Настоящий закон перелагает Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий регламент о защите персональных данных), опубликованный в Официальном журнале Европейского Союза L 119/1 от 4 мая 2016 года, CELEX: 32016R0679.

Глава I

ОБЩИЕ ПОЛОЖЕНИЯ

Статья 1. Предмет и цель закона

(1) Настоящий закон устанавливает правовую базу, касающуюся:

a) защиты физических лиц в связи с обработкой персональных данных;

b) организации и функционирования Национального центра по защите персональных данных (далее также – Центр);

c) надзора за применением законодательства в области защиты персональных данных;

d) правовой ответственности и наказаний, применяемых за нарушение законодательства в области защиты персональных данных.

(2) Целью настоящего закона является обеспечение защиты основных прав и свобод физических лиц, в частности права на интимную, семейную и частную жизнь в связи с обработкой персональных данных.

Статья 2. Материальная область применения

(1) Настоящий закон применяется к обработке персональных данных, осуществляемой полностью или частично автоматизированными средствами, равно как и к обработке персональных данных иными средствами, кроме автоматизированных, составляющими часть системы учета данных или предназначенными для включения в систему учета данных.

(2) Настоящий закон не применяется к обработке персональных данных:

a) отнесенных к государственной тайне, которая осуществляется в соответствии с Законом о государственной тайне № 245/2008, в той мере, в которой это необходимо для защиты национальной безопасности и обороны и соразмерно с этой защитой;

b) физическим лицом исключительно для личных или бытовых нужд;

c) выполняемой компетентными органами в целях предупреждения, расследования, выявления или уголовного преследования преступлений, равно как и в целях исполнения уголовных наказаний, в том числе защиты от угроз для общественной безопасности и их предупреждения;

d) касающихся умерших лиц, за исключением случая, предусмотренного статьей 52.

(3) Настоящий закон не затрагивает положения Закона об услугах информационного общества № 284/2004, в частности нормы, касающиеся ответственности поставщиков услуг и посредников, которые предусмотрены статьями 14–17 указанного закона.

Статья 3. Территориальная область применения

(1) Настоящий закон применяется к обработке персональных данных в рамках деятельности, осуществляемой в месте нахождения оператора или лица, действующего по поручению оператора, на территории Республики Молдова, независимо от того, осуществляется ли обработка на территории Республики Молдова или за ее пределами.

(2) Настоящий закон применяется к обработке персональных данных имеющих место нахождения на территории Республики Молдова субъектов персональных данных оператором или лицом, действующим по поручению оператора, не имеющим места нахождения в Республике Молдова, в случае, когда деятельность по обработке связана:

a) с предоставлением товаров или услуг таким субъектам персональных данных в Республике Молдова, независимо от того, запрашивается ли оплата от соответствующего субъекта; или

b) с мониторингом их поведения, если таковое проявляется в Республике Молдова.

(3) Настоящий закон применяется к обработке персональных данных дипломатическими представительствами и консульскими учреждениями Республики Молдова, а также иными операторами, не имеющими места нахождения в Республике Молдова, если законодательство Республики Молдова применяется на основании международного публичного права.

Статья 4. Понятия

В целях настоящего закона используются следующие понятия:

персональные данные – любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (далее – субъект персональных данных). Идентифицируемым физическим лицом является лицо, которое может быть прямо или косвенно идентифицировано, в частности, посредством ссылки на определяющий элемент, такой как имя, идентификационный номер, сведения о месте нахождения, онлайновый идентификатор, либо на один или несколько специфичных элементов, присущих его физической, физиологической, генетической, психической, экономической, культурной или социальной идентичности;

обработка – любое действие (операция) или совокупность действий (операций), совершаемых с использованием автоматизированных средств или без использования таких средств с персональными данными или совокупностью персональных данных, включая сбор, регистрацию, систематизацию, структурирование, хранение, уточнение или изменение, извлечение, ознакомление, использование, раскрытие путем передачи, распространение или предоставление доступа любым иным способом, упорядочение или комбинирование, ограничение, удаление или уничтожение;

ограничение обработки – маркировка хранящихся персональных данных в целях ограничения их дальнейшей обработки;

профайлинг – любая форма автоматизированной обработки персональных данных, которая заключается в использовании персональных данных для оценки определенных личных аспектов, касающихся физического лица, в частности для анализа или прогнозирования аспектов, связанных с производительностью труда, экономической ситуацией, состоянием здоровья, личными предпочтениями, интересами, надежностью, поведением, местом нахождения этого физического лица или с его передвижениями;

псевдонимизация – обработка персональных данных, в результате которой становится невозможным без использования дополнительной информации отнесение персональных данных к конкретному субъекту персональных данных при условии отдельного хранения такой дополнительной информации и применения к ней технических и организационных мер, которые обеспечивают предотвращение отнесения этих персональных данных к идентифицированному или идентифицируемому физическому лицу;

система учета данных – любая структурированная совокупность персональных данных, доступных в соответствии с конкретными критериями, независимо от того, являются ли такие данные централизованными, децентрализованными или распределенными по функциональным или географическим критериям;

оператор – физическое или юридическое лицо, орган публичной власти, агентство или иной орган, которые самостоятельно или совместно с другими определяют цели и средства обработки персональных данных. Если цели и средства обработки устанавливаются нормативными актами, оператор или конкретные критерии его назначения определяются соответствующими нормативными актами;

лицо, действующее по поручению оператора, – физическое или юридическое лицо, орган публичной власти, агентство или иной орган, которые от имени оператора обрабатывают персональные данные;

место нахождения – место фактического и действительного осуществления деятельности в рамках стабильных договоренностей;

получатель – физическое или юридическое лицо, орган публичной власти, агентство или иной орган, которым раскрываются персональные данные, независимо от того, являются ли они третьей стороной. Не считаются получателями органы публичной власти, которым персональные данные могут сообщаться в ходе отдельного расследования в соответствии с нормативными актами; обработка таких данных соответствующими органами публичной власти осуществляется с соблюдением применимых правил в области защиты персональных данных в соответствии с целями обработки;

третья сторона – физическое или юридическое лицо, орган публичной власти, агентство или иной орган, кроме субъекта персональных данных, оператора, лица, действующего по поручению оператора, и лиц, которые под непосредственным руководством оператора или лица, действующего по поручению оператора, уполномочены осуществлять обработку персональных данных;

согласие – любое свободное, конкретное, информированное и недвусмысленное волеизъявление, посредством которого субъект персональных данных однозначным заявлением или действием выражает согласие на обработку касающихся его персональных данных;

нарушение безопасности персональных данных – нарушение защищенности, случайным или незаконным образом приведшее к уничтожению, утрате, изменению или несанкционированному раскрытию переданных, хранящихся или иным способом обработанных персональных данных, равно как и к несанкционированному доступу к этим данным;

генетические данные – персональные данные, относящиеся к унаследованным или приобретенным генетическим характеристикам физического лица, которые предоставляют уникальную информацию о физиологических особенностях или состоянии здоровья этого физического лица, и получаемые, в частности, в результате анализа образца биологического материала, взятого у соответствующего физического лица;

биометрические данные – персональные данные, получаемые в результате специальных процедур обработки, относящиеся к физическим, физиологическим или поведенческим особенностям физического лица, дающим возможность установить или подтвердить его уникальную идентификацию, например, изображение лица или дактилоскопические данные;

данные о состоянии здоровья – персональные данные, связанные с состоянием физического или психического здоровья физического лица, в том числе с оказанием услуг медицинской помощи, которые раскрывают сведения о состоянии его здоровья;

национальный идентификационный номер – номер, посредством которого идентифицируется физическое лицо в определенных системах учета и который имеет общее применение, например, государственный идентификационный номер, серия и номер удостоверения личности, номер паспорта, водительского удостоверения;

представитель – физическое или юридическое лицо с местом нахождения в Республике Молдова, назначенное в письменной форме оператором или лицом, действующим по поручению оператора, в соответствии со статьей 27, которое представляет оператора или лицо, действующее по поручению оператора, в связи с исполнением обязанностей, возложенных на него в соответствии с настоящим законом;

предприятие – физическое или юридическое лицо, осуществляющее экономическую деятельность, независимо от его организационно-правовой формы, в том числе в виде партнерства или объединений, регулярно осуществляющих экономическую деятельность;

группа предприятий – предприятие, осуществляющее контроль, и контролируемые им предприятия;

обязательные корпоративные правила – политика в области защиты персональных данных, которая должна соблюдаться оператором или лицом, действующим по поручению оператора, имеющим место нахождения на территории Республики Молдова, при передаче персональных данных или совокупности персональных данных оператору или лицу, действующему по поручению оператора, в одном или нескольких государствах, на территории которых они осуществляют деятельность в составе группы предприятий или в составе осуществляющих совместную экономическую деятельность предприятий;

общий оборот – оборот, используемый в значении, определенном статьей 4 Закона о конкуренции № 183/2012;

услуги информационного общества – услуги, используемые в значении, определенном статьей 4 Закона об услугах информационного общества № 284/2004;

прямой маркетинг – передача по телефону, почте или иным средством прямой связи рекламных или маркетинговых сообщений (по продвижению товаров или услуг), рассылаемых частным лицам;

международная организация – организация и ее подведомственные органы, регулируемые международным публичным правом, или иной орган, созданный соглашением, заключенным между двумя или более государствами, или на основе такого соглашения.

Глава II

ПРИНЦИПЫ

Статья 5. Принципы обработки

(1) Персональные данные должны:

a) обрабатываться на законной, справедливой и прозрачной основе в отношении субъекта персональных данных (принцип законности, справедливости и прозрачности);

b) подвергаться сбору в определенных, понятных и законных целях и в дальнейшем не должны обрабатываться в порядке, несовместимом с указанными целями. Последующая обработка, осуществляемая в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований либо в статистических целях, несовместимой с изначальными целями в соответствии с частью (1) статьи 54 (принцип ограничения, связанного с целью) не признается;

c) отличаться адекватностью, релевантностью и ограничиваться целями, для которых они обрабатываются (принцип минимизации данных);

d) отличаться точностью, а в необходимых случаях должны обновляться. Исходя из целей обработки, должны приниматься все необходимые меры для обеспечения незамедлительного удаления или исправления неточных персональных данных (принцип точности);

e) храниться в форме, позволяющей идентифицировать субъектов персональных данных в течение срока, не превышающего срок, необходимый для достижения целей обработки персональных данных. Персональные данные могут храниться в течение более длительных сроков в той мере, в какой они должны обрабатываться исключительно в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований либо в статистических целях, в соответствии с частью (1) статьи 54 при условии применения предусмотренных настоящим законом соответствующих мер технического и организационного порядка для обеспечения прав и свобод субъекта персональных данных (принцип ограничения, связанного с хранением);

f) обрабатываться в порядке, обеспечивающем надлежащую безопасность персональных данных, в том числе защиту от несанкционированной или незаконной обработки и от случайной утраты, уничтожения или повреждения, путем принятия соответствующих технических или организационных мер (принцип целостности и конфиденциальности).

(2) Оператор несет ответственность за соблюдение части (1) и должен быть готовым доказать ее соблюдение (принцип ответственности).

Статья 6. Законность обработки

(1) Обработка является законной только в том случае и в том объеме, в которых соблюдается по меньшей мере одно из следующих условий:

a) субъект персональных данных дал согласие на обработку своих персональных данных с целью достижения одной или нескольких конкретных целей;

b) обработка необходима для выполнения договора, стороной которого является субъект персональных данных, или для принятия определенных мер по запросу субъекта персональных данных перед заключением договора;

c) обработка необходима для выполнения предусмотренного законом обязательства оператора;

d) обработка необходима для защиты жизненно важных интересов субъекта персональных данных или другого физического лица;

e) обработка необходима для выполнения поставленной в общественных интересах задачи или при осуществлении официальных полномочий, возложенных на оператора;

f) обработка необходима для обеспечения законных интересов, преследуемых оператором или третьей стороной, за исключением случая, когда интересы или основные права и свободы субъекта персональных данных превалируют, что требует защиты его персональных данных, как, например, в случае, когда субъектом персональных данных является ребенок.

(2) Персональные данные могут обрабатываться в соответствии с пунктом е) части (1), если обработка необходима:

a) для выполнения в общественных интересах задачи, которая вытекает из нормативных актов;

b) для осуществления оператором функций или обязанностей, предусмотренных нормативными актами.

(3) Основания для обработки, указанной в пунктах с) и е) части (1) и части (2), должны предусматриваться законодательством Республики Молдова.

(4) Пункт f) части (1) не применяется в случае обработки, осуществляемой органами публичной власти при исполнении своих обязанностей.

(5) Если обработка с целью, отличной от цели, для достижения которой был осуществлен сбор персональных данных, не основана на согласии субъекта персональных данных или на нормативных актах, которые представляют необходимую и соразмерную меру в демократическом обществе для защиты целей, указанных в части (1) статьи 23, оператор для определения совместимости цели осуществляемой обработки с целью, для которой изначально были собраны персональные данные, принимает во внимание, помимо прочего:

a) любую связь между целями, для которых был осуществлен сбор персональных данных, и целями запланированной дальнейшей обработки;

b) контекст, в котором был осуществлен сбор персональных данных, в частности, в плане отношений между субъектами персональных данных и оператором;

c) характер персональных данных, в частности, в случае, если обрабатываются особые категории персональных данных в соответствии со статьей 9, или в случае, если обрабатываются персональные данные, касающиеся уголовных приговоров и преступлений, в соответствии со статьей 10;

d) возможные последствия запланированной дальнейшей обработки для субъектов персональных данных;

e) наличие надлежащих гарантий, которые могут включать шифрование или псевдонимизацию.

Статья 7. Условия, касающиеся согласия

(1) Если обработка основывается на согласии, оператор должен иметь возможность доказать, что субъект персональных данных дал согласие на обработку.

(2) Если субъект персональных данных дает согласие в письменном заявлении, которое также касается других аспектов, заявление о согласии должно быть представлено в форме, четко отличающейся от остальных аспектов, в удобном для восприятия и доступном виде и изложено простым и понятным языком. Ни одна из частей такого заявления, составленная с нарушением настоящего закона, не подлежит обязательному исполнению.

(3) Субъект персональных данных имеет право в любой момент отозвать свое согласие. Отзыв согласия не влияет на законность обработки, осуществленной на основании этого согласия до его отзыва. Об этом субъект персональных данных информируется до оформления согласия. Отзыв согласия осуществляется так же просто, как и его выдача.

(4) При оценке, было ли согласие субъекта персональных данных свободным изъявлением его воли, особое внимание должно уделяться, помимо прочего, тому, что исполнение договора, в том числе предоставление отдельной услуги, обусловлено согласием на обработку, которая не является необходимой для исполнения этого договора.

Статья 8. Согласие ребенка в отношении услуг информационного общества

(1) В случае применения пункта а) части (1) статьи 6 при предоставлении услуг информационного общества непосредственно ребенку обработка его персональных данных является законной, если ребенку исполнилось 14 лет. В отношении ребенка, не достигшего 14-летнего возраста, обработка его персональных данных является законной только в том случае и в том объеме, в которых соответствующее согласие предоставлено или подтверждено его законным представителем.

(2) Оператор должен приложить необходимые усилия, чтобы проверить, если законный представитель предоставил или подтвердил согласие с учетом доступных технологий.

(3) Часть (1) не затрагивает общее договорное право, в частности правила, касающиеся действительности, заключения или последствий договора, касающегося ребенка.

Статья 9. Обработка особых категорий персональных данных

(1) Обработка особых категорий персональных данных, раскрывающих расовую или национальную принадлежность, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, а также обработка генетических данных, биометрических данных для уникальной идентификации физического лица, информации о состоянии здоровья или интимной жизни либо о сексуальной ориентации физического лица не допускается.

(2) Часть (1) не применяется в следующих случаях:

a) субъект персональных данных дал свое четкое согласие на обработку с одной или несколькими конкретными целями, только если нормативными актами не предусмотрено, что установленный в части (1) запрет не может быть отменен согласием субъекта персональных данных;

b) обработка необходима в целях исполнения обязанностей и осуществления особых прав оператора или субъекта персональных данных в сфере трудовой занятости, общественной безопасности и социальной защиты в том объеме, в котором она разрешена нормативными актами или коллективным трудовым договором, предусматривающим надлежащие гарантии для основных прав и интересов субъекта персональных данных;

c) обработка необходима для защиты жизненно важных интересов субъекта персональных данных или иного физического лица, если субъект персональных данных физически или юридически не способен дать свое согласие;

d) обработка осуществляется в ходе законной деятельности с надлежащими гарантиями политической партией, профсоюзом, религиозным культом или иной некоммерческой организацией политической, философской, религиозной или профсоюзной направленности при условии, что обработка касается исключительно членов и бывших членов соответствующих организаций или лиц, имеющих постоянные контакты с таковыми в связи с их целями, и что персональные данные не будут раскрываться третьей стороне без согласия субъектов персональных данных;

e) обработка относится к персональным данным, которые открыто обнародуются субъектом персональных данных;

f) обработка необходима для установления, осуществления или защиты отдельного права в рамках административного, судебного или внесудебного производства или в ходе выполнения судебными инстанциями своей судебной функции;

g) обработка требуется исходя из высших общественных интересов на основании нормативных актов, которые являются соразмерными с преследуемой целью, соответствуют сущности права на защиту персональных данных и предусматривают соответствующие и конкретные меры по защите основных прав и свобод субъекта персональных данных;

h) обработка требуется в целях превентивной или трудовой медицины, оценки трудоспособности работника, определения медицинского диагноза, предоставления медицинской или социальной помощи либо медицинского лечения или управления системами и службами здравоохранения или социальной помощи в соответствии с нормативными актами или договорами, заключенными с поставщиком медицинских услуг, и с соблюдением условий и гарантий, предусмотренных частью (3);

i) обработка требуется исходя из общественных интересов в области общественного здоровья, таких как защита от серьезных трансграничных угроз здоровью или обеспечение высоких стандартов качества и безопасности медицинской помощи и лекарств или медицинских изделий, в соответствии с нормативными актами, предусматривающими соответствующие и конкретные меры по защите основных прав и свобод субъекта персональных данных, в частности по защите профессиональной тайны; или

j) обработка требуется в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований либо в статистических целях в соответствии с частью (1) статьи 54.

(3) Персональные данные, указанные в части (1), могут обрабатываться в целях, указанных в пункте h) части (2), в случае их обработки специалистом или под личную ответственность специалиста, на которого возложена обязанность по сохранению профессиональной тайны в соответствии с нормативными актами, или иным лицом, на которого возложена обязанность по соблюдению конфиденциальности в соответствии с нормативными актами.

Статья 10. Обработка персональных данных, касающихся уголовных приговоров и преступлений

(1) Обработка персональных данных, касающихся уголовных приговоров и преступлений или связанных с ними мер безопасности, в соответствии с частью (1) статьи 6 осуществляется исключительно под контролем органа публичной власти и только в случае, когда таковая разрешена в соответствии с нормативными актами, предусматривающими надлежащие гарантии для основных прав и свобод субъектов персональных данных.

