Izvoznik podatkov jamči, da si je razumno prizadeval ugotoviti, da je uvoznik podatkov z izvajanjem ustreznih tehničnih in organizacijskih ukrepov sposoben izpolniti obveznosti v skladu s temi klavzulami.
(a) Uvoznik podatkov obdeluje osebne podatke samo po navodilih izvoznika podatkov, ki so dokumentirana. Izvoznik podatkov lahko ta navodila posreduje med trajanjem pogodbe.
(b) Če uvoznik podatkov ne more slediti tem navodilom, o tem nemudoma obvesti izvoznika podatkov.
Uvoznik podatkov obdeluje osebne podatke samo za poseben namen prenosa, kot je določeno v Prilogi I.B, razen če izvoznik podatkov posreduje nadaljnja navodila.
Izvoznik podatkov na zahtevo brezplačno zagotovi posamezniku, na katerega se nanašajo osebni podatki, kopijo teh klavzul, vključno z dodatkom, ki sta ga pripravili pogodbeni stranki. Izvoznik podatkov lahko v obsegu, ki je potreben za zaščito poslovnih skrivnosti ali drugih zaupnih podatkov, vključno z ukrepi, opisanimi v Prilogi II in osebnimi podatki, prikrije del besedila iz dodatka k tem klavzulam, preden posreduje kopijo, vendar zagotovi smiseln povzetek, kadar posameznik, na katerega se nanašajo osebni podatki sicer ne bi mogel razumeti njene vsebine ali uveljavljati svojih pravic. Pogodbeni stranki na zahtevo posamezniku, na katerega se nanašajo osebni podatki, predložita razloge za prikrite dele besedila v največji možni meri, ne da bi razkrili prikrite informacije. Klavzula ne posega v obveznosti izvoznika podatkov v skladu s 13. in 14. členom Uredbe (EU) št. 2016/679.
Če uvoznik podatkov izve, da so osebni podatki, ki jih je prejel, netočni ali so zastareli, nemudoma obvesti izvoznika podatkov. V tem primeru uvoznik podatkov sodeluje z izvoznikom podatkov pri izbrisu oz. popravkih podatkov.
Uvoznik podatkov obdeluje podatke samo v času trajanja izvajanja storitev obdelave, ki je določen v Prilogi I.B. Po koncu obdobja izvajanja storitev obdelave uvoznik podatkov po izbiri izvoznika podatkov izbriše vse osebne podatke, obdelane v imenu izvoznika podatkov in izvozniku podatkov potrdi, da je to storil, ali pa izvozniku podatkov vrne vse osebne podatke, obdelane v njegovem imenu, ter izbriše obstoječe kopije. Dokler se podatki ne izbrišejo ali vrnejo, uvoznik podatkov še naprej zagotavlja skladnost s temi klavzulami. V primeru lokalne zakonodaje o prepovedi vračanja ali izbrisa osebnih podatkov, ki velja za uvoznika podatkov, uvoznik podatkov jamči, da bo še naprej zagotavljal skladnost s temi klavzulami in jih bo obdeloval samo v obsegu in tako dolgo časa, kot je to potrebno v skladu z lokalno zakonodajo. To ne posega v klavzulo 14, še zlasti ne v zahtevo v klavzuli 14(e), da mora uvoznik podatkov v času trajanja pogodbe obvestiti izvoznika podatkov, če ima razlog za domnevo, da zanj veljajo ali so veljali zakoni oz. prakse, ki niso v skladu z zahtevami iz klavzule 14(a).
