Директива Европейского Парламента и Совета Европейского Союза
95/46/ЕС от 24 октября 1995 г.
о защите физических лиц при обработке персональных данных и о свободном обращении таких данных*(1)
(Текст в редакции Регламента Европейского парламента и Совета ЕС 1882/2003 от 29 сентября 2003 года)

Европейский Парламент и Совет Европейского Союза,
Руководствуясь Договором об учреждении Европейского экономического сообщества, и, в частности, Статьей 100а Договора,
Руководствуясь предложением Европейской Комиссии*(2),
Руководствуясь заключением Европейского Комитета по экономическим и социальным вопросам*(3),
Действуя в соответствии с процедурой, установленной в Статье 189b Договора *(4),
(1) Поскольку цели Сообщества, установленные в Договоре, с изменениями, внесенными Договором о Европейском Союзе, включают в себя создание все более тесного союза народов Европы, способствование тесным связям между государствами, входящими в Сообщество, обеспечение экономического и социального прогресса путем общих действий, направленных на устранение разделяющих Европу барьеров, поощрение постоянного улучшения условий жизни их народов, сохранение и укрепление мира и свободы и продвижение демократии, основанной на основных правах, признаваемых конституциями и законами Государств-членов ЕС и Европейской Конвенцией о защите прав человека и основных свобод;
(2) Поскольку системы обработки данных предназначены для службы человеку; поскольку независимо от гражданства или местожительства физических лиц, эти системы должны соблюдать основные права и свободы, в том числе право на неприкосновенность частной жизни, и благоприятствовать экономическому и социальному прогрессу, развитию торговли и благополучию людей;
(3) Поскольку создание и функционирование внутреннего рынка, в котором, в соответствии со Статьей 7а Договора, гарантируется свободное движение товаров, лиц, услуг и капитала, требует не только свободы передачи персональных данных из одного Государства-члена ЕС в другое, но также гарантий основных прав граждан;
(4) Поскольку в Сообществе все чаще прибегают к обработке персональных данных в различных сферах экономической и социальной жизни; поскольку прогресс, достигнутый в сфере информационных технологий, существенно упрощает обработку и обмен такими данными;
(5) Поскольку экономическая и социальная интеграция, проистекающая из создания и функционирования внутреннего рынка в значении Статьи 7а Договора безусловно приведет к существенному увеличению трансграничных потоков персональных данных между всеми участвующими в экономической и социальной жизни в Государствах-членах ЕС в частном или публичном качестве; поскольку развивается обмен персональными данными между предприятиями в различных Государствах-членах ЕС; поскольку органы власти Государств-членов ЕС призываются, в соответствии с правом Сообществ, сотрудничать и обмениваться персональными данными с целью исполнения своих обязанностей или осуществления задач от имени органа власти другого Государства-члена ЕС в контексте пространства без внутренних границ, образованного внутренним рынком;
(6) Поскольку, к тому же, увеличение научно-технического сотрудничества и скоординированное внедрение в Сообществе новых телекоммуникационных сетей неизбежно влекут за собой и облегчают трансграничную передачу персональных данных;
(7) Поскольку различия в уровне защиты в Государствах-членах ЕС прав и свобод граждан, в том числе права на неприкосновенность частной жизни, при обработке персональных данных могут препятствовать передаче таких данных с территории одного Государства-члена ЕС на территорию другого Государства-члена ЕС; поскольку эти различия могут таким образом образовывать препятствие осуществлению некоторых видов экономической деятельности на уровне Сообщества, нарушать конкуренцию и препятствовать властям в исполнении их обязанностей, предусмотренных правом Сообщества; поскольку эти различия в уровне защиты вызваны существованием широкого многообразия национальных законов, подзаконных актов и административных распоряжений;
(8) Поскольку, с целью устранения препятствий потокам персональных данных, уровень защиты прав и свобод граждан при обработке таких данных должен быть равноценным во всех Государствах-членах ЕС; поскольку эта цель очень важна для внутреннего рынка, но не может быть достигнута усилиями отдельных Государств-членов ЕС, особенно ввиду масштаба расхождений, которые существуют в настоящее время между соответствующими законами Государств-членов ЕС, и необходимости координировать эти законодательство Государств-членов ЕС с тем, чтобы обеспечить согласованный порядок регулирования трансграничной передачи персональных данных, в соответствии с целью внутреннего рынка, предусмотренной в Статье 7а Договора; поскольку для этого необходима деятельность Сообщества по сближению законодательств в данной сфере;
(9) Поскольку, принимая во внимание равноценную защиту, проистекающую из сближения национальных законодательств, Государства-члены ЕС более не смогут препятствовать свободе движения персональных данных между ними по основаниям, относящимся к защите прав и свобод граждан, и в особенности к защите права на неприкосновенность частной жизни; поскольку у Государств-членов ЕС останется известная свобода действий, которая может, в контексте реализации Директивы, использоваться также экономическими и социальными партнерами; поскольку таким образом Государства-члены ЕС смогут конкретизировать в своем национальном законодательстве общие условия, определяющие законность обработки данных; поскольку тем самым Государства-члены ЕС стремятся улучшить защиту, предоставляемую в настоящее время по их законодательству; поскольку в рамках этой свободы действий и в соответствии с правом Сообщества, при реализации Директивы могут возникнуть несоответствия, и это может повлиять на движение данных внутри Государства-члена ЕС и внутри Сообщества;
(10) Поскольку предмет национальных законодательств об обработке персональных данных состоит в защите основных прав и свобод, в частности, права на неприкосновенность частной жизни, которое признано в Статье 8 Европейской Конвенции о защите прав человека и основных свобод и среди общих принципов права Сообщества; поскольку по этой причине сближение данного законодательства не должно приводить к уменьшению предоставляемой им защиты, но должно, наоборот, стремиться обеспечить высокий уровень защиты в Сообществе;
(11) Поскольку принципы защиты прав и свобод физических лиц, в том числе права на неприкосновенность частной жизни, которые содержатся в настоящей Директиве, наполняют содержанием и расширяют принципы, содержащиеся в Конвенции Совета Европы от 28 января 1981 о защите физических лиц при автоматизированной обработке персональных данных;
(12) Поскольку принципы защиты должны применяться ко всякой обработке персональных данных любым лицом, чья деятельность регулируется правом Сообществ; поскольку из нее должна исключаться обработка данных, выполняемая физическим лицом при осуществлении деятельности исключительно личного или бытового характера, такого как переписка и ведение записей адресов;
(13) Поскольку деятельность, указанная в V и VI Разделах Договора о Европейском Союзе, касающаяся общественной безопасности, обороны, государственной безопасности и деятельности государства в сфере уголовного права выходит за рамки права Сообществ, без ущерба для обязательств, возложенных на Государства-члены ЕС в соответствии с Параграфом 2 Статьи 56, Статьей 57 или Статьей 100а Договора, учреждающего Европейское Сообщество; поскольку обработка персональных данных, которая необходима для обеспечения экономического благосостояния государства, не подпадает под действие настоящей Директивы, когда такая обработка связана с вопросами государственной безопасности;
(14) Поскольку, принимая во внимание значимость осуществляющегося в настоящее время, в рамках информационного общества, развития техники, используемой для сбора, распространения, обработки, записи, хранения или передачи звука и изображений, относящихся к физическим лицам, настоящая Директива применяется к обработке таких данных;
(15) Поскольку обработка таких данных регулируется настоящей Директивой, только если она автоматизирована или если обрабатываемые данные содержатся или предназначены для содержания в файловой системе, структурированной в соответствии с конкретными критериями, относящимися к физическим лицам, с целью обеспечения легкого доступа к соответствующим персональным данным;
(16) Поскольку обработка звука и изображений, например, в случаях видеонаблюдения, не подпадает под действие данной Директивы, если она осуществляется для целей общественной безопасности, обороны, государственной безопасности или в процессе деятельности государства, относящейся к сфере уголовного права, или иной деятельности, не регулируемой правом Сообществ;
(17) Поскольку в том, что относится к обработке звука и изображений, осуществляемой в целях журналистской деятельности, либо в целях литературного или художественного самовыражения, в частности, в аудиовизуальной сфере, принципы Директивы должны применяться ограничительно, в соответствии с нормами, сформулированными в Статье 9;
(18) Поскольку, с целью обеспечения того, что физические лица не лишены защиты, на которую они имеют право по настоящей Директиве, всякая обработка персональных данных в Сообществе должна осуществляться в соответствии с законодательством одного из Государств-членов ЕС; поскольку в этой связи обработка, осуществляемая под руководством оператора, учрежденного в Государстве-члене ЕС, должна регулироваться законодательством этого государства;
(19) Поскольку учреждение на территории Государства-члена ЕС предполагает эффективное и реальное осуществление деятельности посредством прочных договоренностей; принимая во внимание, что правовая форма такой организации, как обычного филиала, так и дочернего общества, обладающего правосубъектностью, не является определяющим фактором в данном отношении; поскольку, когда один оператор учрежден на территории нескольких Государств-членов ЕС, особенно в форме дочерних обществ, он должен гарантировать, во избежание любого обхода национальных правил, что каждая из таких организаций выполняет обязанности, установленные национальным законодательством, применимым к ее деятельности;
(20) Поскольку факт осуществления обработки данных лицом, учрежденным в третьей стране, не должен препятствовать защите физических лиц, предусмотренной в настоящей Директиве; поскольку в таких случаях обработка должна регулироваться законодательством Государства-члена ЕС, в котором находятся средства, используемые для обработки данных, и должны обеспечиваться гарантии фактического уважения прав и обязанностей, предусмотренных настоящей Директивой;
(21) Поскольку настоящая Директива не противоречит правилам территориальности, применяемым в уголовном праве;
(22) Поскольку Государства-члены ЕС определяют более точно в своем законодательстве или при введении в действие мер, принимаемых согласно настоящей Директиве, общие обстоятельства, при которых обработка является правомерной; поскольку, в частности, Статья 5, в сочетании со Статьями 7 и 8, позволяет Государствам-членам ЕС, независимо от общих правил, устанавливать особые условия обработки в конкретных отраслях и обработки различных категорий данных, предусмотренных Статьей 8;
(23) Поскольку Государства-члены ЕС управомочены гарантировать осуществление защиты физических лиц как с помощью общего закона о защите физических лиц при обработке персональных данных, так и посредством отраслевого законодательства, касающегося, например, статистических учреждений;
(24) Поскольку законодательство, относящееся к защите юридических лиц при обработке касающихся их данных, не затрагивается настоящей Директивой;
