О чём эта статья
Статья 58 — полномочия надзорного органа. Перечень того, что DPA может делать.
58(1) — Полномочия по расследованию
Каждый надзорный орган имеет полномочия:
(a) приказать контролёру или обработчику предоставить любую информацию для выполнения задач;
(b) проводить расследования в форме аудитов защиты данных;
(c) проводить пересмотр сертификатов;
(d) уведомлять контролёра или обработчика о предполагаемом нарушении;
(e) получать доступ ко всем персональным данным и информации, необходимым для выполнения задач;
(f) получать доступ к помещениям, включая оборудование и средства обработки данных.
58(2) — Корректирующие полномочия
Каждый надзорный орган имеет полномочия:
(a) выносить предупреждения контролёру или обработчику о вероятном нарушении;
(b) выносить порицания при установленном нарушении;
(c) приказать контролёру или обработчику удовлетворить запросы субъекта данных;
(d) приказать привести обработку в соответствие с GDPR в указанный срок;
(e) приказать контролёру сообщить субъекту о нарушении безопасности;
(f) наложить временное или окончательное ограничение, включая запрет, на обработку;
(g) приказать исправление, ограничение или удаление данных и уведомление получателей;
(h) отозвать сертификацию или приказать органу сертификации отозвать сертификат;
(i) наложить административный штраф по Art. 83 в дополнение или вместо других мер;
(j) приказать приостановление потоков данных получателю в третьей стране.
58(3) — Полномочия по консультации
Включают консультирование контролёров, парламента, выдачу заключений.
58(4) — Усмотрение и обжалование
Полномочия осуществляются с учётом надлежащих гарантий, включая эффективное судебное обжалование и надлежащий процесс.
Почему это важно
CJEU в деле Land Hessen (C-768/21, 26.09.2024) прямо постановил: если DPA установил нарушение, он обязан применить хотя бы одну из мер 58(2). Не может «оставить как есть».
Это значит, что закрытие дела AKI без любой меры — потенциальное нарушение Art. 58, если в материалах дела были признаки нарушения. То же относится к большинству жалоб против AdTech: даже минимальная мера (предупреждение по 58(2)(a)) — это уже мера, и отказ её применять требует серьёзных обоснований.