данных (право на забвение).
  • Хотя существует абсолютное право отказаться от прямого маркетинга, контролеры данных могут продолжать обрабатывать персональные данные, если у них есть для этого законное основание, до тех пор, пока данные остаются необходимыми для цели, для которой они были первоначально собраны.
• Удаление имен людей из записей выводит их из сферы действия GDPR.
  • «Псевдонимные» данные, в которых физическое лицо идентифицируется по номеру, все равно могут быть персональными данными, если контролер данных способен связать эти данные с конкретным лицом другим способом.
• GDPR распространяется на всех, кто обрабатывает персональные данные граждан ЕС в любой точке мира.
  • Фактически, это применимо к организациям, не зарегистрированным в ЕС, только в том случае, если они обрабатывают данные субъектов данных, находящихся в ЕС (независимо от их гражданства), и только тогда, когда они поставляют им товары или услуги или контролируют их поведение.

Прием

Согласно исследованию, проведенному Deloitte в 2018 году, 92% компаний считают, что они смогут соблюдать GDPR в своей деловой практике в долгосрочной перспективе.

Компании, работающие за пределами ЕС, вложили значительные средства в приведение своей деловой практики в соответствие с GDPR. Область согласия GDPR имеет ряд последствий для предприятий, которые на практике записывают звонки. Типичный отказ от ответственности не считается достаточным для получения предполагаемого согласия на запись разговоров. Кроме того, если после начала записи вызывающий абонент отзовет свое согласие, агент, принимающий вызов, должен иметь возможность остановить ранее начатую запись и гарантировать, что запись не будет сохранена.

ИТ-специалисты ожидают, что соблюдение GDPR в целом потребует дополнительных инвестиций: более 80 процентов опрошенных ожидали, что расходы, связанные с GDPR, составят не менее 100 000 долларов США. Эти опасения были отражены в отчете, подготовленном по заказу юридической фирмы Baker & McKenzie , в котором выяснилось, что «около 70 процентов респондентов считают, что организациям потребуется инвестировать дополнительный бюджет/усилия для соблюдения требований по согласию, сопоставлению данных и трансграничной передаче данных». согласно GDPR». Общая стоимость для компаний ЕС оценивается в 200 миллиардов евро, а для компаний США - в 41,7 миллиарда долларов. Утверждалось, что у небольших предприятий и стартапов могут не быть финансовых ресурсов для адекватного соблюдения GDPR, в отличие от более крупных международных технологических компаний (таких как Facebook и Google ), на которых это регулирование якобы нацелено в первую очередь. Недостаток знаний и понимания правил также вызывал обеспокоенность в преддверии их принятия. Противоположным аргументом было то, что компании были уведомлены об этих изменениях за два года до их вступления в силу и у них должно было быть достаточно времени для подготовки.

Правила, в том числе вопрос о том, должно ли предприятие иметь ответственного за защиту данных, подверглись критике за потенциальное административное бремя и неясные требования к соблюдению. Хотя минимизация данных является требованием, а псевдонимизация является одним из возможных средств, в постановлении не содержится указаний о том, как и что представляет собой эффективная схема деидентификации данных, с серой зоной в отношении того, что будет считаться неадекватной псевдонимизацией в соответствии с разделом 5. исполнительные действия. Также существует обеспокоенность по поводу реализации GDPR в системах блокчейна , поскольку прозрачная и фиксированная запись транзакций блокчейна противоречит самой природе GDPR. Многие СМИ прокомментировали введение « права на объяснение » алгоритмических решений. но ученые-юристы с тех пор утверждают, что существование такого права весьма неясно без судебных проверок и в лучшем случае ограничено.

GDPR получил поддержку со стороны предприятий, которые рассматривают его как возможность улучшить управление данными. Марк Цукерберг также назвал это «очень позитивным шагом для Интернета ». и призвал к принятию в США законов в стиле GDPR. Группы по защите прав потребителей, такие как Европейская организация потребителей, являются одними из самых ярых сторонников закона. Другие сторонники приписывают его принятие разоблачителю Эдварду Сноудену . Сторонник бесплатного программного обеспечения Ричард Столлман похвалил некоторые аспекты GDPR, но призвал к дополнительным гарантиям, чтобы технологические компании не «добывали согласие».

Влияние

Академические эксперты, участвовавшие в разработке GDPR, писали, что этот закон «является наиболее значимым нормативным нововведением в информационной политике за последнее поколение. GDPR вводит персональные данные в сложный и защитный режим регулирования».