(25) Поскольку принципы защиты должны быть отражены, с одной стороны, в обязательствах, налагаемых на лица, государственные органы, предприятия, агентства или другие органы, ответственные за обработку данных в частности, в отношении качества данных, технической безопасности, уведомления надзорного органа, и обстоятельств, при которых может выполняться обработка, и, с другой стороны, в правах, предоставленных физическим лицам, чьи данные подвергаются обработке, быть уведомленными о проведении обработки, иметь доступ к данным, просить об их исправлении, и даже возражать против их обработки при определенных обстоятельствах;
(26) Поскольку принципы защиты данных должны применяться к любой информации, касающейся определенного или определяемого лица; поскольку для определения того, является ли лицо определяемым, следует учитывать всю совокупность средств, которые с разумной долей вероятности могут использоваться оператором или любым другим лицом с целью определения данного лица; поскольку принципы защиты не применяются к данным, которые сделаны анонимными таким способом, что субъект данных более не является определяемым; поскольку Кодексы поведения по смыслу Статьи 27 могут быть полезным инструментом, предоставляющим указания относительно способов, с помощью которых данные можно сделать анонимными и сохранить в том виде, в котором определение субъекта данных более невозможно;
(27) Поскольку защита физических лиц должна осуществляться при автоматической обработке данных в той же мере, что и при ручной обработке; поскольку объем данной защиты не должен фактически зависеть от используемой техники, иначе это создало бы серьезный риск обхода закона; поскольку, все же, настоящая Директива распространяется только на файловые системы, а не на неструктурированные файлы; поскольку, в частности, содержание файловой системы должно быть структурировано в соответствии с конкретными критериями, относящимися к физическим лицам, позволяющими осуществлять легкий доступ к персональным данным; поскольку, в соответствии с определением в Статье 2 (c), различные критерии для определения составляющих структурированного набора персональных данных и различные критерии, регулирующие доступ к такому набору, могут быть определены каждым Государством-членом ЕС; поскольку файлы или группы файлов, а также их титульные листы, которые не структурированы в соответствии с конкретными критериями, ни при каких обстоятельствах не подпадают под действие настоящей Директивы;
(28) Поскольку любая обработка персональных данных должна быть правомерной и добросовестной по отношению к соответствующим физическим лицам; поскольку, в частности, данные должны быть достаточными, релевантными и не избыточными по отношению к целям, для которых они обрабатываются; поскольку такие цели должны быть явно выраженными и законными и должны быть определены во время сбора данных; поскольку цели обработки, следующей за сбором данных, не должны быть несовместимыми с первоначально определенными целями;
(29) Поскольку дальнейшая обработка персональных данных для исторических, статистических или научных целей, как правило, не должна считаться несовместимой с целями, для которых эти данные были ранее собраны, при условии, что Государства-члены ЕС предоставляют надлежащие гарантии; поскольку эти гарантии должны, в частности, исключать использование данных в поддержку мер или решений в отношении любого конкретного физического лица;
(30) Поскольку, чтобы быть правомерной, обработка персональных данных должна, кроме того, осуществляться с согласия субъекта данных или быть необходимой для заключения или исполнения договора, имеющего обязательную силу для субъекта данных, или в качестве законного требования, или быть необходимой для выполнения задачи, реализуемой в общественном интересе или при осуществлении государственной власти, или в законных интересах физического либо юридического лица, при условии, что интересы или права и свободы субъекта данных не имеют преимущества; поскольку, в частности, для поддержания баланса между интересами сторон при обеспечении эффективной конкуренции, Государства-члены ЕС могут определять обстоятельства, при которых персональные данные могут использоваться и доводиться до сведения третьих лиц в контексте обычной законной деловой деятельности компаний и других юридических лиц; поскольку Государства-члены ЕС могут так же определить условия, при которых персональные данные могут доводиться до сведения третьих лиц для целей маркетинга, независимо от того, осуществляются ли они коммерческой или благотворительной организацией, либо любым другим объединением или фондом, например, политического характера, при соблюдении норм, позволяющих субъекту данных бесплатно и без необходимости указывать причины возражать против обработки относящихся к нему данных;
(31) Поскольку обработка персональных данных должна равным образом считаться правомерной, когда она выполняется, чтобы защитить интерес, который имеет важное значение для жизни субъекта данных;
(32) Поскольку национальное законодательство определяет, должен ли оператор, выполняющий задачу, реализуемую в общественном интересе или при осуществлении государственной власти, являться государственным органом, либо другим физическим или юридическим лицом, регулируемым публичным правом или частным правом, таким как профессиональное объединение;
(33) Поскольку персональные данные, которые по своему характеру способны нарушать основные свободы и неприкосновенность частной жизни, не должны обрабатываться, если только субъект данных не даст своего явно выраженного согласия; поскольку при этом исключения из данного запрета должны быть явным образом предусмотрены применительно к конкретным нуждам, в частности, когда обработка этих данных осуществляется в определенных лечебно-оздоровительных целях лицами, ограниченными законным обязательством сохранения профессиональной тайны, или в ходе правомерных действий определенных объединений или фондов, цель которых состоит в обеспечении осуществления основных свобод;
(34) Поскольку Государства-члены ЕС должны быть вправе, когда это оправдано по соображениям важных общественных интересов, отступать от запрета обработки чувствительных категорий данных там, где существенные основания общественного интереса это оправдывают, в таких областях как здравоохранение и социальная защита (особенно с целью обеспечения качества и рентабельности процедур, используемых для урегулирования претензий о компенсациях и услугах в системе медицинского страхования), научные исследования и правительственная статистика; поскольку, однако, для них обязательно предоставление конкретных и надлежащих гарантий с тем, чтобы защитить основные права и неприкосновенность частной жизни граждан;
(35) Поскольку, кроме того, обработка персональных данных государственными властями для достижения целей, сформулированных в конституционном праве или в международном публичном праве, официально признанных религиозных объединений, осуществляется по важным основаниям общественного интереса;
(36) Поскольку там, где функционирование демократической системы в отдельных Государствах-членах ЕС требует в процессе избирательных мероприятий того, что политические партии собирают данные о политических взглядах людей, обработка таких данных может быть разрешена по соображениям важного общественного интереса, при условии установления надлежащих гарантий;
(37) Поскольку обработка персональных данных в целях журналистской деятельности, либо в целях литературного или художественного самовыражения, в частности, в аудиовизуальной сфере, должна давать право на освобождение от требований отдельных норм настоящей Директивы в части, необходимой для приведения основных прав человека в соответствие со свободой информации и, в частности, с правом получать и передавать информацию, гарантированным, в особенности, в Статье 10 Европейской Конвенции о защите прав человека и основных свобод; поскольку Государства-члены ЕС должны по этой причине сформулировать исключения и ограничения, необходимые для обеспечения баланса между основными правами, касающимися общих мер в отношении законности обработки данных, мер по передаче информации третьим странам и правомочий надзорного органа; поскольку это, однако, не должно приводить Государства-члены ЕС к формулированию ограничения данных мер для обеспечения безопасности обработки данных; поскольку во всяком случае надзорный орган, ответственный за данную отрасль, должен иметь отдельные фактические правомочия, к примеру, публиковать периодический отчет или передавать вопросы на рассмотрение судебным властям;
(38) Поскольку обработка данных должна быть справедливой, субъект данных должен иметь возможность узнать о проведении обработки данных и, если данные запрашиваются у него, ему должна быть предоставлена точная и полная информация, учитывающая обстоятельства сбора данных;
(39) Поскольку отдельные действия по обработке затрагивают данные, которые оператор не получил напрямую от субъекта данных; поскольку при этом данные могут на законном основании сообщаться третьим лицам, даже если раскрытие данных не предполагалось в момент их получения от субъекта данных; поскольку во всех этих случаях субъект данных должен быть проинформирован, когда данные записываются или, самое позднее, когда они впервые сообщаются третьему лицу;
(40) Поскольку, однако, возложение этого обязательства не является необходимым, если субъект данных уже обладает такой информацией; поскольку, кроме того, такого обязательства не возникнет, если запись или раскрытие данных прямо предусмотрены законом, либо если доказано, что предоставление информации субъекту данных невозможно или повлечет за собой несоразмерные усилия, что может произойти, когда обработка осуществляется для исторических, статистических или научных целей; поскольку, в этой связи, могут приниматься во внимание число субъектов данных, возраст данных и любые принятые компенсирующие меры;
(41) Поскольку любое лицо должно быть в состоянии осуществлять право на доступ к относящимся к нему данным, которые подвергаются обработке, с тем чтобы проверить, в частности, точность данных и правомерность их обработки; поскольку, по тем же причинам, каждый субъект данных должен также иметь право знать алгоритмы, задействованные в автоматической обработке касающихся его данных, по меньшей мере, в случае автоматизированных решений, упомянутых в Статье 15 (1); поскольку осуществление данного права не должно негативно сказываться на защите коммерческой тайны и интеллектуальной собственности, и, в частности, авторского права на программное обеспечение; поскольку данные соображения не должны, тем не менее, приводить к отказу в предоставлении любой информации субъекту данных;
(42) Поскольку Государства-члены ЕС могут, в интересах субъекта данных или для защиты прав и свобод других лиц, ограничивать права на доступ и на информацию; поскольку они могут, например, установить, что доступ к медицинским данным может быть получен только через работников здравоохранения;
(43) Поскольку ограничения прав на доступ и на информацию, и отдельных обязанностей оператора могут также налагаться Государствами-членами ЕС в части, необходимой для защиты, к примеру, национальной безопасности, обороны, общественной безопасности или важных экономических или финансовых интересов Государства-члена ЕС или Европейского Союза, а также расследования преступлений, уголовного преследования и исков, связанных с нарушениями этики в регулируемых профессиях; поскольку список исключений и ограничений должен включать задачи контроля, досмотра и регулирования, необходимых в последних трех упомянутых областях, касающихся общественной безопасности, экономических или финансовых интересов и предотвращения преступлений; поскольку перечисление задач в данных трех областях не затрагивает правомерность исключений или ограничений по соображениям государственной безопасности или обороны;
(44) Поскольку Государства-члены ЕС могут также иметь основания, в соответствии с нормами права Сообщества, отступать от норм настоящей Директивы, касающихся права на доступ, обязанности уведомлять лица и качества данных, с тем чтобы гарантировать некоторые из упомянутых выше целей;