(a) Uvoznik podatkov, med prenosom pa tudi izvoznik podatkov, izvajata ustrezne tehnične in organizacijske ukrepe za zagotovitev varnosti podatkov, vključno z zaščito pred kršitvijo varnosti, ki vodi do nenamernega ali nezakonitega uničenja, izgube, sprememb, nepooblaščenega razkritja ali dostopa do teh podatkov (v nadaljevanju »kršitev varnosti osebnih podatkov«). Pri ocenjevanju ustrezne ravni varnosti pogodbeni stranki primerno upoštevata stanje tehnike, stroške izvajanja, naravo, obseg, kontekst in namen(e) obdelave ter tveganja, ki so povezana z obdelavo podatkov posameznikov, na katere se nanašajo osebni podatki. Pogodbeni stranki še zlasti preučita uporabo šifriranja ali psevdonimizacije, tudi med prenosom, kadar je mogoče namen obdelave izpolniti na ta način. V primeru psevdonimizacije ostanejo dodatne informacije, ki omogočajo dodelitev osebnih podatkov določenemu posamezniku, na katerega se nanašajo osebni podatki, kadar je to mogoče, pod izključnim nadzorom izvoznika podatkov. Pri izpolnjevanju obveznosti iz tega odstavka mora uvoznik podatkov vsaj izvajati tehnične in organizacijske ukrepe, določene v Prilogi II. Uvoznik podatkov izvaja redna preverjanja, da se zagotovi, da ti ukrepi še naprej zagotavljajo ustrezno raven varnosti.
(b) Uvoznik podatkov članom svojega osebja odobri dostop do osebnih podatkov samo v obsegu, ki je nujno potreben za izvajanje, upravljanje in spremljanje pogodbe. Zagotovi se, da so se osebe, pooblaščene za obdelavo osebnih podatkov, zavezale zaupnosti oz., da jih k zaupnosti zavezuje ustrezen zakon.
(c) V primeru kršitve varstva osebnih podatkov, ki zadeva osebne podatke, ki jih obdeluje uvoznik podatkov v skladu s temi klavzulami, uvoznik podatkov sprejme ustrezne ukrepe za obravnavo kršitve, vključno z ukrepi za ublažitev njenih neželenih učinkov. Uvoznik podatkov prav tako nemudoma obvesti izvoznika podatkov po tem, ko se je seznanil s kršitvijo. Takšno obvestilo vsebuje podatke o kontaktni točki, kjer je mogoče pridobiti več informacij, opis narave kršitve (vključno, kadar je to mogoče, s kategorijami in približnim številom posameznikov, na katere se nanašajo osebni podatki, in številom zadevnih evidenc osebnih podatkov), verjetne posledice in ukrepe, sprejete ali predlagane ukrepe za obravnavo kršitve, vključno z ukrepi za ublažitev možnih neželenih učinkov kršitve, kadar je to primerno. Kadar in v kolikor ni mogoče istočasno zagotoviti vseh podatkov, začetno obvestilo vsebuje podatke, ki so nato na voljo, nadaljnje informacije, ko so na voljo, pa se pozneje zagotovijo brez nepotrebnega odlašanja.
(d) Uvoznik podatkov sodeluje z izvoznikom podatkov in mu pomaga pri tem, da izvozniku podatkov omogoči izpolnjevanje obveznosti iz Uredbe (EU) št. 2016/679, zlasti pri obveščanju pristojnega nadzornega organa in prizadetih posameznikov, na katere se nanašajo osebni podatki, ob upoštevanju narave obdelave in podatkov, ki so na voljo uvozniku podatkov.
Kadar prenos vključuje osebne podatke, ki razkrivajo rasno ali etnično poreklo, politična prepričanja in verska ali filozofska prepričanja ali informacije o članstvu v sindikatu, genetske ali biometrične podatke za namen edinstvene identifikacije fizične osebe, podatke o zdravstvenem stanju ali spolnem življenju osebe ali spolni usmerjenosti ali podatkih v zvezi s kazenskimi obsodbami in kaznivimi dejanji (v nadaljevanju »občutljivi podatki«), uvoznik podatkov uporablja posebne omejitve in/ali dodatne zaščitne ukrepe, opisane v Prilogi I.B.
