Законодательство ОАЭ · Цифровая экономика и данные
Закон о защите персональных данных — ФДЗ ОАЭ № 45/2021 (PDPL)
Полный перевод федерального закона ОАЭ о персональных данных: сфера действия и исключения, основания обработки без согласия, условия согласия, обязанности контролёра и обработчика, специалист по защите данных, уведомление о нарушениях, права субъекта данных, трансграничная передача, жалобы и санкции. К ключевым статьям даны комментарии BCA.
Действует · в силе с 02.01.2022Карточка
| Официальное название | Federal Decree by Law No. (45) of 2021 Concerning the Protection of Personal Data |
|---|---|
| По-русски | Федеральный декрет-закон ОАЭ № 45 от 2021 года «О защите персональных данных» |
| Издан | 20.09.2021 |
| В силе с | 02.01.2022 |
| Редакция | первоначальная |
| Статей | 31 |
| Публикация | Официальный вестник № 712 (приложение) от от 26.09.2021 |
| Первоисточник | uaelegislation.gov.ae |
Коротко
Декрет-закон применяется к обработке персональных данных субъектов в Государстве и к контролёрам и обработчикам в Государстве или за его пределами, обрабатывающим данные субъектов в Государстве; исключены, в частности, государственные данные, данные о здоровье и банковские данные со специальным регулированием и свободные зоны со своим законодательством о защите данных (статья 2). Основания обработки без согласия и условия согласия — статьи 4–6.
Обязанности контролёра и обработчика, уведомление о нарушении и специалист по защите данных — статьи 7–12; права субъекта данных — статьи 13–19; безопасность и оценка воздействия — статьи 20–21; трансграничная передача — статьи 22–23; жалобы, обжалование и санкции — статьи 24–26.
Ключевые даты
| Дата | Событие |
|---|---|
| 20.09.2021 | Издан Федеральный декрет-закон № 45 от 2021 года |
| 02.01.2022 | Вступил в силу Федеральный декрет-закон № 45 от 2021 года |
Комментарий BCA
Как цитировать
Закон о защите персональных данных — ФДЗ ОАЭ № 45/2021 (PDPL), неофиц. пер. BCA Group. URL: https://www.bcaun.com/uae-law/fdl-45-2021/Федеральный декрет-закон ОАЭ № 45 от 20.09.2021 «О защите персональных данных» : неофициальный перевод / BCA Group ; редактор перевода А. М. Баранов. — Текст : электронный // BCA Group : [сайт]. — URL: https://www.bcaun.com/uae-law/fdl-45-2021/ (дата обращения: 08.10.2026).Ссылку на отдельную статью копирует кнопка # рядом с ней.
При цитировании перевода или комментария ссылка на источник обязательна (§§ 51, 63 UrhG — Закон Германии об авторском праве; ст. 1274 ГК РФ): BCA Group с активной ссылкой на страницу.
Полный перевод
Мы, Халифа бин Заид Аль Нахайян, Президент Объединённых Арабских Эмиратов,
рассмотрев Конституцию,
— Федеральный закон № 1 от 1972 года «О компетенции министерств и полномочиях министров» с изменениями;
— Федеральный декрет-закон № 3 от 2003 года «О регулировании телекоммуникационного сектора» с изменениями;
— Федеральный закон № 6 от 2010 года «О кредитной информации» с изменениями;
— Федеральный закон № 14 от 2016 года «Об административных нарушениях и санкциях в федеральном правительстве»;
— Федеральный закон № 2 от 2019 года «Об использовании информационно-коммуникационных технологий в сфере здравоохранения»;
— Федеральный декрет-закон № 14 от 2018 года «О Центральном банке и регулировании финансовых учреждений и деятельности» с изменениями;
— Федеральный декрет-закон № 44 от 2021 года «Об учреждении Бюро данных ОАЭ»;
по предложению Министра по делам Совета министров и с одобрения Совета министров,
издали следующий Декрет-закон:
Определения
Для целей применения положений настоящего Декрета-закона следующие слова и выражения имеют значения, указанные напротив каждого из них, если контекст не требует иного:
Государство (State): Объединённые Арабские Эмираты.
Бюро данных (Office): Бюро данных ОАЭ, учреждённое вышеупомянутым Федеральным декретом-законом № 44 от 2021 года.
Данные (Data): упорядоченная или неупорядоченная совокупность данных, фактов, понятий, инструкций, наблюдений или измерений в виде цифр, букв, слов, символов, изображений, видеозаписей, знаков, звуков, карт или в любой иной форме, которые интерпретируются, передаются или обрабатываются физическими лицами или компьютерами. Понятие включает информацию, где бы она ни упоминалась в настоящем Декрете-законе.
Персональные данные (Personal Data): любые данные, относящиеся к определённому физическому лицу, либо к физическому лицу, которое может быть идентифицировано прямо или косвенно путём сопоставления данных с использованием таких идентифицирующих элементов, как его имя, голос, изображение, идентификационный номер, электронный идентификатор, географическое местоположение, либо по одному или нескольким физическим, физиологическим, экономическим, культурным или социальным признакам. Понятие включает Чувствительные персональные данные и Биометрические данные.
Чувствительные персональные данные (Sensitive Personal Data): любые данные, которые прямо или косвенно раскрывают семью физического лица, его этническое происхождение, политические или философские взгляды, религиозные убеждения, судимость, биометрические данные, либо любые данные, касающиеся здоровья такого лица и его физического, психологического, психического, генетического или сексуального состояния, включая информацию, связанную с оказанием ему медицинских услуг, которая раскрывает состояние его здоровья.
Биометрические данные (Biometric Data): Персональные данные, полученные в результате обработки с использованием определённой технологии, относящиеся к физическим, физиологическим или поведенческим характеристикам Субъекта данных и позволяющие идентифицировать Субъекта данных или подтвердить его уникальную идентификацию, например изображения лица или отпечатки пальцев.
Субъект данных (Data Subject): физическое лицо, к которому относятся Персональные данные.
Организация (Establishment): любая индивидуальная компания или организация, находящаяся на территории Государства или за его пределами, включая компании, полностью принадлежащие федеральному или местному правительству либо в которых они являются участниками (акционерами).
Контролёр (Controller): организация или физическое лицо, располагающие Персональными данными и в силу своей деятельности определяющие самостоятельно или совместно с другими лицами или организациями способ и критерии обработки таких Персональных данных, а также цель их обработки.
Обработчик (Processor): организация или физическое лицо, осуществляющие обработку Персональных данных от имени Контролёра, под его надзором и в соответствии с его указаниями.
Специалист по защите данных (Data Protection Officer): любое физическое или юридическое лицо, назначенное Контролёром или Обработчиком, которое выполняет задачи по проверке степени соблюдения организацией, к которой оно относится, мер контроля, требований, процедур и правил обработки и защиты Персональных данных, предусмотренных настоящим Декретом-законом. Оно также обеспечивает надёжность систем и процедур в целях соблюдения положений настоящего Декрета-закона.
Обработка (Processing): любая операция или совокупность операций, совершаемых с Персональными данными с использованием любых электронных средств, включая средства обработки, а также иных средств. Обработка включает сбор, хранение, запись, систематизацию, адаптацию, изменение, распространение, преобразование, извлечение, обмен, совместное использование, использование, описание (характеризацию), раскрытие Персональных данных путём их трансляции, передачи, распространения, предоставления доступа к ним, их согласования, объединения, ограничения, блокирования, удаления или уничтожения либо создания их моделей.
Автоматизированная обработка (Automated Processing): Обработка, осуществляемая с использованием электронной программы или системы, функционирующей в автоматизированном и автоматическом режиме полностью самостоятельно без какого-либо участия человека либо частично при ограниченном надзоре и участии человека.
Безопасность персональных данных (Personal Data Security): совокупность технических и организационных мер, процедур и процессов, определённых в соответствии с положениями настоящего Декрета-закона, которые обеспечивают защиту неприкосновенности частной жизни, конфиденциальности, целостности и доступности Персональных данных.
Псевдонимизация (Pseudonymisation): Обработка Персональных данных, осуществляемая таким образом, что после её завершения становится невозможным соотнести и отнести такие данные к Субъекту данных без использования дополнительной информации, при условии что такая дополнительная информация хранится отдельно и надёжно. В соответствии с техническими и организационными мерами и процедурами, определёнными положениями настоящего Декрета-закона, она должна обеспечивать, чтобы Персональные данные не были связаны с определённым физическим лицом и чтобы его нельзя было идентифицировать с их помощью.
Анонимизация (Anonymization): Обработка Персональных данных, осуществляемая таким образом, который приводит к анонимности Субъекта данных, невозможности связать и отнести к нему такие данные и невозможности идентифицировать его каким бы то ни было способом.
Нарушение безопасности данных (Data Breach): нарушение информационной безопасности и защиты Персональных данных путём незаконного или несанкционированного доступа, включая копирование, отправку, распространение, обмен, передачу, обращение или обработку таких данных способом, который приводит к их раскрытию третьим лицам, а также их уничтожение или изменение при хранении, передаче и обработке.
Профилирование (Profiling): форма автоматизированной обработки, предполагающая использование Персональных данных для оценки определённых личностных аспектов Субъекта данных, включая анализ или прогнозирование аспектов, связанных с его финансовыми показателями или финансовым положением, здоровьем, личными предпочтениями, интересами, поведением, местонахождением, перемещениями или надёжностью.
Трансграничная обработка (Cross-Border Processing): распространение, использование, демонстрация, передача, получение, извлечение, совместное использование или обработка Персональных данных за пределами Государства.
