Tietojen viejä takaa, että se on suorittanut kohtuullisia toimia teknisten ja organisatoristen toimenpiteiden avulla sen määrittämiseksi, että tiedot ovat tietojen tuojan käytettävissä asianmukaisten ja että tietojen tuoja voi täyttää näiden lakien mukaiset oikeudet ja velvollisuudet.
(a) Tietojen tuojan on käsiteltävä henkilötietoja vain tietojen viejän antamien dokumentoitujen ohjeiden mukaisesti. Tietojen viejä voi antaa tällaisia ohjeita koko sopimuksen voimassaoloajan ajan.
(b) Tietojen tuojan on ilmoitettava välittömästi tietojen viejälle siitä, jos se ei voi seurata näitä ohjeita.
Tietojen tuojan on käsiteltävä tietoja vain siirron erityiseen tarkoitukseen, joka on määritelty liitteessä I.B, ellei tietojen viejä anna muita ohjeita.
Tietojen viejän on pyydettäessä annettava kopioi näistä lausekkeista, mukaan lukien liitteestä, sellaisena kuin se on osapuolten täyttämänä ja valmiiksi tekemänä, rekisteröidyn saataville ilmaiseksi. Siinä määrin kuin on tarpeen liiketoimintasalaisuuksien tai muiden luottamuksellisten tietojen suojaamiseksi, mukaan lukien liitteessä II kuvatut toimenpiteet ja henkilötiedot, tietojen viejä voi poistaa osia näiden lausekkeiden lisäyksestä ennen kopion jakamista niistä, mutta sen tulee antaa ymmärrettävä ja kohdan merkityksen sisältävä yhteenveto sellaisissa tapauksissa, joissa rekisteröity ei muuten voisi ymmärtää jotakin kohtaa tai koko tekstiä tai käyttää oikeuksiaan. Sopimuspuolten on pyydettäessä annettava rekisteröidylle syyt tällaisista muokkauksista ja poistamisista siinä määrin kuin on mahdollista ilman, että muokatut tai poistetut tiedot paljastuvat. Tämä lauseke ei rajoita tietojen viejän asetuksen (EU) 2016/679 13 ja 14 artiklan mukaisia velvollisuuksia.
Jos tietojen tuoja saa tietää, että sen vastaanottamat tiedot ovat epätarkkoja tai ovat vanhentuneet, sen on ilmoitettava asiasta tietojen viejälle ilman aiheetonta viivytystä. Tässä tapauksessa tietojen tuojan tulee tehdä yhteistyötä tietojen viejän kanssa tietojen poistamiseksi tai korjaamiseksi.
Tietojen tuoja suorittaa käsittelyä vain liitteessä I.B. määritellyn ajan. Käsittelypalveluiden toimittamisen päättymisen jälkeen tietojen tuoja poistaa tietojen viejän pyynnöstä kaikki tietojen viejän puolesta käsitellyt tiedot ja vahvistaa tietojen viejälle tehneensä niin tai palauttaa tietojen viejälle kaikki sen puolesta käsitellyt tiedot ja poistaa olemassa olevat kopiot (näistä tiedoista). Tietojen tuoja jatkaa näiden lausekkeiden noudattamista, kunnes tiedot on poistettu tai palautettu. Jos tietojen tuojaan sovellettavat paikalliset lait kieltävät henkilötietojen palauttamisen tai poistamisen, tietojen tuoja takaa, että se varmistaa edelleen näiden lausekkeiden noudattamisen ja käsittelee tietoja vain siinä laajuudessa ja niin kauan kuin paikallisen lain edellyttämä. Tämä ei vaikuta tai rajoita lausekkeen 14 ehtoja, etenkään lausekkeen 14 alakohdan e mukaista vaatimusta, että tietojen tuoja ilmoittaa tietojen viejälle koko sopimuksen ajan, jos sillä on syytä uskoa, että se on tai on tullut sellaisten lakien tai käytäntöjen alaiseksi, jotka eivät ole lausekkeen 14 alakohdan a vaatimusten mukaisia.