Uvoznik podatkov osebne podatke razkrije samo tretji osebi po dokumentiranih navodilih izvoznika podatkov. Poleg tega se lahko podatki razkrijejo samo tretji osebi, ki se nahaja zunaj Evropske unije (4) (v isti državi kot uvoznik podatkov ali v drugi tretji državi, v nadaljevanju »nadaljnji prenos«), če tretjo osebo zavezujejo te klavzule, v skladu z ustreznim modulom, oz. če se tretja oseba strinja, da jo zavezujejo te klavzule, ali če:
(a) nadaljnji prenos je v državo, ki ima od odločitve o ustreznosti korist v skladu s 45. členom Uredbe (EU) št. 2016/679, ki zajema nadaljnji prenos;
(b) tretja oseba sicer zagotavlja ustrezne zaščitne ukrepe v skladu s 46. in 47. členom Uredbe (EU) št. 2016/679 v zvezi z zasebno obdelavo;
(c) nadaljnji prenos je potreben za vzpostavljanje, izvajanje ali obrambo pravnih zahtevkov v okviru posebnih upravnih, regulativnih ali sodnih postopkov; ali
(d) nadaljnji prenos je potreben za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe.
Pri vsakem nadaljnjem prenosu mora uvoznik podatkov upoštevati vse druge zaščitne ukrepe v skladu s temi klavzulami, zlasti omejitev namena.
(a) Uvoznik podatkov mora nemudoma in ustrezno obravnavati poizvedbe izvoznika podatkov, ki se nanašajo na obdelavo podatkov v skladu s temi klavzulami.
(b) Pogodbeni stranki morata biti zmožni dokazati skladnost s temi klavzulami. Zlasti uvoznik podatkov mora hraniti ustrezno dokumentacijo o dejavnostih obdelave podatkov, ki se izvajajo v imenu izvoznika podatkov.
(c) Uvoznik podatkov mora izvozniku podatkov dati na voljo vse informacije, potrebne za dokazovanje skladnosti z obveznostmi iz teh klavzul, in na zahtevo izvoznika podatkov, dovoliti in omogočiti izvajanje revizij dejavnosti obdelave, ki so zajete v teh klavzulah, v razumnih časovnih presledkih ali če obstajajo znaki neskladnosti. Pri odločanju o pregledu ali reviziji lahko izvoznik podatkov upošteva ustrezna potrdila, ki jih hrani uvoznik podatkov.
(d) Izvoznik podatkov se lahko odloči za samostojno izvedbo revizije ali pa pooblasti neodvisnega revizorja. Revizije lahko vključujejo inšpekcijske preglede v prostorih ali fizičnih objektih uvoznika podatkov, in se morajo po potrebi opraviti na podlagi razumnega predhodnega obvestila.
(e) Pogodbeni stranki morata na zahtevo pristojnemu nadzornemu organu predložiti informacije iz odstavkov (b) in (c), vključno z rezultati kakršnih koli revizij.
(a) Uvoznik podatkov ima splošno pooblastilo izvoznika podatkov za najem podobdelovalcev, ki so navedeni na dogovorjenem seznamu. Uvoznik podatkov mora izrecno pisno obvestiti izvoznika podatkov o morebitnih predvidenih spremembah na tem seznamu v obliki dodajanja ali zamenjave podobdelovalcev vsaj štirinajst dni vnaprej, s tem pa izvozniku podatkov dati dovolj časa, da lahko ugovarja tem spremembam pred najemom teh podobdelovalcev. Uvoznik podatkov mora izvozniku podatkov zagotoviti informacije, potrebne za omogočanje uveljavljanja pravice do ugovora.
(b) Kadar uvoznik podatkov najame podobdelovalca za izvajanje določenih dejavnosti obdelave (v imenu izvoznika podatkov), mora to storiti s pisno pogodbo, ki vsebinsko določa enake obveznosti varstva podatkov, kot tiste, ki zavezujejo uvoznika podatkov v skladu s temi klavzulami, vključno z vidika pravic tretje osebe kot upravičenca za posameznike, na katere se nanašajo osebni podatki. (8) Pogodbeni stranki se strinjata, da uvoznik podatkov z upoštevanjem te klavzule izpolnjuje obveznosti iz klavzule 8.8. Uvoznik podatkov mora zagotoviti, da podobdelovalec izpolnjuje obveznosti, ki veljajo za uvoznika podatkov v skladu s temi klavzulami.
