Статья 35. Оценка воздействия на защиту персональных данных¶

Принимая во внимание характер, область применения, специфику и цели обработки, когда вероятность того, что определенный вид обработки, основанный, в частности, на использовании новых технологий, влечет высокий риск для прав и свобод физических лиц, оператор до начала обработки проводит оценку воздействия запланированных операций по обработке на защиту персональных данных. В отношении совокупности аналогичных операций по обработке, представляющих одинаково высокий по уровню риск, может проводиться отдельная оценка.

При проведении оценки воздействия на защиту персональных данных оператор запрашивает заключение лица, ответственного за защиту данных, если таковое было назначено.

Указанная в части (1) оценка воздействия на защиту данных требуется, в частности, в случае:

1. ¶ a) систематической и всесторонней оценки личностных аспектов, касающихся физических лиц, которая основывается на автоматической обработке, включая профайлинг, и лежит в основе решений, создающих юридические последствия для физического лица или аналогичным образом воздействующих на него в значительной степени;
2. ¶ b) широкомасштабной обработки особых категорий данных, предусмотренных частью (1) статьи 9, или персональных данных, касающихся уголовных наказаний или преступлений, предусмотренных статьей 10;
3. ¶ c) систематического широкомасштабного мониторинга открытой для общего доступа области.

Центр утверждает перечень видов операций по обработке, на которые распространяется требование о проведении оценки воздействия на защиту данных в соответствии с частью (1).

Центр может утверждать перечень видов операций по обработке, для которых не требуется оценка воздействия на защиту персональных данных.

Перечни, утвержденные в соответствии с частями (4) и (5), публикуются в Официальном мониторе Республики Молдова и на официальной веб-странице Центра.

Оценка по меньшей мере содержит:

1. ¶ a) систематизированное описание запланированных операций по обработке и целей обработки, включая в зависимости от обстоятельств преследуемый оператором законный интерес;
2. ¶ b) оценку необходимости и пропорциональности операций по обработке, связанных с этими целями;
3. ¶ c) оценку рисков для прав и свобод указанных в части (1) субъектов персональных данных; и
4. ¶ d) меры, запланированные для рассмотрения рисков, включая гарантии, меры безопасности и механизмы, призванные обеспечить защиту персональных данных и доказать выполнение положений настоящего закона с учетом прав и законных интересов субъектов персональных данных и иных заинтересованных лиц.

При оценке воздействия операций по обработке, выполняемых оператором или лицами, действующими по поручению оператора, в частности в целях оценки воздействия на защиту персональных данных, должным образом должно учитываться соблюдение оператором или лицами, действующими по поручению оператора, кодексов поведения в случае их утверждения в соответствии со статьей 40.

Оператор запрашивает в случае необходимости мнение субъектов персональных данных или их представителей о запланированной обработке без ущерба для защиты коммерческих или общественных интересов либо для безопасности операций по обработке.

В случае обработки в соответствии с пунктами с) или е) части (1) статьи 6 положения частей (1)–(7) настоящей статьи не применяются, если оценка воздействия на защиту данных уже была проведена в рамках общей оценки воздействия в контексте принятия нормативных актов, которые предусматривают правовые основания для обработки, за исключением случая, когда нормативные акты предусматривают необходимость проведения оценки воздействия на защиту персональных данных до выполнения операций по обработке.

В случае необходимости оператор проводит анализ для того, чтобы оценить, выполняется ли обработка в соответствии с оценкой воздействия на защиту персональных данных по меньшей мере в случае изменения риска, который представляют операции по обработке.