(a) Tietojen tuoja ja tietojen siirron aikana myös tietojen viejä toteuttavat asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen sellaisia turvallisuusloukkauksia vastaan, jotka saattavat johtaa tällaisten tietojen tahattomaan tai laittomaan tuhoamiseen, tuhoutumiseen, menetykseen, muuttamiseen, luvattomaan paljastamiseen tai luvattomaan pääsyyn niihin (jäljempänä "henkilötietojen tietoturvaloukkaus") Arvioidessaan asianmukaista turvallisuuden tasoa osapuolten on otettava huomioon käsittelyn luonne, laajuus, konteksi ja tarkoitukset sekä käsittelyyn liittyvät riskit, jotka kohdistuvat rekisteröityihin. Sopimuspuolet harkitsevat erityisesti salauksen tai pseudonymisoinnin käyttämistä, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavalla. Pseudonymisoinnin tapauksessa lisätiedot henkilötietojen yhdistämisestä tai muusta osoittamisesta johonkin tiettyyn rekisteröityyn pysyy, jos mahdollista, yksinomaan tietojen viejän hallinnassa. Tietojen tuojan tulee vähintään panna täytäntöön liitteessä II mainitut tekniset ja organisatoriset toimenpiteet noudattaessaan tämän kappaleen mukaisia velvollisuuksiaan. Tietojen tuoja tekee säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet varmistavat edelleen asianmukaisen turvallisuuden tason.
(b) Tietojen tuoja myöntää henkilökunnalleen pääsyn henkilötietoihin vain siinä määrin kuin se on ehdottoman välttämätöntä sopimuksen täytäntöönpanon, hallinnan ja seurannan kannalta. Tietojen tuoja varmistaa, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet luottamuksellisuuteen tai ovat asianmukaisen lakiperusteisen luottamuksellisuusvelvoitteen alaisia.
(c) Tietojen tuojan näiden lausekkeiden mukaisesti käsittelemiä henkilötietoja koskevan henkilötietojen tietoturvaloukkauksen yhteydessä tietojen tuoja ryhtyy asianmukaisiin toimenpiteisiin vastatakseen tietoturvaloukkaukseen, mukaan lukien toimenpiteet sen haittavaikutusten lieventämiseksi. Tietojen tuoja ilmoittaa asiasta myös tietojen viejälle ilman aiheetonta viivytystä sen jälkeen, kun hän on tullut tietoiseksi tietoturvaloukkauksesta. Tällainen ilmoitus sisältää yhteyshenkilön/yhteyspisteen tiedot, josta voi saada lisätietoja, kuvauksen loukkauksen luonteesta (mukaan lukien mahdollisuuksien mukaan loukkaukseen liittyvien rekisteröityjen ja henkilötietotietueiden kategoriat ja likimääräinen lukumäärä), sen mahdollisista seurauksista sekä toimenpiteet, jotka on toteutettu tai joita on ehdotettu loukkaukseen vastaamiseksi, mukaan lukien, jos on asianmukaista, toimenpiteet loukkauksen mahdollisten haittavaikutusten lieventämiseksi. Jos ja sikäli kuin ei ole mahdollista antaa kaikkia tietoja samaan aikaan, ilmoitus sisältää sillä hetkellä saatavilla olevat tiedot ja lisätiedot on toimitettava myöhemmin ilman aiheetonta viivytystä.
(d) Tietojen tuoja tekee yhteistyötä ja auttaa tietojen viejää noudattamaan tämän asetuksen (EU) 2016/679 mukaisia velvollisuuksiaan, etenkin velvollisuuden ilmoittaa toimivaltaiselle viranomaiselle ja loukkauksen vaikutuksen alaisille rekisteröidyille suhteen, ottaen huomioon käsittelyn luonteen ja tietojen tuojalle saatavilla olevat tiedot.
Jos siirtoon sisältyy henkilötietoja, jotka paljastavat rodun tai etnisen alkuperän, poliittisia mielipiteitä, uskonnollisia tai filosofisia vakaumuksia tai uskomuksia tai ammattiliiton jäsenyyden, geneettisiä tietoja tai biometrisiä tietoja luonnollisen henkilön yksilöimisen tarkoitusta varten, terveyttä, henkilön seksielämää tai seksuaalista suuntautumista koskevia tietoja tai rikostuomioihin tai rikoksiin liittyviä tietoja (jäljempänä "arkaluontoiset tiedot"), tietojen tuoja soveltaa liitteessä I.B esitettyjä erityisiä rajoituksia ja/tai lisäsuojatoimia.