Несмотря на то, что у них было как минимум два года на подготовку, многие компании и веб-сайты изменили свои политики и функции конфиденциальности по всему миру непосредственно перед введением GDPR и обычно отправляли электронные письма и другие уведомления с обсуждением этих изменений. Это подверглось критике за то, что привело к утомительному количеству сообщений, в то время как эксперты отметили, что в некоторых электронных письмах с напоминанием неверно утверждалось, что новое согласие на обработку данных должно быть получено до вступления в силу GDPR (любое ранее полученное согласие на обработку действительно до тех пор, пока оно соответствует требованиям регламента). Фишинговые мошенничества также возникали с использованием фальсифицированных версий электронных писем, связанных с GDPR, и также утверждалось, что некоторые электронные письма с уведомлениями о GDPR могли фактически быть отправлены с нарушением законов о борьбе со спамом. В марте 2019 года поставщик программного обеспечения для обеспечения соответствия требованиям обнаружил, что многие веб-сайты, управляемые правительствами государств-членов ЕС, содержат встроенное отслеживание от поставщиков рекламных технологий.

Поток уведомлений, связанных с GDPR, также породил мемы , в том числе те, которые касаются уведомлений о политике конфиденциальности, доставляемых нетипичными способами (например, доской для спиритических сеансов или «Звездных войн» открывающим сканированием ), предполагая, что список «непослушных или хороших» Санта-Клауса был нарушением. и запись выдержек из постановления бывшего диктора BBC Radio 4 Shipping Forecast . Также был создан блог GDPR Hall of Shame , чтобы продемонстрировать необычную доставку уведомлений GDPR и попытки соблюдения требований, которые содержали вопиющие нарушения требований регламента. Его автор отметил, что в постановлении «много мельчайших, скрытых деталей, но мало информации о том, как его соблюдать», но также признал, что у предприятий есть два года на то, чтобы соблюдать требования, что делает некоторые из его ответов неоправданными. .

Исследования показывают, что примерно 25% уязвимостей программного обеспечения имеют последствия GDPR. Поскольку в статье 33 особое внимание уделяется нарушениям, а не ошибкам, эксперты по безопасности советуют компаниям инвестировать в процессы и возможности выявления уязвимостей до того, как они могут быть использованы, включая скоординированные процессы раскрытия уязвимостей . Исследование политик конфиденциальности приложений Android, возможностей доступа к данным и поведения при доступе к данным показало, что многие приложения демонстрируют несколько более дружественное к конфиденциальности поведение с момента внедрения GDPR, хотя они по-прежнему сохраняют большую часть своих привилегий доступа к данным в своем коде. Расследование Норвежского совета потребителей по информационным панелям субъектов данных после вступления в силу GDPR на платформах социальных сетей (таких как панель Google ) пришло к выводу, что крупные компании, занимающиеся социальными сетями, используют обманную тактику, чтобы отговорить своих клиентов от ужесточения настроек конфиденциальности.

С момента вступления в силу некоторые веб-сайты начали полностью блокировать посетителей из стран ЕС (включая Instapaper , Unroll.me, и газеты, принадлежащие Tribune Publishing , такие как Chicago Tribune и Los Angeles Times ) или перенаправлять их на урезанные версии своих услуг (в случае National Public Radio и USA Today ) с ограниченной функциональностью и/или без рекламы, поэтому что они не несут ответственности. Некоторые компании, такие как Klout и несколько онлайн-видеоигр, полностью прекратили свою деятельность, совпав с его внедрением, ссылаясь на GDPR как на бремя для их дальнейшей деятельности, особенно из-за бизнес-модели первой. Объем размещений онлайн- поведенческой рекламы в Европе 25 мая 2018 года упал на 25–40%.

В 2020 году, через два года после начала реализации GDPR, Европейская комиссия подсчитала, что пользователи по всему ЕС расширили свои знания о своих правах, заявив, что «69% населения ЕС старше 16 лет слышали о GDPR. и 71% людей слышали о своем национальном органе по защите данных». Комиссия также установила, что конфиденциальность стала конкурентным качеством для компаний, которое потребители принимают во внимание в процессе принятия решений.

