Статья 31. Документирование сведений об обработке данных

Статья 31
Документирование сведений об обработке данных

1. Каждый контролер должен вести документацию о деятельности, связанной с обработкой данных и подконтрольной ему. Указанные документы должны содержать всю следующую информацию:

(a) имя/наименование и контактные данные контролера, инспектора по защите данных и, если это применимо, лица, обрабатывающего данные, и контролера, осуществляющего обработку совместно с ним;

(b) цели обработки;

(c) описание категорий субъектов данных и категорий персональных данных;

(d) категории получателей, которым были или будут раскрыты персональные данные, включая получателей в третьих странах или международные организации;

(e) если это применимо, передачи персональных данных третьей стране или международной организации, включая идентификационные данные указанной третьей страны или международной организации, и документальное подтверждение надлежащих мер защиты;

(f) по возможности предполагаемые сроки для уничтожения различных категорий данных;

(g) по возможности общее описание технических и организационных мер безопасности, указанных в Статье 33.

2. Каждое лицо, обрабатывающее данные, должно документировать сведения обо всех категориях обработки данных, осуществляемой от имени контролера, включая:

(a) имя/наименование и контактные данные лица или лиц, обрабатывающих данные, и каждого контролера, от имени которого действует лицо, обрабатывающее данные, а также инспектора по защите персональных данных;

(b) категории обработки, осуществляемой от имени каждого контролера;

(c) если это применимо, передачи персональных данных третьей стране или международной организации, включая идентификационные данные указанной третьей страны или международной организации, и документальное подтверждение надлежащих мер защиты;

(d) по возможности общее описание технических и организационных мер безопасности, указанных в Статье 33.

3. Сведения, указанные в параграфах 1 и 2, должны сохраняться в письменном виде, включая электронную форму.

4. Учреждения и органы Союза должны предоставлять сведения в распоряжение Европейского инспектора по защите данных по его требованию.

5. Кроме случаев, когда нецелесообразно принимать во внимание размер учреждений и органов Союза, учреждения и органы Союза должны хранить свою документацию о деятельности по обработке в центральном реестре. Реестр должен быть общедоступным.