(45) Поскольку, в случаях, когда данные могут правомерно обрабатываться по соображениям общественного интереса, государственной власти, либо законных интересов физического или юридического лица, любой субъект данных при этом должен быть вправе возражать против обработки относящихся к нему данных по законным и веским основаниям, связанным с его особенным положением; поскольку, несмотря на это, Государства-члены ЕС могут устанавливать нормы национального законодательства, устанавливающие обратный порядок;
(46) Поскольку защита прав и свобод субъектов данных в отношении обработки персональных данных требует принятия соответствующих технических и организационных мер как при разработке систем обработки, так и во время самой обработки, особенно в целях поддержания безопасности и, тем самым, предотвращения любой неправомерной обработки; поскольку Государства-члены ЕС обязаны гарантировать, что операторы соблюдают данные меры; поскольку данные меры должны обеспечить надлежащий уровень безопасности, учитывая уровень технического развития и затраты по их внедрению в отношении к рискам, присущим обработке и характеру данных, подлежащих защите;
(47) Поскольку в случаях, когда сообщение, содержащее персональные данные, передается посредством телекоммуникационных услуг или услуг электронной почты, единственной целью которых является передача таких сообщений, в отношении персональных данных, содержащихся в сообщении, оператор, как правило, будет считаться лицом, от которого исходит сообщение, а не лицом, предлагающим услуги по передаче данных; поскольку, несмотря на это, лица, предлагающие подобные услуги, как правило, будут считаться операторами в отношении дополнительных персональных данных, необходимых для оказания услуги;
(48) Поскольку процедуры уведомления надзорного органа предназначены для обеспечения раскрытия целей и основных характеристик всякой операции по обработке данных в целях проверки осуществления такой операции в соответствии с национальными мерами, принятыми согласно настоящей Директиве;
(49) Поскольку, во избежание неподходящих административных формальностей, Государствами-членами ЕС может быть предусмотрено освобождение от обязанности уведомления и упрощение требуемого уведомления в случаях, когда маловероятно, что обработка данных неблагоприятно затронет права и свободы субъектов данных, при условии, что это соответствует мере, принятой Государством-членом ЕС, устанавливающей её границы; поскольку такое освобождение или упрощение может также устанавливаться Государствами-членами ЕС, где лицо, назначенное оператором, гарантирует, что осуществляемая обработка неспособна неблагоприятно затронуть права и свободы субъектов данных; поскольку такой служащий, занимающийся защитой данных, независимо от того, является ли он работником оператора, должен иметь возможность осуществлять свои должностные обязанности полностью независимо;
(50) Поскольку такое освобождение или упрощение может предусматриваться в случаях операций по обработке, единственная цель которых состоит в ведении реестра, предназначенного, в соответствии с национальным законодательством, для предоставления информации общественности и открытого для доступа общественности или любого лица, проявляющего законный интерес;
(51) Поскольку, тем не менее, освобождение от обязательства об уведомлении или его упрощение не освобождают оператора от любых других обязательств, обусловленных настоящей Директивой;
(52) Поскольку, в данном контексте, проверка ex post facto, осуществляемая компетентными властями, должна, в принципе, считаться достаточной мерой;
(53) Поскольку, тем не менее, отдельные операции по обработке могут создавать конкретные риски для прав и свобод субъектов данных, в соответствии с их характером, их масштабом или их целями, такие как недопущение физических лиц до пользования правом, льготой или договором, либо в силу специфического использования новых технологий; поскольку Государства-члены ЕС могут конкретизировать такие риски в своем законодательстве, если они того пожелают;
(54) Поскольку, по отношению ко всей обработке данных, предпринимаемой в обществе, ее объем, создающий такие конкретные риски, должен быть сильно ограничен; поскольку Государства-члены ЕС должны предусмотреть, что надзорный орган или служащий, занимающийся защитой данных во взаимодействии с этим органом, контролирует такую обработку перед тем, как она будет осуществлена; поскольку вслед за предварительной проверкой, надзорный орган может, в соответствии с национальным законодательством, дать заключение или разрешение, касающееся данной обработки; поскольку такая проверка может совершаться равным образом в процессе подготовки как законодательной меры национального парламента, так и меры, основанной на такой законодательной мере, которая определяет характер обработки и устанавливает соответствующие гарантии;
(55) Поскольку, если оператор не соблюдает права субъектов данных, национальное законодательство должно предусматривать судебную защиту этих прав; поскольку любой ущерб, который соответствующее лицо могло бы понести в результате неправомерной обработки данных, должен компенсироваться оператором, который может быть освобожден от ответственности, если он докажет, что он не отвечает за данный ущерб, в частности, в случаях, когда он установит нарушение со стороны субъекта данных или в случае обстоятельств непреодолимой силы; поскольку должны налагаться санкции на любое лицо, независимо от того, регулируется ли оно частным или публичным правом, которое нарушает национальные меры, принятые в соответствии с настоящей Директивой;
(56) Поскольку трансграничные потоки персональных данных необходимы для расширения международной торговли; поскольку защита физических лиц, гарантированная в Сообществе настоящей Директивой, не препятствует передаче персональных данных в третьи страны, которые обеспечивают достаточный уровень их защиты; поскольку достаточность уровня защиты, предоставляемой третьей страной, должна оцениваться в свете всех обстоятельств, связанных с операцией по передаче или с последовательностью операций по передаче;
(57) Поскольку, с другой стороны, должна быть запрещена передача персональных данных в третью страну, которая не обеспечивает достаточный уровень их защиты;
(58) Поскольку должны предусматриваться исключения из данного запрета в определенных случаях, когда субъект данных дал свое согласие, когда передача данных необходима в связи с договором или правом требования, когда того требует защита важного общественного интереса, например, в случаях международной передачи данных между налоговыми или таможенными органами, или между службами, компетентными в сфере социального обеспечения, или когда передача осуществляется из реестра, созданного по закону и предназначенного для доступа общественности или лиц, имеющих законный интерес; поскольку в таком случае передача данных не должна затрагивать все данные или целые категории данных, содержащихся в реестре, и, когда реестр предназначен для доступа лиц, имеющих законный интерес, передача данных должна производиться только по требованию данных лиц или если они будут их получателями;
(59) Поскольку могут быть приняты конкретные меры, чтобы компенсировать недостаток защиты данных в третьей стране в случаях, когда оператор предлагает соответствующие гарантии; поскольку, кроме того, должны предусматриваться процедуры переговоров между Сообществом и такими третьими странами;
(60) Поскольку во всяком случае передача данных в третьи страны может осуществляться только в полном соответствии с нормами, принятыми Государствами-членами ЕС согласно настоящей Директиве и, в частности, ее Статьи 8;
(61) Поскольку Государства-члены ЕС и Европейская Комиссия, в соответствующих сферах их компетенции, должны, чтобы способствовать применению настоящей Директивы, побуждать торгово-промышленные ассоциации и другие заинтересованные представительные организации разрабатывать Кодексы поведения, учитывающие конкретные характеристики обработки данных, осуществляемой в определенных отраслях, и соблюдающие национальные нормы, принятые во исполнение настоящей Директивы;
(62) Поскольку создание в Государствах-членах ЕС надзорных органов, полностью независимых в осуществлении своих функций, является важнейшим компонентом защиты физических лиц при обработке персональных данных;
(63) Поскольку такие органы должны располагать необходимыми средствами для осуществления их обязанностей, включая право проводить расследования и вмешиваться, особенно в случаях жалоб от физических лиц, и правомочия по участию в судебных процессах; поскольку такие органы должны способствовать обеспечению прозрачности при обработке данных в Государствах-членах ЕС, под юрисдикцию которых они подпадают;
(64) Поскольку властям в различных Государствах-членах ЕС потребуется взаимное содействие при исполнении их обязанностей, с тем, чтобы гарантировать, что правила защиты данных соблюдаются должным образом на всей территории Европейского Союза;
(65) Поскольку на уровне Сообщества должна быть создана рабочая группа по защите физических лиц при обработке персональных данных, полностью независимая при исполнении своих обязанностей; поскольку, принимая во внимание ее специфику, она должна консультировать Европейскую Комиссию и, в частности, способствовать единообразному применению национальных правил, принятых в соответствии с настоящей Директивой;
(66) Поскольку в отношении передачи данных в третьи страны применение настоящей Директивы требует предоставления Европейской Комиссии полномочий на исполнение и установления процедуры, изложенной в Решении Совета ЕС 87/373/ЕЭС*(5);
(67) Поскольку 20 декабря 1994 г. между Европейским парламентом, Советом ЕС и Европейской Комиссией было достигнуто соглашение о modus vivendi относительно мер по исполнению актов, принятых в соответствии с процедурой, установленной в Статье 189b Договора;
(68) Поскольку принципы, установленные в настоящей Директиве в отношении защиты прав и свобод физических лиц, в том числе права на неприкосновенность частной жизни, могут быть дополнены или уточнены в части обработки персональных данных конкретными правилами, основанными на данных принципах, особенно когда это касается определенных отраслей;
(69) Поскольку Государствам-членам ЕС следует предоставить срок не более трех лет с момента вступления в силу мер, преобразующих настоящую Директиву в национальное право, в течение которого они постепенно применят новые национальные правила ко всем уже осуществляющимся операциям по обработке данных; поскольку, чтобы способствовать рентабельности их реализации, Государствам-членам ЕС будет предоставлен дополнительный срок, истекающий через 12 лет после даты принятия настоящей Директивы, для обеспечения соответствия существующих ручных файловых систем отдельным нормам настоящей Директивы; поскольку, когда данные, содержащиеся в таких файловых системах, обрабатываются вручную в течение этого расширенного переходного периода, такие системы должны быть приведены в соответствие с этими нормами в момент такой обработки;
(70) Поскольку субъекту данных не нужно вновь давать свое согласие, чтобы после вступления в силу национальных норм, принятых в соответствии с настоящей Директивой, оператор продолжал обработку любых конфиденциальных данных, необходимых для исполнения договора, заключенного на основе свободного и сознательного согласия до вступления в силу данных норм;
(71) Поскольку настоящая Директива не препятствует Государствам-членам ЕС регулировать маркетинговую деятельность, направленную на потребителей, проживающих на их территории, насколько подобное регулирование не касается защиты физических лиц при обработке персональных данных;
(72) Поскольку настоящая Директива позволяет принимать во внимание принцип общественного доступа к официальным документам при реализации принципов, установленных в настоящей Директиве;
Приняли настоящую Директиву:

Глава I
Общие положения

Статья 1
Предмет Директивы

1. В соответствии с настоящей Директивой, Государства-члены ЕС защищают основные права и свободы физических лиц, и, в частности, их право на неприкосновенность частной жизни при обработке персональных данных.
2. Государства-члены ЕС не могут ни ограничить, ни запретить свободное обращение персональных данных между Государствами-членами ЕС по соображениям, связанным с защитой, предоставленной согласно параграфу 1.

Статья 2
Определения

Для целей настоящей Директивы:
(a) "персональные данные" означают любую информацию, относящуюся к определенному или определяемому физическому лицу ("субъекту данных"); определяемым является лицо, которое может быть определено, прямо или косвенно, в частности, через идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности;
(b) "обработка персональных данных" ("обработка") означает любую операцию или последовательность операций, осуществляемых с персональными данными, с использованием автоматических средств или без такового, таких как сбор, запись, организация, хранение, модификация или замена, извлечение, консультирование, использование, раскрытие через передачу, распространение или предоставление доступа другим способом, блокирование, стирание или разрушение;
(c) "файловая система персональных данных" ("файловая система") означает любой структурированный набор персональных данных, доступных по определенным критериям, будь то централизованный, децентрализованный или распределенный по функциональному или географическому принципу;
(d) "оператор" означает физическое или юридическое лицо, государственный орган, агентство или любой другой орган, который самостоятельно или совместно с другими определяет цели и способы обработки персональных данных; когда цели и способы обработки определены законодательством или подзаконными актами на национальном уровне или уровне Сообщества, оператор или конкретные критерии его назначения могут быть установлены национальным законодательством или законодательством Сообщества;
(e) "обработчик" означает физическое или юридическое лицо, государственный орган, агентство или любой другой орган, который обрабатывает персональные данные от имени оператора;
(f) "третье лицо" означает физическое или юридическое лицо, государственный орган, агентство или любой другой орган, который не является субъектом данных, оператор, обработчик и лица, управомоченные обрабатывать данные под прямым руководством оператора или обработчика;
(g) "получатель" означает физическое или юридическое лицо, государственный орган, агентство или любой другой орган, являющийся или нет третьим лицом, которому раскрывают данные; несмотря на это, органы власти, которые могут получать данные в рамках частного запроса, не рассматриваются как получатели;
(h) "согласие субъекта данных" означает любое свободно данное конкретное и сознательное указание на его желания, которым субъект данных выражает свое согласие на обработку относящихся к нему персональных данных.

Статья 3
Сфера применения

1. Настоящая Директива применяется к полной или частичной обработке персональных данных автоматизированными средствами и к обработке не автоматизированными средствами персональных данных, составляющих часть файловой системы или предназначенных составлять часть файловой системы.
2. Настоящая Директива не применяется к обработке персональных данных:
- в процессе деятельности, которая выходит за рамки права Сообщества, такой как указанная в V и VI Разделах Договора о Европейском Союзе, и, во всяком случае, в операциях по обработке, касающихся общественной безопасности, обороны, государственной безопасности (включая экономическое благосостояние государства, когда операция по обработке относится к вопросам государственной безопасности) и деятельности государства в сфере уголовного права,
- физическим лицом в процессе исключительно личной или бытовой деятельности.

Статья 4
Применимое национальное право

1. Каждое Государство-член ЕС применяет к обработке персональных данных национальные нормы, которые принимает в соответствии с настоящей Директивой, когда:
(a) обработка осуществляется в контексте деятельности учреждения оператора на территории Государства-члена ЕС; когда один оператор учрежден на территории нескольких Государств-членов ЕС, он должен принять необходимые меры, гарантирующие, что каждое из таких учреждений соблюдает обязательства, установленные применимым национальным правом;
(b) оператор учрежден не на территории Государства-члена ЕС, но в месте, в котором его национальное право применяется в силу международного публичного права;
(c) оператор не учрежден на территории Сообщества, и использует для обработки персональных данных оборудование, автоматизированное или нет, расположенное на территории указанного Государства-члена ЕС, если такое оборудование не используется только для целей транзита через территорию Сообщества.
2. В обстоятельствах, указанных в параграфе 1 (c), оператор должен назначить представителя, учрежденного на территории этого Государства-члена ЕС, без ущерба для судебных исков, которые могут быть предъявлены против самого оператора.