Согласие (Consent): согласие, посредством которого Субъект данных уполномочивает третье лицо обрабатывать его Персональные данные, при условии что такое согласие конкретным, ясным и недвусмысленным образом выражает принятие им обработки его Персональных данных посредством ясного утвердительного заявления или действия.
Оригинал
Article 1 – Definitions
In application of the provisions of this Decree by Law, the following words and phrases shall have the meanings assigned to each of them, unless the context otherwise requires:
State: The United Arab Emirates
Office: The UAE Data Bureau established under the aforementioned Federal Decree by Law No. (44) of 2021
Data: An organized or unorganized set of data, facts, concepts, instructions, observations or measurements in the form of numbers, letters, words, symbols, images, videos, signs, sounds, maps or any other form. It is interpreted, exchanged or processed by individuals or computers. It includes information wherever it appears herein.
Personal Data: Any data related to a specific natural person or related to a natural person that can be identified directly or indirectly by linking the data, through the use of identification elements such as his/her name, voice, image, identification number, his/her electronic identifier, his/her geographical location, or by one or more physical, physiological, economic, cultural or social characteristics. It includes Sensitive Personal Data and Biometric Data
Sensitive Personal Data: Any data which directly or indirectly reveals a natural person's family, ethnic origin, political or philosophical opinions, religious beliefs, criminal record, biometric data, or any data relating to such person's health and physical, psychological, mental, genetic or sexual condition, including information related to the provision of healthcare services to him/her which reveals his/her health status
Biometric Data: Personal Data resulting from processing using a specific technology related to the physical, physiological or behavioral characteristics of the Data Subject, which allows the identification or confirmation of the unique identification of the Data Subject, such as facial images or fingerprints
Data Subject: A Natural Person who is the subject of Personal Data
Establishment: Any individual company or establishment located inside or outside the State, including companies wholly owned by the federal or the local government, or in which they are shareholders
Controller: An establishment or natural person that has Personal Data, and by virtue of its activity, determines whether individually or jointly with other persons or establishments, the method and criteria for processing such Personal Data and the purpose of processing it
Processor: An establishment or Natural Person that processes Personal Data on behalf of the Controller. It processes it under their supervision and in accordance with their instructions
Data Protection Officer: Any Natural or Legal Person appointed by the Controller or Processor, that undertakes the tasks of ascertaining the extent to which the entity to which it belongs complies with the controls, requirements, procedures and rules for processing Personal Data Protection stipulated herein. It also ensures the integrity of systems and procedures in order to achieve compliance with provisions of the Decree by Law
Processing: Any operation or set of operations performed on Personal Data using any electronic means, including processing and other means. This processing includes collecting, storing, recording, organizing, adapting, modifying, circulating, altering, retrieving, exchanging, sharing, using, characterizing, disclosing Personal Data by broadcasting, transmitting, distributing, making available, coordinating, merging, restricting, blocking, erasing or destroying it or creating forms thereof
Automated Processing: Processing which is carried out using an electronic program or system which operates in an automated and automatic manner either completely independently without any human intervention or partially with limited human supervision and intervention
Personal Data Security: A set of technical and organizational measures, procedures and processes specified in accordance with provisions of this Decree by Law which maintain the protection of privacy, confidentiality, integrity and availability of Personal Data
Pseudonymisation: Processing performed on Personal Data in such a way which, after the completion of processing, makes it not possible to associate and attribute such data to the Data Subject without the use of additional information, provided that such additional information is kept independently and securely. In accordance with the technical and organizational measures and procedures specified under provisions of this Decree by Law, it shall ensure that Personal Data is not linked to a specific natural person or that he/she can be identified by using it
Anonymization: Processing which is performed on Personal Data in a way which leads to the anonymity of the Data Subject, not linking and attributing such data to him/her and the inability to identify him/her in any way whatsoever
Data Breach: Breaching information security and Personal Data through illegal or unauthorized access. This includes copying, sending, distributing, exchanging, transferring, circulating or processing it in a way which leads to disclosure of such data to third parties, or destroying or modifying it during storage, transfer and processing
Profiling: A form of automated processing which involves the use of Personal Data to assess certain personality aspects associated with the Data Subject, including analyzing or predicting aspects related to his/her financial performance or condition, health, personal preferences, interests, behavior, location, movements or reliability
Cross-Border Processing: Dissemination, use, display, transmission, reception, retrieval, sharing or processing of Personal Data outside the State
Consent: The consent whereby the Data Subject authorizes a third party to process his/her Personal Data, provided that this consent indicates, in a specific, clear and unambiguous manner, that he/she accepts the processing of his/her Personal Data through a clear positive statement or action
Сфера действия Декрета-закона
1. Положения настоящего Декрета-закона применяются к обработке Персональных данных, полностью или частично, посредством электронных систем, функционирующих в автоматическом режиме, или иными средствами, в отношении следующих лиц:
а) каждого Субъекта данных, проживающего в Государстве или имеющего в нём место осуществления деятельности;
б) каждого Контролёра или Обработчика, находящегося в Государстве и осуществляющего деятельность по обработке Персональных данных Субъектов данных, находящихся в Государстве и за его пределами;
в) каждого Контролёра или Обработчика, находящегося за пределами Государства и осуществляющего деятельность по обработке Персональных данных Субъектов данных, находящихся в Государстве.
2. Положения настоящего Декрета-закона не применяются к:
а) государственным данным;
б) государственным органам, которые контролируют или обрабатывают Персональные данные;
в) Персональным данным, находящимся в распоряжении органов безопасности и судебных органов;
г) Субъекту данных, который обрабатывает свои данные в личных целях;
д) Персональным данным о здоровье, защита и обработка которых регулируются специальным законодательством;
е) персональным банковским и кредитным данным и информации, защита и обработка которых регулируются специальным законодательством;
ж) компаниям и организациям, находящимся в свободных зонах Государства и имеющим специальное законодательство о защите Персональных данных.
Оригинал
Article 2 – Scope of Application of the Decree by Law
1. Provisions of this Decree by Law shall apply to the processing of all or part of the Personal Data by means of electronic systems which operate automatically, or by other means, by the following:
a. Each Data Subject residing in the State or having a place of business in it.
b. Each Controller or Processor residing in the State and carrying out the activities of processing Personal Data of Data Subjects inside and outside the State.
c. Each Controller or Processor residing outside the State and carrying out the activities of processing Personal Data of Data Subjects inside the State.
2. Provisions of this Decree by Law shall not apply to the following:
a. Government Data
b. Governmental entities which control or process Personal Data.
c. Personal Data held by the security and judicial authorities
d. A Data Subject who processes his/her data for personal purposes.
e. Personal Health Data that has legislation regulating its protection and processing.
f. Personal banking and credit data and information that have legislation regulating their protection and processing.
g. Companies and establishments located in free zones in the Country and have special legislations regarding Personal Data protection.
Ключевое для бизнеса исключение — подпункт «ж» пункта 2: компании свободных зон выведены из-под действия Декрета-закона только при условии, что в зоне есть собственное законодательство о защите персональных данных. Регистрация в свободной зоне сама по себе иммунитета не даёт: нужно проверить, существует ли такое законодательство в конкретной зоне. Обратите внимание и на подпункт «в» пункта 1: Декрет-закон распространяется на Контролёров и Обработчиков за пределами Государства, обрабатывающих данные Субъектов данных, находящихся в Государстве, — конструкция, знакомая по GDPR. Исключения по подпунктам «д» и «е» касаются самих данных о здоровье и банковских и кредитных данных, и лишь при наличии специального законодательства, а не организаций как таковых: прочие данные клиники или банка, например кадровые, под Декрет-закон по-прежнему подпадают.
Право Бюро данных предоставлять освобождение
Без ущерба для иных полномочий, предоставленных Бюро данных любым иным законодательством, Бюро данных вправе освобождать отдельные организации, не обрабатывающие большой объём Персональных данных, от части или всех требований положений о защите персональных данных, предусмотренных настоящим Декретом-законом, в соответствии со стандартами и мерами контроля, установленными Исполнительным регламентом настоящего Декрета-закона.
Оригинал
Article 3 – Bureau's Power of Exemption
Without prejudice to any other competencies prescribes for the Bureau under any other legislation, the Bureau may exempt some establishments that do not process a large volume of Personal Data from part, or all of the requirements of the personal data protection provisions stipulated in this Decree by Law, in accordance with the standards and controls set by the Executive Regulations of this Decree by Law.
Случаи обработки Персональных данных без согласия их владельца
Обработка Персональных данных без согласия их владельца запрещается. Из этого запрета исключаются следующие случаи:
1. Если обработка необходима для защиты общественного интереса.
2. Если обработка касается Персональных данных, которые стали общедоступными и общеизвестными в результате действий самого Субъекта данных.
3. Если обработка необходима для инициирования любых процедур судебного требования или защиты прав либо связана с судебными процедурами или процедурами органов безопасности.
4. Если обработка необходима для целей медицины труда или профилактической медицины в целях оценки трудоспособности работников, постановки медицинского диагноза, оказания медицинской или социальной помощи, лечения или услуг медицинского страхования, управления системами и услугами медицинской или социальной помощи в соответствии с законодательством, действующим в Государстве.
5. Если обработка необходима для охраны здоровья населения, включая защиту от существующих заболеваний и эпидемий, либо для целей обеспечения безопасности и качества медицинской помощи, лекарственных средств, препаратов и медицинских изделий в соответствии с законодательством, действующим в Государстве.
6. Если обработка необходима для архивных целей либо для научных, исторических и статистических исследований в соответствии с законодательством, действующим в Государстве.
7. Если обработка необходима для защиты интересов Субъекта данных.
