Статья 91Регламент № 2018/1725 Европейского парламента и Совета Европейского Союза

1. Принимая во внимание последние достижения науки и техники, затраты на реализацию, характер, масштаб, контекст и цели обработки, а также варьирующуюся вероятность возникновения и серьезность рисков для прав и свобод физических лиц, контролер и лицо, обрабатывающее данные, должны принять надлежащие технические и организационные меры в целях обеспечения уровня безопасности, пропорционального рискам, в частности, в отношении обработки особых категорий оперативных персональных данных.

2. В отношении автоматизированной обработки контролер и лицо, обрабатывающее данные, должны после оценки рисков принять меры, направленные на:

(a) запрещение доступа неавторизованных лиц к оборудованию, используемому для обработки данных («контроль доступа к оборудованию»);

(b) предотвращение неавторизованного чтения, копирования, модификации или удаления носителей данных («контроль за носителями данных»);

(c) предотвращение неавторизованного ввода оперативных персональных данных, а также неавторизованных инспекций, модификаций или удаления оперативных персональных данных, подлежащих хранению («контроль за хранением»);

(d) предотвращение использования автоматизированных систем обработки неавторизованными лицами посредством использования оборудования для передачи данных («контроль за пользователями»);

(e) обеспечение того, чтобы лица, авторизованные использовать автоматизированные системы по обработке, имели доступ только к оперативным персональным данным, предусмотренным в их авторизации доступа («контроль доступа к данным»);

(f) обеспечение возможности проверки и установления органов, которым оперативные персональные данные были переданы или могут быть переданы, или которые могут получить доступ к данным посредством передачи («контроль за передачей данных»);

(g) обеспечение возможности последующей проверки и установления того, какие оперативные персональные данные были введены в автоматизированные системы по обработке данных, а также когда и кем оперативные персональные данные были введены («контроль ввода»);

(h) предотвращение неавторизованного чтения, копирования, модификации или удаления оперативных персональных данных во время передачи оперативных персональных данных или во время транспортировки носителей данных («контроль за транспортировкой»);

(i) обеспечение восстановления установленных систем в случае вмешательства («восстановление»);

(j) обеспечение того, чтобы выполнялись функции системы, чтобы существовала функция сообщений об ошибках («надежность») и чтобы оперативные персональные данные, подлежащие хранению, не могли искажаться при неисправности системы («целостность»).