Правоприменение и непоследовательность

Основная статья: Штрафы и уведомления GDPR

Facebook и дочерние компании WhatsApp и Instagram , а также Google LLC (таргетирующая Android ) были немедленно привлечены к ответственности со стороны Макса Шремса некоммерческой организации NOYB всего через несколько часов после полуночи 25 мая 2018 года за использование «принудительного согласия». Шремс утверждает, что обе компании нарушили статью 7(4), не предоставив согласие на обработку данных на индивидуальной основе и потребовав от пользователей согласия на все действия по обработке данных (включая те, которые не являются строго необходимыми), иначе им будет запрещено использовать услуги. 21 января 2019 года Google была оштрафована французским DPA на 50 миллионов евро за демонстрацию недостаточного контроля, согласия и прозрачности при использовании личных данных для поведенческой рекламы. В ноябре 2018 года, после журналистского расследования в отношении Ливиу Драгня , румынское DPA (ANSPDCP) использовало запрос GDPR, чтобы запросить информацию об источниках проекта RISE .

В июле 2019 года Управление комиссара по информации Великобритании опубликовало намерение оштрафовать British Airways на рекордные 183 миллиона фунтов стерлингов (1,5% от оборота) за плохие меры безопасности, которые позволили провести в 2018 году веб-скимминг- атаку, затронувшую около 380 000 транзакций. В конечном итоге British Airways была оштрафована на уменьшенную сумму в 20 миллионов фунтов стерлингов, при этом в ICO отметили, что они «учли ​​как заявления BA, так и экономическое влияние COVID-19 на их бизнес, прежде чем назначить окончательный штраф».

В декабре 2019 года издание Politico сообщило, что Ирландия и Люксембург — две небольшие страны ЕС, имеющие репутацию налоговых убежищ и (особенно в случае с Ирландией) базы для европейских дочерних компаний крупных технологических компаний США — столкнулись со значительными отставаниями в свои расследования в отношении крупных иностранных компаний в соответствии с GDPR, причем Ирландия в качестве одного из факторов назвала сложность регулирования. Критики, опрошенные Politico, также утверждали, что правоприменению также мешают различные толкования между государствами-членами, приоритезация руководства над правоприменением со стороны некоторых органов власти и отсутствие сотрудничества между государствами-членами.

В ноябре 2021 года Ирландский совет по гражданским свободам подал официальную жалобу в Комиссию о том, что она нарушает свои обязательства в соответствии с законодательством ЕС по тщательному мониторингу того, как Ирландия применяет GDPR. До января 2023 года Комиссия опубликовала новое обязательство на основании жалобы ICCL.

Хотя компании теперь несут юридические обязательства, все еще существуют различные несоответствия в практической и технической реализации GDPR. Например, в соответствии с правом доступа GDPR компании обязаны предоставлять субъектам данных данные, которые они о них собирают. Однако в исследовании карт лояльности в Германии компании не предоставили субъектам данных точную информацию о приобретенных товарах. Можно возразить, что такие компании не собирают информацию о приобретаемых товарах, что не соответствует их бизнес-моделям. Таким образом, субъекты данных склонны рассматривать это как нарушение GDPR. В результате исследования показали, что контроль со стороны властей должен быть усилен.

конечных пользователей Согласно GDPR, согласие должно быть действительным, предоставленным свободно, конкретным, информированным и активным. Однако отсутствие исполнительной силы в отношении получения законных согласий было проблемой. Например, исследование 2020 года показало, что крупные технологические компании , то есть Google , Amazon , Facebook , Apple и Microsoft (GAFAM), используют темные шаблоны в своих механизмах получения согласия, что вызывает сомнения относительно законности полученного согласия.

Сообщалось, что в марте 2021 года государства-члены ЕС во главе с Францией пытаются изменить влияние регулирования конфиденциальности в Европе, освободив от него органы национальной безопасности.

После того, как в 2020 году были наложены штрафы GDPR на сумму около 160 миллионов евро, в 2021 году эта цифра уже превысила один миллиард евро.

Влияние на зарубежные законы

Массовое принятие этих новых стандартов конфиденциальности транснациональными компаниями было приведено в качестве примера « брюссельского эффекта » - явления, при котором европейские законы и правила используются в качестве основы из-за их серьезности.

Американский штат Калифорния принял Калифорнийский закон о конфиденциальности потребителей 28 июня 2018 года, который вступит в силу 1 января 2020 года; он предоставляет права на прозрачность и контроль над сбором личной информации компаниями аналогично GDPR. Критики утверждают, что такие законы должны быть реализованы на федеральном уровне, чтобы быть эффективными, поскольку сборник законов на уровне штата будет иметь разные стандарты, которые усложнят соблюдение. Два других штата США с тех пор приняли аналогичное законодательство: Вирджиния приняла Закон о конфиденциальности потребительских данных 2 марта 2021 года, и Колорадо приняли Закон Колорадо о конфиденциальности 8 июля 2021 года.