8. Если обработка необходима для целей исполнения Контролёром или Субъектом данных своих обязанностей и осуществления своих законно установленных прав в сфере трудовых отношений, социального обеспечения или законов о социальной защите в пределах, допускаемых такими законами.
9. Если обработка необходима для исполнения договора, стороной которого является Субъект данных, либо для принятия мер по запросу Субъекта данных в целях заключения, изменения или расторжения договора.
10. Если обработка необходима для исполнения Контролёром конкретных обязанностей, предусмотренных иными законами, действующими в Государстве.
11. Любые иные случаи, установленные Исполнительным регламентом настоящего Декрета-закона.
Оригинал
Article 4 – Cases of Processing Personal Data without the Consent of its Owner
It is prohibited to process Personal Data without the consent of its owner. The following cases shall be excluded from such prohibition:
1. If the processing is necessary to protect public interest.
2. If the processing is related to Personal Data which has become available and known to all by an act of the Data Subject.
3. If the processing is necessary to initiate any procedures of legal claim or defense of rights or is related to judicial or security procedures.
4. If the processing is necessary for purposes of occupational or preventive medicine in order to assess the employees' ability of to work, performing medical diagnosis, providing health or social care, treatment or health insurance services, managing health or social care systems and services in accordance with the legislation in force in the State.
5. If the processing is necessary to protect public health, including protection from existing diseases and epidemics, or for the purposes of ensuring the safety and quality of healthcare, medicines, drugs and medical devices, in accordance with the legislation in force in the State.
6. If the processing is necessary for archival purposes or for scientific, historical and statistical studies in accordance with the legislation in force in the State.
7. If the processing is necessary to protect the interests of the Data Subject.
8. If the processing is necessary for the purposes of the Controller or Data Subject carrying out their obligations and exercising their legally established rights in the field of employment, social security or laws concerned with social protection, to the extent permitted by such Laws.
9. If the processing is necessary to perform a contract to which the Data Subject is a party, or to take measures at the request of the Data Subject with the aim of concluding, amending or terminating a contract.
10. If the processing is necessary to fulfil specific obligations stipulated in other laws in force in the State for the Controller.
11. Any other cases set out in the Executive Regulations of this Decree by Law.
Исходная позиция жёстче, чем кажется: обработка без согласия запрещена, а перечень исключений — закрытый, если не считать отсылки к Исполнительному регламенту в пункте 11. Для обычного бизнеса рабочими основаниями будут исполнение договора (пункт 9), обязанности и права в сфере трудовых отношений (пункт 8) и исполнение обязанностей по иным законам (пункт 10). Отдельного основания «законный интерес» контролёра в перечне нет, поэтому маркетинг, аналитику и прочие операции, не вытекающие из договора или закона, разумнее строить на согласии. Пункты 1 и 7 об «общественном интересе» и «интересах Субъекта данных» сформулированы широко, но рассчитывать на них как на универсальное основание — затея оптимистичная.
Меры контроля при обработке Персональных данных
Персональные данные обрабатываются с соблюдением следующих мер контроля:
1. Обработка осуществляется добросовестно, прозрачно и законно.
2. Персональные данные собираются для конкретной и ясной цели. Они не могут впоследствии обрабатываться способом, несовместимым с такой целью. Вместе с тем они могут обрабатываться, если цель аналогична или близка к цели, для которой эти данные были собраны.
3. Персональные данные должны быть достаточными и ограничиваться необходимым в соответствии с целью, для которой осуществляется обработка.
4. Персональные данные должны быть точными и достоверными и обновляться по мере необходимости.
5. Принимаются необходимые меры для обеспечения удаления или исправления неверных Персональных данных.
6. Персональные данные хранятся надёжно, включая их защиту от любого нарушения, проникновения либо незаконной или несанкционированной обработки, путём разработки и применения надлежащих технических и организационных мер и процедур в соответствии с законами и законодательством, действующими в данной сфере.
7. Персональные данные не хранятся после того, как цель их обработки исчерпана. Они могут храниться, если личность Субъекта данных скрыта с использованием «механизма анонимизации».
8. Любые иные меры контроля, установленные Исполнительным регламентом настоящего Декрета-закона.
Оригинал
Article 5 – Personal Data Processing Controls
Personal Data shall be processed according to the following controls:
1. Processing shall be carried out in a fair, transparent and lawful manner.
2. Personal Data shall be collected for a specific and clear purpose. It shall not be processed at any later time in a manner incompatible with such purpose. However, it may be processed if the purpose is similar or close to the purpose for which this data is collected.
3. Personal Data shall be sufficient and limited to what is necessary in accordance with the purpose for which the processing is carried out.
4. Personal Data shall be accurate and correct and shall be updated whenever necessary.
5. The necessary measures shall be taken to ensure that incorrect Personal Data is deleted or corrected.
6. Personal Data shall be kept securely, including protecting it from any violation, penetration, or illegal or unauthorized processing through the development and use of appropriate technical and organizational measures and procedures in accordance with the laws and legislation in force in this regard.
7. Personal Data shall not be kept after the purpose of its processing has been exhausted. It may be kept if the identity of the Data Subject has been concealed using the "Anonymization Mechanism"
8. Any other controls set out in the Executive Regulations of this Decree by Law.
Условия согласия на обработку данных
1. Для того чтобы согласие Субъекта данных на обработку данных считалось действительным, требуется следующее:
а) Контролёр должен быть в состоянии доказать наличие согласия Субъекта данных в случае, если обработка Персональных данных основана на согласии Субъекта данных;
б) Согласие должно быть составлено в ясной, простой, недвусмысленной и легкодоступной форме, письменной или электронной;
в) Согласие должно предусматривать право Субъекта данных без затруднений отозвать его.
2. Субъект данных вправе в любое время отозвать своё согласие на обработку Персональных данных. Такой отзыв согласия не влияет на законность обработки, основанной на согласии, данном до его отзыва.
Оригинал
Article 6 – Terms of Consent to Data Processing
1. To be considered, the consent of the Data Subject to the processing of date shall require the following:
a. The Controller shall be able to prove the consent of the Data Subject in the event that the processing of Personal Data is based on the consent of the Data Subject.
b. The Consent shall be prepared in a clear, simple, unambiguous and easily accessible manner, whether in writing or electronically.
c. The Consent shall include the Data Subject's right to withdraw it easily.
2. The Data Subject may, at any time, withdraw their consent to the processing of Personal Data. Such withdrawal of consent shall not affect the legality of the processing based on the given consent before withdrawing it.
Общие обязанности Контролёра
Контролёр обязан:
1. Принимать надлежащие технические и организационные меры для применения необходимых стандартов защиты и обеспечения безопасности Персональных данных в целях сохранения их конфиденциальности и неприкосновенности частной жизни и обеспечения того, чтобы они не были подвергнуты нарушению, уничтожению, изменению или неправомерному вмешательству, с учётом характера, объёма и целей обработки, а также возможных рисков для конфиденциальности и неприкосновенности частной жизни в отношении Персональных данных Субъекта данных.
2. Применять надлежащие меры как при определении средств обработки, так и в ходе обработки в целях соблюдения положений настоящего Декрета-закона, включая меры контроля, предусмотренные статьёй 5. Такие меры включают механизм Псевдонимизации.
3. Применять надлежащие технические и организационные меры в отношении автоматических настроек, с тем чтобы обработка Персональных данных ограничивалась целью, для которой она предназначена. Эта обязанность распространяется на объём и вид собираемых Персональных данных, вид осуществляемой обработки, срок хранения таких данных и доступ к ним.
4. Вести специальный реестр Персональных данных, который должен содержать сведения о Контролёре и Специалисте по защите данных, описание категорий Персональных данных, сведения о лицах, имеющих право доступа к Персональным данным, сроки, ограничения и объём обработки, механизм удаления, изменения или обработки Персональных данных, цель обработки, любые сведения о трансграничном перемещении и обработке таких данных, а также технические и организационные меры, связанные с информационной безопасностью и обработкой. Контролёр представляет такой реестр в Бюро данных по его требованию.
5. Назначать Обработчика, располагающего достаточными гарантиями применения технических и организационных мер таким образом, чтобы обработка отвечала требованиям, правилам и мерам контроля обработки, предусмотренным настоящим Декретом-законом, его Исполнительным регламентом и решениями, принятыми во исполнение их.
6. Предоставлять Бюро данных на основании решения компетентного судебного органа любую информацию, запрашиваемую им в целях осуществления его полномочий, предусмотренных настоящим Декретом-законом и его Исполнительным регламентом.
7. Исполнять любые иные обязанности, установленные Исполнительным регламентом настоящего Декрета-закона.
Оригинал
Article 7 – The Controller's General Obligations
The Controller shall abide by the following:
1. Take appropriate technical and organizational measures to implement the necessary standards to protect and secure Personal Data in order to preserve its confidentiality and privacy, and to ensure that it is not breached, destroyed, altered or tampered with, taking into account the nature, scope and purposes of processing and the possibility of risks to the confidentiality and privacy of the Data Subject's Personal Data.
2. Apply the appropriate measures, whether while determining the means of processing or while processing, in order to comply with the provisions of this Decree by Law, including the controls stipulated in Article (5). These measures include the Pseudonymisation Mechanism.
3. Apply appropriate technical and organizational measures with respect to automatic settings, to ensure that the processing of Personal Data is limited to the purpose for which it is intended. Such obligation shall apply to the volume and type of Personal Data collected, the type of processing which will be carried out, the period of storage and accessibility of such data.
4. Maintain a special record for Personal Data, provided that such record shall include the data of both the Controller and the Data Protection Officer, a description of the categories of Personal Data, details of the persons authorized to access the Personal Data, processing times, limitations and scope, the mechanism for erasing, modifying or processing Personal Data, the purpose of processing, any data related to the cross-border movement and processing of such data, and the technical and organizational measures related to information security and processing The Controller shall submit such record to the Bureau whenever requested to do so.
