Таким субъектом является провайдер облачного сервиса / провайдер инфраструктуры или приложений для анализа больших данных.

Рекомендации устанавливают, что провайдер облачного сервиса / провайдер инфраструктуры или приложений для больших данных обеспечивает защиту данных таким образом, что защищенные данные не будут собираться, храниться ненадлежащим лицом и передаваться ненадлежащему лицу.

При этом Рекомендации не определяют, кто является ненадлежащим лицом, в связи с чем однозначно сделать вывод о том, что Рекомендации запрещают передачу данных третьим лицам, нельзя.

При установлении требования к анализу данных в облачной среде Рекомендации устанавливают рекомендательную (необязательную) норму, чтобы провайдер облачного сервиса / провайдер приложений для больших данных обеспечивал анализ поведения пользователей. Это включает анализ информации, связанной с пользователями, собранной в реальном времени, в том числе информации о поведении пользователей, средовой информации и проанализированной информации из накопленных о пользователе сведений в хранилище данных провайдера облачного сервиса / провайдера приложения для больших данных. При этом сбор информации должен осуществляться на основании предварительно данного согласия пользователя.

Рекомендации устанавливают следующие обязательные требования к безопасности и защите данных:

1) провайдер облачного сервиса / провайдер инфраструктуры больших данных должен обеспечивать защиту данных при сборе данных, при хранении данных, при передаче данных и обработке данных с помощью механизмов безопасности;

2) провайдер облачного сервиса / провайдер приложения для больших данных должен удалять связанные данные и аналитические результаты в соответствии с требованиями клиента облачного сервиса или по запросу клиента облачного сервиса.

Рекомендации устанавливают следующие факультативные требования к безопасности и защите данных:

1) провайдер облачного сервиса может поддерживать возможность имплементации политики защиты и безопасности данных и аналитических результатов клиента облачного сервиса;

2) провайдер облачного сервиса / провайдер инфраструктуры больших данных может обеспечивать резервирование данных и ведение журнала транзакций.

Технические возможности облачных вычислений по обеспечению безопасности и защиты данных при обработке больших данных включают следующее:

1) контроль доступа, что означает возможность управления правами сторон по контролю или влиянию на связанную с ними информацию;

2) контроль политики, что означает возможность для управления политикой защиты данных и безопасности;

3) безопасность данных, что означает возможность применять различные механизмы безопасности, связанные с хранением, сетями и сервисами, в том числе административные, операционные и технические меры.

В ЕС уделяется особое внимание регулированию обработки «метаданных» (так называемых «информации об информации»): данных о трафике, геолокационных данных и т. п.

В частности, 8 апреля 2014 г. Суд ЕС вынес решение по объединенным делам С-293/12 и С-594/12, отменив Директиву 2006/24/ЕС Европейского парламента и Совета от 15 марта 2006 г. о сохранении данных, генерируемых или обрабатываемых в ходе оказания общедоступных услуг электронной коммуникации или функционирования публичных коммуникационных сетей (так называемая Data Retention Directive). Данная Директива, в сущности, распространяла свое действие на обработку «данных о данных», т. е. метаданных. Основанием для признания Директивы не имеющей юридической силы с даты ее принятия послужило то, что содержание Директивы фактически противоречит важному принципу европейского права: ограничение основополагающих прав граждан допустимо лишь при условии соблюдения принципа пропорциональности