(c) Uvoznik podatkov mora na zahtevo izvoznika podatkov predložiti kopijo takšnega sporazuma o najemu podobdelovalca in morebitne naknadne spremembe, ki zadevajo izvoznika podatkov. V obsegu, ki je potreben za zaščito poslovnih skrivnosti ali drugih zaupnih podatkov, vključno z osebnimi podatki, lahko uvoznik podatkov prikrije besedilo sporazuma, preden posreduje kopijo sporazuma.
(d) Uvoznik podatkov mora ostati v celoti odgovoren izvozniku podatkov za izvajanje obveznosti podobdelovalca v skladu s pogodbo z uvoznikom podatkov. Uvoznik podatkov mora izvoznika podatkov obvestiti o podobdelovalčevi neizpolnitvi obveznosti iz te pogodbe.
(e) Uvoznik podatkov se mora s podobdelovalcem dogovoriti o klavzuli v korist tretjega, pri kateri ima – v primeru, da je uvoznik podatkov dejansko izginil, zakonsko prenehal obstajati ali je postal insolventen – izvoznik podatkov pravico prekiniti pogodbo s podobdelovalcem in mu naročiti, da izbriše ali vrne osebne podatke.
(a) Uvoznik podatkov mora izvoznika podatkov nemudoma obvestiti o kakršnikoli zahtevi, ki jo je prejel od posameznika, na katerega se nanašajo osebni podatki. Na zahtevo se ne sme odzvati samostojno, razen če ga je to pooblastil izvoznik podatkov.
(b) Uvoznik podatkov mora izvozniku podatkov pomagati pri izpolnjevanju obveznosti glede odzivanja na zahteve posameznikov, na katere se nanašajo osebni podatki, za namene uveljavljanja njihovih pravic v skladu z Uredbo (EU) št. 2016/679. V zvezi s tem morata pogodbeni stranki v Prilogi II določiti ustrezne tehnične in organizacijske ukrepe, s katerimi se zagotovi pomoč, pri čemer morata upoštevati naravo obdelave, ter okvir in obseg zahtevane pomoči.
(c) Pri izpolnjevanju obveznosti iz odstavkov (a) in (b) mora uvoznik podatkov upoštevati navodila izvoznika podatkov.
(a) Uvoznik podatkov mora vsakemu posamezniku, na katerega se nanašajo osebni podatki, posredovati individualno obvestilo v pregledni in zlahka dostopni obliki ali posredovati informacije o kontaktni točki, ki je pooblaščena za obravnavanje pritožb, preko lastnega spletnega mesta. Takoj mora obravnavati morebitne pritožbe, ki jih prejme od posameznika, na katerega se nanašajo osebni podatki.
(b) V primeru spora med posameznikom, na katerega se nanašajo osebni podatki, in eno od pogodbenih strank glede skladnosti s temi klavzulami, si mora ta pogodbena stranka po najboljših močeh prizadevati za sporazumno in pravočasno rešitev zadeve. Pogodbeni stranki morata druga drugo obveščati o takšnih sporih in po potrebi sodelovati pri njihovem reševanju.
(c) Kadar posameznik, na katerega se nanašajo osebni podatki, uveljavlja pravico, ki velja v korist tretje osebe, v skladu s Klavzulo 3, mora uvoznik podatkov sprejeti odločitev posameznika, na katerega se nanašajo osebni podatki, da:
(i) pri nadzornem organu v državi članici, kjer ima običajno prebivališče ali kraj dela, ali pri pristojnem nadzornem organu v skladu s Klavzulo 13, vloži pritožbo;
(ii) spor predloži pristojnim sodiščem v smislu Klavzule 18.