, Турецкая Республика кандидат на членство в Европейском Союзе , приняла Закон о защите персональных данных 24 марта 2016 года в соответствии с законодательством ЕС .

Закон Китая о защите личной информации 2021 года — это первый всеобъемлющий закон страны о правах на персональные данные, созданный по образцу GDPR.

Швейцария также примет новый закон о защите данных, который во многом соответствует GDPR ЕС.

Просмотры веб-сайта и доход

Исследование 2024 года показало, что GDPR снизил как количество просмотров страниц веб-сайтов пользователей из ЕС, так и доход веб-сайта на 12%.

Хронология

• 25 января 2012 г.: было опубликовано предложение по GDPR.
• 21 октября 2013 г.: Комитет Европейского парламента по гражданским свободам, правосудию и внутренним делам (LIBE) провел ориентационное голосование.
• 15 декабря 2015 г.: Переговоры между Европейским парламентом , Советом и Комиссией ( официальное заседание трилога ) привели к выработке совместного предложения.
• 17 декабря 2015 г.: Комитет LIBE Европейского парламента проголосовал за переговоры между тремя сторонами.
• 8 апреля 2016 г.: Принятие Советом Европейского Союза. Единственным государством-членом, проголосовавшим против, была Австрия, которая утверждала, что уровень защиты данных в некоторых отношениях ниже, чем в директиве 1995 года.
• 14 апреля 2016 г.: Принятие Европейским парламентом.
• 24 мая 2016 г.: Постановление вступило в силу через 20 дней после его публикации в Официальном журнале Европейского Союза .
• 6 мая 2018 г.: Директива о защите данных для органов полиции и правосудия включена в национальное законодательство, применимое с этого дня.
• 25 мая 2018 г.: Его положения стали применяться напрямую во всех государствах-членах, через два года после вступления правил в силу.
• 20 июля 2018 г.: GDPR вступил в силу в странах ЕЭЗ ( Исландия , Лихтенштейн и Норвегия ), после того, как Объединенный комитет ЕЭЗ и три страны согласились следовать этому постановлению.

Единый цифровой рынок ЕС

ЕС Стратегия единого цифрового рынка связана с деятельностью « цифровой экономики », связанной с бизнесом и людьми в ЕС. В рамках стратегии GDPR и Директива NIS применяются с 25 мая 2018 года. Предлагаемый Регламент электронной конфиденциальности также планировалось применить с 25 мая 2018 года, но его действие будет отложено на несколько месяцев. Регламент eIDAS также является частью стратегии.

В первоначальной оценке Европейский совет заявил, что GDPR следует рассматривать «предпосылкой для разработки будущих инициатив в области цифровой политики».

См. также

Похожие законы о конфиденциальности в других странах:

• Общий закон о защите персональных данных (LGPD) (Бразилия)
• Закон Калифорнии о конфиденциальности потребителей (CCPA)
• Закон о защите конфиденциальности детей в Интернете (COPPA) (США)
• Закон о защите личной информации (PIPL) (Китай)
• Закон Нигерии о защите данных, 2023 г. (Закон о НДП) (Нигерия)
• Закон о защите персональных данных 2012 г. (PDPA) (Сингапур)
• Закон о защите личной информации (PoPIA) (Южная Африка)
• Закон о защите персональных данных №. 9 декабря 2022 г. (НДПА) (Шри-Ланка)

Соответствующее регулирование ЕС:

• Закон о данных , предлагаемый закон ЕС от 2022 года.
• Закон об управлении данными , предлагаемый закон ЕС от 2020 года.
• Закон о цифровых рынках
• Закон о цифровых услугах
• Программа обмена конфиденциальной информацией между ЕС и США
• Европейский совет по защите данных (EDPB)
• Европейское пространство данных здравоохранения
• Директива о конфиденциальности и электронных коммуникациях 2002 г. (Директива ePrivacy, ePD)

Связанные понятия:

• Конвенция о киберпреступности
• Переносимость данных
• Не отслеживать законодательство
• Регулирование электронной конфиденциальности
• Оценка влияния на конфиденциальность

Тактика соблюдения требований некоторыми компаниями:

• Согласие или оплата

Внешние ссылки

• Общего регламента по защите данных Сводный текст на EUR-Lex
• Общего регламента защиты данных Первоначальный правовой акт в OJEU
• Защита данных , Европейская Комиссия
• Процедура 2012/0011/COD , EUR-Lex
• Справочник по европейскому законодательству о защите данных , Агентство Европейского Союза по основным правам