Tietojen tuoja paljastaa henkilötietoja kolmannelle osapuolelle vain tietojen viejän antamien dokumentoitujen ohjeiden mukaisesti. Lisäksi tiedot voidaan luovuttaa kolmannelle osapuolelle, joka sijaitsee Euroopan unionin ulkopuolella (4) (samassa maassa kuin tietojen tuoja tai toisessa kolmannessa maassa, jäljempänä ’edelleensiirto’), jos kolmas osapuoli on näiden lausekkeiden sitoma tai sitoutuu noudattamaan näitä lausekkeita asianmukaisen moduulin mukaisesti tai jos:
(a) edelleensiirto tapahtuu maahan, joka hyötyy asetuksen (EU) 2016/679 45 artiklan mukaisesta tiedonsiirtojen tietoturvan tason riittävyyspäätöksestä, joka kattaa edelleensiirrot;
b) kolmas osapuoli muutoin varmistaa asianmukaiset suojatoimet asetuksen (EU) 2016/679 46 tai 47 artiklan mukaisesti kyseessä olevan käsittelyn osalta;
(c) edelleensiirto on tarpeen oikeudellisten vaateiden aloittamiseksi, tekemiseksi tai puolustamiseksi erityisten hallinnollisten, sääntely- tai tuomioistuinmenettelyjen yhteydessä; tai
(d) edelleensiirto on tarpeen rekisteröidyn tai jonkun muun luonnollisen henkilö elintärkeiden etujen suojaamiseksi.
Kaikkien edelleensiirtojen tulee tapahtua siten, että tietojen tuoja noudattaa kaikkia näiden lausekkeiden mukaisia muita suojatoimia, erityisesti tarkoituksen rajoituksen suhteen.
(a) Tietojen tuoja käsittelee tietojen viejältä saamansa näiden lausekkeiden mukaiseen käsittelyyn liittyvät kyselyt heti ja viivytyksettä.
(b) Osapuolten tulee voida osoittaa, että he noudattavat näitä lausekkeita. Tietojen tuojan tulee etenkin dokumentoida tietojen viejän puolesta toteutetut käsittelytoimet.
(c) Tietojen tiedot tuoja antaa tietojen viejän saataville kaikki tiedot, jotka ovat tarpeen sen osoittamiseksi, että näissä lausekkeissa asetettuja velvoitteita noudatetaan, ja tietojen viejän pyynnöstä sallii, avustaa ja osallistuu näiden lausekkeiden kattamien käsittelytoimien tarkastukseen ja auditointiin kohtuullisin väliajoin tai jos on merkkejä vaatimusten tai näiden lausekkeiden vastaisesta toiminnasta. Kun tietojen viejä päättää arvioinnista tai tarkastuksesta, tietojen viejä voi ottaa huomioon tietojen tuojalla olevat asiaankuuluvat sertifikaatit.
(d) Tietojen viejä voi päättää suorittaa tarkastuksen itse tai valtuuttaa riippumattoman tarkastajan suorittamaan sen. Tarkastuksiin voi kuulua tietojen tuojan tiloissa tai fyysisissä laitoksissa tehtäviä tarkastuksia ja niistä tulee antaa ilmoitus kohtuullisella varoitusajalla.
(e) Osapuolten on pyynnöstä annettava kappaleissa (b) ja (c) viitatut tiedot, mukaan lukien kaikkien tarkastusten tulokset, toimivaltaisen valvontaviranomaisen saataville.
(a) Tietojen tuojalla on tietojen viejän yleinen lupa palkata ja käyttää hyväksytystä luettelosta valittuja alikäsittelijöitä. Tietojen tuoja ilmoittaa tietojen viejälle kirjallisesti kaikista aiotuista alikäsittelijöitä lisäämällä tai korvaamalla tapahtuvista muutoksista kyseiseen luetteloon vähintään 14 päivää etukäteen, jotta tietojen viejällä on riittävästi aikaa vastustaa tällaisia muutoksia ennen kuin alikäsittelijä alkaa suorittamaan tehtäviä. Tietojen tuoja antaa tietojen viejälle tiedot, jotka tarvitaan siihen, että tietojen viejä voi harjoittaa vastustamisoikeuttaan.
