Обязанности оператора и лица, действующего по его поручению

Ответственность оператора

Оператор применяет соответствующие технические и организационные меры, чтобы гарантировать и быть в состоянии доказать, что обработка соответствует закону, с учетом характера, специфики и целей обработки и рисков для людей. Меры при необходимости пересматриваются и обновляются ст. 24 ч. (1). Если это соразмерно обработке, они включают соответствующую политику защиты данных ст. 24 ч. (2).

Защита данных закладывается уже при определении средств обработки, а не только впоследствии ст. 25 ч. (1). По умолчанию обрабатываются только данные, необходимые для каждой цели, и они не становятся доступными неограниченному кругу лиц без вмешательства самого человека ст. 25 ч. (2).

Ассоциированные операторы и представители

Если два или более оператора совместно определяют цели и средства обработки, они являются ассоциированными операторами и распределяют ответственность соглашением ст. 26 ч. (1), суть которого доводится до сведения субъекта персональных данных ст. 26 ч. (2). Независимо от условий соглашения субъект может осуществлять свои права в отношении каждого из них ст. 26 ч. (3).

Операторы и лица, действующие по поручению оператора, которые не имеют места нахождения в Республике Молдова, но предлагают товары или услуги людям в стране или отслеживают их поведение ст. 3 ч. (2), назначают в письменной форме представителя с местом нахождения в стране ст. 27 ч. (1). Закон предусматривает исключения, например для тех, кто имеет место нахождения в государстве — члене Европейского экономического пространства ст. 27 ч. (2).

Лицо, действующее по поручению оператора

Оператор привлекает только лиц, действующих по поручению оператора, которые дают достаточные гарантии соответствия обработки закону ст. 28 ч. (1). Отношения регулируются обязательным договором или иным правовым актом, минимальное содержание которого установлено законом ст. 28 ч. (3); он оформляется в письменной форме, в том числе в электронной ст. 28 ч. (8). Лицо, действующее по поручению оператора, не привлекает другое такое лицо без письменного разрешения оператора ст. 28 ч. (2) и остается в полной мере ответственным перед оператором, если второе лицо не выполняет свои обязанности ст. 28 ч. (4).

Лицо, действующее по поручению оператора, и любой, кто имеет доступ к данным под руководством оператора, обрабатывают их только по инструкциям оператора, кроме случаев, когда обработку предписывают нормативные акты ст. 29. Если такое лицо нарушает закон, самостоятельно определяя цели и средства обработки, оно признается оператором в отношении этой обработки ст. 28 ч. (9).

Учет деятельности по обработке

Каждый оператор ведет учет деятельности по обработке, осуществляемой под его ответственностью ст. 30 ч. (1), а каждое лицо, действующее по поручению оператора, — учет категорий действий, выполняемых от имени операторов ст. 30 ч. (2). Учет ведется в письменной форме, в том числе в электронной ст. 30 ч. (3), и предоставляется Национальному центру по защите персональных данных по его требованию ст. 30 ч. (4).

Предприятия и организации, в которых работают менее 250 работников, от этой обязанности освобождены, кроме случаев, когда обработка может создать риск для прав и свобод субъектов персональных данных, не является случайной или включает особые категории данных либо данные об уголовных приговорах и преступлениях ст. 30 ч. (5). Таким образом, освобождение условное, а не автоматическое. По нашей оценке, оно применяется редко: на практике в большинстве компаний выполняется хотя бы одно из этих условий. Учет заменяет регистрацию оператора в Центре, которой после утраты силы Законом № 133/2011 больше нет; подробнее — в теме переход с Закона № 133/2011.

Сотрудничество с Центром

Оператор, лицо, действующее по его поручению, и при необходимости их представители по запросу сотрудничают с Центром при выполнении им своих задач ст. 31.

Кодексы поведения и сертификация

Объединения, представляющие категории операторов, могут разрабатывать кодексы поведения ст. 40 ч. (2), которые утверждает Центр ст. 40 ч. (5) и соблюдение которых может контролировать аккредитованный орган ст. 41 ч. (1). Сертификация добровольна ст. 42 ч. (3), предоставляется на срок не более трех лет ст. 42 ч. (7) и не снижает ответственность оператора за соблюдение закона ст. 42 ч. (4). Органы по сертификации аккредитует Национальный центр аккредитации ст. 43 ч. (2). Присоединение к утвержденному кодексу или механизму сертификации может служить элементом, подтверждающим исполнение обязанностей ст. 24 ч. (3).