(2) Ведение любого общего реестра уголовных приговоров находится исключительно под контролем органа публичной власти.

Статья 11. Обработка, не требующая идентификации

(1) Если в целях обработки оператором не требуется или более не требуется идентификация оператором субъекта персональных данных, оператор не обязан хранить, получать или обрабатывать дополнительную информацию для идентификации соответствующего субъекта с целью соблюдения настоящего закона.

(2) Если в случаях, указанных в части (1), оператор может доказать, что он не в состоянии идентифицировать субъекта персональных данных, он по мере возможностей должен проинформировать соответствующим образом субъекта персональных данных. В таких случаях статьи 15–20 не применяются, только если субъект персональных данных в целях осуществления своих прав в соответствии с этими статьями не предоставит дополнительную информацию, которая позволит его идентифицировать.

Глава III

ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

Часть 1

Прозрачность и способы осуществления прав

субъекта персональных данных

Статья 12. Прозрачность информации, сообщений и способов осуществления прав субъекта персональных данных

(1) Оператор принимает соответствующие меры для предоставления субъекту персональных данных любой указанной в статьях 13 и 14 информации и для передачи в соответствии со статьями 15–22 и 34 любых сообщений об обработке, изложенных простым и понятным языком в краткой, прозрачной, понятной и доступной форме, в частности информации, адресованной ребенку. Информация предоставляется в письменной форме или с использованием других средств, в том числе в электронной форме, когда это целесообразно. По запросу субъекта персональных данных информация может предоставляться в устной форме при условии подтверждения личности субъекта персональных данных другими средствами.

(2) Оператор должен содействовать осуществлению прав субъекта персональных данных в соответствии со статьями 15–22. В случаях, указанных в части (2) статьи 11, оператор не может отказать в удовлетворении заявления субъекта персональных данных об осуществлении им своих прав в соответствии со статьями 15–22, только если оператор не докажет, что не в состоянии идентифицировать субъекта персональных данных.

(3) Оператор должен предоставить субъекту персональных данных информацию о действиях, предпринятых по его заявлению в соответствии со статьями 15–22, без необоснованной задержки, но не позднее одного месяца после получения заявления. При необходимости этот срок может быть продлен на два месяца в зависимости от сложности и количества заявлений. Оператор информирует субъекта персональных данных о любом продлении в течение одного месяца со дня получения заявления, изложив также причины задержки. При подаче субъектом персональных данных заявления в электронной форме информация по возможности предоставляется также в электронной форме, только если субъект персональных данных не запросит их предоставление в иной форме.

(4) В случае непринятия мер по заявлению субъекта персональных данных оператор без необоснованной задержки в срок, не превышающий одного месяца со дня получения заявления, информирует субъекта персональных данных о причинах непринятия мер и о возможности подачи жалобы в Центр и подачи искового заявления.

(5) Информация, предоставляемая в соответствии со статьями 13 и 14, а также любое сообщение и любые меры, принимаемые в соответствии со статьями 15–22 и 34, предоставляются безвозмездно. Если заявления субъекта персональных данных являются явно необоснованными или избыточными, в частности из-за их многократной подачи, оператор может:

a) взыскать разумную плату с учетом административных расходов на предоставление информации или сообщения либо на принятие запрашиваемых мер; или

b) отказать в удовлетворении заявления.

В таких случаях на оператора возлагается бремя доказывания явной необоснованности или избыточности поступившего заявления.

(6) Без ущерба для статьи 11 при наличии обоснованных подозрений в отношении личности физического лица, подающего заявление, указанное в статьях 15–21, оператор может потребовать предоставления дополнительной информации, необходимой для подтверждения личности субъекта персональных данных.

(7) Информация, которая предоставляется субъектам персональных данных в соответствии со статьями 13 и 14, может быть предоставлена вместе со стандартными пиктограммами, чтобы в четкой, понятной и доходчивой форме дать общее представление о запланированной обработке. Предоставленные в электронной форме пиктограммы должны поддаваться автоматическому прочтению.

(8) Центр может утверждать документы для определения информации, которая должна быть предоставлена в виде пиктограмм, и процедуры предоставления стандартных пиктограмм.

Часть 2

Информирование и доступ к персональным данным

Статья 13. Информация, предоставляемая в случае сбора персональных данных от субъектов персональных данных

(1) Если сбор персональных данных, касающихся соответствующего субъекта, производится непосредственно от него, оператор в момент получения этих персональных данных предоставляет субъекту персональных данных следующую информацию:

a) идентификационные и контактные данные оператора и при необходимости его представителя;

b) при необходимости контактные данные лица, ответственного за защиту данных;

c) цели обработки, а также правовое основание такой обработки;

d) в случае осуществления обработки в соответствии с пунктом f) части (1) статьи 6 законные интересы, преследуемые оператором или третьей стороной;

e) получатели или категории получателей персональных данных;

f) при необходимости намерение оператора передать персональные данные получателю в иностранном государстве или международной организации и наличие или отсутствие решения Центра о надлежащем уровне защиты, а в случае передачи, указанной в статьях 46, 47 или части (2) статьи 49, ссылка на надлежащие или соответствующие гарантии и на средства получения их копии в случае, если таковые были предоставлены.

(2) Помимо информации, указанной в части (1), в момент получения персональных данных оператор предоставляет субъекту персональных данных следующую дополнительную информацию, необходимую для обеспечения справедливой и прозрачной обработки:

a) срок, в течение которого должны храниться персональные данные, а в случае невозможности предоставления этой информации – критерии, использованные для определения этого срока;

b) наличие права на обращение к оператору с запросом о доступе к персональным данным, касающимся субъекта персональных данных, об их исправлении или удалении либо об ограничении обработки, равно как и права на возражение против обработки и права на переносимость данных;

c) в случае обработки, осуществляемой в соответствии с пунктом а) части (1) статьи 6 или с пунктом а) части (2) статьи 9, наличие права на отзыв согласия в любое время без ущерба для законности обработки, осуществленной на основании согласия до его отзыва;

d) право на подачу жалобы в Центр;

e) если предоставление персональных данных является юридической или договорной обязанностью или обязанностью, необходимой для заключения договора, и если субъект персональных данных должен предоставлять эти персональные данные, информация о возможных последствиях неисполнения этой обязанности;

f) наличие автоматизированного процесса принятия решений, включая профайлинг согласно частям (1) и (4) статьи 22, а также по меньшей мере в этих указанных случаях относящаяся к делу информация о примененной логической схеме, равно как и о значимости и предполагаемых последствиях этой обработки для субъекта персональных данных.

(3) В случае если оператор намеревается в дальнейшем обрабатывать персональные данные с целью, отличной от цели, для которой был осуществлен их сбор, он предоставляет субъекту персональных данных до указанной дальнейшей обработки информацию об этой вторичной цели и иную дополнительную информацию в соответствии с частью (2).

(4) Положения частей (1)–(3) не применяются в том случае и в той мере, в которых субъект персональных данных уже владеет этой информацией.

Статья 14. Информация, предоставляемая в случае получения персональных данных не от субъекта персональных данных

(1) Если персональные данные были получены не от субъекта персональных данных, оператор предоставляет субъекту персональных данных следующую информацию:

a) идентификационные и контактные данные оператора и при необходимости его представителя;

b) при необходимости контактные данные лица, ответственного за защиту данных;

c) цели обработки, а также правовое основание такой обработки;

d) категории рассматриваемых персональных данных;

e) по обстоятельствам получатели или категории получателей персональных данных;

f) при необходимости намерение оператора передать персональные данные получателю в иностранном государстве или международной организации и наличие или отсутствие решения Центра о надлежащем уровне защиты, а в случае передачи, указанной в статьях 46, 47 или части (2) статьи 49, ссылку на надлежащие или соответствующие гарантии и на средства получения их копии в случае, если таковые были предоставлены.

(2) Помимо информации, указанной в части (1), оператор предоставляет субъекту персональных данных необходимую для обеспечения справедливой и прозрачной обработки в отношении субъекта персональных данных информацию, включающую:

b) в случае осуществления обработки в соответствии с пунктом f) части (1) статьи 6 – законные интересы, преследуемые оператором или третьей стороной;

c) наличие права требовать от оператора в отношении персональных данных, касающихся субъекта персональных данных, доступа к ним, их исправления или удаления либо ограничения обработки, равно как и права возражать против обработки и права на переносимость данных;

d) в случае обработки, осуществляемой в соответствии с пунктом а) части (1) статьи 6 или с пунктом а) части (2) статьи 9, наличие права на отзыв согласия в любое время без ущерба для законности обработки, осуществленной на основании согласия до его отзыва;

e) право на подачу жалобы в Центр;

f) источник происхождения персональных данных и при необходимости информация о происхождении таких данных из общедоступных источников;

g) наличие автоматизированного процесса принятия решений, в том числе профайлинг согласно частям (1) и (4) статьи 22, а также по меньшей мере в этих указанных случаях относящуюся к делу информацию о примененной логической схеме, равно как и о значимости и предполагаемых последствиях такой обработки для субъекта персональных данных.

(3) Оператор предоставляет информацию, указанную в частях (1) и (2):

a) в разумный срок после получения персональных данных, но не превышающий одного месяца, с учетом конкретных обстоятельств обработки;

b) если персональные данные подлежат использованию для общения с субъектом персональных данных, не позднее первого общения соответствующему субъекту персональных данных; или

c) если планируется раскрытие персональных данных другому получателю, не позднее дня их раскрытия в первый раз.

(4) В случае если оператор намеревается обрабатывать в дальнейшем персональные данные с целью, отличной от цели, для которой был осуществлен их сбор, оператор предоставляет субъекту персональных данных до дальнейшей обработки информацию об этой вторичной цели и иную дополнительную информацию в соответствии с частью (2).

(5) Части (1)–(4) не применяются, если:

a) субъект персональных данных уже владеет информацией;

b) предоставление этой информации не представляется возможным или потребовало бы несоразмерных усилий, в частности, в случае обработки в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований или в статистических целях при условии соблюдения требований и гарантий, предусмотренных частью (1) статьи 54, или в том объеме, в котором указанная в части (1) настоящей статьи обязанность может сделать невозможным достижение целей соответствующей обработки или создать серьезный риск для их достижения. В этих случаях оператор принимает соответствующие меры для защиты прав, свобод и законных интересов субъекта персональных данных, включая предоставление информации общественности;

c) получение или раскрытие персональных данных прямо устанавливаются нормативными актами, предусматривающими надлежащие меры по защите законных интересов субъекта персональных данных; или

d) персональные данные должны оставаться конфиденциальными в силу регулируемой нормативными актами законной обязанности, связанной с профессиональной тайной, в том числе законной обязанности по сохранению тайны.

Статья 15. Право на доступ субъекта персональных данных

(1) Субъект персональных данных имеет право получать от оператора информацию, осуществляется ли обработка относящихся к нему персональных данных, и в случае подтверждения обработки получать доступ к соответствующим данным и к следующей информации:

a) цели обработки;

b) категории рассматриваемых персональных данных;

c) получатели или категории получателей, которым были раскрыты или которым должны быть раскрыты персональные данные, в частности получатели в иностранных государствах или международные организации;

d) срок, в течение которого предполагается хранить персональные данные, а в случае невозможности предоставления этой информации – критерии, использованные для определения этого срока;

e) наличие права требовать от оператора исправления или удаления персональных данных либо ограничения обработки персональных данных, касающихся субъекта персональных данных, и права возражать против обработки;

f) право на подачу жалобы в Центр;

g) в случае сбора персональных данных не от субъекта персональных данных – любую имеющуюся информацию об их источнике;

h) наличие автоматизированного процесса принятия решений, включая профайлинг, указанный в частях (1) и (4) статьи 22, а также по меньшей мере в этих указанных случаях относящаяся к делу информация о примененной логической схеме, равно как и о значимости и предполагаемых последствиях этой обработки для субъекта персональных данных.

(2) В случае передачи персональных данных иностранному государству или международной организации субъект персональных данных имеет право получить информацию о надлежащих гарантиях в соответствии со статьей 46.

(3) Оператор должен предоставлять копию персональных данных, ставших объектом обработки. За другие копии, запрошенные субъектом персональных данных, оператор может взимать разумную плату, основанную на административных расходах. Если субъект персональных данных подает заявление в электронной форме, за исключением случая, когда информация запрашивается в иной форме, информация предоставляется в общепринятой электронной форме.

(4) Право на получение копии, указанной в части (3), не затрагивает права и свободы иных субъектов.

Часть 3

Исправление и удаление

Статья 16. Право на исправление

Субъект персональных данных имеет право требовать от оператора исправления без необоснованных задержек относящихся к нему неточных персональных данных. Принимая во внимание цели, в которых обрабатывались персональные данные, субъект персональных данных имеет право требовать дополнения неполных персональных данных, в том числе путем подачи дополнительного заявления.

Статья 17. Право на удаление данных (право забвения)

(1) Субъект персональных данных имеет право требовать от оператора удаления без необоснованных задержек относящихся к нему персональных данных, а оператор обязан удалить без необоснованных задержек персональные данные в любом из следующих случаев:

a) персональные данные более не требуются для достижения целей, в которых они были собраны и обработаны;

b) субъект персональных данных отзывает свое согласие, на основе которого осуществляется обработка, в соответствии с пунктом а) части (1) статьи 6 или с пунктом а) части (2) статьи 9, при этом отсутствует иное законное основание для обработки;

c) субъект персональных данных возражает против обработки в соответствии с частью (1) статьи 21, при этом отсутствуют имеющие преимущественную силу законные основания для обработки, а также в случае, если субъект персональных данных возражает против обработки в соответствии с частью (2) статьи 21;

d) персональные данные были обработаны незаконно;

e) персональные данные должны быть удалены для соблюдения законной обязанности, возложенной на оператора на основании нормативных актов;

f) сбор персональных данных осуществлялся в связи с предоставлением указанных в части (1) статьи 8 услуг информационного общества.

(2) Если оператор обнародовал персональные данные и на основании части (1) обязан их удалить, он должен с учетом доступных технологий и затрат на реализацию принять разумные меры, в том числе технические, чтобы сообщить обрабатывающим персональные данные операторам, что субъект персональных данных потребовал от них удаления любых ссылок на соответствующие данные либо любых копий или воспроизведений этих персональных данных.

(3) Положения частей (1) и (2) не применяются, если обработка необходима:

a) для осуществления права на свободу выражения мнения и на информирование;

b) для соблюдения законной обязанности, предусматривающей обработку, или для выполнения задачи, осуществляемой в общественных интересах или при исполнении официальных полномочий, возложенных на оператора;

c) исходя из общественных интересов в области общественного здоровья в соответствии с пунктами h) и i) части (2) статьи 9 и частью (3) статьи 9;

d) в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований либо в статистических целях в соответствии с частью (1) статьи 54, только если право, указанное в части (1) настоящей статьи, может сделать невозможным достижение целей обработки или создать серьезный риск для их достижения;

e) для установления, осуществления или защиты права в рамках административного, судебного или внесудебного производства.

Статья 18. Право на ограничение обработки

(1) Субъект персональных данных имеет право требовать от оператора ограничения обработки в одном из следующих случаев:

a) субъект персональных данных оспаривает точность персональных данных в течение срока, позволяющего оператору проверить точность данных;

b) обработка является незаконной, и субъект персональных данных возражает против удаления персональных данных, требуя взамен ограничения их использования;

c) оператор больше не нуждается в персональных данных в целях обработки, но субъект персональных данных запрашивает их для установления, осуществления или защиты права в рамках административного, судебного или внесудебного производства;

d) субъект персональных данных возражает против обработки в соответствии с частью (1) статьи 21 на определенный срок, в течение которого проверяется, если законные права оператора имеют преимущественную силу перед законными правами субъекта персональных данных.

(2) Если обработка ограничена на основании части (1), такие персональные данные могут обрабатываться, за исключением хранения, только с согласия субъекта персональных данных или для установления, осуществления или защиты права в рамках административного, судебного или внесудебного производства либо для защиты прав другого физического или юридического лица или по причинам, представляющим важный общественный интерес.

(3) Субъект персональных данных, затребовавший ограничения обработки на основании части (1), информируется оператором до отмены ограничения обработки.

Статья 19. Обязанность по уведомлению об исправлении или удалении персональных данных либо об ограничении обработки

Оператор обязан сообщать каждому получателю, которому были раскрыты персональные данные, о любом исправлении или удалении персональных данных либо об ограничении обработки, осуществляемой в соответствии со статьей 16, частью (1) статьи 17 и статьей 18, за исключением случая, когда это представляется невозможным или требует несоразмерных усилий. Оператор сообщает субъекту персональных данных об указанных получателях, если об этом ходатайствует субъект персональных данных.

Статья 20. Право на переносимость данных

(1) Субъект персональных данных имеет право получать относящиеся к нему персональные данные, которые он предоставил оператору, в структурированной общепринятой и машиночитаемой форме, равно как и право передавать эти данные другому оператору без чинения препятствий оператором, которому были предоставлены персональные данные, в случае:

a) осуществления обработки с согласия в соответствии с пунктом а) части (1) статьи 6 или с пунктом а) части (2) статьи 9 либо на основании договора в соответствии с пунктом b) части (1) статьи 6;

b) осуществления обработки автоматизированными средствами.

(2) При осуществлении своего права на переносимость данных на основании части (1) субъект персональных данных имеет право на передачу персональных данных непосредственно от одного оператора другому, если это технически возможно.

(3) Осуществление права на переносимость данных не затрагивает положения статьи 17. Это право не применяется при обработке, необходимой для выполнения задачи, осуществленной в общественных интересах или при исполнении официальных полномочий, возложенных на оператора.

(4) Право, указанное в части (1), не затрагивает права и свободы иных субъектов.

Часть 4

Право на возражение и индивидуальный автоматизированный

процесс принятия решений

Статья 21. Право на возражение

(1) Субъект персональных данных имеет право в любое время возражать по личным причинам против обработки в соответствии с пунктами e) или f) части (1) статьи 6 относящихся к нему персональных данных, в том числе против профайлинга в соответствии с этими положениями. Оператор не должен более обрабатывать персональные данные, только если не докажет, что наличествуют веские законные и убедительные основания, оправдывающие обработку и имеющие преимущественную силу перед правами, свободами и законными интересами субъекта персональных данных, или что целью обработки являются установление, осуществление или защита законных прав в рамках административного, судебного или внесудебного производства.

(2) Если обработка осуществляется для целей прямого маркетинга, субъект персональных данных имеет право в любое время возразить против обработки относящихся к нему персональных данных, в том числе против профайлинга, в том объеме, в котором это связано с соответствующим прямым маркетингом.

(3) Если субъект персональных данных возражает против обработки для целей прямого маркетинга, персональные данные более не обрабатываются для этих целей.

(4) Не позднее первого общения с субъектом персональных данных о праве, указанном в частях (1) и (2), прямо информируется субъект персональных данных, при этом указанная информация представляется в понятной форме отдельно от любой другой информации.

(5) В контексте использования услуг информационного общества, в отступление от положений Закона об услугах информационного общества № 284/2004, субъект персональных данных может осуществлять свое право на возражение при помощи автоматизированных средств с использованием технических спецификаций.

