Статья 32. Безопасность обработки

Статья 32
Безопасность обработки

1. Принимая во внимание состояние развития науки и техники, расходы на имплементацию, характер, объем, особенности и цели обработки, а также вероятностное возникновение рисков и опасности для прав и свобод физических лиц, контролер и обрабатывающее данные лицо должны имплементировать соответствующие технические и организационные меры, чтобы гарантировать соразмерный риску уровень безопасности, включая inter alia следующее:

(a) псевдонимизацию и криптографическую защиту персональных данных;

(b) способность гарантировать постоянную конфиденциальность, целостность, доступность и устойчивость систем и услуг, связанных с обработкой;

(c) способность своевременно восстанавливать доступность и доступ к персональным данным в случае возникновения инцидента физического или технического свойства;

(d) процедуру регулярной проверки и оценки эффективности технических и организационных мер для обеспечения безопасности обработки.

2. При оценке соответствующего уровня безопасности необходимо учесть риски, связанные с процессом обработки, в частности со случайным или незаконным уничтожением, потерей, изменением, несанкционированным распространением или доступом к персональным данным, которые передаются, хранятся или иным образом обрабатываются.

3. Следование утвержденным нормам поведения согласно Статье 40 или утвержденному сертификационному механизму согласно Статье 42 может быть использовано в качестве элемента для подтверждения соблюдения требований, указанных в параграфе 1 настоящей Статьи.

4. Контролер и обрабатывающее данные лицо должно принять меры для того, чтобы гарантировать, что любое физическое лицо, действующее от имени контролера или обрабатывающего данные лица и имеющее доступ к персональным данным, должно обрабатывать указанные данные только по распоряжению контролера, за исключением случаев, предусмотренных законодательством Союза или государства-члена ЕС.