Глава II
Общие правила о законности обработки персональных данных

Статья 5*(6)

Государства-члены ЕС определяют более точно, в рамках положений настоящей Главы, условия, при которых обработка персональных данных является законной.

Раздел I
Принципы, относящиеся к качеству данных

Статья 6

1. Государства-члены ЕС предусматривают, что персональные данные должны:
(a) обрабатываться справедливо и законно;
(b) собираться для конкретных, явно выраженных и законных целей и не обрабатываться в дальнейшем способом, несовместимым с данными целями. Дальнейшая обработка данных для исторических, статистических и научных целей не считается несовместимой, при условии, что Государства-члены ЕС предоставляют надлежащие гарантии;
(c) быть достаточными, релевантными и не избыточными по отношению к целям, для которых они собираются и/или обрабатываются в дальнейшем;
(d) быть точными и, при необходимости, актуализированными; требуется предпринимать все возможные шаги, чтобы гарантировать, что неточные или неполные данные, по отношению к целям, для которых они были собраны или в дальнейшем обработаны, будут стерты или исправлены;
(e) храниться в форме, позволяющей проводить идентификацию субъектов данных не дольше, чем это необходимо для целей, с которыми они были собраны или в дальнейшем обработаны. Государства-члены ЕС устанавливают надлежащие гарантии для персональных данных, хранящихся в течение более долгих сроков для исторических, статистических или научных целей.
2. Оператор обеспечивает соблюдение параграфа 1.

Раздел II
Критерии законности обработки данных

Статья 7

Государства-члены ЕС предусматривают, что персональные данные могут обрабатываться только если:
(a) субъект данных однозначно дал свое согласие; или
(b) обработка необходима для исполнения договора, стороной которого является субъект данных или в целях принятия мер по просьбе субъекта данных до заключения договора; или
(c) обработка необходима для соблюдения юридического обязательства, субъектом которого является оператор; или
(d) обработка необходима в целях защиты жизненно важных интересов субъекта данных; или
(e) обработка необходима для выполнения задачи, осуществляемой в общественном интересе, или при исполнении официальных правомочий, возложенных на оператора или третье лицо, которому раскрываются данные; или
(f) обработка необходима для целей законных интересов, преследуемых оператором или третьим лицом или лицами, которым раскрываются данные, за исключением случаев, когда перед такими интересами имеют преимущество интересы, связанные с основными правами и свободами субъекта данных, которые требуют защиты согласно Статье 1 (1).

Раздел III
Специальные категории обработки

Статья 8
Обработка специальных категорий данных

1. Государства-члены ЕС запрещают обработку персональных данных, раскрывающих расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, и обработку данных, касающихся состояния здоровья или половой жизни.
2. Параграф 1 не применяется, когда:
(a) субъект данных дал свое явно выраженное согласие на обработку этих данных, кроме случаев, когда законодательство Государства-члена ЕС устанавливает, что запрет, упомянутый в параграфе 1, не может быть отменен с согласия субъекта данных; или
(b) обработка необходима для целей исполнения обязательств и осуществления особых прав оператора в сфере трудового права, насколько это разрешено национальным законодательством, предусматривающим достаточные гарантии; или
(c) обработка необходима в целях защиты жизненно важных интересов субъекта данных или другого лица, если субъект данных физически или юридически неспособен дать свое согласие; или
(d) обработка осуществляется в ходе законной деятельности с соответствующими гарантиями фондом, объединением или любой другой некоммерческой организацией с политической, философской, религиозной или профсоюзной целью и при условии, что обработка относится только к членам такой организации или к лицам, которые поддерживают с ней регулярный контакт в связи с ее целями, и что данные не раскрываются третьим лицам без согласия субъектов данных; или
(e) обработка связана с данными, которые явно преданы огласке субъектом данных, или необходима для установления, осуществления или защиты правовых требований.
3. Параграф 1 не применяется, когда обработка данных требуется для целей профилактической медицины, медицинской диагностики, оказания медицинской помощи или лечения, либо управления здравоохранением, и когда эти данные обрабатываются работником здравоохранения согласно национальному законодательству или правилам, установленным компетентными национальными органами в отношении обязанности хранения профессиональной тайны или иным лицом, также ограниченным равноценным обязательством хранения тайны.
4. При условии предоставления надлежащих гарантий, Государства-члены ЕС могут, по соображениям важного общественного интереса, устанавливать исключения, в дополнение к тем, которые сформулированы в параграфе 2, либо в национальном законодательстве, либо в решении надзорного органа.
5. Обработка данных, относящихся к административным правонарушениям, уголовным судимостям или мерам безопасности, может осуществляться только под контролем официального органа, или, если национальное законодательство представляет надлежащие конкретные гарантии, за исключением ограничений, которые могут предоставляться Государствами-членами ЕС, в соответствии с национальными нормами, предусматривающими надлежащие конкретные гарантии. Однако, полный реестр уголовных судимостей может вестись только под контролем официального органа.
Государства-члены ЕС могут предусмотреть, что данные, относящиеся к административным санкциям или судебным решениям по гражданским делам, также обрабатываются под контролем официального органа.
6. Европейская Комиссия уведомляется об отступлениях от параграфа 1, предусмотренных в параграфах 4 и 5.
7. Государства-члены ЕС определяют условия, при которых может производиться обработка национального идентификационного номера или любого другого общепринятого идентификатора.

Статья 9
Обработка персональных данных и свобода слова

Государства-члены ЕС предусматривают исключения или ограничения положений настоящей Главы, Главы IV и Главы VI для обработки персональных данных, осуществляемой исключительно в целях журналистской деятельности, либо в целях художественного или литературного самовыражения, только если они необходимы для приведения в соответствие права на неприкосновенность частной жизни с правилами, регулирующими свободу слова.

Раздел IV
Информация, предоставляемая субъекту данных

Статья 10
Информация в случаях получения данных от субъекта данных

Государства-члены ЕС предусматривают, что оператор или его представитель должен предоставить субъекту данных, от которого получаются относящиеся к нему данные, по меньшей мере следующую информацию, кроме случаев, когда она у него уже имеется:
(a) наименование оператора и его представителя, если таковой имеется;
(b) цели обработки, для которых предназначены данные;
(c) любая другая информация, такая как
- получатели или категории получателей данных,
- являются ли ответы на вопросы обязательными или добровольными, как и возможные последствия отсутствия ответа,
- существование права доступа и права исправлять относящиеся к нему данные,
насколько такая дополнительная информация необходима, с учетом конкретных обстоятельств, в которых собираются данные, чтобы гарантировать их справедливую обработку в отношении субъекта данных.

Статья 11
Информация в случаях, когда данные не были получены от субъекта данных

1. Когда данные не были получены от субъекта данных, Государства-члены ЕС предусматривают, что оператор или его представитель должен при проведении записи персональных данных или, если предвидится их раскрытие третьему лицу, не позже чем при первом раскрытии данных предоставить субъекту данных по меньшей мере следующую информацию, кроме случаев, когда она у него уже имеется:
(a) личность оператора и его представителя, если таковой имеется;
(b) цели обработки;
(c) любую другую информацию, такая как:
- категории данных,
- получатели или категории получателей,
- существование права доступа и права исправлять относящиеся к нему данные,
насколько такая дополнительная информация необходима, с учетом конкретных обстоятельств, в которых обрабатываются данные, чтобы гарантировать их справедливую обработку в отношении субъекта данных.
2. Параграф 1 не применяется, когда, например, при обработке для статистических целей или для целей исторического или научного исследования, предоставление такой информации невозможно или повлечет за собой несоразмерные усилия, либо если запись или раскрытие данных прямо предусмотрено законом. В таких случаях Государства-члены ЕС предусматривают соответствующие гарантии.

Раздел V
Право субъекта данных на доступ к данным

Статья 12
Право на доступ

Государства-члены ЕС гарантируют каждому субъекту данных право получать от оператора:
(a) без ограничения, в разумные интервалы и без чрезмерной задержки или расходов:
- подтверждение того, осуществляется или нет обработка относящихся к нему данных, и информацию по меньшей мере о целях обработки, категориях данных и получателях или категориях получателей, которым раскрываются данные,
- сообщение ему в понятной форме данных, подвергающихся обработке, и любой имеющейся информации об их источнике,
- знание об алгоритмах, задействованных в автоматической обработке касающихся его данных, по меньшей мере в случае автоматизированных решений, упомянутых в Статье 15 (1);
(b) по мере необходимости, исправление, стирание или блокирование данных, обработка которых не соответствует нормам настоящей Директивы, в частности из-за неполноты или неточности самих данных;
(c) уведомление третьих лиц, которым были раскрыты данные, о любом исправлении, стирании или блокировании данных, осуществляемых в соответствии с пунктом b, за исключением случаев, когда это невозможно или повлечет за собой несоразмерные усилия.

