Статья 28. Лицо, действующее по поручению оператора¶

Если обработка должна осуществляться от имени оператора, оператор привлекает к работе исключительно лиц, действующих по поручению оператора, которые предоставляют достаточные гарантии применения соответствующих технических и организационных мер таким образом, чтобы обработка соответствовала требованиям, предусмотренным настоящим законом, и обеспечивала защиту прав субъекта персональных данных.

Лицо, действующее по поручению оператора, не должно привлекать к работе другое лицо, действующее по поручению оператора, без предварительного получения письменного специального или общего разрешения. В случае общего письменного разрешения лицо, действующее по поручению оператора, информирует оператора о любых запланированных изменениях, касающихся привлечения или замены других лиц, действующих по поручению оператора, тем самым предоставляя оператору возможность высказать замечания в связи с этими изменениями.

Обработка, осуществляемая лицом, действующим по поручению оператора, регулируется в соответствии с законодательством Республики Молдова договором или иным правовым актом, который имеет обязательную силу для лица, действующего по поручению оператора, относительно оператора и который определяет предмет и продолжительность, характер и цель обработки, вид персональных данных и категории субъектов персональных данных, а также обязанности и права оператора. Такой договор или юридический акт предусматривает, что лицо, действующее по поручению оператора:

1. ¶ a) обрабатывает персональные данные исключительно на основании документально оформленных инструкций оператора, включая инструкции о передаче персональных данных, которая осуществляется в соответствии с главой V, за исключением случаев, когда лицо, действующее по поручению оператора, обязано обрабатывать данные в соответствии с нормативными актами. В этом случае лицо, действующее по поручению оператора, должно проинформировать оператора об этой законной обязанности до начала обработки, только если нормативными актами такое информирование не запрещено исходя из важных причин, представляющих общественный интерес;
2. ¶ b) гарантирует, что получившие разрешение на обработку персональных данных лица обязались соблюдать конфиденциальность или соответствующая обязанность по конфиденциальности на них возложена законом;
3. ¶ c) принимает все необходимые меры в соответствии со статьей 32;
4. ¶ d) выполняет указанные в частях (2) и (4) условия привлечения к работе иного лица, действующего по поручению оператора;
5. ¶ e) с учетом характера обработки по мере возможности оказывает помощь оператору путем принятия соответствующих технических и организационных мер для исполнения обязанности оператора отвечать на заявления об осуществлении субъектом персональных данных прав, предусмотренных главой III;
6. ¶ f) оказывает помощь оператору в обеспечении исполнения обязанностей, предусмотренных статьями 32–36, с учетом характера обработки и информации, находящейся в распоряжении лица, уполномоченного оператором;
7. ¶ g) по выбору оператора удаляет или возвращает ему все персональные данные после прекращения предоставления услуг по обработке и удаляет существующие копии, только если нормативные акты не требуют хранения персональных данных;
8. ¶ h) предоставляет оператору всю необходимую информацию для доказательства соблюдения обязанностей, предусмотренных настоящей статьей, разрешает проводить аудиторские проверки, в том числе проверки, осуществляемые другим оператором или уполномоченным аудитором, и оказывает им содействие. Лицо, действующее по поручению оператора, без необоснованных задержек информирует оператора, если, по его мнению, какая-либо инструкция нарушает закон о защите персональных данных.

Если лицо, действующее по поручению оператора, привлекает к работе другое лицо, действующее по поручению оператора, для осуществления конкретной деятельности по обработке от имени оператора, такие же обязанности по защите данных, предусмотренные в договоре или ином правовом акте, заключенном между оператором и лицом, действующим по поручению оператора, в порядке, предусмотренном частью (3), возлагаются на второе лицо, действующее по поручению оператора, по договору или иному правовому акту на основании законодательства Республики Молдова, в частности, по предоставлению достаточных гарантий применения соответствующих технических и организационных мер, с тем чтобы обработка отвечала требованиям настоящего закона. В случае неисполнения вторым лицом, действующим по поручению оператора, своих обязанностей по защите данных лицо, изначально действующее по поручению оператора, несет полную ответственность перед оператором за исполнение обязанностей вторым лицом, действующим по поручению оператора.

В качестве элемента, доказывающего наличие достаточных гарантий, указанных в частях (1) и (4) настоящей статьи, может использоваться присоединение лица, действующего по поручению оператора, к кодексу поведения, утвержденному в соответствии со статьей 40, или к механизму сертификации, утвержденному в соответствии со статьей 42.

Без ущерба для индивидуального договора, заключенного между оператором и лицом, действующим по поручению оператора, договор или иной правовой акт, указанный в частях (3) и (4), может полностью или частично основываться на стандартных условиях договора, указанных в части (7), в том числе тогда, когда они являются частью сертификации, предоставленной оператору или лицу, действующему по поручению оператора, в соответствии со статьями 42 и 43.

Центр утверждает стандартные условия договора в отношении аспектов, указанных в частях (3) и (4).

Договор или иной правовой акт, указанный в частях (3) и (4), оформляется как в письменной, так и в электронной форме.

Без ущерба для положений статей 76 и 86–88 в случае нарушения настоящего закона лицом, действующим по поручению оператора, путем определения целей и средств обработки лицо, действующее по поручению оператора, признается оператором в отношении этой обработки.