Статья 33. Безопасность обработки

Статья 33
Безопасность обработки

1. Принимая во внимание последние достижения науки и техники, затраты на реализацию, характер, масштаб, контекст и цели обработки, а также варьирующуюся вероятность возникновения и серьезность рисков для прав и свобод физических лиц, контролер и лицо, обрабатывающее данные, должны принять надлежащие технические и организационные меры в целях обеспечения пропорционального риску уровня безопасности, включая inter alia в зависимости от обстоятельств:

(a) псевдонимизацию и криптографическую защиту персональных данных;

(b) способность обеспечивать постоянную конфиденциальность, целостность, доступность и гибкость систем и услуг, связанных с обработкой;

(c) способность своевременно восстанавливать доступность и доступ к персональным данным в случае возникновения инцидента физического или технического свойства;

(d) процедуру регулярной проверки и оценки эффективности технических и организационных мер для обеспечения безопасности обработки.

2. При оценке соответствующего уровня безопасности необходимо учитывать риски, связанные с процессом обработки, в частности, со случайным или незаконным уничтожением, потерей, изменением, неавторизованным раскрытием или доступом к персональным данным, которые передаются, хранятся или иным образом обрабатываются.

3. Контролер и лицо, обрабатывающее данные, должны принять меры для обеспечения того, чтобы какое-либо физическое лицо, действующее по поручению контролера или лица, обрабатывающего данные, и имеющее доступ к персональным данным, не должно обрабатывать указанные данные, кроме как по распоряжению контролера, за исключением случаев, когда это требуется от него или от нее в соответствии с законодательством Союза.

4. Следование одобренному сертификационному механизму, как указано в Статье 42 Регламента 2016/679, может использоваться в качестве элемента для демонстрации соблюдения требований, установленных в параграфе 1 настоящей Статьи.