5. Appoint the Processor which has sufficient guarantees to implement technical and organizational measures in a manner which ensures that the processing meets the processing requirements, rules and controls stipulated in this Decree by Law, its Executive Regulations and the decisions issued to implement the same.
6. Provide the Bureau, pursuant to a decision made by the competent judicial authority, with any information it requests in implementation of its powers stipulated in this Decree by Law and its Executive Regulations.
7. Any other obligations set out in the Executive Regulations of this Decree by Law.
Общие обязанности Обработчика
Обработчик обязан:
1. Осуществлять обработку в соответствии с указаниями Контролёра и заключёнными между ними договорами и соглашениями, в которых определяются, в частности, объём, предмет, цель, характер и вид Персональных данных, а также категория Субъектов данных.
2. Применять надлежащие технические и организационные процедуры и меры для защиты Персональных данных на стадии проектирования как при определении средств обработки, так и в ходе обработки, с учётом затрат на применение таких процедур, а также характера, объёма и целей обработки.
3. Осуществлять обработку в соответствии с установленными для неё целью и сроком. Если обработка выходит за пределы установленного срока, Обработчик уведомляет об этом Контролёра, с тем чтобы тот разрешил продлить такой срок или дал надлежащие указания.
4. Удалять данные по истечении срока обработки или после их передачи Контролёру.
5. Воздерживаться от любых действий, которые повлекли бы раскрытие Персональных данных или результатов обработки, за исключением случаев, разрешённых законом.
6. Защищать и обеспечивать безопасность обработки данных, электронных носителей и устройств, используемых при обработке, и содержащихся в них Персональных данных.
7. Вести специальный реестр Персональных данных, обрабатываемых от имени Контролёра, который должен содержать сведения о Контролёре, Обработчике и Специалисте по защите данных, описание категорий имеющихся у них Персональных данных, сведения о лицах, имеющих право доступа к Персональным данным, сроки, ограничения и объём обработки, механизм удаления, изменения или обработки Персональных данных, цель обработки, любые сведения о трансграничном перемещении и обработке таких данных, а также технические и организационные меры, связанные с информационной безопасностью и операциями по обработке, при условии что Обработчик представляет такой реестр в Бюро данных по его требованию.
8. Предоставлять все средства для подтверждения соблюдения им положений настоящего Декрета-закона по требованию Контролёра или Бюро данных.
9. Осуществлять обработку в соответствии с правилами, условиями и мерами контроля, установленными настоящим Декретом-законом и его Исполнительным регламентом, либо на основании указаний, издаваемых Бюро данных.
10. В случае участия в обработке данных более чем одного Обработчика обработка осуществляется на основании письменного договора или соглашения, в котором чётко определяются их обязанности, ответственность и роли в отношении обработки; в противном случае они считаются солидарно несущими обязанности и ответственность, предусмотренные настоящим Декретом-законом и его Исполнительным регламентом.
11. Исполнительный регламент настоящего Декрета-закона определяет процедуры, меры контроля, условия и технические стандарты, относящиеся к указанным обязанностям.
Оригинал
Article 8 – The Processor's General Obligations
The Processor shall abide by the following:
1. Carry out the processing in accordance with the instructions of the Controller and contracts and agreements concluded between them, which specify in particular the scope, subject, purpose, nature and type of Personal Data, and the category of the Data Subject.
2. Apply the appropriate technical and organizational procedures and measures to protect Personal Data at the design stage, whether during the identification of the means of processing or during the processing, taking into account the cost of implementing such procedures and the nature, scope and purposes of processing.
3. Carry out the processing according to the purpose and the period specified for it. If the processing exceeds the specified period, the Processor shall so notify the Controller to authorize it to extend such period or give appropriate instructions.
4. Erase data after the expiry of the processing period or upon handing it over to the Controller.
5. Avoid doing anything which would disclose Personal Data or results of processing, except in cases authorized by the law.
6. Protect and secure data processing, the electronic media and devices used in processing and the Personal Data they contain.
7. Maintain a special record of Personal Data which is processed on behalf of the Controller, provided that such record includes the data of the Controller, the Processor and the Data Protection Officer and a description of the categories of Personal Data they have, data of the persons authorized to access Personal Data, processing times, restrictions and scope, the mechanism of erasing, modifying or processing Personal Data, the purpose of processing, any data related to the cross-border movement and processing of such data and the technical and organizational measures related to information security and processing operations, provided that the Processor submits such record to the Bureau whenever it is requested to do so.
8. Provide all means to prove its commitment to the implementation of provisions of this Decree by Law when so requested by the Controller or the Bureau.
9. Carry out processing in accordance with rules, conditions and controls specified in this Decree by Law and its Executive Regulations, or pursuant to which instructions are issued by the Bureau.
10. In the event that more than one Processor participates in processing data, the processing shall be carried out in accordance with a written contract or agreement in which they clearly define their obligations, responsibilities and roles with regard to processing, otherwise they shall be deemed jointly responsible for the obligations and responsibilities contained in this Decree by Law and its Executive Regulations.
11. The Executive Regulations of this Decree by Law shall specify the procedures, controls, conditions, and technical standards related to such obligations.
Уведомление о нарушении безопасности Персональных данных
1. В дополнение к обязанностям Контролёра, предусмотренным настоящим Декретом-законом, Контролёр, как только ему станет известно о каком-либо нарушении безопасности или неправомерном вмешательстве в отношении Персональных данных Субъекта данных, которое может нанести ущерб неприкосновенности частной жизни, конфиденциальности и безопасности данных, уведомляет Бюро данных о таком нарушении или вмешательстве и о результатах расследования в срок и в соответствии с мерами и требованиями, установленными Исполнительным регламентом настоящего Декрета-закона, при условии что к уведомлению прилагаются следующие сведения и документы:
а) описание характера нарушения или вмешательства, его формы, причин, приблизительного количества затронутых лиц и записей;
б) сведения о назначенном Специалисте по защите данных;
в) возможные и ожидаемые последствия нарушения или вмешательства;
г) корректирующие меры и действия, предпринятые или предлагаемые Контролёром для устранения такого нарушения и уменьшения его негативных последствий;
д) документы о нарушении и предпринятых Контролёром корректирующих действиях;
е) любые иные требования, установленные Бюро данных.
2. Во всех случаях Контролёр уведомляет Субъекта данных, если нарушение или вмешательство может нанести ущерб неприкосновенности частной жизни, конфиденциальности и безопасности его Персональных данных, в срок и в соответствии с мерами и требованиями, установленными Исполнительным регламентом настоящего Декрета-закона, и информирует его о принятых мерах.
3. Если Обработчику станет известно о каком-либо нарушении безопасности Персональных данных, он уведомляет об этом Контролёра незамедлительно после того, как ему станет об этом известно. Контролёр, в свою очередь, информирует Бюро данных в соответствии с пунктом 1 настоящей статьи.
4. После получения уведомления от Контролёра Бюро данных проверяет причины нарушения в целях удостоверения в надёжности принятых мер безопасности и применяет административные санкции, указанные в статье 26 настоящего Декрета-закона, в случае если в отношении Контролёра или Обработчика будет установлено нарушение положений настоящего Декрета-закона и решений, принятых во исполнение его.
Оригинал
Article 9 – Reporting Personal Data Breach
1. In addition to the obligations of the Controller stipulated in this Decree by Law, the Controller shall, at the time it becomes aware of the existence of any breach or violation of Personal Data of the Data Subject that would prejudice the privacy, confidentiality and security of data, notify the Bureau of such breach or violation and the investigation rights within the period and in accordance with the measures and requirements set by the Executive Regulations of this Decree by Law, provided that the reporting is accompanied by the following data and documents:
a. A description of the nature of the breach or violation, its form, causes, approximate number and records.
b. Details of the appointed Data Protection Officer.
c. Potential and expected effects of the breach or violation.
d. Corrective measures and actions taken or suggested by it to confront such violation and reduce its negative impacts.
e. Documents of the violation and corrective actions taken by it.
f. Any other requirements required by the Bureau
2. In all cases, the Controller shall notify the Data Subject in the event that the violation or breach would prejudice the privacy and confidentiality of the security of his/her Personal Data within the period and in accordance with the measures and requirements set by the Executive Regulations of this Decree by Law. It shall inform him/her of the measures taken by it.
3. If the Processor becomes aware of any breach of Personal Data, it shall notify the Controller of such breach as soon as it becomes aware of the same. the Controller shall in turn inform the Bureau in accordance with Clause (1) of this Article.
4. After receiving the notification from the Controller, the Bureau shall verify the reasons for the violation to ensure the integrity of the security measures taken, and impose the administrative penalties referred to in Article (26) of this Decree by Law in the event that a violation of its provisions and decisions issued in implementation of it is proven against the Controller or the Processor.
Срок уведомления в самом Декрете-законе не установлен — он отдан Исполнительному регламенту, однако обязанность привязана к моменту, когда Контролёру стало известно о нарушении, так что откладывать её не стоит. Порог уведомления (нарушение, способное нанести ущерб неприкосновенности частной жизни, конфиденциальности и безопасности данных) сформулирован широко, а Субъекта данных по пункту 2 нужно уведомлять «во всех случаях», когда такой ущерб возможен. Обратная сторона пункта 4: само уведомление влечёт проверку Бюро данных и, если нарушение будет установлено, административные санкции, так что к моменту отправки комплект сведений и документов из подпунктов «а»–«е» лучше иметь в порядке. Для Обработчика правило проще: незамедлительно сообщить Контролёру, уведомление Бюро данных — уже забота Контролёра.