(b) Jos tietojen tuoja ottaa käyttöön alikäsittelijän suorittamaan tiettyjä käsittelytoimia (tietojen viejän puolesta), se tekee niin kirjallisella sopimuksella, joka asettaa sisällöllisesti samat tietosuojavelvollisuudet kuin ne velvollisuudet, jotka sitovat tietojen tuojaa näiden lausekkeiden mukaisesti, mukaan lukien rekisteröityjen kolmannen osapuolen edunsaajan oikeuksien suhteen. (8) Osapuolet sopivat, että tätä lauseketta noudattamalla tietojen tuoja täyttää lausekkeen 8.8 mukaiset velvollisuutensa. Tietojen tuoja varmistaa, että alikäsittelijä noudattaa niitä velvollisuuksia, joiden alainen tietojen tuoja on näiden lausekkeiden mukaisesti.
(c) Tietojen tuoja antaa tietojen viejän pyynnöstä kopion tällaisesta alikäsittelijäsopimuksesta ja kaikista siihen myöhemmin tehdyistä muutoksista tietojen viejälle. Tietojen tuoja voi poistaa osia sopimuksen tekstistä ennen sopimuksen kopion jakamista, siltä osin kuin on tarpeen suojata liiketoimintasalaisuuksia tai muita luottamuksellisia tietoja.
(d) Tietojen tuoja pysyy täysin vastuussa tietojen viejälle siitä, että alikäsittelijä täyttää sen tietojen tuojan kanssa tehdyn sopimuksen mukaiset velvollisuutensa. Tietojen tuoja ilmoittaa tietojen viejälle kaikista tapauksista, joissa alikäsittelijä ei ole noudattanut kyseisen sopimuksen mukaisia velvollisuuksiaan.
(e) Tietojen tuoja hyväksyy kolmannen osapuolen edunsaaja -lausekkeen alikäsittelijän kanssa, ja sen myötä sellaisessa tapauksessa, jossa tietojen tuoja on tosiasiallisesti kadonnut, lakannut olemasta laillisesti tai on tullut maksukyvyttömäksi, tietojen viejällä on oikeus irtisanoa alikäsittelijäsopimus ja ohjeistaa alikäsittelijää poistamaan tai palauttamaan henkilötiedot.
(a) Tietojen tuoja ilmoittaa viipymättä tietojen viejälle kaikista rekisteröidyltä saamistaan pyynnöistä. Se ei vastaa tällaisiin pyyntöihin itse, ellei tietojen viejä ole antanut sille lupaa tehdä niin.
(b) Tietojen tuoja auttaa tietojen viejää täyttämään velvollisuutensa vastata rekisteröidyn pyyntöihin käyttää asetuksen (EU) 2016/679 mukaisia oikeuksiaan. Tämän osalta osapuolet asettavat liitteessä II asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon käsittelyn luonteen, jonka muodossa apua annetaan, sekä tarvitun avun laajuuden ja määrän.
(c) Tietojen tuoja noudattaa tietojen viejän antamia ohjeita täyttäessään kohtien (a) ja (b) mukaisia velvollisuuksiaan.
(a) Tietojen tuojan tulee ilmoittaa rekisteröidyille avoimessa ja helposti saatavilla olevassa muodossa tai henkilökohtaisella ilmoituksella tai verkkosivustollaan yhteyspisteestä, joka on valtuutettu käsittelemään valituksia. Se käsittelee viipymättä kaikki valitukset, joita se saa rekisteröidyltä.
(b) Jos rekisteröidyn ja jomman kumman osapuolen välillä on riita näiden lausekkeiden noudattamisesta, kyseinen osapuoli yrittää parhaansa mukaan ratkaista riidan sovinnollisesti ja viivyttelemättä oikea-aikaisesti. Osapuolten on pidettävä toisensa ajan tasalla tällaisista riidoista ja tehtävä tarvittaessa yhteistyötä niiden ratkaisemiseksi.
(c) Jos rekisteröidy vetoaa kolmannen osapuolen edunsaaja -oikeuteen, lausekkeen 3 mukaisesti, tietojen tuojan on hyväksyttävä rekisteröidyn päätös:
(i) tehdä valitus sen valvontaviranomaiselle siinä jäsenvaltiossa, jossa hän asuu tai työskentelee tai lausekkeen 13 mukaiselle toimivaltaiselle valvontaviranomaiselle;
(ii) viedä riita toimivaltaisille tuomioistuimille lausekkeen 18 tarkoituksen mukaisesti.