(6) В случае обработки персональных данных в целях проведения научных или исторических исследований либо в статистических целях в соответствии с частью (1) статьи 54 субъект персональных данных по личным причинам имеет право возражать против обработки относящихся к нему персональных данных, за исключением случая, когда обработка необходима для выполнения определенной задачи, осуществленной в общественных интересах.

Статья 22. Индивидуальный автоматизированный процесс принятия решений, включая профайлинг

(1) Субъект персональных данных имеет право не подпадать под действие основанного исключительно на автоматизированной обработке, включая профайлинг, решения, которое создает юридические последствия для субъекта персональных данных или аналогичным образом воздействует на него в значительной степени.

(2) Положения части (1) не применяются в случае, если:

a) решение необходимо для заключения или выполнения договора между субъектом персональных данных и оператором;

b) решение разрешено нормативными актами, предусматривающими также соответствующие меры по защите прав, свобод и законных интересов субъекта персональных данных; или

c) основанием принятия решения служит четко выраженное согласие субъекта персональных данных.

(3) В случаях, указанных в пунктах a) и c) части (2), оператор применяет соответствующие меры по защите прав, свобод и законных интересов субъекта персональных данных, в частности по защите его права требовать вмешательства со стороны оператора, на выражение своей точки зрения и на обжалование решения.

(4) Решения, указанные в части (2), не могут основываться на особых категориях персональных данных, указанных в части (1) статьи 9, за исключением случая применения пунктов a) или g) части (2) статьи 9 и введения соответствующих мер по защите прав, свобод и законных интересов субъекта персональных данных.

Часть 5

Ограничения

Статья 23. Ограничения

(1) Права и обязанности, предусмотренные статьями 12–22 и 34, а также положения статьи 5, в том объеме, в котором они соответствуют правам и обязанностям, предусмотренным статьями 12–22, могут быть ограничены нормативным актом, если такое ограничение отвечает сущности основных прав и свобод и представляет собой необходимую и соразмерную меру в демократическом обществе, для обеспечения:

a) национальной безопасности;

b) обороны;

c) общественной безопасности;

d) предупреждения, расследования, выявления или уголовного преследования преступлений или исполнения уголовных приговоров, в том числе для защиты от угроз общественной безопасности и для их предотвращения;

e) иных важных задач, представляющих общественный интерес для Республики Молдова, в частности значимый экономический или финансовый интерес для Республики Молдова, в том числе в бюджетно-денежной и налоговой сферах и в области общественного здоровья и общественной безопасности;

f) защиты судебной независимости и судебного производства;

g) предотвращения, расследования, выявления и уголовного преследования нарушения этики в случае регулируемых профессий;

h) функции мониторинга, проверки или регулирования, которые связаны в том числе эпизодически с осуществлением официальных полномочий в случаях, указанных в пунктах a)–e) и g);

i) защиты субъекта персональных данных или прав и свобод иных субъектов;

j) применения гражданско-правовых требований.

(2) Любой закон, принятый в соответствии с частью (1), должен содержать в зависимости от обстоятельств специальные положения по меньшей мере:

a) о целях обработки или категориях обработки;

b) о категориях персональных данных;

c) об области применения введенных ограничений;

d) о гарантиях для предупреждения злоупотреблений или незаконного доступа либо передачи;

e) об указании оператора или категорий операторов;

f) о сроках хранения и применимых гарантиях с учетом характера, области применения и целей обработки или категорий обработки;

g) о рисках для прав и свобод субъектов персональных данных;

h) о праве субъектов персональных данных на получение информации об ограничении, если это не наносит ущерба цели ограничения.

Глава IV

ОПЕРАТОР И ЛИЦО, ДЕЙСТВУЮЩЕЕ

ПО ПОРУЧЕНИЮ ОПЕРАТОРА

Часть 1

Общие обязанности

Статья 24. Ответственность оператора

(1) Учитывая характер, область применения, специфику и цели обработки, а также риски разной степени вероятности и тяжести для прав и свобод физических лиц, оператор применяет соответствующие технические и организационные меры, чтобы гарантировать и быть в состоянии доказать, что обработка осуществляется в соответствии с настоящим законом. Такие меры в случае необходимости пересматриваются и обновляются.

(2) В случае соразмерности с операциями по обработке меры, указанные в части (1), включают применение оператором соответствующей политики защиты данных.

(3) Соблюдение кодексов поведения, утвержденных в соответствии со статьей 40, или механизма сертификации, утвержденного в соответствии со статьей 42, может быть использовано в качестве элемента доказательства исполнения оператором своих обязанностей.

Статья 25. Обеспечение защиты данных с момента создания и по умолчанию

(1) Учитывая современный уровень технического развития, затраты на реализацию и характер, область применения, специфику и цели обработки, а также риски разной степени вероятности и тяжести для прав и свобод физических лиц, с которыми связана обработка, оператор как в момент определения средств обработки, так и непосредственно в момент обработки применяет соответствующие технические и организационные меры, в частности псевдонимизацию, которые предназначены для эффективного применения принципов защиты данных, например минимизации данных, и для обеспечения необходимых гарантий в ходе обработки в целях выполнения требований настоящего закона и защиты прав субъектов персональных данных.

(2) Оператор применяет соответствующие технические и организационные меры для обеспечения обработки по умолчанию только тех персональных данных, которые необходимы для каждой конкретной цели обработки. Эта обязанность распространяется на объем собранных данных, степень обработки, срок хранения и их доступность. В частности, такие меры гарантируют, что по умолчанию доступ к персональным данным неопределенного круга лиц невозможен без вмешательства человека.

(3) Механизм сертификации, утвержденный в соответствии со статьей 42, может быть использован в качестве элемента доказательства выполнения требований, предусмотренных частями (1) и (2) настоящей статьи.

Статья 26. Ассоциированные операторы

(1) В случае совместного определения целей и средств обработки двумя или более операторами таковые являются ассоциированными операторами. Они должны на основе прозрачности определять ответственность каждого в отношении исполнения обязанностей, возлагаемых на них в соответствии с настоящим законом, в частности в отношении осуществления прав и обязанностей субъектов персональных данных по предоставлению информации, предусмотренной статьями 13 и 14, посредством соглашения между ними, за исключением случая, когда обязанности оператора определены нормативными актами. В соглашении может быть определен контактный пункт для субъектов персональных данных.

(2) Соглашение, указанное в части (1), должно надлежащим образом отражать роли и отношения ассоциированных операторов и субъектов персональных данных. Суть этого соглашения доводится до сведения субъекта персональных данных.

(3) Независимо от условий соглашения, указанного в части (1), субъект персональных данных может осуществлять свои права в соответствии с настоящим законом в отношении каждого из операторов.

Статья 27. Представители операторов или лица, действующего по поручению оператора, которые не имеют места нахождения в Республике Молдова

(1) В случае применения части (2) статьи 3 оператор или лицо, действующее по поручению оператора, в письменной форме назначает представителя, имеющего место нахождения в Республике Молдова.

(2) Обязанность, предусмотренная частью (1), не распространяется:

a) на обработку эпизодического характера, которая не включает широкомасштабную обработку особых категорий персональных данных, предусмотренных частью (1) статьи 9, или обработку персональных данных, касающихся уголовных приговоров и преступлений, указанных в статье 10, и которая с низкой степенью вероятности влечет риск для прав и свобод лиц с учетом характера, специфики, области применения и целей обработки;

b) на орган публичной власти или публичное учреждение;

с) на операторов и лиц, действующих по поручению оператора, имеющих место нахождения в государстве – члене Европейского экономического пространства; или

d) на операторов и лиц, действующих по поручению оператора, назначивших представителя, имеющего место нахождения в государстве – члене Европейского экономического пространства.

(3) Представитель получает от оператора или лица, действующего по поручению оператора, полномочия, в силу которых Центр и субъекты персональных данных, в частности, могут обращаться к этому представителю наряду с оператором или лицом, действующим по поручению оператора, или вместо них по всем вопросам, связанным с обработкой, в целях обеспечения соблюдения настоящего закона.

(4) Назначение представителя оператором или лицом, действующим по поручению оператора, не затрагивает право обратиться с жалобой в Центр или подать исковое заявление в судебную инстанцию против оператора или лица, действующего по поручению оператора.

Статья 28. Лицо, действующее по поручению оператора

(1) Если обработка должна осуществляться от имени оператора, оператор привлекает к работе исключительно лиц, действующих по поручению оператора, которые предоставляют достаточные гарантии применения соответствующих технических и организационных мер таким образом, чтобы обработка соответствовала требованиям, предусмотренным настоящим законом, и обеспечивала защиту прав субъекта персональных данных.

(2) Лицо, действующее по поручению оператора, не должно привлекать к работе другое лицо, действующее по поручению оператора, без предварительного получения письменного специального или общего разрешения. В случае общего письменного разрешения лицо, действующее по поручению оператора, информирует оператора о любых запланированных изменениях, касающихся привлечения или замены других лиц, действующих по поручению оператора, тем самым предоставляя оператору возможность высказать замечания в связи с этими изменениями.

(3) Обработка, осуществляемая лицом, действующим по поручению оператора, регулируется в соответствии с законодательством Республики Молдова договором или иным правовым актом, который имеет обязательную силу для лица, действующего по поручению оператора, относительно оператора и который определяет предмет и продолжительность, характер и цель обработки, вид персональных данных и категории субъектов персональных данных, а также обязанности и права оператора. Такой договор или юридический акт предусматривает, что лицо, действующее по поручению оператора:

a) обрабатывает персональные данные исключительно на основании документально оформленных инструкций оператора, включая инструкции о передаче персональных данных, которая осуществляется в соответствии с главой V, за исключением случаев, когда лицо, действующее по поручению оператора, обязано обрабатывать данные в соответствии с нормативными актами. В этом случае лицо, действующее по поручению оператора, должно проинформировать оператора об этой законной обязанности до начала обработки, только если нормативными актами такое информирование не запрещено исходя из важных причин, представляющих общественный интерес;

b) гарантирует, что получившие разрешение на обработку персональных данных лица обязались соблюдать конфиденциальность или соответствующая обязанность по конфиденциальности на них возложена законом;

c) принимает все необходимые меры в соответствии со статьей 32;

d) выполняет указанные в частях (2) и (4) условия привлечения к работе иного лица, действующего по поручению оператора;

e) с учетом характера обработки по мере возможности оказывает помощь оператору путем принятия соответствующих технических и организационных мер для исполнения обязанности оператора отвечать на заявления об осуществлении субъектом персональных данных прав, предусмотренных главой III;

f) оказывает помощь оператору в обеспечении исполнения обязанностей, предусмотренных статьями 32–36, с учетом характера обработки и информации, находящейся в распоряжении лица, уполномоченного оператором;

g) по выбору оператора удаляет или возвращает ему все персональные данные после прекращения предоставления услуг по обработке и удаляет существующие копии, только если нормативные акты не требуют хранения персональных данных;

h) предоставляет оператору всю необходимую информацию для доказательства соблюдения обязанностей, предусмотренных настоящей статьей, разрешает проводить аудиторские проверки, в том числе проверки, осуществляемые другим оператором или уполномоченным аудитором, и оказывает им содействие. Лицо, действующее по поручению оператора, без необоснованных задержек информирует оператора, если, по его мнению, какая-либо инструкция нарушает закон о защите персональных данных.

(4) Если лицо, действующее по поручению оператора, привлекает к работе другое лицо, действующее по поручению оператора, для осуществления конкретной деятельности по обработке от имени оператора, такие же обязанности по защите данных, предусмотренные в договоре или ином правовом акте, заключенном между оператором и лицом, действующим по поручению оператора, в порядке, предусмотренном частью (3), возлагаются на второе лицо, действующее по поручению оператора, по договору или иному правовому акту на основании законодательства Республики Молдова, в частности, по предоставлению достаточных гарантий применения соответствующих технических и организационных мер, с тем чтобы обработка отвечала требованиям настоящего закона. В случае неисполнения вторым лицом, действующим по поручению оператора, своих обязанностей по защите данных лицо, изначально действующее по поручению оператора, несет полную ответственность перед оператором за исполнение обязанностей вторым лицом, действующим по поручению оператора.

(5) В качестве элемента, доказывающего наличие достаточных гарантий, указанных в частях (1) и (4) настоящей статьи, может использоваться присоединение лица, действующего по поручению оператора, к кодексу поведения, утвержденному в соответствии со статьей 40, или к механизму сертификации, утвержденному в соответствии со статьей 42.

(6) Без ущерба для индивидуального договора, заключенного между оператором и лицом, действующим по поручению оператора, договор или иной правовой акт, указанный в частях (3) и (4), может полностью или частично основываться на стандартных условиях договора, указанных в части (7), в том числе тогда, когда они являются частью сертификации, предоставленной оператору или лицу, действующему по поручению оператора, в соответствии со статьями 42 и 43.

(7) Центр утверждает стандартные условия договора в отношении аспектов, указанных в частях (3) и (4).

(8) Договор или иной правовой акт, указанный в частях (3) и (4), оформляется как в письменной, так и в электронной форме.

(9) Без ущерба для положений статей 76 и 86–88 в случае нарушения настоящего закона лицом, действующим по поручению оператора, путем определения целей и средств обработки лицо, действующее по поручению оператора, признается оператором в отношении этой обработки.

Статья 29. Осуществление деятельности по обработке от имени оператора или лица, действующего по поручению оператора

Лицо, действующее по поручению оператора, и любое лицо, действующее от имени оператора или лица, действующего по поручению оператора, которое имеет доступ к персональным данным, обрабатывают их только в соответствии с инструкциями оператора, за исключением случая, когда к обработке данных обязывают нормативные акты.

Статья 30. Учет деятельности по обработке

(1) Оператор, а в необходимых случаях и его представитель ведут учет деятельности по обработке, осуществляемой под их руководством. Такие учетные записи содержат следующую информацию:

a) имя и контактные данные оператора и при необходимости ассоциированного оператора, представителя оператора и лица, ответственного за защиту данных;

b) цели обработки;

c) описание категорий субъектов персональных данных и категорий персональных данных;

d) категории получателей, которым были или будут раскрыты персональные данные, в том числе получателей в иностранных государствах или международных организациях;

e) при необходимости – передача персональных данных иностранному государству или международной организации, в том числе указание этого государства или этой международной организации, а в случае передачи, указанной в части (2) статьи 49, – документация, доказывающая наличие надлежащих гарантий;

f) в зависимости от возможностей – запланированные предельные сроки удаления разных категорий данных;

g) в зависимости от возможностей – общее описание технических и организационных мер безопасности, указанных в части (1) статьи 32.

(2) Лицо, действующее по поручению оператора, а в необходимых случаях и представитель лица, действующего по поручению оператора, должны хранить учетные записи всех категорий действий по обработке, выполненных от имени оператора, которые содержат:

a) имя и контактные данные лица или лиц, действующих по поручению оператора, и оператора, от имени которого действуют эти лица, а в необходимых случаях – представителя оператора или представителя лица, действующего по поручению оператора;

b) категории видов деятельности по обработке, выполненных от имени оператора;

c) при необходимости – передача персональных данных иностранному государству или международной организации, в том числе указание этого государства или этой международной организации, а в случае передачи, указанной в части (2) статьи 49, – документация, доказывающая наличие надлежащих гарантий;

d) в зависимости от возможностей – общее описание технических и организационных мер безопасности, указанных в части (1) статьи 32.

(3) Учетные записи, указанные в частях (1) и (2), ведутся как в письменной, так и в электронной форме.

(4) Оператор или лицо, действующее по поручению оператора, а в необходимых случаях и представитель оператора или лица, действующего по поручению оператора, передают учетные записи в распоряжение Центра по его требованию.

(5) Обязанности, указанные в частях (1) и (2), не распространяются на предприятие или организацию, в которых работают менее 250 работников, за исключением случая, когда осуществляемая ими обработка может привести к возникновению риска для прав и свобод субъектов персональных данных, когда обработка не является случайной либо включает предусмотренные частью (1) статьи 9 особые категории персональных данных или предусмотренные статьей 10 персональные данные, касающиеся уголовных приговоров и преступлений.

Статья 31. Сотрудничество с Центром

Оператор и лицо, действующее по поручению оператора, а в необходимых случаях и их представитель по запросу сотрудничают с Центром при выполнении им своих обязанностей.

Часть 2

Безопасность персональных данных

Статья 32. Безопасность обработки

(1) Учитывая современный уровень технического развития, затраты на реализацию и характер, область применения, специфику и цели обработки, а также риски разной степени вероятности и тяжести для прав и свобод физических лиц, оператор и лицо, действующее по поручению оператора, принимают соответствующие технические и организационные меры в целях обеспечения соразмерного с этими рисками уровня безопасности, которые включают, помимо прочего, в зависимости от обстоятельств:

a) псевдонимизацию и шифрование персональных данных;

b) способность обеспечивать конфиденциальность, целостность, доступность и устойчивость систем и услуг по обработке;

c) возможность своевременного восстановления персональных данных и доступа к ним в случае возникновения инцидента физического или технического характера;

d) процедуру регулярного тестирования, оценки и определения эффективности технических и организационных мер по гарантированию безопасности обработки.

(2) При оценке достаточности уровня безопасности особо учитываются связанные с обработкой риски, вызванные, в частности, случайным или незаконным уничтожением, утратой, изменением, несанкционированным раскрытием персональных данных, передаваемых, хранящихся или обрабатываемых иным способом, либо несанкционированным доступом к ним.

(3) Соблюдение кодекса поведения, утвержденного в соответствии со статьей 40, или механизма сертификации, утвержденного в соответствии со статьей 42, может использоваться в качестве аргумента, доказывающего выполнение требований, предусмотренных частью (1).

(4) Оператор и лицо, действующее по поручению оператора, принимают меры для обеспечения того, чтобы физическое лицо, действующее с санкции оператора или лица, действующего по поручению оператора, и имеющее доступ к персональным данным, обрабатывали их только на основании инструкций оператора, за исключением случая, когда к обработке персональных данных обязывают нормативные акты.

Статья 33. Уведомление Центра в случае нарушения безопасности персональных данных

(1) В случае нарушения безопасности персональных данных оператор без необоснованных задержек уведомляет о нем Центр, по мере возможности не позднее 72 часов со дня, когда ему стало об этом известно, за исключением случая, когда вероятность, что нарушение повлечет риск для прав и свобод физических лиц, крайне мала. Уведомление, не поступившее в течение 72 часов, сопровождается мотивированным обоснованием задержки.

(2) Лицо, действующее по поручению оператора, без необоснованной задержки уведомляет оператора о нарушении безопасности персональных данных.

(3) Уведомление, указанное в части (1), по меньшей мере содержит:

a) описание характера нарушения безопасности персональных данных, в том числе – по мере возможности – категории и приблизительное количество соответствующих субъектов персональных данных, а также категории и приблизительное количество записей соответствующих персональных данных;

b) имя и контактные данные лица, ответственного за защиту данных, или сведения о контактном пункте, где можно получить более подробную информацию;

c) описание возможных последствий нарушения безопасности персональных данных;

d) описание мер, принятых или предлагаемых к принятию оператором, по устранению проблемы, связанной с нарушением безопасности персональных данных, включая при необходимости меры по смягчению возможных негативных воздействий.