Назначение Специалиста по защите данных
1. Контролёр и Обработчик назначают Специалиста по защите данных, обладающего достаточными навыками и знаниями законодательства о защите Персональных данных, в любом из следующих случаев:
а) если обработка может создать высокий уровень риска для конфиденциальности и неприкосновенности частной жизни в отношении Персональных данных Субъекта данных вследствие применения новых технологий или с учётом объёма данных;
б) если обработка предполагает систематическую и всестороннюю оценку Чувствительных персональных данных, включая Профилирование и Автоматизированную обработку;
в) если обработка осуществляется в отношении большого объёма Чувствительных персональных данных.
2. Специалист по защите данных может быть работником Контролёра или Обработчика либо лицом, уполномоченным ими, и может находиться как в Государстве, так и за его пределами.
3. Контролёр или Обработчик указывает контактные данные Специалиста по защите данных и уведомляет о них Бюро данных.
4. Исполнительный регламент настоящего Декрета-закона определяет виды технологий и критерии определения объёма данных, требуемые в соответствии с настоящей статьёй.
Оригинал
Article 10 – Appointing Data Protection Officer
1. The Controller and Processor shall appoint a Data Protection Officer, who has sufficient skills and knowledge of the Personal Data Protection Law, in any of the following cases:
a. If processing would cause a high-level risk to the confidentiality and privacy of the Personal Data of the Data Subject as a result of adopting new technologies or with regard to the volume of data.
b. If processing would involve a systematic and comprehensive assessment of Sensitive Personal Data, including Profiling and Automated Processing.
c. If processing would be carried out on a large volume of Sensitive Personal Data.
2. The Data Protection Officer may be an employer of the Controller or the Processor or authorized by them, whether inside or outside the State.
3. The Controller or the Processor shall specify the contact details of the Data Protection Officer and notify the Bureau of the same.
4. The Executive Regulations of this Decree by Law shall specify the types of technologies and criteria for determining the volume of data required in accordance with this Article.
Функции Специалиста по защите данных
1. Специалист по защите данных обеспечивает контроль за степенью соблюдения Контролёром или Обработчиком положений настоящего Декрета-закона, его Исполнительного регламента и указаний, издаваемых Бюро данных. Специалист по защите данных, в частности, выполняет следующие задачи и осуществляет следующие полномочия:
а) проверка качества и правильности процедур, действующих у Контролёра и Обработчика;
б) приём запросов и жалоб, связанных с Персональными данными, в соответствии с положениями настоящего Декрета-закона и его Исполнительного регламента;
в) предоставление технических консультаций по процедурам оценки и периодической проверки систем защиты персональных данных и систем предотвращения вторжений у Контролёра и Обработчика, документирование результатов такой оценки и выработка соответствующих рекомендаций, включая процедуры оценки рисков;
г) выполнение функций связующего звена между Контролёром или Обработчиком, в зависимости от обстоятельств, и Бюро данных по вопросам применения положений об обработке персональных данных, предусмотренных настоящим Декретом-законом;
д) любые иные задачи или полномочия, определяемые в соответствии с Исполнительным регламентом настоящего Декрета-закона.
2. Специалист по защите данных обязан соблюдать конфиденциальность информации и данных, получаемых им при исполнении своих обязанностей и полномочий, в соответствии с положениями настоящего Декрета-закона, его Исполнительного регламента и законодательством, действующим в Государстве.
Оригинал
Article 11 – Roles of Data Protection Officer
1. The Data Protection Officer shall ensure the extent of compliance of the Controller or the Processor with the application of provisions of this Decree by Law, its Executive Regulations and instructions issued by the Bureau. The Data Protection Officer shall, in particular, undertake the following tasks and powers:
b. Verifying the quality and correctness of the procedures in place at the Controller and the Processor.
b. Receiving requests and complaints related to Personal Data in accordance with provisions of this Decree-Law and its Executive Regulations.
c. Providing technical advice on evaluation procedures and periodic examination of personal data protection systems and intrusion prevention systems at the Controller and Processor, documenting the results of such evaluation and providing appropriate recommendations in this regard, including risk assessment procedures.
d. Acting as a link between the Controller or the Processor, as the case may be, and the Bureau regarding the application of personal data processing provisions stipulated in this Decree by Law.
e. Any other tasks or powers which are determined in accordance with the Executive Regulations of this Decree by Law.
2. The Data Protection Officer shall maintain the confidentiality of information and data it receives in implementation of its duties and powers in accordance with provisions of this Decree by Law and its Executive Regulations and in accordance with the legislations in force in the State.
Обязанность назначить Специалиста по защите данных (DPO) по статье 10 возникает не у всех, а лишь в трёх случаях: высокий риск из-за новых технологий или объёма данных, систематическая и всесторонняя оценка Чувствительных персональных данных (включая Профилирование и Автоматизированную обработку) либо обработка большого объёма таких данных; виды технологий и критерии объёма отданы Исполнительному регламенту. DPO может быть работником Контролёра или Обработчика либо уполномоченным ими лицом, в том числе за пределами Государства, а его контактные данные сообщаются Бюро данных. Если DPO назначен, статья 12 запрещает увольнять или наказывать его по причинам, связанным с исполнением обязанностей, и поручать ему противоречащие им функции — совмещать эту роль с должностью, отвечающей за сами решения об обработке, рискованно. Сведения о DPO фигурируют в реестрах по статьям 7 и 8 и в уведомлении о нарушении по статье 9, так что «назначить на бумаге» не получится.
Обязанности Контролёра и Обработчика в отношении Специалиста по защите данных
1. Контролёр и Обработчик предоставляют все средства, обеспечивающие надлежащее выполнение Специалистом по защите данных обязанностей и задач, возложенных на него статьёй 11 настоящего Декрета-закона. В частности, это включает следующее:
а) обеспечение надлежащего и своевременного привлечения Специалиста по защите данных ко всем вопросам, касающимся защиты Персональных данных;
б) обеспечение Специалиста по защите данных всеми необходимыми ресурсами и необходимой поддержкой для выполнения возложенных на него задач;
в) недопущение прекращения услуг Специалиста по защите данных или применения к нему какого-либо дисциплинарного взыскания по причине, связанной с исполнением им своих обязанностей в соответствии с положениями настоящего Декрета-закона;
г) обеспечение того, чтобы на Специалиста по защите данных не возлагались обязанности, противоречащие его обязанностям по настоящему Декрету-закону.
2. Субъект данных вправе обращаться непосредственно к Специалисту по защите данных по всем вопросам, касающимся обработки его персональных данных, в целях осуществления своих прав в соответствии с положениями настоящего Декрета-закона.
Оригинал
Article 12
Duties of the controller and the processor towards the Data Protection Officer
1. The Controller and the Processor shall provide all means to ensure that the Data Protection Officer performs the duties and tasks assigned to it as stipulated in Article (11) of this Decree by Law in the required manner. In particular, this shall include the following:
a. Ensure that the Data Protection Officer is appropriately and timely involved in all matters relating to the protection of Personal Data.
b. Ensure that the Data Protection Officer is provided with all the necessary resources and the necessary support to carry out the tasks assigned to it.
c. Not to terminate the Data Protection Officer services or impose any disciplinary penalty for a reason related to the performance of its duties in accordance with the provisions of this Decree by Law.
d. Ensure that the Data Protection Officer is not charged with duties which contradict its duties under this Law.
2. The Data Subject may communicate directly with the Data Protection Officer about all matters relating to his/ her personal data processing to enable him/ her to exercise his/ her rights in accordance with the provisions of this Decree by Law.
Право на получение информации
1. Субъект данных имеет право, подав запрос Контролёру, безвозмездно получить следующую информацию:
а) виды его Персональных данных, которые обрабатываются;
б) цели обработки;
в) решения, принятые на основе автоматизированной обработки, включая профилирование;
г) сектора или организации — получатели, с которыми его персональные данные будут совместно использоваться в Государстве и за его пределами;
д) меры контроля и стандарты в отношении срока хранения и сохранности его персональных данных;
е) процедуры исправления, удаления или ограничения обработки его персональных данных и возражения против их обработки;
ж) меры защиты при трансграничной обработке, осуществляемой в соответствии со статьями 22 и 23 настоящего Декрета-закона;
з) действия, которые должны быть предприняты в случае нарушения безопасности или неправомерного использования его Персональных данных, особенно если такое нарушение или неправомерное использование создаёт прямую и серьёзную угрозу неприкосновенности частной жизни и конфиденциальности его Персональных данных;
и) порядок подачи жалоб в Бюро данных.
2. Во всех случаях Контролёр до начала обработки предоставляет Субъекту данных информацию, предусмотренную подпунктами «б», «г» и «ж» пункта 1 настоящей статьи.
3. Контролёр вправе отказать в удовлетворении запроса Субъекта данных о предоставлении информации, указанной в пункте 1 настоящей статьи, если установлено, что:
а) запрос не относится к информации, указанной в пункте 1 настоящей статьи, или носит чрезмерно повторяющийся характер;
б) запрос противоречит судебным процедурам или расследованиям, проводимым компетентными органами;
в) запрос может негативно повлиять на усилия Контролёра по обеспечению информационной безопасности;
г) запрос затрагивает неприкосновенность частной жизни и конфиденциальность Персональных данных третьих лиц.
Оригинал
Article 13 – Right to Receive Information
1. The Data Subject has the right, by submitting a request to the Controller without any consideration, to obtain the following information:
a. The types of its Personal Data that are being processed.
b. Purposes of processing.
c. Decisions made based on automated processing, including profiling.
d. The targeted sectors or establishments with whom its personal data will be shared from inside and outside the State.
e. Controls and standards for the period of storage and preservation of his/ her personal data.
f. Procedures for correcting, erasing or limiting processing and objection to his/ her personal data.
g. Protection measures for cross-border processing carried out in accordance with Articles
(22) and (23) of this By-Law.
h. Actions to be taken in the event of a breach or misuse of his/ her Personal Data, especially if the breach or misuse has a direct and serious threat to the privacy and confidentiality of his/her Personal Data.
i. How to submit complaints to the Bureau.
2. In all cases, the Controller shall, before starting the processing, provide the Data Subject with the information stipulated in paragraphs (b), (d) and (g) of Paragraph (1) of this Article.
3. The Controller may reject the Data Subject's request to obtain the information mentioned in Paragraph (1) of this Article, if the following is established:
a. The request is not related to the information referred to in Paragraph (1) of this Article, or it is excessively repetitive.
b. The request conflicts with judicial procedures or investigations conducted by competent authorities.
c. The request may negatively affect the efforts of the Controller to protect information security.
d. The request affects the privacy and confidentiality of Personal Data of third parties.
Право требовать передачи Персональных данных
1. Субъект данных вправе получать свои Персональные данные, предоставленные Контролёру для обработки, в упорядоченном и машиночитаемом виде, если обработка основана на Согласии Субъекта данных или необходима для исполнения договорного обязательства и осуществляется автоматизированными средствами.
2. Субъект данных вправе требовать передачи своих Персональных данных другому Контролёру, если это технически осуществимо.
Оригинал
Article 14 – Right to Request Transfer of Personal Data
1. The Data Subject shall have the right to receive his/her personal data that has been provided to the Controller for processing, in an orderly and machine-readable manner, whenever the processing is based on the consent of the Data Subject, or it is necessary for the implementation of a contractual obligation, and it is carried out by automated means.
2. The Data Subject shall have the right to request the transfer of its Personal data to another Controller whenever it is technically feasible.
Право на исправление или удаление Персональных данных
1. Субъект данных вправе требовать исправления своих неточных Персональных данных либо дополнения данных, находящихся у Контролёра, без неоправданной задержки.
2. Без ущерба для законодательства, действующего в Государстве, и требований общественного интереса Субъект данных вправе требовать удаления своих Персональных данных, находящихся у Контролёра, в любом из следующих случаев:
а) его Персональные данные более не являются необходимыми для целей, для которых они были собраны или обрабатываются;
б) отзыв Субъектом данных Согласия, на котором основана обработка;
в) возражение Субъекта данных против обработки либо отсутствие у Контролёра законных оснований для продолжения обработки;
г) Персональные данные обрабатываются в нарушение положений настоящего Декрета-закона и применимого законодательства, и удаление необходимо для соблюдения законодательства и утверждённых стандартов, действующих в данной сфере.
3. В порядке исключения из положений пункта 2 настоящей статьи Субъект данных не вправе требовать удаления своих Персональных данных, находящихся у Контролёра, в следующих случаях:
а) если требование касается удаления его Персональных данных, относящихся к общественному здравоохранению, в частных учреждениях;
б) если требование затрагивает следственные процедуры, а также предъявление требований и защиту прав;
в) если требование противоречит иному законодательству, которому подчиняется Контролёр;
г) в иных случаях, определённых Исполнительным регламентом настоящего Декрета-закона.
Оригинал
Article 15 – Right to correction or erasure of Personal Data
1. The Data Subject shall have the right to request the correction of his/her inaccurate Personal data, or request to complete the data held by the Controller without undue delay
2. Without prejudice to the legislations in force in the State and what is required for the public interest, the Data Subject shall have the right to request erasure of his/ her Personal Data held by the Controller in any of the following cases:
a. His/her Personal Data is no longer necessary for the purposes for which it is collected or processed.
b. Withdrawal of the consent of Data Subject on which the processing is based.
c. The Data Subject's objection to the processing, or the absence of legitimate reasons for the Controller to continue the processing.
d. The Personal Data is processed in violation of the provisions of this Decree by Law and the applicable legislations, and the erasure process is necessary to comply with the legislations and approved standards in force in this regard.
3. As an exception to what is stated in Paragraph (2) of this Article, the Data Subject is not entitled to request erasure of his/ her Personal Data held by the Controller in the following cases:
a. If the request is related to the erasure of his/her Personal Data related to public health in private facilities.
b. If the request affects the investigation procedures and claiming and defending rights.
c. If the request contradicts other legislations to which the Controller is subject.
d. Any other cases determined by the Executive Regulation of this Decree by Law.
Право на удаление сформулировано широко, но с двойной оговоркой: пункт 2 действует без ущерба для законодательства Государства и общественного интереса, а пункт 3 исключает удаление, в частности, если запрос противоречит иному законодательству, которому подчиняется Контролёр, или затрагивает защиту прав. Практический вывод: прежде чем удалять или отказывать, Контролёру стоит знать, какие обязанности по хранению на него возлагает иное законодательство применительно к каждой категории данных. Отказ «потому что так удобнее» к перечню исключений не относится.
Право на ограничение обработки
1. Субъект данных вправе обязать Контролёра ограничить и прекратить обработку в любом из следующих случаев:
а) возражение Субъекта данных относительно точности Персональных данных; в этом случае обработка ограничивается на определённый срок, позволяющий Контролёру проверить точность данных;
б) возражение Субъекта данных против обработки его Персональных данных в нарушение согласованных целей;
в) обработка осуществляется в нарушение положений настоящего Декрета-закона и применимого законодательства.
2. Субъект данных вправе требовать от Контролёра продолжать хранить его Персональные данные после достижения целей обработки, если такие данные необходимы для завершения процедур, связанных с предъявлением требований или защитой прав и судебными исками.
3. Независимо от положений пункта 1 настоящей статьи Контролёр вправе продолжать обработку Персональных данных Субъекта данных без его Согласия в любом из следующих случаев:
а) если обработка ограничивается хранением Персональных данных;
б) если обработка необходима для осуществления любой из процедур, связанных с предъявлением требований или защитой прав и судебными исками, либо связанных с судебным разбирательством;
в) если обработка необходима для защиты прав третьих лиц;
г) если обработка необходима для защиты общественного интереса.
4. Во всех случаях Контролёр, снимая ограничение, предусмотренное настоящей статьёй, уведомляет об этом Субъекта данных.
Оригинал
Article 16 – Right to Restrict Processing
1. The Data Subject shall have the right to oblige the Controller to restrict and stop processing in any of the following cases:
a. The Data Subject's objection to the accuracy of the Personal Data, in which case the processing shall be restricted for a specific period to allow the Controller to verify the data accuracy.
b. The Data Subject's objection to the processing of his/ her Personal Data in violation of the agreed-upon purposes.
c. The processing is carried out in violation of the provisions of this Decree by Law and the applicable legislations.
2. The Data Subject shall have the right to request the Controller to continue to keep his/ her Personal Data after the completion of the processing purposes when such data is necessary to complete procedures related to claiming or defending rights and lawsuits.
3. Notwithstanding what is stated in Paragraph (1) of this Article, the Controller may proceed with the processing of the Personal Data of the Data Subject without his/ her consent in any of the following cases:
a. If the processing is limited to storing Personal Data.
b. If the processing is necessary to pursue any of the procedures related to claiming or defending rights and lawsuits or related to judicial proceedings.
c. If the processing is necessary to protect the rights of third parties.
d. If the processing is necessary to protect the public interest.
4. In all cases, the Controller, if it lifts the restriction stipulated in this Article, shall notify the Data Subject of the same.
Право на прекращение обработки
Субъект данных вправе возразить против обработки своих Персональных данных и прекратить её в любом из следующих случаев:
1. Если обработка осуществляется в целях прямого маркетинга, включая Профилирование, связанное с прямым маркетингом.
2. Если обработка осуществляется в целях проведения статистических обследований, за исключением случаев, когда обработка необходима для обеспечения общественного интереса.
3. Если обработка осуществляется в нарушение статьи 5 настоящего Декрета-закона.
Оригинал
Article 17 – Right to Stop Processing
The Data Subject shall have the right to object to the processing of his/her Personal Data and stop it in any of the following cases:
1. If the processing is intended for the purposes of direct marketing, including profiling related to direct marketing.
2. If the processing is intended for the purposes of conducting statistical surveys, unless the processing is necessary to serve the public interest.
3. If the processing is carried out in violation of Article (5) of this Decree by Law.
Право в отношении обработки и Автоматизированной обработки
1. Субъект данных вправе возражать против любых решений, принятых в результате Автоматизированной обработки, включая Профилирование, в особенности против решений, влекущих для Субъекта данных правовые последствия или неблагоприятно на него влияющих.
2. Независимо от пункта 1 настоящей статьи Субъект данных не вправе возражать против решений, принятых в результате Автоматизированной обработки, в следующих случаях:
а) если Автоматизированная обработка согласована в договоре, заключённом между Субъектом данных и Контролёром;
б) если Автоматизированная обработка требуется в соответствии с иным законодательством, применимым в Государстве;
в) если Субъект данных дал предварительное Согласие на Автоматизированную обработку в порядке, предусмотренном статьёй 6 настоящего Декрета-закона.
3. В случаях, указанных в пункте 2 настоящей статьи, Контролёр принимает надлежащие меры для защиты неприкосновенности частной жизни и конфиденциальности Персональных данных Субъекта данных и не допускает какого-либо ущемления прав Субъекта данных.
4. По запросу Субъекта данных Контролёр обеспечивает участие человека в пересмотре решений, принятых в результате Автоматизированной обработки.
Оригинал
Article 18 – Right to Processing and Automated Processing
1. The Data Subject shall have the right to object to any decisions resulting from automated processing, including profiling, particularly those decisions which have legal impact on or adversely affect the Data Subject.
2. Notwithstanding Paragraph 1 of this Article, the Data Subject may not object to the decisions resulting from automated processing in the following cases:
a. If the automated processing is agreed upon under the contract made between the Data Subject and the Controller.
b. If the automated processing is required under other legislations which are applicable in the State.
c. If the Data Subject gives prior consent to the automated processing as set out in Article
(6) of this Decree by Law.
3. The Controller shall adopt appropriate measures to protect the privacy and confidentiality of the Data Subject's Personal Data in the cases referred to in Paragraph 2 of this article and shall not cause any prejudice to the Data Subject's rights.
4. The Controller shall include the human element in reviewing automated processing decisions at the request of the Data Subject.
Обращение к Контролёру
Контролёр предоставляет Субъекту данных понятные и надлежащие способы обращения к Контролёру для реализации любого из прав, предусмотренных настоящим Декретом-законом.
Оригинал
Article 19 – Contacting the Controller
The Controller shall provide clear and appropriate ways for the Data Subject to contact the Controller to request any of the rights set forth in this Decree by Law.
Безопасность Персональных данных
1. Контролёр и Обработчик разрабатывают и принимают надлежащие технические и организационные меры для обеспечения наивысшего уровня информационной безопасности, соответствующего рискам, связанным с обработкой данных, в соответствии с передовой международной практикой и стандартами. Такие меры включают:
а) шифрование Персональных данных и применение Псевдонимизации;
б) применение мер, обеспечивающих постоянную конфиденциальность, сохранность, точность и устойчивость систем и сервисов обработки данных;
в) применение мер, обеспечивающих своевременное восстановление Персональных данных и доступ к ним в случае фактического или технического сбоя;
г) применение мер, обеспечивающих бесперебойное тестирование и оценку эффективности технических и организационных мер обеспечения безопасности обработки.
2. При оценке уровня информационной безопасности, предусмотренного пунктом 1 настоящей статьи, учитываются:
а) риски обработки данных, включая повреждение, утрату, случайное или незаконное изменение и раскрытие Персональных данных или доступ к ним, будь то при их передаче, хранении или обработке;
б) затраты на обработку данных, её характер, объём и цели, а также потенциальные риски, затрагивающие конфиденциальность и неприкосновенность частной жизни в отношении Персональных данных Субъекта данных.
Оригинал
Article 20 – Personal Data Security
1. The Controller and the Processor shall develop and take appropriate technical and regulatory measures to ensure the highest standard of information security that is suitable for the risks related to data processing in accordance with the best international practices and standards. This shall include the following:
a. Encryption of Personal Data and the application of Pseudonymisation.
b. Applying measures which ensure the continuous confidentiality, safety, accuracy and flexibility of data processing systems and services.
c. Applying measures which ensure timely retrieval of and access to Personal Data in case of any actual or technical failure.
d. Applying measures which ensure a seamless testing and evaluation of the effectiveness of the technical and regulatory measures to ensure the security of processing.
2. When evaluating the information security level as set out in Paragraph of this Article, the following shall be observed:
a. Data processing risks, including damage, loss, accidental or illegal change and disclosure of or access to the Personal Data, whether being transferred, stored or processing.
b. The costs of data processing, and its nature, scope and purposes, in addition to potential risks impacting the confidentiality and privacy of the Data Subject's Personal Data.
Оценка воздействия на защиту Персональных данных
1. С учётом характера, объёма и целей обработки данных Контролёр до начала обработки проводит оценку воздействия предполагаемых операций обработки на защиту Персональных данных при использовании любых современных технологий, способных создать высокий риск для неприкосновенности частной жизни и конфиденциальности Персональных данных Субъекта данных.
2. Оценка воздействия, предусмотренная пунктом 1 настоящей статьи, требуется в следующих случаях:
а) если обработка включает систематическую и всестороннюю оценку личностных аспектов Субъекта данных с использованием Автоматизированной обработки, включая Профилирование, влекущую правовые последствия или серьёзное воздействие для Субъекта данных;
б) если обработка будет осуществляться в отношении большого объёма Чувствительных персональных данных.
3. Оценка, предусмотренная пунктом 1 настоящей статьи, включает как минимум:
а) ясное и систематическое описание предполагаемых операций обработки в части защиты Персональных данных и цели обработки;
б) оценку того, в какой мере операции обработки необходимы и насколько они соответствуют цели обработки;
в) оценку потенциальных рисков, связанных с неприкосновенностью частной жизни и конфиденциальностью Персональных данных Субъекта данных;
г) предлагаемые процедуры и меры, направленные на снижение потенциальных рисков, связанных с защитой Персональных данных.
4. Контролёр вправе провести одну оценку в отношении совокупности операций обработки, сходных по характеру и рискам.
5. При проведении оценки воздействия на защиту Персональных данных Контролёр взаимодействует со Специалистом по защите данных (DPO).
6. Бюро данных составляет перечень видов операций обработки, не требующих оценки воздействия на защиту Персональных данных. Бюро данных публикует такой перечень на своём веб-сайте.
7. Контролёр на регулярной основе пересматривает результаты оценки, чтобы убедиться, что обработка осуществляется в соответствии с оценкой, в случае изменения уровня рисков обработки.
Оригинал
Article 21 – Assessment of the Impact of Personal Data Protection
1. Taking into account the nature, scope and purposes of data processing, the Controller shall, before carrying out the processing, evaluate the impact of the proposed processing operations on the protection of Personal Data, when using any of the modern technologies that would pose a high risk to the privacy and confidentiality of the Data Subject's Personal Data.
2. The assessment of the impact provided for in Paragraph (1) of this Article shall be required in the following cases:
a. If the processing includes a systematic and comprehensive assessment of the personal aspects of the Data Subject, using automated processing, including profiling, having legal consequences or serious impact on the Data Subject.
b. If processing would be carried out on a large volume of Sensitive Personal Data.
3. The assessment stipulated in Paragraph (1) of this Article shall include, at a minimum, the following:
a. Clear and systematic explanation of the suggested processing operations for the protection of Personal Data and the purpose of processing.
b. Evaluation of how necessary the processing operations are and how they are suitable for the purpose of processing.
c. Evaluation of potential risks related to the privacy and confidentiality of the Data Subject's Personal Data.
d. The suggested procedures and measures aimed at reducing the potential risks related to the protection of Personal Data.
4. The Controller may carry out one evaluation of a set of processing operations which have similar nature and risks.
5. The Controller shall coordinate with the Data Protection Officer upon evaluating the impact of the protection of Personal Data.
6. The Bureau shall prepare a list of processing operation types which do not require evaluation of the impact of the protection of Personal Data. The Bureau shall publish such list on its website.
7. The Controller shall review the evaluation results on a regular basis to make sure that the processing is being carried out in accordance with the evaluation in case the processing risks level changes.
Оценка воздействия на защиту данных — конструкция, знакомая по GDPR, и здесь она проводится до начала обработки, а не после первого инцидента. Декрет-закон требует её при использовании современных технологий, создающих высокий риск, и прямо называет два случая: систематическая и всесторонняя оценка личных аспектов Субъекта данных с помощью Автоматизированной обработки, включая Профилирование, с правовыми последствиями или серьёзным воздействием для него, а также обработка большого объёма Чувствительных персональных данных. Перечень видов операций, не требующих оценки, составляет и публикует на своём сайте Бюро данных; одна оценка может охватывать группу сходных операций, а проводится она в координации с DPO. Документ, к слову, придётся не только составить, но и регулярно пересматривать при изменении уровня риска.
Трансграничная передача и трансграничный обмен Персональными данными для целей обработки при наличии надлежащего уровня защиты
Персональные данные могут передаваться за пределы Государства в следующих случаях, утверждённых Бюро данных:
1. Государство или территория, в которые передаются Персональные данные, имеют законодательство о защите Персональных данных, включающее важнейшие положения, меры, механизмы контроля, условия и правила, касающиеся защиты неприкосновенности частной жизни и конфиденциальности Персональных данных Субъекта данных и его возможности осуществлять свои законные права. Указанные государство или территория также должны иметь судебный или регулирующий орган, применяющий надлежащие меры в отношении Контролёра или Обработчика.
2. Если Государство присоединилось к двустороннему или многостороннему соглашению о защите Персональных данных, заключённому со странами, в которые передаются Персональные данные.
Оригинал
Article 22
Cross-Border Transfer and Sharing of Personal Data for Processing Purposes if a Proper Protection Level is Available Personal Data may be transferred to outside of the State in the following cases approved by the Bureau:
1. The State or Province to which the Personal Data is transferred shall have legislations addressing Personal Data Protection. This includes most significant provisions, measures, controls, stipulations and rules related to the protection of the privacy and confidentiality of the Date Subject's Personal Data, and his/her ability to exercise their legal rights. The State or the Province shall also have a judicial o regulatory authority imposing appropriate measures against the Controller or the Processor.
2. If the State joins a bilateral or multilateral agreement related to the protection of Personal Data concluded with countries to which the Personal Data is transferred.
Трансграничная передача и трансграничный обмен Персональными данными для целей обработки при отсутствии надлежащего уровня защиты
1. Независимо от статьи 22 настоящего Декрета-закона Персональные данные могут передаваться за пределы Государства в следующих случаях:
а) компании, осуществляющие деятельность в странах, где отсутствует законодательство о защите данных, могут передавать данные на основании договора или соглашения, обязывающего компании в таких странах принимать меры, механизмы контроля и требования, установленные настоящим Декретом-законом, а также содержащего положения, обязывающие Контролёра или Обработчика принимать надлежащие меры, налагаемые судебным или регулирующим органом в таких странах, как это предусмотрено договором;
б) при наличии явно выраженного Согласия Субъекта данных на передачу его Персональных данных за пределы Государства при условии, что такая передача не противоречит общественным интересам или интересам безопасности Государства;
в) если передача необходима для исполнения обязательств и установления прав в судебных органах, их осуществления или защиты;
г) если передача необходима для заключения или исполнения договора между Контролёром и Субъектом данных либо между Контролёром и третьими лицами в интересах Субъекта данных;
д) если передача необходима для совершения действия в рамках международного судебного сотрудничества;
е) если передача необходима для защиты общественного интереса.
2. Исполнительный регламент настоящего Декрета-закона устанавливает механизмы контроля и условия, указанные в пункте 1 настоящей статьи, которые подлежат соблюдению при передаче данных за пределы Государства.
Оригинал
Article 23
Cross-Border Transfer and Sharing of Personal Data for Processing Purposes if a Proper Protection Level is not Available
1. Notwithstanding Article (22) of this Decree by Law, Personal Data may be transferred to outside the State in the following cases:
a. Companies, operating in countries where there are no laws for Data Protection, may transfer data under a contract or agreement obligating the companies in such countries to adopt measures, controls and requirements set out in this Decree by Law, in addition to provisions forcing the Controller or the Processor to adopt appropriate measures which are imposed by a judicial or regulatory authority in such countries as set out in the contract.
b. If there is an explicit consent granted by the Data Subject to transfer his/her Personal Data outside the State, provided that such transfer shall not contradict the public or security interest of the State.
c. If the transfer is necessary to fulfil obligations and establish rights before judicial entities, exercise or defend the same.
d. If the transfer is necessary to sign or implement a contract made between the Controller and the Data Subject, or between the Controller and third parties to serve the interest of the Data Subject.
e. If the transfer is necessary to implement an action related to an international judicial cooperation.
f. If the transfer is necessary to protect the public interest.
2. The Executive Regulations of this Decree by Law set forth the controls and stipulations referred to in Paragraphs (1) of this Article, which should be observed during the transfer of data outside the State.
Статьи 22 и 23 образуют двухуровневую схему: сначала — случаи, утверждённые Бюро данных, когда в стране получателя есть законодательство о защите данных с надзорным органом либо Государство участвует в соответствующем соглашении с этой страной; затем, независимо от этого, — основания статьи 23. Для получателей в странах без законодательства о защите данных главный инструмент — договор, обязывающий их соблюдать требования Декрета-закона (подпункт «а»); наряду с ним работают явное Согласие, исполнение договора с Субъектом данных или в его интересах и иные основания пункта 1. Обратите внимание, что даже явное Согласие не спасает передачу, противоречащую общественным интересам или интересам безопасности Государства. Механизмы контроля и условия передачи отданы Исполнительному регламенту, поэтому формулировки договоров стоит держать в редактируемом виде.
Жалобы
1. Субъект данных вправе подавать Жалобы в Бюро данных, если полагает, что имеет место нарушение настоящего Декрета-закона либо что Контролёр или Обработчик обрабатывает его Персональные данные в нарушение правил и процедур, установленных Бюро данных в этой сфере.
2. Бюро данных принимает Жалобы Субъекта данных в соответствии с пунктом 1 настоящей статьи и рассматривает их во взаимодействии с Контролёром и Обработчиком.
3. Бюро данных применяет Административные санкции, указанные в статье 26 настоящего Декрета-закона, если будет доказано, что Контролёр или Обработчик нарушает его положения либо решения, принятые во исполнение настоящего Декрета-закона.
Оригинал
Article 24 – Complaints
1. The Data Subject shall have the right to submit complaints to the Bureau if he/she believes that there is a violation of this Decree by Law or that the Controller or the Processor is processing his/ her Personal Data in violation of the rules and procedures set by the Bureau in this regard.
2. The Bureau shall receive complaints from the Data Subject in accordance with Paragraph (1) of this Article and shall examine such complaints in coordination with the Controller and the Processor.
3. The Bureau shall impose the administrative penalties referred to in Article (26) of this Decree by Law if it is proven that the Controller or the Processor violates its provisions, or the decisions issued in implementation of the same.
Возражение (обжалование) решений Бюро данных
Любое заинтересованное лицо вправе подать Генеральному директору Бюро данных письменное Возражение на любое решение, Административную санкцию или иное действие, принятые Бюро данных в отношении такого лица, в течение 30 (тридцати) дней с даты уведомления о таком административном решении или санкции. Решение по такой жалобе принимается в течение 30 (тридцати) дней с даты её подачи.
Оспаривание любого решения, принятого Бюро данных во исполнение положений настоящего Декрета-закона, не допускается без предварительной подачи Возражения на такое решение. Порядок подачи Возражения и принятия решения по нему устанавливается Исполнительным регламентом настоящего Декрета-закона.
Оригинал
Article 25 – Grievance against the Bureau's Decisions
Any stakeholder may submit a written grievance to the General Director of the Bureau against any decision or administrative penalty or any other action taken by the Bureau against such stakeholder within (30) thirty days as of the date on which a notice of such administrative decision or penalty is given. Additionally, deciding upon such complaint shall be made within
(30) thirty days as of the date on which the complaint is submitted. It is not permissible to challenge any decision issued by the Bureau in implementation of the provisions of this Decree by Law before submitting a grievance against the same. The Executive Regulations of this Decree by Law set out the procedures for submitting a grievance and deciding thereupon.
Административные санкции
Совет министров по предложению Генерального директора Бюро данных принимает решение, определяющее действия, составляющие нарушение настоящего Декрета-закона и его Исполнительного регламента, включая Административные санкции, подлежащие применению.
Оригинал
Article 26 – Administrative Penalties
The Council of Ministers, based upon a suggestion from the General Director of the Bureau, shall issue a decision to limit the actions which constitute a violation of this Decree by Law and its Executive Regulations, including administrative penalties to be imposed.
В самом Декрете-законе нет ни перечня нарушений, ни размеров санкций: и то и другое отдано решению Совета министров по предложению Генерального директора Бюро данных. Поэтому оценивать риск по тексту закона невозможно — только по этому отдельному решению. Запускается механизм просто: Жалоба Субъекта данных в Бюро данных (статья 24) или уведомление о нарушении безопасности (статья 9). Решения Бюро данных нельзя оспорить, не подав предварительно письменное Возражение Генеральному директору Бюро данных в течение тридцати дней с даты уведомления о решении (статья 25).
Делегирование полномочий
Совет министров по предложению Генерального директора Бюро данных вправе уполномочить любой компетентный местный государственный орган в пределах его местной компетенции осуществлять отдельные полномочия Бюро данных, предусмотренные настоящим Декретом-законом.
Оригинал
Article 27 – Authorization
The Council of Ministers, based upon a suggestion from the General Director of the Bureau, may authorize any competent local government authority within the scope of its local competence, to exercise some of the Bureau' powers set out in this Decree by Law.
Исполнительный регламент
Совет министров по предложению Генерального директора Бюро данных издаёт Исполнительный регламент настоящего Декрета-закона в течение 6 (шести) месяцев с даты издания настоящего Декрета-закона.
Оригинал
Article 28 – The Executive Regulation
The Council of Ministers, based upon a suggestion from the General Director of the Bureau, shall issue the Executive Regulations of this Decree by Law within six (6) months as of the date on which the Decree by Law is promulgated.
Приведение в соответствие
Контролёр и Обработчик приводят свою деятельность в соответствие с положениями настоящего Декрета-закона в срок не более 6 (шести) месяцев с даты издания его Исполнительного регламента. Совет министров вправе продлить указанный срок на такой же период.
Оригинал
Article 29 – Regularisation
The Controller and the Processor shall regularize their status in compliance with the provisions of this Decree by Law within a period of no more than six (6) months as of the date on which its Executive Regulations are issued. The Council of Ministers may extend such period for another similar period.
Отмена
Любое положение, нарушающее положения настоящего Декрета-закона или противоречащее им, отменяется.
Оригинал
Article 30 – Repeals
Any provision that violates or contradicts the provisions of this Decree by Law shall be repealed.
Опубликование и вступление в силу настоящего Декрета-закона
Настоящий Декрет-закон подлежит опубликованию в Официальном вестнике и вступает в силу с 2 января 2022 года.
Оригинал
Article 31 – Publication & Enforcement of this Decree by Law
This Decree by Law shall by published in the Official Gazette and shall come into force as of 02 January 2022.
Халифа бин Заид Аль Нахайян
Президент Объединённых Арабских Эмиратов
Издан нами во Дворце Президента в Абу-Даби
13 сафара 1443 г. х.,
что соответствует 20 сентября 2021 г.
История изменений
| Дата | Акт | Что затронуто |
|---|---|---|
| 02.01.2022 | Федеральный декрет-закон № 45 от 2021 года — первоначальная редакциядействующая редакция | Первый федеральный закон ОАЭ о защите персональных данных |
Опубликован в Официальном вестнике № 712 (приложение) от 26.09.2021; вступил в силу 02.01.2022 (статья 31). Надзор осуществляет Бюро данных ОАЭ, учреждённое ФДЗ № 44/2021.
Журнал страницы: 09.10.2026 — перевод опубликован.
Вопрос по применению
Готовим политики конфиденциальности, согласия и договоры с обработчиками, оцениваем трансграничную передачу данных и выстраиваем процессы защиты данных для компаний в ОАЭ.
WhatsApp +49 151 61471603 · info@bcaun.com
Ключевые тезисы. Полные комментарии стоят в тексте сразу после статей, к которым относятся.
Ещё 2 — все комментарии