Раздел VI
Исключения и ограничения

Статья 13
Исключения и ограничения

1. Государства-члены ЕС могут принимать законодательные меры, ограничивающие сферу применения обязательств и прав, предусмотренных Статьями 6 (1), 10, 11 (1), 12 и 21, когда такое ограничение образует необходимые меры для обеспечения:
(a) национальной безопасности;
(b) обороны;
(c) общественной безопасности;
(d) предотвращения, расследования, раскрытия и преследования уголовных преступлений или нарушений этики в регулируемых профессиях;
(e) важного экономического или финансового интереса Государства-члена ЕС или Европейского Союза, включая валютные, бюджетные и налоговые вопросы;
(f) функции по наблюдению, проверке или регламентированию, связанной, даже изредка, с исполнением официальных полномочий в случаях, указанных в пунктах c, d и e;
(g) защиты субъекта данных или прав и свобод других лиц.
2. При условии наличия достаточных правовых гарантий, в частности того, что данные не используются для принятия мер или решений в отношении любого конкретного физического лица, Государства-члены ЕС могут, когда очевидно, что не существует никакого риска нарушения неприкосновенности частной жизни субъекта данных, ограничить законодательной мерой права, предусмотренные в Статье 12, когда данные обрабатываются только для целей научного исследования или хранятся в персонализированной форме в течение срока, не превышающего периода, необходимого исключительно для создания статистических данных.

Раздел VII
Право субъекта данных на возражение

Статья 14
Право субъекта данных на возражение

Государства-члены ЕС предоставляют субъекту данных право:
(a) по меньшей мере, в случаях, указанных в пунктах (e) и (f) Статьи 7, возражать в любое время по веским законным основаниям, относящимся к его конкретной ситуации, против обработки относящихся к нему данных, если национальное законодательство не предусматривает иного. В случае, когда возражение оправдано, обработка, инициированная оператором, не может далее задействовать эти данные;
(b) возражать, по запросу и бесплатно, против обработки относящихся к нему персональных данных, обработку которых для целей прямого маркетинга предполагает оператор, или быть осведомленным перед тем, как персональные данные впервые будут раскрыты третьим лицам или будут использованы от их имени для целей прямого маркетинга, и пользоваться прямо предложенным правом бесплатно возражать против такого раскрытия или использования.
Государства-члены ЕС принимают необходимые меры для обеспечения того, что субъекты данных знают о существовании права, указанного в первом подпараграфе пункта (b).

Статья 15
Автоматизированные индивидуальные решения

1. Государства-члены ЕС предоставляют каждому лицу право не подвергаться действию решения, которое порождает правовые последствия, касающиеся его или существенно влияющие на него, основанные только на автоматической обработке данных, предназначенных для оценки отдельных относящихся к нему проявлений, таких как результаты работы, кредитоспособность, надежность, поведение и т. д.
2. В соответствии с другими статьями настоящей Директивы, Государства-члены ЕС предусматривают, что лицо может подвергаться действию решения, подобного упомянутому в параграфе 1, если такое решение:
(a) принято в ходе заключения или исполнения договора, при условии, что просьба о заключении или исполнении договора, поданная субъектом данных, была удовлетворена, или что существуют надлежащие меры обеспечения его законных интересов, такие как средства, позволяющие ему изложить свою точку зрения; или
(b) разрешено законом, который также устанавливает меры, гарантирующие законные интересы субъекта данных.

Раздел VIII
Конфиденциальность и безопасность обработки

Статья 16
Конфиденциальность обработки

Любое лицо, действующее под руководством оператора или обработчика, включая самого обработчика, которое имеет доступ к персональным данным, не может их обрабатывать, кроме как по поручению оператора, если оно не обязано это делать по закону.

Статья 17
Безопасность обработки

1. Государства-члены ЕС предусматривают, что оператор должен осуществлять надлежащие технические и организационные меры для защиты персональных данных от случайного или неправомерного разрушения, либо случайной потери, изменения, несанкционированного раскрытия или доступа, в частности, когда обработка включает передачу данных по сети, и от всех иных неправомерных форм обработки.
С учетом уровня технического развития и стоимости их осуществления, такие меры обеспечивают уровень безопасности, соответствующий рискам, присущим обработке и характеру данных, подлежащих защите.
2. Государства-члены ЕС предусматривают, что оператор должен, когда обработка осуществляется от его имени, выбирать обработчика, предоставляющего достаточные гарантии в отношении мер технической безопасности и организационных мер, регулирующих осуществляемую обработку, и должен обеспечить соблюдение этих мер.
3. Осуществление обработки с помощью обработчика должно регулироваться договором или законодательным актом, связывающим обработчика с оператором и обуславливающим, в частности, что:
- обработчик действует только по поручению оператора,
- обязанности, изложенные в параграфе 1, как это определено законодательством Государства-члена ЕС, в котором учрежден обработчик, возлагаются также на обработчика.
4. Для целей сохранения доказательств, части договора или правового акта, относящиеся к защите данных и требования, относящиеся к мерам, указанным в параграфе 1, фиксируются в письменной или другой аналогичной форме.

Раздел IX
Уведомление

Статья 18
Обязательство уведомить надзорный орган

1. Государства-члены ЕС предусматривают, что оператор или его представитель, если таковой имеется, должен уведомить надзорный орган, указанный в Статье 28, перед осуществлением любой полностью или частично автоматизированной операции по обработке или последовательности таких операций, предназначенных, чтобы служить одной цели или нескольким связанным целям.
2. Государства-члены ЕС могут предусмотреть упрощение или освобождение от такого уведомления только в следующих случаях и при следующих условиях:
- когда, для категорий операций по обработке, которые, учитывая объем подлежащих обработке данных, неспособны неблагоприятно затронуть права и свободы субъектов персональных данных, они определяют цели обработки, данные или категории данных, подлежащих обработке, категорию или категории субъектов данных, получателей или категории получателей, которым будут раскрыты данные, и срок хранения данных, и/или
- когда оператор, в соответствии с национальным законодательством, которое регулирует его деятельность, назначает служащего, занимающегося защитой данных, ответственного, в частности:
- за обеспечение внутреннего применения в независимом порядке национальных норм, принятых в соответствии с настоящей Директивой,
- за ведение реестра операций по обработке, осуществляемых оператором и содержащих сведения, упомянутые в Статье 21 (2), тем самым гарантирующего, что права и свободы субъектов персональных данных не будут неблагоприятно затронуты операциями по обработке.
3. Государства-члены ЕС могут предусмотреть, что параграф 1 не применяется к обработке, чьей единственной целью является ведение реестра, который, в соответствии с законами или подзаконными актами, предназначен для предоставления информации общественности и который открыт для доступа как общественности в целом, так любого лица, проявляющего законный интерес.
4. Государства-члены ЕС могут предусмотреть освобождение от обязательства по уведомлению или упрощение уведомления при операциях по обработке, указанных в Статье 8 (2) (d).
5. Государства-члены ЕС могут оговорить, что некоторые или все неавтоматизированные операции по обработке, затрагивающие персональные данные, должны осуществляться с уведомлением, или предусмотреть, что эти операции по обработке должны осуществляться с упрощенным уведомлением.

Статья 19
Содержание уведомления

1. Государства-члены ЕС определяют информацию, которая предоставляется при уведомлении. Оно содержит, по меньшей мере:
(a) наименование и адрес оператора и его представителя, если таковой имеется;
(b) цель или цели обработки;
(c) описание категории или категорий субъектов данных и данных или категорий данных, относящихся к ним;
(d) информацию о получателях или категориях получателей, которым могут раскрываться данные;
(e) информацию о предполагаемой передаче данных в третьи страны;
(f) общее описание, позволяющее осуществить предварительную оценку целесообразности мер, принятых в соответствии со Статьей 17 для обеспечения безопасности обработки.
2. Государства-члены ЕС определяют процедуры, по которым надзорный орган должен уведомляться о любом изменении информации, указанной в параграфе 1.

Статья 20
Предварительная проверка

1. Государства-члены ЕС определяют операции по обработке, которые могут создавать конкретные риски для прав и свобод субъектов данных и проверяют, что эти операции по обработке изучаются до их начала.
2. Такие предварительные проверки осуществляются надзорным органом вслед за получением уведомления от оператора или служащего, занимающегося защитой данных, который, в случаях сомнения, должен проконсультироваться с надзорным органом.
3. Государства-члены ЕС могут также осуществлять такие проверки в контексте подготовки как законодательной меры национального парламента, так и меры, основанной на такой законодательной мере, которая определяет характер обработки и устанавливает соответствующие гарантии.