(4) В том случае и в том объеме, в которых предоставление всей информации в одно и то же время невозможно, таковая может быть предоставлена в несколько этапов без необоснованной задержки.

(5) Оператор должен хранить документы, касающиеся всех случаев нарушения безопасности персональных данных, которые содержат описание фактической ситуации, в которой произошло нарушение безопасности персональных данных, а также последствий этого нарушения и принятых по его устранению мер. Такая документация должна предоставлять Центру возможность проверять выполнение настоящей статьи.

Статья 34. Информирование субъекта персональных данных о нарушении безопасности персональных данных

(1) В случае наличия вероятности, что нарушение безопасности персональных данных повлечет высокий риск для прав и свобод физических лиц, оператор без необоснованных задержек информирует об этом нарушении субъекта персональных данных.

(2) В передаваемую субъекту персональных данных информацию, предусмотренную частью (1), включается простым и понятным языком изложенное описание характера нарушения безопасности персональных данных, а также по меньшей мере информация и меры, предусмотренные пунктами b)–d) части (3) статьи 33.

(3) Информирование субъекта персональных данных, предусмотренное частью (1), не требуется в случае выполнения одного из следующих условий:

a) оператор принял соответствующие технические и организационные меры защиты, и эти меры были применены в случае персональных данных, в отношении которых было допущено нарушение безопасности персональных данных, в частности меры, обеспечивающие, чтобы персональные данные стали непонятными для любого лица, не имеющего разрешения на доступ к ним, например шифрование;

b) оператор принял дальнейшие меры, обеспечивающие невозможность реализации высокого риска для прав и свобод субъектов персональных данных, указанный в части (1);

c) если информирование требует несоразмерных усилий. В таком случае производится публичное информирование или принимается аналогичная мера, с помощью которой субъекты персональных данных информируются столь же эффективным способом.

(4) Если оператор не информирует о нарушении безопасности персональных данных субъекта персональных данных, Центр, принимая во внимание вероятность того, что нарушение безопасности персональных данных повлечет высокий риск, может потребовать от оператора проинформировать субъекта персональных данных или принять решение, что выполняется одно из условий, указанных в части (3).

Часть 3

Оценка воздействия на защиту персональных

данных и предварительная консультация

Статья 35. Оценка воздействия на защиту персональных данных

(1) Принимая во внимание характер, область применения, специфику и цели обработки, когда вероятность того, что определенный вид обработки, основанный, в частности, на использовании новых технологий, влечет высокий риск для прав и свобод физических лиц, оператор до начала обработки проводит оценку воздействия запланированных операций по обработке на защиту персональных данных. В отношении совокупности аналогичных операций по обработке, представляющих одинаково высокий по уровню риск, может проводиться отдельная оценка.

(2) При проведении оценки воздействия на защиту персональных данных оператор запрашивает заключение лица, ответственного за защиту данных, если таковое было назначено.

(3) Указанная в части (1) оценка воздействия на защиту данных требуется, в частности, в случае:

a) систематической и всесторонней оценки личностных аспектов, касающихся физических лиц, которая основывается на автоматической обработке, включая профайлинг, и лежит в основе решений, создающих юридические последствия для физического лица или аналогичным образом воздействующих на него в значительной степени;

b) широкомасштабной обработки особых категорий данных, предусмотренных частью (1) статьи 9, или персональных данных, касающихся уголовных наказаний или преступлений, предусмотренных статьей 10;

c) систематического широкомасштабного мониторинга открытой для общего доступа области.

(4) Центр утверждает перечень видов операций по обработке, на которые распространяется требование о проведении оценки воздействия на защиту данных в соответствии с частью (1).

(5) Центр может утверждать перечень видов операций по обработке, для которых не требуется оценка воздействия на защиту персональных данных.

(6) Перечни, утвержденные в соответствии с частями (4) и (5), публикуются в Официальном мониторе Республики Молдова и на официальной веб-странице Центра.

(7) Оценка по меньшей мере содержит:

a) систематизированное описание запланированных операций по обработке и целей обработки, включая в зависимости от обстоятельств преследуемый оператором законный интерес;

b) оценку необходимости и пропорциональности операций по обработке, связанных с этими целями;

c) оценку рисков для прав и свобод указанных в части (1) субъектов персональных данных; и

d) меры, запланированные для рассмотрения рисков, включая гарантии, меры безопасности и механизмы, призванные обеспечить защиту персональных данных и доказать выполнение положений настоящего закона с учетом прав и законных интересов субъектов персональных данных и иных заинтересованных лиц.

(8) При оценке воздействия операций по обработке, выполняемых оператором или лицами, действующими по поручению оператора, в частности в целях оценки воздействия на защиту персональных данных, должным образом должно учитываться соблюдение оператором или лицами, действующими по поручению оператора, кодексов поведения в случае их утверждения в соответствии со статьей 40.

(9) Оператор запрашивает в случае необходимости мнение субъектов персональных данных или их представителей о запланированной обработке без ущерба для защиты коммерческих или общественных интересов либо для безопасности операций по обработке.

(10) В случае обработки в соответствии с пунктами с) или е) части (1) статьи 6 положения частей (1)–(7) настоящей статьи не применяются, если оценка воздействия на защиту данных уже была проведена в рамках общей оценки воздействия в контексте принятия нормативных актов, которые предусматривают правовые основания для обработки, за исключением случая, когда нормативные акты предусматривают необходимость проведения оценки воздействия на защиту персональных данных до выполнения операций по обработке.

(11) В случае необходимости оператор проводит анализ для того, чтобы оценить, выполняется ли обработка в соответствии с оценкой воздействия на защиту персональных данных по меньшей мере в случае изменения риска, который представляют операции по обработке.

Статья 36. Предварительная консультация

(1) До начала обработки оператор должен консультироваться с Центром, если оценка воздействия на защиту данных указывает на тот факт, что обработка может повлечь высокий риск, если оператором не будут приняты меры для снижения риска.

(2) В случае если устанавливается, что запланированная обработка, указанная в части (1), может нарушить настоящий закон, в частности, если риск не был выявлен оператором или не был им в достаточной мере снижен, Центр предоставляет оператору, а в необходимых случаях и лицу, действующему по поручению оператора, письменную рекомендацию в срок, не превышающий восьми недель после получения запроса о проведении консультации, а также может воспользоваться любым из своих полномочий, указанных в статье 60. В зависимости от сложности запланированной обработки этот срок может быть продлен на шесть недель. В месячный срок после получения запроса Центр информирует оператора, а в необходимых случаях и лицо, действующее по поручению оператора, о таком продлении с изложением оснований задержки. Течение этих сроков может быть приостановлено до получения Центром информации, запрошенной им в целях консультации.

(3) Проконсультировавшись с Центром в соответствии с частью (1), оператор предоставляет ему информацию, содержащую:

a) при необходимости соответствующие обязанности оператора, ассоциированных операторов и лиц, действующих по поручению оператора, которые участвуют в деятельности по обработке персональных данных, в частности по обработке в рамках группы предприятий;

b) цели и средства запланированной обработки;

c) меры и гарантии, предусмотренные для защиты прав и свобод субъектов персональных данных в соответствии с настоящим законом;

d) при необходимости контактные данные лица, ответственного за защиту данных;

e) оценку воздействия на защиту персональных данных; и

f) иные запрошенные Центром сведения.

(4) Проекты нормативных актов, содержащие положения, касающиеся обработки персональных данных, передаются на согласование в Центр в соответствии с Законом о нормативных актах № 100/2017.

Часть 4

Лицо, ответственное за защиту данных

Статья 37. Назначение лица, ответственного за защиту данных

(1) Оператор и лицо, действующее по поручению оператора, назначают лицо, ответственное за защиту данных, если:

a) обработка осуществляется органом публичной власти или публичным учреждением, за исключением судебных инстанций, осуществляющих деятельность по отправлению правосудия;

b) основная деятельность оператора или лица, действующего по поручению оператора, состоит из операций по обработке, которые по своему характеру, области применения и/или целям требуют регулярного и системного широкомасштабного мониторинга субъектов персональных данных; или

c) основная деятельность оператор и лица, действующего по поручению оператора, заключаются в широкомасштабной обработке предусмотренных статьей 9 особых категорий персональных данных или предусмотренных статьей 10 персональных данных, касающихся уголовных приговоров и преступлений.

(2) Группа предприятий может назначить одно лицо, ответственное за защиту данных, при условии обеспечения свободного доступа к нему для каждого места нахождения соответствующих предприятий.

(3) Если оператором и лицом, действующим по поручению оператора, является орган публичной власти или публичное учреждение, для нескольких таких органов или учреждений с учетом их организационной структуры и масштабов может быть назначено одно лицо, ответственное за защиту данных.

(4) В иных, кроме указанных в части (1), случаях оператор или лицо, действующее по поручению оператора либо объединения и иные организации, относящиеся к категории операторов или лиц, действующих по поручению оператора, могут назначить либо в случае, когда этого требуют нормативные акты, назначают лицо, ответственное за защиту данных. Лицо, ответственное за защиту данных, может действовать от имени таких объединений и иных организаций, являющихся операторами и лицами, действующими по поручению операторов.

(5) Лицо, действующее по поручению оператора, назначается на основании своих профессиональных качеств и, в частности специальных знаний в области законодательства и практики в области защиты данных, а также способности выполнять задачи, предусмотренные статьей 39.

(6) Лицо, ответственное за защиту данных, может также являться работником оператора или лица, действующего по поручению оператора, либо выполнять свои задачи на основании договора об оказании услуг.

(7) Оператор или лицо, действующее по поручению оператора, публикуют контактные данные лица, ответственного за защиту данных, и сообщают их Центру.

Статья 38. Функции лица, ответственного за защиту данных

(1) Оператор и лицо, действующее по поручению оператора, обеспечивают надлежащее и своевременное участие лица, ответственного за защиту данных, в решении всех вопросов, связанных с защитой персональных данных.

(2) Оператор и лицо, действующее по поручению оператора, оказывают лицу, ответственному за защиту данных, поддержку в выполнении всех задач, предусмотренных статьей 39, предоставляя ему ресурсы, необходимые для выполнения поставленных задач, для получения доступа к персональным данным и операциям по обработке, а также для поддержания им уровня своих экспертных знаний.

(3) Оператор и лицо, действующее по поручению оператора, гарантируют, что лицо, ответственное за защиту данных, не получает каких-либо указаний в ходе выполнения своих задач. Оператор и лицо, действующее по поручению оператора, не отстраняют лицо, ответственное за защиту данных, или не применяют к нему наказание в связи с выполнением своих задач. Лицо, ответственное за защиту данных, несет непосредственную ответственность перед высшим руководством оператора или лицом, действующим по поручению оператора.

(4) Субъекты персональных данных могут обращаться к лицу, ответственному за защиту данных, по вопросам, связанным с обработкой их персональных данных и осуществлением ими своих прав в соответствии с настоящим законом.

(5) Лицо, ответственное за защиту данных, обязано соблюдать секретность или конфиденциальность при выполнении своих задач в соответствии с нормативными актами.

(6) Лицо, ответственное за защиту данных, может выполнять также иные задачи и полномочия. Оператор и лицо, действующее по поручению оператора, гарантируют, что ни одна из этих задач, равно как и ни одно из этих полномочий не влечет конфликта интересов.

Статья 39. Задачи лица, ответственного за защиту данных

(1) Лицо, ответственное за защиту данных, выполняет по меньшей мере следующие задачи:

a) информирует и консультирует оператора или лицо, действующее по поручению оператора, а также работников, занятых обработкой данных, об их обязанностях, возлагаемых на них настоящим законом и иными нормативными актами, касающимися защиты данных;

b) осуществляет мониторинг соблюдения настоящего закона и иных нормативных актов, касающихся защиты данных, а также политики оператора или лица, действующего по поручению оператора, в отношении защиты персональных данных, в том числе распределение ответственности, и повышающих осведомленность мероприятия по подготовке персонала, занятого в операциях по обработке, а также соответствующих аудиторских проверок;

c) по запросу предоставляет консультации по оценке воздействия на защиту данных и осуществляет мониторинг ее функциональности в соответствии со статьей 35;

d) сотрудничает с Центром;

e) исполняет роль контактного лица Центра по вопросам, связанным с обработкой, включая предварительную консультацию, предусмотренную статьей 36, а в необходимых случаях предоставляет консультации по другим вопросам.

(2) При выполнении своих задач лицо, ответственное за защиту данных, в должной мере учитывает риск, связанный с операциями по обработке, принимая во внимание характер, сферу применения, специфику и цели обработки.

Часть 5

Кодексы поведения и сертификация

Статья 40. Кодексы поведения

(1) Центр поощряет разработку кодексов поведения, призванных способствовать надлежащему применению настоящего закона, с учетом конкретных особенностей различных секторов обработки и особых потребностей микро-, малых и средних предприятий.

(2) Объединения и иные организации, представляющие категории операторов или лиц, действующих по поручению оператора, могут разрабатывать кодексы поведения или вносить изменения в существующие кодексы в целях определения порядка применения настоящего закона, в частности, относительно:

a) справедливой и прозрачной обработки;

b) законных интересов, преследуемых операторами в конкретных ситуациях;

c) сбора персональных данных;

d) псевдонимизации персональных данных;

e) информирования общественности и субъектов персональных данных;

f) осуществления прав субъектов персональных данных;

g) информирования и защиты детей, а также надлежащего способа получения согласия законных представителей детей;

h) мер и процедур, предусмотренных статьями 24 и 25, а также мер по обеспечению безопасности обработки, предусмотренных статьей 32;

i) уведомления Центра о нарушениях безопасности персональных данных и информирования субъектов персональных данных об этих нарушениях;

j) передачи персональных данных иностранным государствам или международным организациям; или

k) внесудебного производства и иных процедур разрешения споров для урегулирования разногласий между операторами и субъектами персональных данных в отношении обработки, не затрагивающей права субъектов персональных данных, предусмотренных статьями 72 и 74.

(3) Помимо операторов и лиц, действующих по поручению оператора, которые подпадают под действие настоящего закона, кодексы поведения, утвержденные в соответствии с частью (5), могут быть приняты также операторами и лицами, действующими по поручению оператора, которые не подпадают под действие настоящего закона в соответствии со статьей 3, в целях предоставления надлежащих гарантий в ходе передачи персональных данных иностранным государствам или международным организациям в соответствии с пунктом d) части (2) статьи 46. Эти операторы и лица, действующие по поручению операторов, должны принимать на себя обязанности, подлежащие обязательному исполнению посредством договорных инструментов или иных обязательных правовых актов, применять соответствующие надлежащие гарантии, в том числе гарантии, касающиеся прав субъектов персональных данных.

(4) Кодекс поведения, предусмотренный частью (2), содержит механизмы, позволяющие органу, указанному в части (1) статьи 41, осуществлять обязательный мониторинг соблюдения его положений операторами или лицами, действующими по поручению оператора, которые обязуются его применять без ущерба для задач и полномочий Центра.

(5) Объединения и другие организации, указанные в части (2), которые намереваются разработать кодекс поведения или внести изменения в существующий кодекс, передают проект кодекса или вносимых в него изменений в Центр. Центр выносит заключение о соответствии проекта кодекса или вносимых в него изменений настоящему закону и утверждает его, если установит, что он предоставляет достаточные надлежащие гарантии.

(6) В случае утверждения проекта кодекса или вносимых в него изменений в соответствии с частью (5) Центр регистрирует и публикует кодекс на своей официальной веб-странице.

(7) Центр ведет учет утвержденных кодексов поведения и вносимых в них изменений в реестре и обеспечивает опубликование на своей официальной веб-странице обновленных и объединенных текстов кодексов поведения после утверждения внесенных в них изменений.

Статья 41. Мониторинг утвержденных кодексов поведения

(1) Без ущерба для задач и полномочий Центра, предусмотренных статьями 59 и 60, мониторинг соблюдения кодекса поведения, утвержденного в соответствии со статьей 40, может осуществляться органом, обладающим соответствующим уровнем экспертизы в отношении предмета кодекса и аккредитованным с этой целью Центром.

(2) Орган, указанный в части (1), может быть аккредитован для осуществления мониторинга соблюдения кодекса поведения, если:

a) на удовлетворительном уровне продемонстрировал Центру свою независимость и компетентность в отношении предмета кодекса;

b) разработал процедуры, позволяющие ему оценивать правомочность операторов и лиц, действующих по поручению оператора, в отношении применения кодекса, осуществлять мониторинг соблюдения ими положений кодекса и регулярно пересматривать его функционирование;

c) разработал процедуры и структуры по рассмотрению и разрешению жалоб, связанных с нарушением кодекса или с порядком, в котором применялся или применяется кодекс оператором или лицом, действующим по поручению оператора, а также с обеспечением прозрачности этих процедур и структур для субъектов персональных данных и для общественности; и

d) на удовлетворительном уровне продемонстрировал Центру, что его задачи и полномочия не влекут конфликт интересов.

(3) Центр утверждает требования к аккредитации органа, указанного в части (1).

(4) Без ущерба для задач и полномочий Центра орган, указанный в части (1), принимает соответствующие меры при условии предоставления надлежащих гарантий в случае нарушения кодекса оператором или лицом, действующим по поручению оператора, включая отстранение этого оператора или лица, действующего по поручению оператора, от кодекса или исключение из него. Соответствующий орган информирует Центр об этих мерах и причинах, обусловивших их принятие.

(5) Центр отзывает аккредитацию органа, указанного в части (1), если требования к аккредитации более не соблюдаются либо если меры, принятые соответствующим органом, нарушают настоящий закон.

(6) Настоящая статья не применяется при обработке, осуществляемой органами публичной власти и публичными учреждениями.

Статья 42. Сертификация

(1) Центр поддерживает создание механизмов сертификации в области защиты персональных данных, а также печатей и меток, которые позволяют продемонстрировать, что операции по обработке, выполняемые операторами или лицами, действующими по поручению оператора, осуществляются в соответствии с настоящим законом. При этом учитываются особые потребности микро-, малых и средних предприятий.

(2) Механизмы сертификации в области защиты персональных данных, печати и метки, утвержденные в соответствии с частью (5), вводятся не только для их соблюдения операторами или лицами, действующими по поручению оператора, которые подпадают под действие настоящего закона, но и для демонстрации наличия надлежащих гарантий, предоставляемых операторами или лицами, действующими по поручению оператора, которые не подпадают под действие настоящего закона в соответствии со статьей 3, при передаче персональных данных иностранным государствам или международным организациям в соответствии с пунктом е) части (2) статьи 46. Эти операторы или лица, действующие по поручению оператора, должны принять на себя обязательные для исполнения обязанности посредством договорных инструментов или иных обязательных правовых актов в целях применения соответствующих гарантий, в том числе в отношении прав субъектов персональных данных.

(3) Сертификация является добровольной и доступной в рамках прозрачного процесса.

