Статья 30. Учет деятельности по обработке

(1) Оператор, а в необходимых случаях и его представитель ведут учет деятельности по обработке, осуществляемой под их руководством. Такие учетные записи содержат следующую информацию:

1. a) имя и контактные данные оператора и при необходимости ассоциированного оператора, представителя оператора и лица, ответственного за защиту данных;
2. b) цели обработки;
3. c) описание категорий субъектов персональных данных и категорий персональных данных;
4. d) категории получателей, которым были или будут раскрыты персональные данные, в том числе получателей в иностранных государствах или международных организациях;
5. e) при необходимости – передача персональных данных иностранному государству или международной организации, в том числе указание этого государства или этой международной организации, а в случае передачи, указанной в части (2) статьи 49, – документация, доказывающая наличие надлежащих гарантий;
6. f) в зависимости от возможностей – запланированные предельные сроки удаления разных категорий данных;
7. g) в зависимости от возможностей – общее описание технических и организационных мер безопасности, указанных в части (1) статьи 32.

(2) Лицо, действующее по поручению оператора, а в необходимых случаях и представитель лица, действующего по поручению оператора, должны хранить учетные записи всех категорий действий по обработке, выполненных от имени оператора, которые содержат:

1. a) имя и контактные данные лица или лиц, действующих по поручению оператора, и оператора, от имени которого действуют эти лица, а в необходимых случаях – представителя оператора или представителя лица, действующего по поручению оператора;
2. b) категории видов деятельности по обработке, выполненных от имени оператора;
3. c) при необходимости – передача персональных данных иностранному государству или международной организации, в том числе указание этого государства или этой международной организации, а в случае передачи, указанной в части (2) статьи 49, – документация, доказывающая наличие надлежащих гарантий;
4. d) в зависимости от возможностей – общее описание технических и организационных мер безопасности, указанных в части (1) статьи 32.

(3) Учетные записи, указанные в частях (1) и (2), ведутся как в письменной, так и в электронной форме.

(4) Оператор или лицо, действующее по поручению оператора, а в необходимых случаях и представитель оператора или лица, действующего по поручению оператора, передают учетные записи в распоряжение Центра по его требованию.

(5) Обязанности, указанные в частях (1) и (2), не распространяются на предприятие или организацию, в которых работают менее 250 работников, за исключением случая, когда осуществляемая ими обработка может привести к возникновению риска для прав и свобод субъектов персональных данных, когда обработка не является случайной либо включает предусмотренные частью (1) статьи 9 особые категории персональных данных или предусмотренные статьей 10 персональные данные, касающиеся уголовных приговоров и преступлений.