Статья 21
Публичность операций по обработке

1. Государства-члены ЕС принимают меры, гарантирующие публичность операций по обработке.
2. Государства-члены ЕС предусматривают, что надзорный орган ведет реестр операций по обработке, о которых он уведомляется в соответствии со Статьей 18.
Реестр содержит, по меньшей мере, информацию, перечисленную в пунктах (a) - (e) параграфа 1 Статьи 19.
Любое лицо может ознакомиться с данным реестром.
3. Государства-члены ЕС предусматривают, в отношении не требующих уведомления операций по обработке, что операторы или иной орган, назначенный Государствами-членами ЕС, предоставляют, по меньшей мере, информацию, указанную в пунктах (a) - (e) параграфа 1 Статьи 19 в оптимальной форме любому лицу по его просьбе.
Государства-члены ЕС могут предусмотреть, что данная норма не применяется к обработке, чьей единственной целью является ведение реестра, который, в соответствии с законами или подзаконными актами, предназначен для предоставления информации общественности и открыт для доступа как общественности в целом, так любого лица, способного представить доказательства законного интереса.

Глава III
Судебная защита прав, ответственность и санкции

Статья 22
Средства защиты прав

Без ущерба для какого-либо административного средства правовой защиты, которое может предусматриваться до обращения в судебный орган, inter alia, Государства-члены ЕС предусматривают право любого лица на судебную защиту от любого нарушения прав, гарантированных ему национальным законодательством, применимым к осуществляемой обработке.

Статья 23
Ответственность

1. Государства-члены ЕС предусматривают, что любое лицо, которое понесло ущерб в результате неправомерной операции по обработке или какого-либо действия, несовместимого с национальными нормами, принятыми в соответствии с настоящей Директивой, имеет право получить компенсацию от оператора за понесенный ущерб.
2. Оператор может быть полностью или частично освобожден от такой ответственности, если он докажет, что он не несет ответственности за событие, вызвавшее ущерб.

Статья 24
Санкции

Государства-члены ЕС принимают надлежащие меры для обеспечения полного осуществления норм настоящей Директивы и, в частности, устанавливают санкции, налагаемые в случае нарушения норм, принятых в соответствии с настоящей Директивой.

Глава IV
Передача персональных данных в третьи страны

Статья 25
Принципы

1. Государства-члены ЕС предусматривают, что передача в третью страну персональных данных, которые подвергаются обработке или предназначены для обработки после передачи, может осуществляться только если, без ущерба для соблюдения национальных норм, принятых в соответствии с иными нормами настоящей Директивы, соответствующая третья страна обеспечивает достаточный уровень защиты.
2. Достаточность уровня защиты, предоставляемого третьей страной, оценивается в свете всех обстоятельств, связанных с операцией по передаче или с последовательностью операций по передаче данных; особое внимание уделяется характеру данных, цели и продолжительности предлагаемой операции или операций по обработке, стране происхождения и стране конечного назначения, законодательным правилам, как общим, так и отраслевым, действующим в соответствующей третьей стране, а также профессиональным правилам и мерам безопасности, соблюдаемым в этой стране.
3. Государства-члены ЕС и Европейская Комиссия информируют друг друга о случаях, когда они считают, что третья страна не обеспечивает достаточный уровень защиты по смыслу параграфа 2.
4. Если Европейская Комиссия установит, в соответствии с процедурой, предусмотрено в Статье 31 (2), что третья страна не обеспечивает достаточный уровень защиты по смыслу параграфа 2 настоящей Статьи, Государства-члены ЕС принимают необходимые меры, чтобы предотвратить любую передачу данных того же типа в соответствующую третью страну.
5. В подходящий момент Европейская Комиссия вступает в переговоры с целью исправления ситуации, обусловленной заключением, сделанным согласно параграфу 4.
6. Европейская Комиссия может установить, в соответствии с процедурой, упомянутой в Статье 31 (2), что третья страна обеспечивает достаточный уровень защиты по смыслу параграфа 2 настоящей Статьи, в силу ее внутреннего законодательства или международных обязательств, которые она дала, особенно после завершения переговоров, упомянутых в параграфе 5, по защите частной жизни, основных свобод и прав физических лиц.
Государства-члены ЕС принимают меры, необходимые для исполнения решения Европейской Комиссии.

Статья 26
Ограничения

1. В порядке отступления от положений Статьи 25, и если иное не предусмотрено внутренним законодательством, регулирующим конкретные случаи, Государства-члены ЕС предусматривают, что передача или последовательность передач персональных данных в третью страну, которая не обеспечивает достаточный уровень защиты по смыслу Статьи 25 (2), может совершаться при условии, что:
(a) субъект данных однозначно дал свое согласие на предполагаемую передачу данных; или
(b) передача необходима для исполнения договора между субъектом данных и оператором или осуществления преддоговорных мер, принимаемых по просьбе субъекта данных; или
(c) передача необходима для заключения или исполнения договора, заключенного в интересе субъекта данных между оператором и третьим лицом; или
(d) передача необходима или требуется на основании закона по соображениям важного общественного интереса, либо для установления, осуществления или защиты правовых требований; или
(e) передача необходима в целях защиты жизненно важных интересов субъекта данных; или
(f) передача осуществляется из реестра, который, в соответствии с законами или подзаконными актами, предназначен для предоставления информации общественности и который открыт для доступа как общественности в целом, так и любого лица, могущего продемонстрировать законный интерес, в той мере, в какой в конкретном случае выполняются условия, установленные законодательством о доступе.
2. Без ущерба для положений параграфа 1, Государство-член ЕС может разрешить передачу или последовательность передач персональных данных в третью страну, которая не обеспечивает достаточный уровень защиты по смыслу Статьи 25 (2), когда оператор представляет достаточные гарантии в отношении защиты частной жизни и основных прав и свобод физических лиц и относительно осуществления соответствующих прав; такие гарантии могут, в частности, следовать из соответствующих условий договора.
3. Государство-член ЕС информирует Европейскую Комиссию и другие Государства-члены ЕС о разрешениях, которые оно выдает в соответствии с параграфом 2.
Если Государство-член ЕС или Европейская Комиссия возражает по обоснованным причинам, связанным с защитой частной жизни и основных прав и свобод физических лиц, Европейская Комиссия принимает надлежащие меры в соответствии с процедурой, установленной в Статье 31 (2).
Государства-члены ЕС принимают необходимые меры для исполнения решения Европейской Комиссии.
4. Когда Европейская Комиссия решает, в соответствии с процедурой, установленной в Статье 31 (2), что отдельные стандартные договорные условия предлагают достаточные гарантии, предусмотренные параграфом 2, Государства-члены ЕС принимают необходимые меры для исполнения решения Европейской Комиссии.

Глава V
Кодексы поведения

Статья 27

1. Государства-члены ЕС и Европейская Комиссия содействуют разработке Кодексов поведения, предназначенных содействовать надлежащему применению национальных норм, принятых Государствами-членами ЕС в соответствии с настоящей Директивой, принимая во внимание конкретные характеристики различных отраслей.
2. Государства-члены ЕС предусматривают, что торгово-промышленные ассоциации и другие организации, представляющие иные категории операторов, которые разработали проекты национальных Кодексов поведения или которые намереваются изменять или расширять существующие национальные Кодексы, чтобы представить их для заключения в национальный орган власти.
Государства-члены ЕС предусматривают, что данный орган власти выясняет, среди прочего, соответствуют ли представленные ему проекты национальным нормам, принятым в соответствии с настоящей Директивой. Если он считает нужным, данный орган власти запрашивает мнение субъектов данных или их представителей.
3. Проекты Кодексов Сообщества и изменения или дополнения существующих кодексов Сообщества могут представляться в рабочую группу, упомянутую в Статье 29. Эта рабочая группа определяет, среди прочего, соответствуют ли представленные ей проекты национальным нормам, принятым в соответствии с настоящей Директивой. Если он считает нужным, данный орган запрашивает мнение субъектов данных или их представителей. Европейская Комиссия может обеспечивать надлежащую публичность кодексов, одобренных рабочей группой.