(4) Сертификация в соответствии с настоящей статьей не снижает ответственность оператора или лица, действующего по поручению оператора, за соблюдение настоящего закона и не затрагивает задачи и полномочия Центра.

(5) Органы по сертификации, указанные в статье 43, или Центр предоставляют сертификацию в соответствии с настоящей статьей на основании утвержденных Центром критериев сертификации.

(6) Оператор или лицо, действующее по поручению оператора, которое применяет в своей деятельности по обработке механизм сертификации, предоставляют органу по сертификации или в зависимости от обстоятельств Центру всю необходимую информацию для проведения процедуры сертификации, а также доступ к соответствующей деятельности по обработке.

(7) Сертификация предоставляется оператору или лицу, действующему по поручению оператора, на срок, не превышающий трех лет, и может продлеваться на тех же основаниях при условии дальнейшего соблюдения применимых критериев. Сертификация отзывается в зависимости от обстоятельств органами по сертификации или Центром, если критерии сертификации более не выполняются.

(8) Центр вносит все механизмы сертификации, а также печати и метки для защиты персональных данных в реестр и публикует их на своей официальной веб-странице.

Статья 43. Органы по сертификации

(1) Без ущерба для задач и полномочий Центра, предусмотренных статьями 59 и 60, органы по сертификации, обладающие надлежащим уровнем компетентности в области защиты персональных данных, после информирования Центра в целях исполнения им полномочий, предусмотренных пунктом h) части (2) статьи 60, предоставляют и обновляют сертификацию.

(2) Орган по сертификации аккредитуется Национальным центром аккредитации, если:

a) на удовлетворительном уровне продемонстрировал Национальному центру по защите персональных данных свою независимость и компетентность в отношении предмета сертификации;

b) обязался соответствовать критериям, утвержденным в соответствии с частью (5) статьи 42;

c) разработал процедуры выдачи, периодического пересмотра и отзыва сертификации, печатей и меток в области защиты персональных данных;

d) разработал процедуры и структуры по рассмотрению и разрешению жалоб, связанных с нарушением сертификации или с порядком, как применялась или применяется сертификация оператором или лицом, действующим по поручению оператора, а также с обеспечением прозрачности этих процедур и структур для субъектов персональных данных и для общественности; и

e) на удовлетворительном уровне продемонстрировал Национальному центру по защите персональных данных, что его задачи и полномочия не влекут конфликт интересов.

(3) Аккредитация органов по сертификации, указанных в частях (1) и (2), осуществляется на основании утвержденных Центром требований к аккредитации. Эти требования дополняют требования, предусмотренные Законом о деятельности по аккредитации и оценке соответствия № 235/2011, а также технические правила, описывающие методы и процедуры органов по сертификации.

(4) Органы по сертификации, указанные в части (1), несут ответственность за осуществление соответствующей оценки в целях сертификации или ее отзыва, без ущерба для ответственности оператора или лица, действующего по поручению оператора, за соблюдение настоящего закона. Срок предоставления аккредитации не превышает пяти лет и может продлеваться на тех же условиях в случае соответствия органа по сертификации требованиям, предусмотренным настоящей статьей.

(5) Органы по сертификации, указанные в части (1), информируют Национальный центр по защите персональных данных об основаниях выдачи или отзыва сертификатов.

(6) Требования, указанные в части (3), и критерии, указанные в части (5) статьи 42, публикуются Национальным центром по защите персональных данных на своей официальной веб-странице.

(7) Национальный центр по аккредитации, в том числе по запросу Национального центра по защите персональных данных, отзывает аккредитацию, предоставленную органу по сертификации в соответствии с частью (1), если условия аккредитации не соблюдаются или перестают соблюдаться или если меры, принятые органом по аккредитации, нарушают настоящий закон.

(8) Национальный центр по защите персональных данных может утвердить технические стандарты для механизмов сертификации и для печатей и меток в области защиты персональных данных, а также механизмы продвижения и признания этих механизмов сертификации, печатей и меток.

Глава V

ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ИНОСТРАННЫМ ГОСУДАРСТВАМ

ИЛИ МЕЖДУНАРОДНЫМ ОРГАНИЗАЦИЯМ

Статья 44. Общий принцип передачи

(1) Любые персональные данные, которые уже обрабатываются или только подлежат обработке после их передачи иностранному государству или международной организации, могут быть переданы только в том случае, если с учетом иных положений настоящего закона оператором или лицом, действующим по поручению оператора, соблюдаются условия, предусмотренные настоящей главой, в том числе в отношении последующей передачи персональных данных иностранным государством или международной организацией другому государству или другой международной организации. Все положения настоящей главы применяются для обеспечения того, чтобы уровень защиты физических лиц, гарантируемый настоящим законом, оставался неизменным.

(2) Настоящая глава не применяется к передаче персональных данных государствам – членам Европейского экономического пространства. В случае такой передачи специальные разрешения не требуются.

Статья 45. Передача на основании решения об адекватном уровне защиты

(1) Передача персональных данных иностранному государству или международной организации осуществляется, если Центр принимает решение, что государство, отдельная территория или один либо несколько отдельных секторов этого государства или международная организация обеспечивают адекватный уровень защиты. Осуществляемая на таких условиях передача не требует специальных разрешений.

(2) При оценке адекватности уровня защиты Центр учитывает, в частности, следующие элементы:

a) правовое государство, соблюдение основных прав и свобод, применимое законодательство, как общее, так и отраслевое, в том числе законодательство в области общественной безопасности, обороны, национальной безопасности и уголовного права, доступ органов публичной власти к персональным данным, а также применение этого законодательства, правила защиты данных, профессиональные нормы и меры по безопасности, включая правила последующей передачи персональных данных иностранному государству или международной организации, которые соблюдаются этим государством или этой международной организацией, правосудие, а также наличие гарантированных и юридически защищенных прав субъектов персональных данных и эффективных средств административной и судебной защиты для субъектов персональных данных, персональные данные которых подлежат передаче;

b) наличие и эффективное функционирование одного или нескольких независимых надзорных органов в иностранном государстве или в государстве, под юрисдикцией которого находится международная организация, которые отвечают за обеспечение соблюдения и принуждение к соблюдению правил защиты персональных данных, в том числе посредством надлежащих полномочий по обеспечению соблюдения применения, оказания помощи и поддержки субъектам персональных данных по вопросам осуществления их прав, равно как и в сфере сотрудничества с Центром;

c) международные обязательства, выполняемые соответствующим государством или международной организацией, или иные обязанности, вытекающие из международных договоров, а также из их участия в многосторонних или региональных программах, в частности в области защиты персональных данных; и

d) решения Европейской комиссии об адекватности уровня защиты.

(3) После оценки адекватности уровня защиты Центр может принять решение, что иностранное государство, отдельная территория или один или несколько отдельных секторов этого государства или международная организация обеспечивают адекватный уровень защиты в соответствии с частью (2). Решение предусматривает механизм регулярного пересмотра не реже одного раза в четыре года, который учитывает соответствующие изменения в иностранном государстве или в международной организации. Решение устанавливает географическое и секторальное применение и в зависимости от обстоятельств определяет надзорный орган или надзорные органы, указанные в пункте b) части (2).

(4) Центр ведет непрерывный мониторинг изменений в иностранных государствах и международных организациях, которые могут оказать влияние на выполнение решений, принятых в соответствии с частью (3), и решений, принятых до вступления в силу настоящего закона.

(5) В случае, когда имеющаяся информация раскрывает, в частности, в результате указанной в части (3) проверки, что иное государство, отдельная территория либо отдельный сектор этого государства или международная организация больше не гарантируют адекватный уровень защиты в соответствии с частью (2), Центр при необходимости отменяет указанное в части (3) решение или вносит в него изменения, не имеющие обратной силы.

(6) Центр может совместно с компетентными органами Республики Молдова начать консультации с иностранным государством или международной организацией в целях исправления ситуации, которая привела к принятию решения в соответствии с частью (5).

(7) Решение, принятое в соответствии с частью (5), не препятствует передаче персональных данных иностранному государству, отдельной территории или одному или нескольким отдельным секторам этого государства или международной организации в соответствии со статьями 46–49.

(8) Центр публикует в Официальном мониторе Республики Молдова и на своей официальной веб-странице перечень иностранных государств, отдельных территорий и отдельных секторов этого государства и международных организаций, в отношении которых он принял решение о том, что адекватный уровень защиты ими гарантируется или более не гарантируется.

Статья 46. Передача на основании надлежащих гарантий

(1) В случае непринятия решения в соответствии с частью (3) статьи 45 оператор или лицо, действующее по поручению оператора, передает персональные данные иностранному государству или международной организации только в том случае, если оператор или лицо, действующее по поручению оператора, предоставляет надлежащие гарантии и если субъекты персональных данных обладают противопоставляемыми правами и эффективными средствами обжалования.

(2) Надлежащие гарантии, указанные в части (1), могут предоставляться без специального разрешения Центра посредством:

a) обязательного для исполнения правового акта между органами публичной власти или публичными учреждениями;

b) обязательных корпоративных правил в соответствии со статьей 47;

c) стандартных положений о защите данных, утвержденных Центром или принятых Европейской комиссией;

d) кодекса поведения, утвержденного в соответствии со статьей 40, сопровождаемого обязательным для выполнения обязательством оператора или лица, действующего по поручению оператора, из иностранного государства по применению надлежащих гарантий, в том числе в отношении прав субъектов персональных данных; или

e) механизма сертификации, утвержденного в соответствии со статьей 42, сопровождаемого обязательным для выполнения обязательством оператора или лица, действующего по поручению оператора, из иностранного государства по применению надлежащих гарантий, в том числе в отношении прав субъектов персональных данных.

(3) При наличии разрешения Центра надлежащие гарантии, указанные в части (1), также могут предоставляться, в частности, посредством:

a) договорных условий, согласованных между оператором или лицом, действующим по поручению оператора, и оператором, лицом, действующим по поручению оператора, или получателем персональных данных иностранного государства или международной организацией; или

b) положений, подлежащих включению в административные соглашения между органами публичной власти или публичными учреждениями и предусматривающих гарантированные и юридически защищенные права для субъектов персональных данных.

Статья 47. Обязательные корпоративные правила

(1) Центр утверждает обязательные корпоративные правила при условии, что они:

a) являются обязательными с юридической точки зрения и применяются в отношении каждого члена группы предприятий или группы предприятий, осуществляющих совместную экономическую деятельность, в том числе в отношении их работников, а также обеспечиваются указанными членами;

b) прямо предоставляют противопоставляемые субъектам персональных данных права в отношении обработки их персональных данных; и

c) соответствуют требованиям, предусмотренным частью (2).

(2) Обязательные корпоративные правила, указанные в части (1), определяют по меньшей мере:

a) структуру и контактные данные группы предприятий или группы предприятий, осуществляющих совместную экономическую деятельность, а также контактные данные каждого ее члена;

b) передачу или множественную передачу данных, включая категории персональных данных, вид обработки и ее цели, тип субъектов персональных данных и идентификационную информацию о соответствующем государстве или государствах;

c) свой обязательный правовой характер как на внутреннем, так и на внешнем уровне;

d) применение общих принципов защиты данных, в частности ограничение цели, минимизация данных, ограниченные сроки хранения, качество данных, защита данных как запланированная, так и по умолчанию, правовое основание обработки, обработка особых категорий персональных данных, меры по обеспечению безопасности данных, а также требования, касающиеся последующей передачи органам, на которые не распространяются обязательные корпоративные правила;

e) права субъектов персональных данных, касающиеся обработки и средств осуществления этих прав, в том числе право не подчиняться решениям, основанным исключительно на автоматизированной обработке, включая профайлинг, в соответствии со статьей 22, право на подачу жалобы в Центр и искового заявления в судебные инстанции в соответствии со статьей 74, а также право на возмещение и – по обстоятельствам – на компенсацию за нарушение обязательных корпоративных правил;

f) принятие на себя ответственности оператором или лицом, действующим по поручению оператора, которые имеют место нахождения на территории Республики Молдова, за любое нарушение обязательных корпоративных правил любым членом группы предприятий, который не имеет места нахождения в Республике Молдова. Оператор или лицо, действующее по поручению оператора, полностью или частично освобождаются от данной ответственности только в случае, если докажут, что соответствующий член не несет ответственности за событие, причинившее ущерб;

g) способ предоставления субъектам персональных данных информации об обязательных корпоративных правилах, в частности о требованиях, указанных в пунктах d)–f), в дополнение к информации, указанной в статьях 13 и 14;

h) задачи назначенного в соответствии со статьей 37 лица, ответственного за защиту данных, или любого иного лица или субъекта, наделенного полномочиями по осуществлению мониторинга соблюдения обязательных корпоративных правил в составе группы предприятий или группы предприятий, осуществляющих совместную экономическую деятельность, а также полномочиями по осуществлению мониторинга подготовки и рассмотрения жалоб;

i) процедуры подготовки жалоб;

j) механизмы, касающиеся группы предприятий или группы предприятий, осуществляющих совместную экономическую деятельность, призванные обеспечить проверку соответствия обязательным корпоративным правилам. Эти механизмы должны включать аудиторские проверки, касающиеся защиты данных, и методы обеспечения корректирующих действий, призванных защищать права субъекта персональных данных. Результаты этих проверок должны быть доведены до сведения лица или субъекта, которые указаны в пункте h), и совета предприятия, которое осуществляет контроль за группой предприятий или группой предприятий, осуществляющих совместную экономическую деятельность, и переданы в распоряжение Центра, по запросу;

k) механизмы отчетности и регистрации изменений, внесенных в правила, и представления отчетов об этих изменениях в Центр;

l) механизм сотрудничества с Центром в целях обеспечения соблюдения правил любым членом группы предприятий или группы предприятий, осуществляющих совместную экономическую деятельность, в частности, путем передачи в распоряжение Центра результатов проверок, касающихся мер, указанных в пункте j);

m) механизмы сообщения в Центр о любых законных требованиях, введенных в иностранном государстве – члене группы предприятий или группы предприятий, осуществляемых совместную экономическую деятельность, которые могут оказать значительное неблагоприятное воздействие на гарантии, предоставляемые обязательными корпоративными правилами; и

n) соответствующую подготовку в области защиты данных персонала, имеющего постоянный или периодический доступ к персональным данным.

Статья 48. Передача или раскрытие данных, не разрешенные нормативными актами

Любое решение судебной инстанции и любое решение органа публичной власти иностранного государства, обязывающие оператора или лицо, действующее по поручению оператора, передать или раскрыть персональные данные, может быть признано или исполнено, только если оно основывается на действующем международном договоре, например, на договоре о взаимной правовой помощи между запрашивающим государством и Республикой Молдова, без ущерба для других причин для передачи в соответствии с настоящей главой.

Статья 49. Отступления для отдельных случаев

(1) В отсутствие решения об адекватности уровня защиты в соответствии с частью (3) статьи 45 или надлежащих гарантий в соответствии со статьей 46, в том числе обязательных корпоративных правил, передача или множественная передача персональных данных иностранному государству или международной организации может осуществляться исключительно при соблюдении одного из следующих условий:

a) субъект персональных данных дает однозначное согласие на предлагаемую передачу только после того, как его проинформируют о возможных рисках, к возникновению которых такая передача может привести этого субъекта в результате отсутствия решения об адекватности уровня защиты и надлежащих гарантий;

b) передача необходима для выполнения договора между субъектом персональных данных и оператором или для реализации предваряющих заключение договора мер, принятых по требованию субъекта персональных данных;

c) передача необходима для заключения договора или для выполнения договора, заключенного в интересах субъекта персональных данных между оператором и иным физическим или юридическим лицом;

d) передача необходима по важным причинам, представляющим общественный интерес;

e) передача необходима для обоснования, осуществления или защиты законных требований в рамках административного, судебного или внесудебного производства;

f) передача необходима для защиты жизненно важных интересов субъекта персональных данных или иных лиц, если субъект персональных данных физически или юридически не способен выразить свое согласие;

g) передача осуществляется из реестра, целью которого в соответствии с нормативными актами является предоставление информации общественности и который находится в свободном доступе для ознакомления как всей общественности, так и отдельной личности, которая может доказать наличие законных интересов, но только в той мере, в которой выполняются условия, предусмотренные нормативными актами, для ознакомления в каждом отдельном случае.

(2) Если передача не может основываться на положениях, предусмотренных статьями 45 или 46, в том числе на положениях об обязательных корпоративных правилах, и не применяются отступления, предназначенные для отдельных случаев, предусмотренных частью (1) настоящей статьи, передача иностранному государству или международной организации может осуществляться в случае, если передача не носит повторяющийся характер, касается ограниченного количества субъектов персональных данных, необходима в целях защиты важных законных интересов оператора при условии, что интересы или права и свободы субъекта данных не превалируют над ними и оператор оценил все обстоятельства, связанные с передачей данных, и на основании указанной оценки предусмотрел надлежащие гарантии защиты персональных данных. Оператор должен проинформировать Центр о передаче. Помимо предоставления информации, указанной в статьях 13 и 14, оператор должен проинформировать субъекта персональных данных о передаче данных и о своих жизненно важных законных интересах.

(3) Передача в соответствии с пунктом g) части (1) не должна включать весь массив персональных данных или все категории персональных данных, содержащихся в реестре. Если реестр просматривается с целью ознакомления лицами, имеющими законный интерес, передача должна осуществляться исключительно по запросу указанных лиц или в случае, когда они являются получателями.

(4) Пункты a)–c) части (1) и часть (2) не применяются к деятельности, осуществляемой органами публичной власти в ходе осуществления своих публичных полномочий.

(5) Публичный интерес, указанный в пункте d) части (1), должен предусматриваться нормативными актами.

(6) В отсутствие решения об адекватности уровня защиты нормативные акты могут по причинам публичного интереса предельно прямо ограничивать передачу особых категорий персональных данных иностранному государству или международной организации.

(7) Оператор или лицо, действующее по поручению оператора, фиксируют оценку, а также адекватные гарантии, предусмотренные частью (2), в учетных документах, указанных в статье 30.

Статья 50. Международное сотрудничество в области защиты персональных данных

В отношении иностранных государств и международных организаций Центр принимает соответствующие меры:

a) по совершенствованию механизмов международного сотрудничества в целях содействия обеспечению эффективного применения законодательства в области защиты персональных данных;

b) по оказанию всесторонней международной помощи в обеспечении применения законодательства в области защиты персональных данных, в том числе посредством уведомления, передачи жалоб на рассмотрение, оказания помощи в расследованиях и обмена информацией, при наличии адекватных гарантий защиты персональных данных и основных прав и свобод;

c) по привлечению заинтересованных сторон к участию в обсуждениях и мероприятиях, цель которых заключается в усилении международного сотрудничества в области применения законодательства о защите персональных данных;

d) по содействию взаимному обмену и документальному оформлению законодательства и установившейся практики в области защиты персональных данных, включая юрисдикционные конфликты с иностранными государствами.