(d) Osapuolet hyväksyvät, että rekisteröityä voi edustaa voittoa tavoittelematon taho, organisaatio tai järjestö asetuksen (EU) 2016/679 80 artiklan 1 alakohdassa säädettyjen ehtojen mukaisesti.
(e) Tietojen tuoja noudattaa päätöstä, joka on sitova sovellettavan EU:n tai jäsenvaltion lain mukaisesti.
(f) Tietojen tuoja hyväksyy, että rekisteröidyn tekemä valinta ei vaikuta tai rajoita hänen aineellisia ja menettelyllisiä oikeuksiaan hakea oikeussuojakeinoja ja korjauskeinoja sovellettavien lakien mukaisesti.
(a) Jokainen osapuoli on vastuussa toiselle osapuolelle tai osapuolille kaikista vahingoista ja vahingonkorvauksista, joita se aiheuttaa toiselle osapuolelle rikkomalla näitä lausekkeita millä tahansa tavalla.
(b) Tietojen tuoja on vastuuvelvollinen ja korvausvastuussa rekisteröidylle, ja rekisteröity on oikeutettu saamaan korvauksen kaikista aineellisista tai aineettomista vahingoista, joita tietojen tuoja tai sen alikäsittelijä aiheuttavat rikkomalla näiden lausekkeiden mukaisia kolmannen osapuolen edunsaajan oikeuksia.
(c) Lukuun ottamatta kohdan (b) ehtoja, tietojen viejä on vastuuvelvollinen rekisteröidylle, ja rekisteröidyllä on oikeus saada korvaus kaikista aineellisista tai aineettomista vahingoista, joita tietojen viejä (tai sen alikäsittelijä) aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia kolmannen osapuolen edunsaajan oikeuksia. Tämä ei vaikuta tai rajoita tietojen viejän vastuuta, tai jos tietojen viejä on rekisterinpitäjän puolesta toimiva henkilötietojen käsittelijä, rekisterinpitäjän asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 mukaista vastuuta, soveltuvin osin.
(d) Osapuolet sopivat, että jos tietojen viejä on vastuuvelvollinen (asetetaan vastuuseen) kohdan (c) mukaisesti tietojen tuojan (tai sen alikäsittelijän) aiheuttamista vahingoista tai vahingonkorvauksista, sillä on oikeus vaatia takaisin tietojen tuojalta sen osan korvauksista, jotka vastaavat tietojen tuojan vastuuta vahingosta.
(e) Jos useampi kuin yksi osapuoli on vastuussa mistä tahansa rekisteröidylle aiheutuneista vahingoista, jotka johtuvat näiden lausekkeiden rikkomisesta, kaikki vastuussa oleva osapuolet ovat yhdessä ja erikseen vastuuvelvollisia, ja rekisteröidyllä on oikeus nostaa kanne tuomioistuimessa kaikkia näistä osapuolia vastaan.
(f) Osapuolet sopivat, että jos yksi osapuoli on vastuuvelvollinen kohdan (e) mukaisesti, sillä on oikeus vaatia takaisin toiselta osapuolelta/osapuolilta se osa korvauksista, joka vastaa sen/niiden vastuusta vahingosta/vahingonkorvauksista.
(g) Tietojen tuoja ei saa vedota alikäsittelijän toimiin välttääkseen oman vastuuvelvollisuuttaan/korvausvelvollisuuttaan.
(a) Osapuolet sopivat, että valvontaviranomainen, joka on vastuussa siitä, että tietojen viejä noudattaa asetusta (EU) 2016/679 tietojen siirron suhteen, on Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens), joka toimii toimivaltaisena valvontaviranomaisena.
(b) Tietojen tuoja sitoutuu olemaan toimivaltaisen viranomaisen tuomiovallan alainen ja tekemään yhteistyötä toimivaltaisten viranomaisen kanssa kaikissa menettelyissä, joiden tarkoituksena on varmistaa näiden lausekkeiden noudattaminen. Tietojen tuoja sitoutuu erityisesti vastaamaan kyselyihin, sallimaan siihen kohdistuvat tarkastukset ja noudattamaan viranomaisen hyväksymiä tai käyttöönottamia toimenpiteitä, mukaan lukien korjaavat ja korvaavat toimenpiteet. Se antaa viranomaiselle kirjallisen vahvistuksen siitä, että tarvittavat toimet on toteutettu.