Глава VI
Надзорный орган и рабочая группа по защите физических лиц при обработке персональных данных

Статья 28
Надзорный орган

1. Каждое Государство-член ЕС предусматривает, что один или несколько государственных органов ответственны за контроль применения на их территории норм, принятых Государствами-членами ЕС в соответствии с настоящей Директивой.
Эти органы пользуются полной независимостью при осуществлении возложенных на них функций.
2. Каждое Государство-член ЕС предусматривает, что при разработке административных мер или подзаконных актов, относящихся к защите прав и свобод физических лиц при обработке персональных данных, проводятся консультации с надзорными органами.
3. В частности, каждый такой орган наделяется:
- полномочиями по расследованию, такими как право доступа к данным, составляющим предмет операций по обработке, и право собирать всю информацию, необходимую для исполнения его обязанностей по надзору,
- эффективными полномочиями вмешательства, такими как, например, высказывание мнения до осуществления операций по обработке, в соответствии со Статьей 20, и обеспечение надлежащей публикации таких мнений, право давать распоряжения о блокировании, стирании или разрушении данных, право вводить временный или окончательный запрет на обработку, право предупреждать оператора или выносить ему выговор, или право передавать вопрос национальным парламентам или иным политическим институтам,
- правом участвовать в процессуальных действиях, когда национальные нормы, принятые в соответствии с настоящей Директивой, были нарушены, или правом обратить внимание судебных властей на эти нарушения.
Решения надзорного органа, вызывающие жалобы, могут быть обжалованы в судах.
4. Каждый надзорный орган рассматривает претензии, поданные любым лицом или объединением, представляющим это лицо в отношении защиты его прав и свобод при обработке персональных данных. Соответствующее лицо информируется об итоге рассмотрения претензии.
Каждый надзорный орган, в частности, рассматривает заявленные любым лицом требования о проверках правомерности обработки данных при применении национальных норм, принятых в соответствии со Статьей 13 настоящей Директивы. Такое лицо, по меньшей мере, информируется о том, что проверка проведена.
5. Каждый надзорный орган регулярно составляет отчет о своей деятельности. Данный отчет публикуется.
6. Независимо от национального права, применимого к соответствующей обработке, каждый надзорный орган имеет право осуществлять на территории своего Государства-члена ЕС полномочия, предоставленные ему в соответствии с параграфом 3. Каждому такому органу может быть предложено осуществлять свои полномочия органом другого Государства-члена ЕС.
Надзорные органы взаимодействуют друг с другом, насколько это необходимо для исполнения их обязанностей, в частности, обмениваясь всей полезной информацией.
7. Государства-члены ЕС предусматривают, что члены и сотрудники надзорного органа, даже после окончания их службы, подлежат обязанности хранения профессиональной тайны в отношении конфиденциальной информации, к которой у них есть доступ.

Статья 29
Рабочая группа по защите физических лиц при обработке персональных данных

1. Настоящим учреждается рабочая группа по защите физических лиц при обработке персональных данных, далее именуемая "рабочая группа".
Она имеет совещательный статус и действует независимо.
2. Рабочая группа состоит из представителя надзорного органа или органов, назначенного от каждого из Государств-членов ЕС и представителя органа или органов, созданных в интересах институций и органов Сообщества, и представителя Европейской Комиссии.
Каждый член рабочей группы назначается органом или органами, которые он представляет. Если Государство-член ЕС создало более одного надзорного органа, те выдвигают единого представителя. То же относится и к органам, созданным в интересах институций и органов Сообщества.
3. Рабочая группа принимает решения простым большинством голосов представителей надзорных органов.
4. Рабочая группа избирает своего председателя. Срок полномочий председателя составляет два года. Он может быть переизбран.
5. Секретариат рабочей группы обеспечивается Европейской Комиссией.
6. Рабочая группа принимает свои правила процедуры.
7. Рабочая группа рассматривает вопросы, включенные в ее повестку дня ее председателем, как по его инициативе, так и по просьбе представителя надзорных органов или по просьбе Европейской Комиссии.

Статья 30

1. Рабочая группа:
(a) рассматривает любой вопрос, охватывающий применение национальных мер, принятых согласно настоящей Директиве, в целях содействия единообразного применения таких мер;
(b) дает Европейской Комиссии заключение относительно уровня защиты данных в Сообществе и в третьих странах;
(c) дает советы Европейской Комиссии по любому предполагаемому изменению настоящей Директивы, по любым дополнительным или специальным мерам, гарантирующим права и свободы физических лиц при обработке персональных данных и по любым другим предполагаемым мерам на уровне Сообщества, затрагивающим такие права и свободы;
(d) дает заключение относительно Кодексов поведения, разработанных на уровне Сообщества.
2. Если рабочая группа установит, что между законодательством и практикой Государств-членов ЕС появляются расхождения, способные повлиять на эквивалентность защиты лиц при обработке персональных данных в Сообществе, она уведомляет Европейскую Комиссию в связи с этим.
3. Рабочая группа может, по своей инициативе, давать рекомендации по всем вопросам, относящимся к защите лиц при обработке персональных данных в Сообществе.
4. Заключения и рекомендации рабочей группы направляются в Европейскую Комиссию и в комитет, упомянутый в Статье 31.
5. Европейская Комиссия уведомляет рабочую группу о предпринятых действиях в ответ на ее заключения и рекомендации. Она это делает в отчете, который направляется также в Европейский парламент и в Совет ЕС. Данный отчет публикуется.
6. Рабочая группа составляет ежегодный отчет о ситуации по защите физических лиц при обработке персональных данных в Сообществе и в третьих странах, который она передает в Европейскую Комиссию, Европейский парламент и Совет ЕС. Данный отчет публикуется.

Глава VII
Исполнительные меры сообщества

Статья 31

1. Европейской Комиссии помогает комитет.
2. При ссылке на настоящую Статью, применяются Статьи 4 и 7 Решения 1999/468/ЕС*(7), с учетом норм его Статьи 8.
Срок, указанный в Статье 4 (3) Решения 1999/468/ЕС, устанавливается в три месяца.
3. Комитет принимает свои правила процедуры.

Заключительные положения

Статья 32

1. Государства-члены ЕС вводят в действие законодательные, регламентарные и административные положения, необходимые для соблюдения настоящей Директивы, не позже чем в конце трехлетнего периода с даты ее принятия.
Когда Государства-члены ЕС принимают эти меры, последние содержат ссылку на настоящую Директиву или сопровождаются такой ссылкой при их официальной публикации. Способы указания такой ссылки устанавливаются Государствами-членами ЕС.
2. Государства-члены ЕС гарантируют, что обработка, уже осуществляющаяся на дату вступления в силу национальных норм, принятых в соответствии с настоящей Директивой, приводится в соответствие с настоящими положениями в течение трех лет с этой даты.
В порядке отступления от положений предыдущего подпараграфа, Государства-члены ЕС могут предусмотреть, что обработка данных, уже содержащихся в ручных файловых системах на дату вступления в силу национальных норм, принятых во исполнение настоящей Директивы, приводится в соответствие со Статьями 6, 7 и 8 настоящей Директивы в течение 12 лет с даты ее принятия. Государства-члены ЕС, однако, предоставляют субъекту данных право получать по его просьбе и, в частности, во время осуществления его права доступа, исправления, стирания или блокирования данных, которые неполны, неточны или хранятся способом, несовместимым с законными целями, преследуемыми оператором.
3. В порядке отступления от положений параграфа 2, Государства-члены ЕС могут предусмотреть, с соблюдением надлежащих гарантий, что данные, хранящиеся только с целью исторического исследования, не нуждаются в приведении в соответствие со Статьями 6, 7 и 8 настоящей Директивы.
4. Государства-члены ЕС сообщают Европейской Комиссии текст норм национального законодательства, которые они приняли в сфере, охватываемой настоящей Директивой.

Статья 33

Европейская Комиссия регулярно докладывает Совету ЕС и Европейскому парламенту, начиная не позже чем через три года с даты, указанной в Статье 32 (1), о применении настоящей Директивы, прилагая к своему докладу, если это необходимо, подходящие предложения о внесении изменений. Данный доклад публикуется.
Европейская Комиссия рассматривает, в частности, применение настоящей Директивы к обработке звуковых данных и данных изображений, относящихся к физическим лицам, и представляет соответствующие предложения, которые окажутся необходимыми, учитывая достижения в сфере информационных технологий и в свете уровня развития информационного общества.

Статья 34

Настоящая Директива адресована Государствам-членам ЕС.

Совершено в Люксембурге, 24 октября 1995 г.

За Европейский Парламент
Президент
K. Haensch

За Совет ЕС
Президент
L. Atienza Serna

_____________________________
*(1) DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data. Опубликована в Официальном журнале (далее - ОЖ) N L 281, 23.11.1995, стр. 31
*(2) ОЖ N C 277, 05.11.1990, стр. 3 и ОЖ N C 311, 27.11.1992, стр. 30.
*(3) ОЖ N C 159, 17.6.1991, стр. 38.
*(4) Заключение Европейского парламента от 11 марта 1992 (ОЖ N C 94, 13.4.1992, стр. 198), подтвержденное 2 декабря 1993 (ОЖ N C 342, 20.12.1993, стр. 30); Общая позиция Совета ЕС от 20 февраля 1995 (ОЖ N C 93, 13.4.1995, стр. 1) и Решение Европейского парламента от 15 июня 1995 (ОЖ N C 166, 03.7.1995).
*(5) ОЖ N L 197, 18.7.1987, стр. 33
*(6) Некоторые статьи в оригинале данной директивы даны без названия - прим. перев.
*(7) Решение Совета ЕС 1999/468/ЕС от 28 июня 1999 г., устанавливающее порядок осуществления полномочий на исполнение, предоставленных Европейской Комиссии (ОЖ N L 184, 17.7.1999, стр. 23)