Глава VI

ОСОБЫЕ СЛУЧАИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Статья 51. Обработка и свобода выражения мнения

(1) При обработке, осуществляемой в журналистских или научных, художественных и литературных целях, настоящий закон не применяется в случае соблюдения в совокупности следующих условий:

a) оператор обрабатывает персональные данные с целью опубликования журналистского, научного, художественного или литературного материала;

b) опубликование материала отвечает общественным интересам;

c) применение положений настоящего закона несовместимо с осуществлением журналистских или научных, художественных и литературных целей.

(2) Центр не обладает компетенцией по надзору за операциями по обработке, осуществляемыми в соответствии с частью (1).

(3) Субъект персональных данных вправе подать исковое заявление в соответствии со статьей 74, а также требовать возмещения ущерба согласно статье 76, если считает, что обработка его персональных данных осуществлялась с нарушением части (1) настоящей статьи.

(4) Настоящая статья не применяется к правовым отношениям о доступе к общественно значимой информации. В таком случае применяются положения статьи 52.

Статья 52. Обработка и доступ к общественно значимой информации

(1) Раскрытие персональных данных, владельцами которых являются операторы, может осуществляться в соответствии с положениями Закона о доступе к общественно значимой информации № 148/2023, за исключением особых категорий персональных данных, предусмотренных частью (1) статьи 9 настоящего закона.

(2) Часть (1) не применяется к заявлениям о доступе субъектов персональных данных к собственным персональным данным. В таком случае применяются положения частей 1 и 2 главы III.

Статья 53. Обработка национального идентификационного номера

(1) Обработка национального идентификационного номера, в том числе путем сбора или раскрытия содержащих его документов, может осуществляться в случаях, предусмотренных в части (1) статьи 6.

(2) Обработка национального идентификационного номера, в том числе путем сбора и раскрытия содержащих его документов, с предусмотренной пунктом f) части (1) статьи 6 целью, состоящей в реализации законных интересов, преследуемых оператором или третьей стороной, осуществляется с предоставлением оператором следующих гарантий:

a) применение адекватных технических и организационных мер по соблюдению, в частности, принципа минимизации данных, а также по обеспечению безопасности и конфиденциальности обработки персональных данных в соответствии со статьей 32;

b) определение сроков хранения в зависимости от характера данных и цели обработки, а также конкретных сроков, когда персональные данные следует удалить или пересмотреть в целях удаления;

c) регулярное обучение обязанностям, которые возлагаются на лиц, обрабатывающих персональные данные с прямой санкции оператора или лица, действующего по поручению оператора.

Статья 54. Обработка в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований либо в статистических целях

(1) Обработка в целях архивирования в общественных интересах, в целях проведения научных или исторических исследований либо в статистических целях проводится при условии наличия соответствующих гарантий в отношении прав и свобод субъектов персональных данных согласно настоящему закону. Эти гарантии обеспечивают введение соответствующих технических и организационных мер, необходимых, в частности, для обеспечения соблюдения принципа минимизации данных. Указанные меры могут включать псевдонимизацию при условии, что перечисленные цели могут быть достигнуты таким образом. Если указанные цели могут быть достигнуты при дальнейшей обработке, которая не позволяет или более не позволяет идентификацию субъектов персональных данных, они должны достигаться таким образом.

(2) Статьи 15, 16, 18 и 21 не применяются в случае обработки персональных данных в целях проведения научных или исторических исследований либо в статистических целях в соответствии с условиями и гарантиями, предусмотренными частью (1) настоящей статьи, в той мере, в которой предусмотренные этими статьями права могут сделать невозможным достижение конкретных целей или создать серьезный риск для их достижения, а указанные отступления необходимы для достижения этих целей.

(3) Статьи 15, 16 и 18–21 не применяются в случае обработки персональных данных в целях архивирования в общественных интересах в соответствии с условиями и гарантиями, предусмотренными частью (1) настоящей статьи, поскольку предусмотренные этими статьями права могут сделать невозможным достижение конкретных целей или создать серьезный риск для их достижения, а указанные отступления необходимы для достижения этих целей.

(4) Если обработка, указанная в частях (2) и (3), служит одновременно и другой цели, отступления применяются только при обработке в целях, предусмотренных этими частями.

Глава VII

НАЦИОНАЛЬНЫЙ ЦЕНТР ПО ЗАЩИТЕ

ПЕРСОНАЛЬНЫХ ДАННЫХ

Часть 1

Общие положения

Статья 55. Статус Центра

(1) Национальный центр по защите персональных данных является органом публичной власти, действующим на национальном уровне как единая структура, независимая от иных органов публичной власти, юридических и физических лиц.

(2) Центр является юридическим лицом публичного права и имеет печать с изображением Государственного герба Республики Молдова.

(3) Местом нахождения Центра является муниципий Кишинэу.

Статья 56. Финансирование деятельности Центра

(1) Центр финансируется из государственного бюджета.

(2) Центр разрабатывает, утверждает бюджет и управляет им в соответствии с принципами, правилами и процедурами, предусмотренными Законом о публичных финансах и бюджетно-налоговой ответственности № 181/2014.

(3) Аудит финансово-экономической деятельности Центра проводится Счетной палатой.

Статья 57. Предельная численность и структура Центра

Предельная численность и структура Центра устанавливаются его директором.

Часть 2

Миссия, задачи и полномочия Центра

Статья 58. Миссия Центра

(1) Центр обеспечивает надзор и мониторинг применения настоящего закона и иных нормативных актов, касающихся обработки персональных данных, в целях защиты основных прав и свобод физических лиц в связи с обработкой персональных данных.

(2) К компетенции Центра не относится надзор за операциями по обработке, выполняемыми судебными инстанциями в ходе деятельности по отправлению правосудия.

Статья 59. Задачи Центра

(1) Для выполнения своей миссии Центр:

a) осуществляет мониторинг и обеспечивает применение настоящего закона;

b) содействует проведению мероприятий по повышению осведомленности общественности и понимания рисков, правил, гарантий и прав в вопросах обработки, особенно в отношении видов деятельности, касающихся детей;

c) предоставляет консультации Парламенту, Правительству и иным органам публичной власти о законодательных и административных мерах, касающихся защиты основных прав и свобод физических лиц, связанных с обработкой;

d) содействует проведению мероприятий по повышению осведомленности операторов и лиц, действующих по поручению операторов, относительно обязанностей, возложенных на них в соответствии с настоящим законом;

e) по запросу предоставляет информацию любому субъекту персональных данных в связи с осуществлением им своих прав в соответствии с настоящим законом и в случае необходимости с этой целью сотрудничает с надзорными органами иностранных государств;

f) рассматривает жалобы, поданные субъектом персональных данных или органом, организацией или объединением в соответствии со статьей 72, расследует в надлежащей мере предмет жалобы и в приемлемые сроки информирует подателя жалобы о ходе и результате расследования, в особенности, если необходимо проведение более детального расследования или согласования с надзорным органом иностранного государства;

g) сотрудничает, в том числе путем обмена информацией, с надзорными органами иностранных государств и оказывает содействие в целях обеспечения последовательности применения и соблюдения настоящего закона;

h) проводит расследования по применению настоящего закона, в том числе на основе информации, полученной от надзорного органа иностранного государства или органа публичной власти;

i) осуществляет мониторинг соответствующих изменений в той мере, в которой они воздействуют на защиту персональных данных, в частности развития информационно-коммуникационных технологий и коммерческих практик;

j) утверждает стандартные договорные условия, указанные в части (7) статьи 28 и пункте с) части (2) статьи 46;

k) составляет и поддерживает в актуальном состоянии список в отношении требования об оценке воздействия на защиту данных согласно части (4) статьи 35;

l) предоставляет консультации по вопросам операций по обработке данных, указанных в части (2) статьи 36;

m) способствует разработке кодексов поведения в соответствии с частью (1) статьи 40, дает свое заключение по ним и утверждает кодексы, которые обеспечивают достаточные гарантии в соответствии с частью (5) статьи 40;

n) способствует установлению механизмов сертификации, а также печатей и меток в области защиты данных в соответствии с частью (1) статьи 42 и утверждает критерии сертификации в соответствии с частью (5) статьи 42;

o) в случае необходимости проводит периодическую проверку сертификаций, предоставленных в соответствии с частью (7) статьи 42;

p) утверждает требования к аккредитации органов по мониторингу кодексов поведения в соответствии со статьей 41 и органов по сертификации в соответствии со статьей 43;

q) согласовывает процедуру аккредитации органа по мониторингу кодексов поведения в соответствии со статьей 41 и органов по сертификации в соответствии со статьей 43;

r) одобряет договорные условия и положения, указанные в части (3) статьи 46;

s) утверждает обязательные корпоративные правила в соответствии со статьей 47;

t) поддерживает в актуальном состоянии внутренние учетные записи о нарушениях настоящего закона и принятых мерах, в частности о вынесенных предупреждениях и примененных санкциях, в соответствии с частью (2) статьи 60;

u) выполняет иные задачи, связанные с защитой персональных данных.

(2) Выполнение задач Центра осуществляется на безвозмездной основе для субъекта персональных данных и в зависимости от обстоятельств для лица, ответственного за защиту данных.

(3) В случае явной необоснованности или избыточности запросов, в частности из-за их повторяющегося характера, Центр может взыскать приемлемую плату, основанную на административных затратах, или отказать в их рассмотрении. Обязанность доказывания явной необоснованности или избыточности запроса возлагается на Центр.

Статья 60. Полномочия Центра

(1) Центр осуществляет следующие полномочия по расследованию:

a) отдает оператору и лицу, действующему по поручению оператора, а в необходимых случаях и представителю оператора или лица, действующего по поручению оператора, распоряжения о предоставлении любой информации, затребованной Центром для выполнения своих задач;

b) проводит расследования в виде аудиторских проверок в отношении защиты данных;

c) осуществляет проверку сертификаций, предоставленных в соответствии с частью (7) статьи 42;

d) уведомляет оператора или лицо, действующее по поручению оператора, о предполагаемом нарушении настоящего закона;

e) получает от оператора и лица, действующего по поручению оператора, доступ ко всем персональным данным и информации, необходимым ему для выполнения своих задач;

f) получает доступ в любое помещение оператора и лица, действующего по поручению оператора, в том числе к любому оборудованию и средствам обработки данных, в соответствии с нормативными актами.

(2) Центр осуществляет следующие корректирующие полномочия:

a) издает предупреждения для обращения внимания оператора или лица, действующего по поручению оператора, о том, что запланированные операции по обработке могут нарушить положения настоящего закона;

b) выносит предупреждение в отношении оператора или лица, действующего по поручению оператора, если операции по обработке нарушили положения настоящего закона;

c) предписывает оператору и лицу, действующему по поручению оператора, подчиниться требованиям субъекта персональных данных, касающимся реализации им своих прав на основании настоящего закона;

d) предписывает оператору и лицу, действующему по поручению оператора, обеспечить соответствие операций по обработке положениям настоящего закона, указав в зависимости от обстоятельств порядок и предельный срок выполнения;

e) обязует оператора информировать субъекта персональных данных o нарушении защиты персональных данных в предусмотренном законом порядке;

f) налагает временное или окончательное ограничение, включая запрет на обработку, в предусмотренном законом порядке;

g) отдает распоряжение об исправлении или удалении персональных данных или об ограничении их обработки в соответствии со статьями 16–18, а также уведомляет об этих действиях получателей, которым были раскрыты персональные данные, в соответствии с частью (2) статьи 17 и статьей 19;

h) отзывает сертификацию или обязывает орган по сертификации отозвать сертификацию, предоставленную в соответствии со статьями 42 и 43, или обязывает орган по сертификации не предоставлять сертификацию в случае, если не соблюдались или более не соблюдаются критерии сертификации;

i) налагает штрафы в соответствии со статьями 86–88 в дополнение к мерам, указанным в настоящей части, или вместо этих мер в зависимости от обстоятельств в каждом отдельном случае;

j) отдает распоряжения о приостановлении потоков данных для получателя в иностранном государстве или международной организации.

(3) Центр осуществляет следующие полномочия по выдаче разрешений и предоставлению консультаций:

a) предоставляет консультации оператору в соответствии с процедурой предварительного консультирования, предусмотренной статьей 36;

b) по собственной инициативе или по запросу выдает заключения Парламенту, Правительству, иным органам публичной власти, а также общественности по любому вопросу, связанному с защитой персональных данных;

c) выдает заключение и утверждает проекты кодексов поведения в соответствии с частью (5) статьи 40;

d) проводит аккредитацию органов по сертификации в соответствии со статьей 43;

e) предоставляет сертификацию и утверждает критерии сертификации в соответствии с частью (5) статьи 42;

f) утверждает стандартные условия в области защиты данных, указанные в части (7) статьи 28 и пункте с) части (2) статьи 46;

g) утверждает договорные условия, указанные в пункте а) части (3) статьи 46;

h) утверждает административные соглашения, указанные в пункте b) части (3) статьи 46;

i) утверждает обязательные корпоративные правила в соответствии со статьей 47.

(4) Полномочия Центра осуществляются в соответствии с законодательством директором или заместителями директора Центра, инспекторами по защите данных и иным персоналом Центра.

Статья 61. Отчет о деятельности

(1) Ежегодно до 31 марта Центр представляет в Парламент и Правительство отчет о своей деятельности за предыдущий год работы, который включает по меньшей мере информацию о видах выявленных нарушений и перечень мер, принятых в соответствии с частью (2) статьи 60.

(2) Отчет о деятельности публикуется на официальной веб-странице Центра.

Часть 3

Организация Центра

Статья 62. Руководство Центра

(1) Центром руководит директор, которому помогают два его заместителя.

(2) Должности директора Центра и его заместителей являются ответственными государственными должностями, которые несовместимы с любой другой оплачиваемой должностью или деятельностью, за исключением преподавательской, научной и творческой деятельности.

(3) Директор Центра и его заместители при исполнении своих обязанностей независимы от любого прямого или косвенного влияния, равно как и не обращаются за указаниями и не получают указаний от какой-либо внешней стороны.

(4) Директор Центра и его заместители обязаны как в течение сроков полномочий, так и после их окончания соблюдать профессиональную тайну в отношении конфиденциальной информации, ставшей им известной при исполнении своих обязанностей или в ходе осуществляемых ими полномочий, в частности в отношении сообщений физических лиц о нарушениях настоящего закона.

Статья 63. Назначение директора Центра

(1) Директор Центра назначается на конкурсной основе Парламентом на семилетний срок полномочий. Одно и то же лицо не может назначаться на должность директора Центра на два срока полномочий подряд.

(2) Кандидатом на должность директора Центра может быть лицо, отвечающее следующим условиям:

a) является гражданином Республики Молдова;

b) в отношении него не установлена судебная мера охраны в виде опеки;

c) имеет высшее образование в области права;

d) имеет стаж работы не менее пяти лет в области права;

e) обладает безупречной репутацией;

f) не является членом какой-либо политической партии;

g) годно с медицинской точки зрения к исполнению обязанностей согласно медицинскому заключению, выданному в соответствии с законом;

h) владеет румынским языком.

(3) Считается, что не обладает безупречной репутацией в смысле пункта е) части (2) лицо:

a) которое имеет судимость;

b) которое окончательным судебным решением лишено права занимать определенные должности или заниматься определенной деятельностью в качестве основного или дополнительного наказания;

c) в отношении которого установлено окончательным актом нарушение правового режима конфликта интересов, несовместимости, запретов и ограничений;

d) в отношении которого имеется вступившее в законную силу решение судебной инстанции о конфискации необоснованного имущества;

e) которое за последние пять лет имеет в регистре тестирования профессиональной неподкупности записи, фиксирующие отрицательный результат теста на профессиональную неподкупность за нарушение обязанности, предусмотренной пунктом a) части (2) статьи 7 Закона об оценке институциональной неподкупности № 325/2013;

f) в отношении которого установлен запрет на занятие государственной должности или ответственной государственной должности, вытекающий из констатирующего акта Национального органа по неподкупности.

(4) Конкурс по отбору директора Центра организуется Комиссией Парламента по вопросам права, назначениям и иммунитету не менее чем за три месяца до истечения срока полномочий действующего директора.

(5) Конкурс носит публичный характер. Информация об организации и проведении конкурса, о требованиях к кандидатам и подлежащих представлению документах размещается на официальной веб-странице Парламента и публикуется в средствах массовой информации не менее чем за 30 дней до проведения конкурса.

(6) Конкурс считается состоявшимся, если в нем участвуют по меньшей мере два кандидата. Если подано недостаточное количество заявок на участие в конкурсе или кандидаты не соответствуют критериям, установленным настоящим законом, в течение 30 дней организуется повторный конкурс.

(7) Резюме кандидатов размещаются на официальной веб-странице Парламента для публичного ознакомления.

(8) Оценка кандидатов проводится Комиссией Парламента по вопросам права, назначениям и иммунитету.

(9) После оценки комиссия предлагает Парламенту кандидата для его назначения на должность директора Центра.

(10) Предложенный кандидат назначается на должность директора Центра большинством голосов избранных депутатов. Если необходимое количество для назначения директора не набрано, Комиссия Парламента по вопросам права, назначениям и иммунитету в 15-дневный срок объявляет новый конкурс, который организуется и проводится в соответствии с настоящей статьей.

(11) Директор Центра в день своего назначения на должность приносит перед Парламентом следующую присягу:

"Клянусь честно и добросовестно исполнять свои служебные обязанности на благо Республики Молдова, соблюдать Конституцию и законы Республики Молдова, защищать основные права и свободы человека, демократию и благосостояние народа.".

(12) Отказ лица от принесения присяги влечет недействительность его назначения на должность.

[Ст.63 ч.(3) изменена Законом N 160 от 30.07.2026, в силу 23.08.2026]

Статья 64. Назначение заместителей директора Центра

(1) Заместители директора Центра назначаются на должность Парламентом по предложению директора Центра на семилетний срок полномочий.

(2) На должность заместителя директора Центра может быть назначено лицо, в совокупности отвечающее условиям, предусмотренным частями (2) и (3) статьи 63.

(3) Лицо, предложенное директором Центра, назначается на должность заместителя директора большинством голосов избранных депутатов.

Статья 65. Полномочия директора Центра и его заместителей

(1) Директор Центра осуществляет следующие полномочия:

a) руководит Центром, организует и контролирует его работу;

b) представляет интересы Центра на национальном и международном уровнях;

c) обеспечивает мониторинг применения настоящего закона и иных нормативных актов, касающихся обработки персональных данных;

d) на основании и во исполнение закона издает приказы, решения и распоряжения;

e) утверждает методические указания в целях обеспечения надлежащего толкования и применения настоящего закона и иных нормативных актов, касающихся обработки персональных данных;

f) утверждает или изменяет штатное расписание Центра в соответствии с установленными структурой и предельной численностью;

g) утверждает положения о подразделениях Центра;

h) назначает на должность инспекторов по защите данных, изменяет, приостанавливает и отдает распоряжения о прекращении их служебных отношений в соответствии с законом;

i) назначает на должность государственных служащих и персонал аппарата Центра, работающего на договорной основе, изменяет, приостанавливает и прекращает их служебные или трудовые отношения в соответствии с законом;

j) решает в соответствии с законодательством вопросы, связанные с начислением надбавок к заработной плате и выплатой премий;

k) организует и внедряет систему внутреннего управленческого контроля и несет управленческую ответственность за администрирование бюджета Центра и подотчетного публичного имущества;

l) управляет публичными финансами и администрирует публичное имущество Центра в соответствии с принципами надлежащего управления;

m) может делегировать часть своих полномочий заместителям директора Центра или государственным служащим Центра;

n) иные полномочия, предусмотренные законодательством.

