Регламент № 45/2001 Европейского парламента и Совета Европейского Союза

«О защите физических лиц при обработке персональных данных, осуществляемой учреждениями и органами Сообщества, и о свободном обращении таких данных» [рус., англ.]

(Принят в г. Брюсселе 18.12.2000)

(с изм. и доп. от 26.06.2007)

[неофициальный перевод] <*>

ЕВРОПЕЙСКИЙ СОЮЗ

РЕГЛАМЕНТ № 45/2001 ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕС О ЗАЩИТЕ ФИЗИЧЕСКИХ ЛИЦ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОСУЩЕСТВЛЯЕМОЙ УЧРЕЖДЕНИЯМИ И ОРГАНАМИ СООБЩЕСТВА, И О СВОБОДНОМ ОБРАЩЕНИИ ТАКИХ ДАННЫХ <**>

(текст Регламента в редакции поправок 45/2001 <***>)

---

<*> Перевод Проничевой Е.Ю.

<**> Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data. Опубликован в Официальном журнале (далее — ОЖ) № L 8, 12.1.2001, стр. 1.

<***> ОЖ № L 164, 26.6.2007, стр. 36.

Европейский парламент и Совет Европейского Союза,

руководствуясь Договором об учреждении Европейского сообщества и, в частности, статьей 286 Договора,

на основании предложения Европейской комиссии <*>,

---

<*> ОЖ № C 376E, 28.12.1999, стр. 24.

руководствуясь Заключением Европейского комитета по экономическим и социальным вопросам <*>,

---

<*> ОЖ № C 51, 23.2.2000, стр. 48.

действуя в соответствии с процедурой, установленной в статье 251 Договора <*>,

---

<*> Заключение Европейского парламента от 14 ноября 2000 г. и Решение Совета ЕС от 30 ноября 2000 г.

принимая во внимание следующие обстоятельства:

1. Статья 286 Договора предусматривает применение к учреждениям и органам Сообщества нормативных актов Сообщества о защите физических лиц при обработке персональных данных и о свободном обращении таких данных.

2. Законченная система защиты персональных данных требует установления не только прав субъектов, которым принадлежат такие данные, и обязанностей тех, кто обрабатывает персональные данные, но и соответствующих санкций для правонарушителей, а также требует введения мониторинга со стороны независимого надзорного органа.

3. Статья 286 (2) Договора предусматривает создание независимого надзорного органа, ответственного за мониторинг применения соответствующих нормативных актов Сообщества к учреждениям и органам Сообщества.

4. Статья 286 (2) Договора предусматривает принятие при необходимости иных положений в соответствующей сфере.

5. Для того чтобы предоставить физическим лицам юридически обеспеченные права, чтобы конкретизировать обязанности контролирующих лиц при обработке персональных данных в учреждениях и органах Сообщества, а также для того чтобы создать независимый надзорный орган, ответственный за мониторинг обработки персональных данных учреждениями и органами Сообщества, необходим соответствующий Регламент.

6. Были проведены консультации с Рабочей группой по защите физических лиц при обработке персональных данных, созданной в соответствии со статьей 29 Директивы Европейского парламента и Совета ЕС 95/46/ЕС от 24 октября 1995 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных <*>.

---

<*> ОЖ № L 281, 23.11.1995, стр. 31.

7. Защите подлежат те лица, чьи персональные данные при любых обстоятельствах обрабатываются учреждениями и органами Сообщества, например, в связи с тем, что они являются работниками указанных учреждений или органов.

8. Принципы защиты персональных данных должны применяться к любой информации относительно идентифицированного или идентифицируемого лица. Чтобы определить, является ли лицо идентифицируемым, следует учесть все средства, которые объективно могут быть использованы как контролирующим лицом, так и любым другим лицом для того, чтобы провести соответствующую идентификацию. Принципы защиты персональных данных не применяются по отношению к анонимным данным, если уже невозможно определить лицо, которому принадлежат такие данные.

9. Директива 95/46/ЕС требует от государств-членов ЕС обеспечить защиту основных прав и свобод физических лиц, и, в частности, их права на неприкосновенность частной жизни в сфере обработки персональных данных, в целях обеспечения свободного обращения персональных данных в Сообществе.

10. Директива Европейского парламента и Совета ЕС 97/66/ЕС от 15 декабря 1997 г. об обработке персональных данных и о защите права на неприкосновенность частной жизни в телекоммуникационном секторе <*> конкретизирует и дополняет Директиву 95/46/ЕС применительно к обработке персональных данных в телекоммуникационном секторе.

