О чём эта статья
Статья 58 — полномочия надзорного органа. Перечень того, что DPA может делать.
58(1) Полномочия по расследованию
Каждый надзорный орган имеет полномочия:
(a)приказать контролёру или обработчику предоставить любую информацию для выполнения задач;
(b)проводить расследования в форме аудитов защиты данных;
(c)проводить пересмотр сертификатов;
(d)уведомлять контролёра или обработчика о предполагаемом нарушении;
(e)получать доступ ко всем персональным данным и информации, необходимым для выполнения задач;
(f)получать доступ к помещениям, включая оборудование и средства обработки данных.
58(2) Корректирующие полномочия
Каждый надзорный орган имеет полномочия:
(a)выносить предупреждения контролёру или обработчику о вероятном нарушении;
(b)выносить порицания при установленном нарушении;
(c)приказать контролёру или обработчику удовлетворить запросы субъекта данных;
(d)приказать привести обработку в соответствие с GDPR в указанный срок;
(e)приказать контролёру сообщить субъекту о нарушении безопасности;
(f)наложить временное или окончательное ограничение, включая запрет, на обработку;
(g)приказать исправление, ограничение или удаление данных и уведомление получателей;
(h)отозвать сертификацию или приказать органу сертификации отозвать сертификат;
(i)наложить административный штраф по Art. 83 в дополнение или вместо других мер;
(j)приказать приостановление потоков данных получателю в третьей стране.
58(3) Полномочия по консультации
Включают консультирование контролёров, парламента, выдачу заключений.
58(4) Усмотрение и обжалование
Полномочия осуществляются с учётом надлежащих гарантий, включая эффективное судебное обжалование и надлежащий процесс.
Почему это важно
CJEU в деле Land Hessen (C-768/21, 26.09.2024) прямо постановил: если DPA установил нарушение, он обязан применить хотя бы одну из мер 58(2). Не может «оставить как есть».
Это значит, что закрытие дела AKI без любой меры — потенциальное нарушение Art. 58, если в материалах дела были признаки нарушения. То же относится к большинству жалоб против AdTech: даже минимальная мера (предупреждение по 58(2)(a)) — это уже мера, и отказ её применять требует серьёзных обоснований.