(2) Заместители директора Центра оказывают помощь директору в руководстве Центром и исполняют делегированные директором полномочия. В случае отсутствия директора Центра или вакансии должности директора все полномочия директора исполняет заместитель, назначенный приказом директора Центра.

Статья 66. Прекращение срока полномочий директора Центра и его заместителей

(1) Срок полномочий директора Центра, а также его заместителей прекращается в случае:

a) отставки;

b) освобождения от должности;

c) истечения срока полномочий;

d) достижения пенсионного возраста;

e) смерти.

(2) Директор Центра или его заместитель освобождаются от должности в случае:

a) грубого нарушения своих должностных обязанностей, предусмотренных законодательством;

b) неподачи декларации об имуществе и личных интересах или отказа от ее подачи;

c) вступления в политическую партию;

d) обретения обвинительным приговором окончательного характера в отношении него;

e) наступления обстоятельств, из-за которых он больше не отвечает условиям, предусмотренным статьей 63;

f) невозможности исполнения обязанностей по состоянию здоровья в течение более трех месяцев подряд;

g) признания безвестно отсутствующим в соответствии с законодательством.

(3) Основания, предусмотренные частями (1) и (2), устанавливаются на пленарном заседании Парламента на основании доклада Комиссии по вопросам права, назначениям и иммунитету путем принятия постановления Парламента, свидетельствующего о возникновении ситуации, являющейся основанием для прекращения срока полномочий. Прекращение срока полномочий директора Центра, а также его заместителей принимается Парламентом большинством голосов избранных депутатов.

(4) В случае истечения срока полномочий директор Центра продолжает исполнять свои обязанности до назначения нового директора Центра.

(5) Срок полномочий заместителей директора Центра прекращается одновременно с прекращением срока полномочий директора Центра, однако они продолжают исполнять свои обязанности до назначения новых заместителей директора.

Статья 67. Персонал Центра

(1) Персонал Центра состоит из лиц, занимающих ответственные государственные должности, государственных служащих и персонала, работающего на договорной основе.

(2) Функции и задачи персонала Центра определяются внутренним положением, утвержденным приказом директора Центра.

Статья 68. Инспектор по защите данных

(1) Инспектор по защите данных несет ответственность за рассмотрение жалоб на предполагаемые нарушения настоящего закона, за расследование, касающееся применения законодательства в области защиты персональных данных, а также за выполнение других задач, предусмотренных законодательством.

(2) Должность инспектора по защите данных является государственной должностью с особым статусом и исполняется в порядке, установленном настоящим законом и Законом о государственной должности и статусе государственного служащего № 158/2008.

(3) Инспектор по защите данных получает служебное удостоверение в порядке, установленном Центром.

Статья 69. Назначение на должность инспектора по защите данных

(1) Кандидатом на должность инспектора по защите данных может быть лицо, в совокупности отвечающее следующим условиям:

a) является гражданином Республики Молдова;

b) имеет место жительства на территории Республики Молдова;

c) в отношении него не установлена судебная мера охраны в виде опеки;

d) имеет высшее образование в области права или в области информационных технологий;

e) обладает безупречной репутацией;

f) владеет румынским языком.

(2) Считается, что не обладает безупречной репутацией в смысле пункта е) части (1) лицо:

a) которое имеет судимость;

Статья 70. Ответственность инспектора по защите данных

(1) Инспектор по защите данных несет ответственность за правомерность действий, предпринятых в рамках процедур расследования, а также за качество проводимого расследования.

(2) Инспектор по защите данных несет дисциплинарную, правонарушительную, гражданско-правовую или уголовную ответственность в соответствии с законодательством.

Статья 71. Статус персонала Центра

Деятельность персонала Центра регулируется положениями настоящего закона, а в необходимых случаях и положениями Закона о статусе лиц, исполняющих ответственные государственные должности, № 199/2010, Закона о государственной должности и статусе государственного служащего № 158/2008 и трудового законодательства.

Глава VIII

ЗАКОННЫЕ СРЕДСТВА, ОТВЕТСТВЕННОСТЬ И САНКЦИИ

Часть 1

Общие положения

Статья 72. Право на подачу жалобы в Центр

(1) Без ущерба для положений статьи 74 субъект персональных данных имеет право подать жалобу в Центр, если считает, что обработка относящихся к нему персональных данных нарушает настоящий закон.

(2) Срок давности для подачи жалобы составляет один год со дня, когда лицу стало известно о совершении предполагаемого нарушения, но не позднее трех лет со дня его совершения.

(3) В случае предполагаемого длящегося или продолжительного нарушения срок давности исчисляется со дня совершения последнего действия или бездействия.

(4) В случае подачи жалобы по истечении срока давности, предусмотренного частями (2) и (3), Центр отклоняет жалобу.

(5) Центр информирует подателя жалобы о ходе и результате рассмотрения жалобы, в том числе о возможности обжаловать акты Центра в соответствии со статьей 73.

(6) Положения Административного кодекса применяются только в той мере, в которой они не противоречат положениям настоящего закона.

Статья 73. Право обжалования действий или бездействия Центра

(1) Действия или бездействие Центра могут быть обжалованы непосредственно в судебную инстанцию в соответствии с Административным кодексом без соблюдения предварительного производства.

(2) Если Центр не рассматривает жалобу или не информирует субъекта персональных данных в трехмесячный срок о ходе рассмотрения или о разрешении жалобы, поданной согласно статье 72, заинтересованное лицо может обжаловать бездействие Центра непосредственно в судебную инстанцию в соответствии с Административным кодексом без соблюдения предварительного производства.

Статья 74. Право подачи иска к оператору или лицу, действующему по поручению оператора

Без ущерба для положений статей 72 и 73, а также без ущерба для альтернативных способов разрешения споров субъект персональных данных имеет право подать исковое заявление в компетентную судебную инстанцию, если считает, что права, которые у него имеются на основании настоящего закона, были нарушены в результате обработки его персональных данных без соблюдения настоящего закона.

Статья 75. Представительство в интересах субъектов персональных данных

Субъект персональных данных имеет право уполномочить орган, организацию или некоммерческое объединение, не имеющее целью получение прибыли, которые были созданы в установленном порядке в соответствии с законодательством, уставные цели которых представляют общественный интерес и которые осуществляют деятельность в области защиты прав и свобод субъектов персональных данных с целью защиты их персональных данных, подать жалобу от его имени, осуществить от его имени права, указанные в статьях 72–74, равно как и осуществить от его имени право на получение возмещения, указанного в статье 76, если иное не предусмотрено нормативными актами.

Статья 76. Право на возмещения и ответственность

(1) Лицо, понесшее материальный или моральный ущерб в результате нарушения настоящего закона, имеет право на получение возмещения за причиненный ущерб от оператора или лица, действующего по поручению оператора.

(2) Оператор, участвующий в операциях по обработке, несет ответственность за ущерб, причиненный в результате выполненных им операций по обработке с нарушением настоящего закона. Лицо, действующее по поручению оператора, несет ответственность за ущерб, причиненный в результате обработки, исключительно в случае неисполнения им предусмотренных настоящим законом обязанностей, возложенных непосредственно на лиц, действующих по поручению оператора, или в случае совершения действий без соблюдения законных указаний оператора или вопреки им.

(3) Оператор или лицо, действующее по поручению оператора, освобождаются от ответственности в соответствии с частью (2), если докажут, что на них никоим образом не лежит ответственность за какое-либо событие, которым был причинен ущерб.

(4) Если несколько операторов или лиц, действующих по поручению оператора, либо оператор и лицо, действующее по поручению оператора, участвуют в одной и той же операции по обработке и несут ответственность в соответствии с частями (2) и (3) за любой причиненный в результате обработки ущерб, соответствующий оператор или соответствующее лицо, действующее по поручению оператора, несут ответственность за весь ущерб для обеспечения фактического возмещения субъекту персональных данных.

(5) Если оператор или лицо, действующее по поручению оператора, выплатили в полном объеме в соответствии с частью (4) возмещение за причиненный ущерб, соответствующий оператор или соответствующее лицо, действующее по поручению оператора, имеют право требовать от остальных участвовавших в той же операции по обработке операторов или лиц, действующих по поручению оператора, возврата той части возмещения, которая соответствует их части ответственности за ущерб в соответствии с условиями, предусмотренными частью (2).

(6) Иски по реализации права на возврат возмещения подаются в компетентные судебные инстанции в соответствии с законодательством.

Часть 2

Предварительное рассмотрение, расследование и принятие решений

Статья 77. Инициирование процедуры рассмотрения

(1) Центр инициирует процедуру рассмотрения предполагаемых случаев нарушения настоящего закона или иных нормативных актов, касающихся обработки персональных данных:

a) по жалобе субъекта персональных данных; или

b) в силу возложенных на него обязанностей.

(2) Центр в силу возложенных на него обязанностей может инициировать процедуру рассмотрения на основании имеющейся у него информации о предполагаемом нарушении законодательства в соответствии со статьей 81.

Статья 78. Этапы процедуры рассмотрения

(1) Процедура рассмотрения предполагаемых случаев нарушения законодательства в области обработки персональных данных включает:

a) предварительное рассмотрение; и/или

b) расследование.

(2) Расследование по делу назначается в порядке, предусмотренном статьей 81. В остальных случаях этап расследования пропускается.

Статья 79. Подача жалобы

(1) Жалоба, поданная в Центр в соответствии со статьей 72, должна содержать следующие элементы:

a) фамилия и имя субъекта персональных данных;

b) место жительства субъекта персональных данных, а также адрес электронной почты, если получение ответа запрашивается именно этим способом;

c) изложение всех фактических и юридических обстоятельств предполагаемого нарушения законодательства об обработке персональных данных в отношении субъекта персональных данных;

d) информация, позволяющая установить оператора или лицо, действующее по поручению оператора, – по мере возможности;

e) информация о подаче жалобы в течение срока давности, предусмотренного частями (2) и (3) статьи 72;

f) меры, которые требуется принять Центру;

g) при необходимости – информация об обращениях, направленных оператору или лицу, действующему по поручению оператора, а также о результатах рассмотрения этих обращений;

h) при необходимости – иная важная информация, в частности, о том, если предмет жалобы был рассмотрен или рассматривается судебной инстанцией, а также о том, были ли приняты подателем жалобы другие меры, включая – при наличии – результаты этих мер;

i) подпись субъекта персональных данных или его законного либо уполномоченного представителя, а в случае жалоб, переданных в электронной форме, – электронная подпись.

(2) В зависимости от обстоятельств к жалобе прилагаются:

a) документ, подтверждающий личность законного представителя, доверенность или документ о полномочиях, подтвержденный электронной подписью уполномоченного представителя;

b) документ о полномочиях, выданный в соответствии со статьей 75;

c) документы и доказательства, которые считаются подателем жалобы необходимыми для обоснования своей жалобы.

(3) Центр облегчает подачу жалоб путем предоставления общественности бланка жалобы, в том числе в электронной форме, не исключая других средств взаимодействия.

Статья 80. Предварительное рассмотрение жалобы

(1) Предварительное рассмотрение жалобы, касающейся предполагаемого нарушения законодательства в области обработки персональных данных, осуществляется в 30-дневный срок со дня регистрации жалобы.

(2) В ходе предварительного рассмотрения жалобы Центр определяет, если имеются разумные основания для подозрения в нарушении законодательства в области обработки персональных данных.

(3) Анонимные жалобы или жалобы, поданные без указания почтового или электронного адреса субъекта персональных данных, не рассматриваются.

(4) Если жалоба не соответствует требованиям, предусмотренным пунктами c)–f), i) части (1) или пунктами a) или b) части (2) статьи 79, субъект персональных данных информируется о недочетах с предоставлением разумного срока для их устранения. В случае неустранения недочетов в предоставленный срок жалоба не рассматривается, о чем информируется субъект персональных данных.

(5) Если Центр считает, что на основании информации, предоставленной подателем жалобы, и иных важных сведений нет разумных оснований подозревать нарушение законодательства в области обработки персональных данных, Центр обоснованно отклоняет жалобу и информирует об этом субъекта персональных данных.

(6) В случае отклонения жалобы на основании того, что обжалуемое поведение не противоречит законодательству в области обработки персональных данных или не подпадает под его действие, Центр не обязан принимать во внимание обстоятельства, которые не были доведены до его сведения подателем жалобы.

(7) Если в ходе предварительного рассмотрения жалобы или расследования в соответствии со статьей 81 возникают обоснованные подозрения в совершении преступления, Центр обращается в орган уголовного преследования. В этом случае предварительное рассмотрение или расследование должно быть продолжено. Орган уголовного преследования обязан проинформировать Центр о принятом решении.

Статья 81. Расследование

(1) Расследование представляет собой деятельность по сбору и администрированию данных о правомерности обработки персональных данных, собранных в порядке, предусмотренном настоящим законом.

(2) Если после предварительного рассмотрения жалобы считается, то на основании информации, предоставленной субъектом персональных данных и собранной в ходе предварительного рассмотрения, имеются разумные основания подозревать нарушение законодательства в области защиты персональных данных, Центр издает распоряжение об инициировании расследования.

(3) Расследование в силу возлагаемых обязанностей может проводиться:

a) в результате отправления уведомлений о нарушении безопасности персональных данных;

b) для проверки отдельных данных и сведений о предполагаемых нарушениях законодательства в области обработки персональных данных, которые были получены Центром из источников, отличных от тех, которые составляют предмет жалобы или уведомления о нарушении безопасности персональных данных, таких как обращения или сведения, полученные от иного надзорного органа или иного органа публичной власти, поступившая в Центр корреспонденция, средства массовой информации, доступ к Интернету, констатирующие документы, составленные в результате проведения других расследований, или любая иная информация. Такие источники могут служить основанием для инициирования расследования в силу возлагаемых обязанностей только в том случае, если обстоятельства или содержащаяся в них информация обоснованно указывают на возможное нарушение законодательства в области обработки персональных данных;

c) в целях международного сотрудничества в области защиты персональных данных, в ходе совместных операций и оказания взаимной помощи.

(4) Распоряжение об инициировании расследования в силу возложенных обязанностей должно содержать необходимый анализ и аргументацию в отношении соблюдения условий, предусмотренных частью (3).

(5) Расследование в силу возложенных обязанностей может быть инициировано только в пределах сроков давности, предусмотренных частями (2) и (3) статьи 72.

(6) Распоряжение об инициировании расследования не устанавливает факта совершения нарушения законодательства в области обработки персональных данных. Нарушение законодательства в области обработки персональных данных устанавливается решением Центра.

(7) При проведении расследования Центр в первоочередном порядке учитывает возможность его проведения посредством запроса документации и иной информации непосредственно у лица, в отношении которого проводится расследование, и других привлеченных к расследованию лиц, или посредством других методов, обеспечивающих возможность получения таких данных. Только в случае недостаточности имеющейся документации и информации для установления соблюдения законодательства лицом, в отношении которого проводится расследование, Центр проводит выездное расследование, издав с этой целью соответствующее направление. Выездное расследование может быть проведено только при наличии признаков того, что удастся обнаружить документы или получить информацию, которые признаны необходимыми для расследования предполагаемого случая нарушения законодательства в области защиты персональных данных, инициированного распоряжением, что нет необходимости доказывать субъекту, в отношении которого проводится расследование. В случае непосредственного запроса информации без выезда на место в поданных обращениях Центр уточняет данные, указанные в части (8), за исключением данных, указанных в пункте a).

(8) Направление на проведение выездного расследования содержит по меньшей мере:

a) номер и дату издания;

b) идентификационные данные Центра;

c) ссылку на законодательные положения, на основании которых проводится расследование;

d) основание инициирования расследования;

e) данные об инспекторах по защите данных, которые проводят выездное расследование (фамилия, имя и должность);

f) данные о физическом или юридическом лице, в отношении которого проводится расследование (в зависимости от обстоятельств – фамилия/наименование лица; фискальный код; адрес/место нахождения контролируемого подразделения и его код, в зависимости от обстоятельств – другие контактные данные);

g) предмет расследования;

h) цель и подлежащие расследованию вопросы;

i) дату начала расследования и его предполагаемую продолжительность.

(9) Направление на проведение выездного расследования доводится до сведения под подпись лица, в отношении которого проводится расследование, либо законного или уполномоченного представителя. В случае отказа от получения и подписания направления составляется акт в присутствии двух свидетелей. Присутствие свидетелей не требуется в случае регистрации отказа при помощи аудио- или видеосредств.

(10) Инспекторы по защите данных в пределах полномочий, вытекающих из частей (7) и (8), имеют следующие права:

a) получать доступ ко всем персональным данным и информации, необходимым для проведения расследования, независимо от носителя, на каком они хранятся, в том числе к любым документам, учетным системам, программным продуктам, оборудованию и средствам обработки данных;

b) иметь доступ в связанные с предметом и целью расследования здания и помещения, находящиеся в собственности или пользовании лиц, в отношении которых проводится расследование;

c) запрашивать и получать информацию, документы и разъяснения в установленный срок, который должен быть разумным с учетом объема и сложности запрошенных сведений, документов и разъяснений. Срок может продлеваться по мотивированному запросу лица, в отношении которого проводится расследование;

d) опрашивать лицо, в отношении которого проводится расследование, или его законного или уполномоченного представителя по фактам, относящимся к предмету расследования, а в необходимых случаях и записывать их ответы, в том числе с помощью аудио- и/или видеосредств, предварительно проинформировав об этом опрошенное лицо. По требованию копия записи передается лицу, в отношении которого проводится расследование;

e) запрашивать и получать относящуюся к предмету и цели расследования информацию, хранящуюся в компьютерах или на других электронных устройствах, в форме, позволяющей производить ее выемку и перевозку, а также ее рассмотрение;

f) обращаться за поддержкой к уполномоченным подразделениям Министерства внутренних дел, которые обязаны оказывать необходимую помощь инспекторам по защите данных для проведения расследования. В необходимых случаях к проведению расследования могут привлекаться уполномоченные Центром эксперты в определенных областях, которые обязаны обеспечивать конфиденциальность информации, ставшей им известной в ходе расследования.

(11) В ходе расследования инспекторы по защите данных обязаны:

a) информировать лицо, в отношении которого проводится расследование, о его правах и обязанностях;

b) представлять направление на проведение выездного расследования или в случае истребования документации и другой информации непосредственно от лица, в отношении которого проводится расследование, информацию, предусмотренную пунктами b)–i) части (8);

c) проводить расследование в соответствии с полномочиями, возложенными настоящим законом, с учетом предмета и цели этого расследования.