---

<*> ОЖ № L 24, 30.1.1998, стр. 1.

11. Различные иные меры Сообщества, включая меры, касающиеся взаимодействия национальных властей и Европейской комиссии, также предназначены для того, чтобы конкретизировать и дополнять Директиву 95/46/ЕС в соответствующих сферах.
12. В Сообществе должно обеспечиваться последовательное и единообразное применение правил, направленных на защиту основных прав и свобод человека в сфере обработки персональных данных.
13. Целью является обеспечение как эффективного соблюдения правил, касающихся защиты основных прав и свобод человека, так и свободного обращения персональных данных между государствами-членами ЕС и учреждениями и органами Сообщества либо между учреждениями и органами Сообщества для целей, связанных с исполнением соответствующих полномочий.
14. В этих целях должны быть приняты меры, обязательные для учреждений и органов Сообщества. Указанные меры должны применяться ко всем операциям по обработке персональных данных во всех учреждениях и органах Сообщества постольку, поскольку указанная обработка данных проводится при осуществлении деятельности, полностью или частично подпадающей под действие законодательства Сообщества.
15. Если указанная обработка данных проводится учреждениями или органами Сообщества при осуществлении деятельности, не подпадающей под действие настоящего Регламента, в частности, той, что указана в разделах V и VI Договора об учреждении Европейского Союза, защита основных прав и свобод человека должна обеспечиваться с учетом статьи 6 Договора об учреждении Европейского Союза. Доступ к документам, в том числе, условия доступа к документам, содержащим персональные данные, регулируются правилами, принятыми на основании статьи 255 Договора об учреждении ЕС, под действие которой подпадают разделы V и VI Договора об учреждении Европейского Союза.
16. Указанные меры не применяются к органам, учрежденным не в рамках Сообщества, кроме того, Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества не вправе осуществлять мониторинг обработки персональных данных указанными органами.
17. Эффективность защиты физических лиц при обработке персональных данных в Европейском Союзе предполагает согласованность соответствующих правил и процедур, применяемых к видам деятельности, относящимся к различным правовым контекстам. Развитие основных принципов защиты персональных данных в сфере правовой взаимопомощи по уголовным делам, в сфере полицейского и таможенного взаимодействия, а также учреждение секретариата для общих надзорных органов, учрежденных Конвенцией о Европоле, Конвенцией об использовании информационных технологий в таможенных целях и Шенгенской конвенцией, представляют собой первый шаг в этом направлении.
18. Настоящий Регламент не должен влиять на права и обязанности государств-членов ЕС, предусмотренные Директивами 95/46/ЕС и 97/66/ЕС. Он не предназначен для того, чтобы изменить существующие процедуры и сложившуюся практику, законно имплементированные государствами-членами ЕС в сфере национальной безопасности, предотвращения беспорядков или предотвращения, выявления, расследования преступлений, а также судопроизводства по ним в соответствии с Протоколом о привилегиях и иммунитетах Европейских сообществ и международным правом.
19. Учреждения и органы Сообщества должны уведомлять уполномоченные органы государств-членов ЕС, если придут к выводу о том, что коммуникации по их телекоммуникационным сетям должны быть приостановлены с соблюдением соответствующих национальных положений.
20. Положения, применяемые к учреждениям и органам Сообщества, должны соответствовать положениям, принятым в связи с гармонизацией национального законодательства или имплементацией иных направлений политики Сообщества, в частности, в сфере взаимодействия. Однако может возникнуть необходимость конкретизировать и дополнить указанные положения, в целях обеспечения защиты физических лиц при обработке персональных данных учреждениями и органами Сообщества.
21. Это касается также прав физических лиц, чьи данные обрабатываются, обязанностей учреждений и органов Сообщества, осуществляющих обработку, и полномочий, предоставляемых независимому надзорному органу, ответственному за обеспечение правильного применения настоящего Регламента.
22. Права, предоставленные владельцу персональных данных, и их осуществление не должны влиять на обязанности, возложенные на контролирующее лицо.
23. Независимый надзорный орган должен осуществлять свои надзорные функции в соответствии с Договором и с соблюдением основных прав и свобод человека. Он должен вести свои расследования в соответствии с Протоколом о привилегиях и иммунитетах и с Должностной инструкцией должностных лиц Европейских сообществ, а также с условиями, применимыми к иным служащим Сообществ.
