Статья 82. Оценка воздействия

1. В случаях, предусмотренных частью 2 настоящей статьи, владелец записей перед обработкой персональных данных должен провести оценку воздействия. Применительно к набору схожих операций по обработке персональных данных может быть проведена единая оценка.

2. Оценка воздействия на защиту персональных данных проводится в следующих случаях:

1) при систематической и комплексной оценке личных аспектов физических лиц для целей автоматического принятия решений в отношении субъекта персональных данных, порождающих правовые последствия для физического лица или схожим образом существенно влияющих на физическое лицо;

2) при обработке специальных категорий персональных данных в отношении более чем тысячи субъектов персональных данных;

3) при систематическом автоматическом наружном мониторинге общественных мест техническими средствами.

3. Отраслевой регулятор в сфере персональных данных определяет перечень операций по обработке, для которых требуется оценка воздействия на защиту персональных данных, а также перечень операций по обработке, для которых оценка воздействия на защиту данных не требуется.

4. Оценка воздействия на защиту персональных данных включает в себя:

1) описание системы планируемых операций и целей обработки;

2) оценку соответствия целям обработки по критериям необходимости и пропорциональности операций по обработке, а также достаточности или избыточности персональных данных;

3) описание системы управления рисками.

5. Система управления рисками должна учитывать мнения субъектов персональных данных из соответствующей целевой аудитории о запланированной обработке их персональных данных.

6. Владелец записей обязан осуществить пересмотр оценки воздействия при существенном изменении набора операций или перечней персональных данных.