(12) В ходе расследования лицо, в отношении которого проводится расследование, имеет право:

a) получить копию направления на проведение выездного расследования или в зависимости от обстоятельств информацию, предусмотренную пунктами b)–i) части (8);

b) представлять доказательства в ходе проведения расследования;

c) давать касающиеся предмета и цели расследования разъяснения, зарегистрированные в любой форме;

d) получить помощь адвокатов, других уполномоченных представителей в соответствии с законодательством.

(13) Лицо, в отношении которого проводится выездное расследование, может получить помощь адвоката. Отсутствие адвоката не препятствует проведению связанных с расследованием действий.

(14) Все юридические лица публичного или частного права и физические лица обязаны оказывать содействие проводимому Центром расследованию, в том числе путем обеспечения условий для надлежащего проведения расследования.

(15) Выездное расследование проводится во время режима работы лица, в отношении которого проводится расследование, или в его отсутствие с 09:00 до 17:00 и осуществляется в присутствии лица, в отношении которого проводится расследование, или его представителя. Расследование может продолжиться и по окончании рабочих часов или в зависимости от обстоятельств после 17:00 только с согласия лица, в отношении которого проводится расследование, или его представителя.

(16) Доступ инспекторов по защите данных в место жительства или место пребывания физического лица без его согласия разрешается только на основании судебного ордера, выданного в соответствии с частями (17)–(20) и предъявленного соответствующему физическому лицу.

(17) В случае если инспекторам всячески препятствуют в исполнении своих обязанностей, а также при наличии обоснованных подозрений в том, что информация, документы, оборудование, устройства или носители, которые относятся к предмету расследования и могут оказаться существенными для доказательства грубого нарушения настоящего закона, хранятся в помещениях, на территории или в транспортных средствах, занимаемых физическими лицами, Центр может обратиться за судебным ордером в соответствии с настоящим законом путем подачи заявления в судебную инстанцию по месту нахождения Центра. Заявление о выдаче разрешения должно содержать всю информацию, которая может служить основанием для проведения расследования, и судья, получивший заявление, обязан проверить обоснованность этого заявления.

(18) Судебный ордер может быть выдан только случае, если:

a) имеются обоснованные подозрения, что в подлежащих осмотру помещениях, территориях или транспортных средствах хранятся имеющие отношение к предмету расследования сведения, документы, оборудование, устройства или носители, выдача которых была запрошена Центром в соответствии с настоящим законом, но которые не были выданы в установленный срок;

b) имеются обоснованные подозрения, что в подлежащих осмотру помещениях, территориях или транспортных средствах хранятся имеющие отношение к предмету расследования сведения, документы, оборудование, устройства или носители, выдача которых может быть запрошена Центром в соответствии с настоящим законом и которые в случае их запроса не будут выданы, а будут скрыты, удалены, изменены или уничтожены; или

c) инспекторам по защите данных был запрещен доступ в подлежащие осмотру помещения, территории или транспортные средства, были созданы препятствия физическими или юридическими лицами, в отношении которых проводится расследование, а также имеются обоснованные подозрения, что в этих помещениях, на территориях и в транспортных средствах хранятся относящиеся к предмету расследования сведения, документы, оборудование, устройства или носители, выдача которых была запрошена Центром в соответствии с настоящим законом.

(19) В судебном ордере должны быть указаны цель и предмет расследования, выданное разрешение, а также право на обжалование ордера. Ордер действителен в течение одного месяца со дня выдачи.

(20) При обращении за ордером судебная инстанция обязана проверить, является ли распоряжение об инициировании расследования подлинным и не являются ли запланированные принудительные меры произвольными или чрезмерными с учетом предмета расследования. При проверке соразмерности принудительных мер судебная инстанция может запросить Центр дать подробные разъяснения, в частности, об основаниях, на которых Центр заподозрил нарушение настоящего закона, а также о тяжести предполагаемого нарушения, важности искомых доказательств, характере причастности лица, в отношении которого проводится такое расследование, и о резонности вероятности того, что информация, документы, оборудование, устройства или носители, имеющие отношение к предмету расследования, хранятся в месте, на доступ в которое запрашивается ордер.

(21) Судебный ордер, выданный в соответствии с частями (17)–(20), может быть обжалован в кассационном порядке в Апелляционную палату Кишинэу без приостановления исполнения этого ордера, если кассационная инстанция не распорядится об ином.

(22) Части (17)–(21) применяются в соответствующем порядке также в случае запроса у поставщиков сети и/или услуг электронных коммуникаций данных о трафике и/или данных о локализации, связанных с предоставляемыми услугами электронных коммуникаций, или доступа к таким данным.

(23) Результат расследования фиксируется в проекте решения о расследовании, который предусматривает установление или отсутствие нарушения, а также примененные корректирующие меры и наложенные санкции. Проект решения сообщается субъекту персональных данных и оператору или лицу, действующему по поручению оператора, в отношении которых проводилось расследование, с предоставлением 30-дневного срока для представления возможных возражений. Срок, предусмотренный частью (25), приостанавливается со дня сообщения проекта решения сторонам до дня представления возможных возражений к проекту решения или – в случае непредставления возражений в установленный срок – до дня истечения срока, установленного для представления замечаний.

(24) В ходе проведения расследования инспектор по защите данных должен соблюдать положения законодательства и выполнять необходимые для расследования действия. Любое постороннее вмешательство в действия по проведению расследования запрещено и наказывается в соответствии с законом.

(25) Срок проведения расследования составляет не более шести месяцев со дня инициирования расследования с возможностью его обоснованного продления на месячные сроки, но не более чем на 12 месяцев со дня инициирования в зависимости от сложности дела, объема информации, которую необходимо получить и рассмотреть, поведения участников процедуры расследования и иных важных аспектов. Центр информирует субъекта персональных данных о продлении срока проведения расследования, а также о причинах такого продления.

Статья 82. Запрос информации

(1) В целях осуществления своих полномочий Центр имеет право запрашивать у юридических лиц публичного и частного права и у физических лиц и бесплатно получать от этих лиц, обеспечивая конфиденциальность информации, любые необходимые документы и информацию, в том числе в цифровой форме, которые доступны и могут иметь значение для применения закона, без возможности ссылаться на конфиденциальность уголовного преследования, банковской, коммерческой, налоговой, медицинской и профессиональной тайны (за исключением профессиональной тайны, предусмотренной статьей 55 Закона об адвокатуре № 1260/2002), а также персональных данных и иной информации ограниченного доступа.

(2) Центр запрашивает информацию в письменной форме, указывает правовую основу и цель запроса информации, а также устанавливает разумный срок, в течение которого она должна быть представлена и который составляет не менее пяти рабочих дней, с указанием предусмотренных законом санкций за ее непредставление.

(3) Запросы информации должны быть соразмерными и не могут обязывать лицо, в отношении которого проводится расследование, признавать факт совершения им нарушения. Лицо, в отношении которого проводится расследование, обязано отвечать на фактические вопросы и предоставлять документы, даже если они могут быть использованы против него или против другого лица для установления факта наличия нарушения.

(4) Имеющие отношение к предмету расследования сообщения, которыми обменивались в ходе расследования лицо, в отношении которого проводится расследование, и его адвокат исключительно с целью осуществления права на защиту соответствующего лица, не могут использоваться в качестве доказательства для установления факта нарушения законодательства в области защиты персональных данных. Если лицо, в отношении которого проводится расследование, не докажет защищенный характер этих сообщений, таковые опечатываются и оформляются в двух экземплярах.

В протоколе выездного расследования устанавливается срок, в течение которого лицо, в отношении которого проводится расследование, должно представить доказательства и объяснения, подтверждающие защищенный характер сообщения. Директор Центра в срочном порядке принимает решение о защищенном характере сообщения на основании заявления, а также доказательств и доводов, представленных лицом, в отношении которого проводится расследование. Если директор Центра отклоняет заявление о защищенном характере сообщения, снятие печатей с документа может быть произведено только по истечении срока, в течение которого приказ может быть обжалован, или, если решение обжалуется, после вступления в силу решения судебной инстанции. Приказ директора Центра об отклонении заявления о защищенном характере сообщения может быть обжалован в течение 15 дней со дня его сообщения без соблюдения предварительной процедуры в соответствии с положениями Административного кодекса.

Статья 83. Конфиденциальность

(1) Лица, которые в силу прав и обязанностей, предусмотренных настоящим законом, ознакомились с информацией в ходе расследования, а также иные лица, которым стала известна такая информация, обязаны обеспечивать ее конфиденциальность в соответствии с законодательством.

(2) Материалы дела, собранные в ходе расследования, не могут быть изъяты, прослушаны, получены и/или использованы для любых других дальнейших целей, если это может ухудшить положение субъекта персональных данных, за исключением случаев, необходимых для отправления правосудия.

(3) Инспектор по защите данных, субъект персональных данных или иные лица, которые в силу прав и полномочий, возложенных на них в соответствии с настоящим законом, ознакомились с информацией в ходе расследования или которым стала известна такая информация, не могут быть опрошены или допрошены другими органами или организациями по существу информации в ходе расследования, за исключением судебной инстанции.

Статья 84. Вынесение решений и сообщение о них

(1) По завершении расследования Центр выносит мотивированное решение об установлении или отсутствии нарушения законодательства в области обработки персональных данных и о применении мер, предусмотренных частью 3 настоящей главы, исходя из обстоятельств.

(2) Решение выносится директором Центра, заместителем директора или персоналом, наделенным функциями контроля Центра, в соответствии с полномочиями, возложенными приказом директора Центра. Субъекту персональных данных и лицу, в отношении которого проводится расследование, сообщается о решении в течение десяти рабочих дней со дня его вынесения.

(3) Центр публикует краткое изложение вынесенных решений, в котором описывает характер выявленных нарушений, мотивирующую часть решения, предписываемые меры, а также налагаемые санкции.

Статья 85. Выполнение решений Центра

(1) Решения Центра подлежат выполнению в указанные в них сроки с обязательным письменным информированием Центра о принятых мерах. Центр может назначить срок выполнения решения, который не превышает шести месяцев, учитывая сложность подлежащих осуществлению действий, степень опасности отклонений, которые необходимо устранить, возможность выполнения предписанных действий лицом, в отношении которого проводится расследование, а также предыдущие предписания, вынесенные по аналогичным случаям. В сложных случаях, когда решением Центра предусматривается применение сложных корректирующих мер, отводимый для выполнения решения шестимесячный срок может быть продлен Центром по обоснованному запросу оператора или лица, действующего по поручению оператора.

(2) Срок для добровольного исполнения наказания в виде штрафа составляет не менее двух месяцев со дня сообщения о решении.

(3) Принудительное выполнение решений Центра производится в соответствии с Исполнительным кодексом.

(4) В части взыскания наложенных штрафов решения Центра выполняются в соответствии с утвержденной Правительством процедурой исполнения денежных требований, основанной на нормах публичного права.

Часть 3

Денежные взыскания

Статья 86. Штраф

(1) Штраф является денежным взысканием, налагаемым Центром на оператора или лицо, действующее по поручению оператора, в случае установления нарушения настоящего закона.

(2) Штраф налагается Центром и перечисляется в государственный бюджет.

[Ст.86 ч.(1) дополнена Законом N 160 от 30.07.2026, в силу 23.08.2026]

Статья 87. Общие условия для наложения штрафов

(1) Центр гарантирует, что наложение штрафов в соответствии с настоящим разделом за нарушения, предусмотренные статьей 88, в каждом отдельном случае является эффективным, соразмерным и окажет сдерживающее воздействие.

(2) В зависимости от обстоятельств наложение штрафов производится в дополнение к мерам или вместо мер, указанных в пунктах a)–h) и j) части (2) статьи 60. В случае незначительного нарушения или в случае, когда возможный налагаемый штраф может стать несоразмерным бременем для физического лица, вместо штрафа может быть вынесено предупреждение. В целях наложения штрафа и определения его размеров в каждом отдельном случае принимаются во внимание следующие аспекты:

a) характер, тяжесть и продолжительность нарушения с учетом характера, области применения и цели соответствующей обработки, а также количества субъектов персональных данных и размера причиненного им ущерба;

b) совершено ли нарушение умышленно или по неосторожности;

c) любые меры, принятые оператором или лицом, действующим по поручению оператора, для снижения ущерба, причиненного субъекту персональных данных;

d) степень ответственности оператора или лица, действующего по поручению оператора, с учетом введенных ими технических и организационных мер в соответствии со статьями 25 и 32;

e) возможные имеющие отношение к делу нарушения, ранее совершенные оператором или лицом, действующим по поручению оператора;

f) степень сотрудничества с Центром для устранения нарушения и смягчения возможных негативных последствий нарушения;

g) категории персональных данных, в отношении которых было допущено нарушение;

h) способ доведения до сведения Центра о нарушении, в частности, уведомил ли оператор или лицо, действующее по поручению оператора, о нарушении;

i) в случае, если ранее в отношении оператора или лица, действующего по поручению оператора, были приняты указанные в части (2) статьи 60 меры, касающиеся того же предмета рассмотрения, – соблюдение этих мер;

j) соблюдение кодексов поведения, утвержденных в соответствии со статьей 40, или механизмов сертификации, утвержденных в соответствии со статьей 42; и

k) иные отягчающие или смягчающие факторы, применимые к обстоятельствам дела, например, прямо или косвенно полученная материальная выгода или предотвращенные убытки в результате нарушения.

(3) Штрафы могут налагаться, только если устанавливается, что оператор или лицо, действующее по поручению оператора, совершили умышленно или по неосторожности нарушение, указанное в статье 88.

(4) В случае если оператор или лицо, действующее по поручению оператора, умышленно или по неосторожности нарушает отдельные положения настоящего закона в рамках одной и той же операции по обработке или в рамках взаимосвязанных операций по обработке, общий размер штрафа не может превышать сумму, предусмотренную для самого тяжкого нарушения.

[Ст.87 ч.(3) изменена Законом N 160 от 30.07.2026, в силу 23.08.2026]

Статья 88. Нарушения, за которые налагаются штрафы

(1) В соответствии со статьей 87 налагаются штрафы в размере до 1 000 000 леев или – в случае предприятия – до 1 процента общего оборота, полученного в предшествующий наложению санкции год, в зависимости от того, какая сумма больше, за нарушение следующих положений:

a) обязанности оператора или лица, действующего по поручению оператора, в соответствии со статьями 8, 11, 25–39, 42 и 43;

b) обязанности органа по сертификации в соответствии со статьями 42 и 43;

c) обязанностей органа по мониторингу в соответствии с частью (4) статьи 41.

(2) В соответствии со статьей 87 налагаются штрафы в размере до 2 000 000 леев или – в случае предприятия – до 2 процентов общего оборота, полученного в предшествующий наложению санкции год, в зависимости от того, какая сумма больше, за нарушение следующих положений:

a) основных принципов обработки, в том числе условий, касающихся согласия, в соответствии со статьями 5–7 и 9;

b) прав субъектов персональных данных в соответствии со статьями 12– 22;

c) передачи персональных данных получателю в иностранном государстве или международной организации в соответствии со статьями 44–49;

d) обязанностей, предусмотренных главой VI;

e) за несоблюдение корректирующей меры или временного или постоянного ограничения обработки или приостановления потоков данных, назначенной Центром в предусмотренных законом пределах, в соответствии с частью (2) статьи 60 или за непредоставление доступа в нарушение части (1) статьи 60.

(3) За нарушение корректирующей меры, назначенной Центром в соответствии с частью (2) статьи 60, налагаются в соответствии со статьей 87 штрафы в размере до 2 000 000 леев или – в случае предприятия – до 2 процентов общего оборота, полученного в предшествующий наложению санкции год, в зависимости от того, какая сумма больше.

(4) Без ущерба для корректирующих полномочий Центра, указанных в части (2) статьи 60, предусмотренные настоящей статьей санкции налагаются также в отношении органов публичной власти и публичных учреждений в соответствии с настоящим законом.

(5) Если не был зарегистрирован общий оборот, полученный в предшествующий наложению санкции год, учитывается последний год, предшествующий наложению санкции, в котором у предприятия был оборот.

Глава IX

ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ

Статья 89. Заключительные положения

(1) Настоящий закон вступает в силу по истечении 24 месяцев со дня его опубликования в Официальном мониторе Республики Молдова.

(2) Правительству до вступления в силу настоящего закона:

a) представить Парламенту предложения по внесению изменений в законодательство в соответствии с настоящим законом;

b) внести в свои нормативные акты изменения в соответствии с настоящим законом.

(3) Центру до вступления в силу настоящего закона утвердить нормативные акты, необходимые для его выполнения.

(4) Настоящий закон не налагает дополнительные обязанности на физических или юридических лиц, касающиеся обработки данных в связи с предоставлением общедоступных услуг электронных коммуникаций в сетях электронных коммуникаций общего пользования, в отношении аспектов, по которым на них распространяются особые обязанности с целью, предусмотренной Законом об электронных коммуникациях № 241/2007.

Статья 90. Переходные положения

(1) Директору и заместителю директора Центра, состоящим в должности на день вступления в силу настоящего закона, продолжить осуществление своих полномочий до истечения срока, на который они были назначены.

(2) Персонал Центра, состоящий в должности на день вступления в силу настоящего закона, зачислить на новые должности согласно штатному расписанию персонала с соблюдением положений Закона о государственной должности и статусе государственного служащего № 158/2008 и трудового законодательства.

(3) Со дня вступления в силу настоящего закона признать утратившими силу:

a) Закон об утверждении Положения о Национальном центре по защите персональных данных, структуры, предельной численности и порядка финансирования Национального центра по защите персональных данных № 182/2008;

b) Закон о защите персональных данных № 133/2011;

c) статьи 74¹–74³ и статью 423⁴ Кодекса Республики Молдова о правонарушениях № 218/2008.

(4) Со дня вступления в силу настоящего закона в зависимости от установленного Центром окончательного размера денежных взысканий применять:

a) с первого года – 10 процентов размера назначенного штрафа;

b) со второго года – 40 процентов размера назначенного штрафа;

c) с третьего года – 100 процентов размера назначенного штрафа.

(5) Акты, изданные Центром в соответствии с частью (3) и пунктом i) части (5) статьи 32 Закона о защите персональных данных № 133/2011, остаются в силе и после вступления в силу настоящего закона.

(6) Жалобы, поданные в Центр до дня вступления в силу настоящего закона, рассматриваются и разрешаются согласно предусмотренным настоящим законом процессуальным нормам и в соответствии с материальными нормами, в том числе об ответственности за нарушение законодательства в области защиты персональных данных, предусмотренными законом, действующим на момент совершения нарушения.

(7) Гражданские и административные дела рассматриваются и разрешаются в соответствии с положениями закона, действующего на момент возникновения спорного правоотношения.

(8) Если обработка проводится на основании согласия, выраженного в соответствии с Законом о защите персональных данных № 133/2011, субъект персональных данных не должен вновь давать свое согласие, если способ, которым это согласие было дано, соответствует требованиям настоящего закона, что позволяет оператору продолжать такую обработку после вступления в силу настоящего закона.

ПРЕДСЕДАТЕЛЬ ПАРЛАМЕНТА	Игорь ГРОСУ
№ 195. Кишинэу, 25 июля 2024 г.