24. Необходимые технические меры должны быть приняты для того, чтобы обеспечить доступ независимого надзорного органа к реестрам операций по обработке, проводимых Инспекторами по защите персональных данных.
25. Решения независимого надзорного органа относительно исключений, гарантий, авторизаций и условий, связанных с операциями по обработке данных, согласно определению, данному в настоящем Регламенте, должны публиковаться в отчете о его деятельности. Независимо от публикации ежегодного отчета о деятельности независимый надзорный орган вправе публиковать отчеты по отдельным вопросам.
26. Отдельные операции по обработке, которые могут представлять собой особый риск для прав и свобод владельцев данных, подлежат предварительной проверке независимым надзорным органом. Заключение, сделанное по результатам указанной предварительной проверки, в том числе, заключение, сделанное в результате непредставления ответа в установленный срок, не должно влиять на последующее осуществление независимым надзорным органом его полномочий в отношении рассматриваемой операции по обработке.
27. Обработка персональных данных в целях выполнения задач, осуществляемых учреждениями и органами Сообщества в публичных интересах, включает в себя обработку персональных данных, необходимую для функционирования указанных учреждений и органов и управлениями ими.
28. В отдельных случаях обработка персональных данных должна быть разрешена нормативными актами Сообщества или актами, преобразующими нормы Сообщества в национальное право. Тем не менее, во время переходного периода, когда указанные акты будут отсутствовать, до момента их принятия обработку указанных данных вправе разрешить Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества при условии, что приняты достаточные защитные меры. При этом ему следует учесть, в частности, положения, принятые государствами-членами ЕС для аналогичных случаев.
29. Указанные случаи касаются обработки данных, содержащих информацию о расовом или этническом происхождении, политических убеждениях, религиозных или философских взглядах, о членстве в профсоюзе, а также обработки данных, касающихся здоровья или половой жизни, необходимых для целей, соответствующих конкретным правам и обязанностям контролирующего лица в сфере трудового права, или по причине значительного публичного интереса. Они также касаются обработки данных, связанных с правонарушениями, уголовным осуждением или мерами безопасности, а также касаются разрешения на применение к субъекту персональных данных решения, которое будет иметь юридические последствия по отношению к нему или к ней или значительно повлияет на него или ее и которое основано исключительно на автоматической обработке данных, предназначенной для оценки определенных связанных с ним или с ней персональных аспектов.
30. Возможно, потребуется проводить мониторинг компьютерных сетей, эксплуатируемых под контролем учреждений и органов Сообщества, в целях предотвращения их несанкционированного использования. Уполномоченный по надзору за защитой персональных данных на территории Европейского сообщества должен определить, необходимо ли это, и при каких условиях это возможно.
31. Ответственность за нарушение любых положений настоящего Регламента устанавливается вторым параграфом статьи 288 Договора.
32. В каждом учреждении и органе Сообщества применение положений настоящего Регламента должно обеспечиваться одним или несколькими Инспекторами по защите персональных данных, которые должны докладывать о выполнении своих обязанностей контролирующим лицам.
33. Согласно статье 21 Регламента Совета ЕС 322/97 от 17 февраля 1997 г. о статистике в Европейском сообществе <*>, указанный Регламент должен применяться без ущерба действию Директивы 95/46/ЕС.

---

<*> ОЖ № L 52, 22.2.1997, стр. 1.

34. Согласно статье 8 (8) Регламента (ЕС) Совета ЕС 2533/98 от 23 ноября 1998 г. о сборе статистической информации Европейским Центральным банком <*>, указанный Регламент должен применяться без ущерба действию Директивы 95/46/ЕС.

---

<*> ОЖ № L 318, 27.11.1998, стр. 8.

35. Согласно статье 1 (2) Регламента Совета ЕС (Евратом, ЕЭС) 1588/90 от 11 июня 1990 г. о передаче данных, подлежащих статистической конфиденциальности, в Статистическое бюро Европейских сообществ <*>, указанный Регламент не умаляет специальных положений Сообщества или национального законодательства о защите конфиденциальной информации, за исключением статистической конфиденциальности.

---

<*> ОЖ № L 151, 15.6.1990, стр. 1. Регламент в редакции Регламента (ЕС) 322/97 (ОЖ № L 52, 22.2.1997, стр. 1).

36. В соответствии со статьей 249 Договора, настоящий Регламент не ставит своей целью ограничение свободы государств-членов ЕС в разработке собственного национального законодательства о защите персональных данных согласно статье 32 Директивы 95/46/ЕС,

приняли настоящий Регламент: