Статья 29Директива № 2016/680 Европейского парламента и Совета Европейского Союза

1. Государства-члены ЕС предусматривают, чтобы контролер и обрабатывающее данные лицо с учетом состояния развития науки и техники, расходов на имплементацию, характера, объема, особенностей и целей обработки, а также рисков различной степени вероятности и интенсивности для прав и свобод физических лиц принимали соответствующие технические и организационные меры, чтобы гарантировать соразмерный риску уровень безопасности, в частности, в отношении обработки специальных категорий персональных данных, указанных в Статье 10 настоящей Директивы.

2. При автоматизированной обработке государства-члены ЕС предусматривают обязанность контролера или обрабатывающего данные лица после проведения оценки рисков принять меры, направленные на:

(a) отказ неуполномоченным лицам в доступе к оборудованию, используемому для обработки («контроль доступа к оборудованию»);

(b) предотвращение несанкционированного считывания, копирования, изменения или удаления носителей данных («управление носителями данных»);

(c) предотвращение несанкционированного ввода персональных данных и несанкционированной проверки, изменения или удаления находящихся на хранении персональных данных («контроль хранения»);

(d) предотвращение использования автоматизированных систем обработки неуполномоченными лицами, которые используют оборудование для передачи данных («контроль над пользователями»);

(e) обеспечение того, что лица, уполномоченные использовать автоматизированную систему обработки, имеют доступ только к тем персональным данным, на которые распространяется их разрешение на доступ («контроль доступа к данным»);

(f) обеспечение возможности проверить и установить органы, которым были переданы или могут быть переданы персональные данные с использованием оборудования для передачи данных («контроль передачи данных»);

(g) обеспечение возможности последующей проверки и установления того, какие персональные данные были введены в автоматизированные системы обработки, когда и кем были введены персональные данные («контроль ввода»);

(h) предотвращение несанкционированного считывания, копирования, изменения или удаления персональных данных в ходе передачи персональных данных или при транспортировке носителей данных («контроль транспортировки»);

(i) обеспечение того, чтобы установленные системы в случае перебоя в их работе могли быть восстановлены («восстановление»);

(j) обеспечение выполнения системой своих функций, передачи сообщений о неисправностях в функционировании («надежность»), а также невозможности повреждения находящихся на хранении персональных данных из-за неисправности системы («целостность»).