Статья 32 — Безопасность обработки

¶ (1)

Учитывая современный уровень технического развития, затраты на реализацию и характер, область применения, специфику и цели обработки, а также риски разной степени вероятности и тяжести для прав и свобод физических лиц, оператор и лицо, действующее по поручению оператора, принимают соответствующие технические и организационные меры в целях обеспечения соразмерного с этими рисками уровня безопасности, которые включают, помимо прочего, в зависимости от обстоятельств:

¶ a) псевдонимизацию и шифрование персональных данных;
¶ b) способность обеспечивать конфиденциальность, целостность, доступность и устойчивость систем и услуг по обработке;
¶ c) возможность своевременного восстановления персональных данных и доступа к ним в случае возникновения инцидента физического или технического характера;
¶ d) процедуру регулярного тестирования, оценки и определения эффективности технических и организационных мер по гарантированию безопасности обработки.

¶ (2)

При оценке достаточности уровня безопасности особо учитываются связанные с обработкой риски, вызванные, в частности, случайным или незаконным уничтожением, утратой, изменением, несанкционированным раскрытием персональных данных, передаваемых, хранящихся или обрабатываемых иным способом, либо несанкционированным доступом к ним.

¶ (3)

Соблюдение кодекса поведения, утвержденного в соответствии со статьей 40, или механизма сертификации, утвержденного в соответствии со статьей 42, может использоваться в качестве аргумента, доказывающего выполнение требований, предусмотренных частью (1).

¶ (4)

Оператор и лицо, действующее по поручению оператора, принимают меры для обеспечения того, чтобы физическое лицо, действующее с санкции оператора или лица, действующего по поручению оператора, и имеющее доступ к персональным данным, обрабатывали их только на основании инструкций оператора, за исключением случая, когда к обработке персональных данных обязывают нормативные акты.