(d) Pogodbeni stranki se strinjata, da lahko posameznika, na katerega se nanašajo osebni podatki, zastopa neprofitni organ, organizacija ali združenje pod pogoji iz člena 80(1) Uredbe (EU) št. 2016/679.
(e) Uvoznik podatkov mora upoštevati odločitev, ki je zavezujoča v skladu z veljavno zakonodajo EU ali zakonodajo držav članic.
(f) Uvoznik podatkov se strinja, da izbira posameznika, na katerega se nanašajo osebni podatki, ne bo vplivala na njegove vsebinske in procesne pravice za uveljavljanje pravnih sredstev v skladu z veljavnimi zakoni.
(a) Vsaka pogodbena stranka nasprotni stranki odgovarja za kakršnokoli škodo, ki jo povzroči s kršitvijo teh klavzul.
(b) Uvoznik podatkov odgovarja posamezniku, na katerega se nanašajo osebni podatki, za morebitno materialno ali nematerialno škodo, ki jo povzroči uvoznik podatkov ali njegov podobdelovalec s kršitvijo pravic, ki veljajo v korist tretjega, po teh klavzulah, posameznik, na katerega se nanašajo osebni podatki, pa je upravičen do odškodnine.
(c) Izvoznik podatkov odgovarja posamezniku, na katerega se nanašajo osebni podatki, za morebitno materialno ali nematerialno škodo, ki jo povzroči izvoznik podatkov ali uvoznik podatkov (ali njegov podobdelovalec) s kršitvijo pravic, ki veljajo v korist tretjega, po teh klavzulah, posameznik, na katerega se nanašajo osebni podatki, pa je upravičen do odškodnine, ne glede na odstavek (b). To ne posega v odgovornost izvoznika podatkov in, kadar je izvoznik podatkov obdelovalec podatkov, ki deluje v imenu kontrolorja podatkov, v odgovornost kontrolorja v skladu z Uredbo (EU) št. 2016/679 ali Uredbo (EU) št. 2018/1725, kot je primerno.
(d) Pogodbeni stranki se strinjata, da če izvoznik podatkov v skladu z odstavkom (c) odgovarja za škodo, ki jo povzroči uvoznik podatkov (ali njegov podobdelovalec), je upravičen do tega, da od uvoznika podatkov zahteva povračilo tistega dela odškodnine, ki ustreza odgovornosti uvoznika podatkov za škodo, ki jo je povzročil uvoznik podatkov.
(e) Kadar več kot ena pogodbena stranka odgovarja za kakršnokoli škodo, ki je nastala posamezniku, na katerega se nanašajo osebni podatki, zaradi kršitve teh klavzul, vse odgovorne stranke solidarno odgovarjajo za škodo, posameznik, na katerega se nanašajo osebni podatki, pa ima pravico, da zoper te stranke vloži tožbo pred sodiščem.
(f) Pogodbeni stranki se strinjata, da če ena od strank nosi odgovornost v skladu z odstavkom (e), ima pravico, da od druge pogodbene stranke zahteva del odškodnine, ki ustreza njeni odgovornosti za škodo.
(g) Uvoznik podatkov se ne sme sklicevati na ravnanje podobdelovalca, da bi se izognil lastni odgovornosti.
(a) Pogodbeni stranki se strinjata, da je nadzorni organ, ki je odgovoren za skladnost izvoznika podatkov z Uredbo (EU) št. 2016/679 v zvezi s prenosom podatkov, nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens), ki deluje kot pristojni nadzorni organ.
(b) Uvoznik podatkov se strinja, da se bo v vseh postopkih za zagotavljanje skladnosti s temi klavzulami podrejal pristojnosti oz. sodeloval s pristojnim nadzornim organom. Uvoznik podatkov se zlasti strinja, da se bo odzval na poizvedbe, predložil dokumentacijo v revizijo in upošteval ukrepe, ki jih je sprejel nadzorni organ, vključno s popravnimi in kompenzacijskimi ukrepi. Nadzornemu organu mora predložiti pisno potrditev, da so bili sprejeti potrebni ukrepi.
