Статья 91. Безопасность обработки оперативных персональных данных

Статья 91
Безопасность обработки оперативных персональных данных

1. Принимая во внимание последние достижения науки и техники, затраты на реализацию, характер, масштаб, контекст и цели обработки, а также варьирующуюся вероятность возникновения и серьезность рисков для прав и свобод физических лиц, контролер и лицо, обрабатывающее данные, должны принять надлежащие технические и организационные меры в целях обеспечения уровня безопасности, пропорционального рискам, в частности, в отношении обработки особых категорий оперативных персональных данных.

2. В отношении автоматизированной обработки контролер и лицо, обрабатывающее данные, должны после оценки рисков принять меры, направленные на:

(a) запрещение доступа неавторизованных лиц к оборудованию, используемому для обработки данных ("контроль доступа к оборудованию");

(b) предотвращение неавторизованного чтения, копирования, модификации или удаления носителей данных ("контроль за носителями данных");

(c) предотвращение неавторизованного ввода оперативных персональных данных, а также неавторизованных инспекций, модификаций или удаления оперативных персональных данных, подлежащих хранению ("контроль за хранением");

(d) предотвращение использования автоматизированных систем обработки неавторизованными лицами посредством использования оборудования для передачи данных ("контроль за пользователями");

(e) обеспечение того, чтобы лица, авторизованные использовать автоматизированные системы по обработке, имели доступ только к оперативным персональным данным, предусмотренным в их авторизации доступа ("контроль доступа к данным");

(f) обеспечение возможности проверки и установления органов, которым оперативные персональные данные были переданы или могут быть переданы, или которые могут получить доступ к данным посредством передачи ("контроль за передачей данных");

(g) обеспечение возможности последующей проверки и установления того, какие оперативные персональные данные были введены в автоматизированные системы по обработке данных, а также когда и кем оперативные персональные данные были введены ("контроль ввода");

(h) предотвращение неавторизованного чтения, копирования, модификации или удаления оперативных персональных данных во время передачи оперативных персональных данных или во время транспортировки носителей данных ("контроль за транспортировкой");

(i) обеспечение восстановления установленных систем в случае вмешательства ("восстановление");

(j) обеспечение того, чтобы выполнялись функции системы, чтобы существовала функция сообщений об ошибках ("надежность") и чтобы оперативные персональные данные, подлежащие хранению, не могли искажаться при неисправности системы ("целостность").