(a)

imajo izrazi ‚osebni podatki‘, ‚posebne vrste podatkov/občutljivi podatki‘, ‚obdelovati/obdelava‘, ‚pravljavec‘, ‚obdelovalec‘, ‚posameznik, na katerega se nanašajo osebni podatki‘ in ‚nadzorni organ/organ‘ enak pomen kot v Direktivi 95/46/ES z dne 24. oktobra 1995 (pri čemer pomeni ‚organ‘ pristojni organ za varstvo podatkov na ozemlju, kjer je sedež izvoznika podatkov);

(b)

‚izvoznik podatkov‘ pomeni upravljavca, ki prenese osebne podatke;

(c)

‚uvoznik podatkov‘ pomeni upravljavca, ki soglaša s tem, da prejme od izvoznika podatkov osebne podatke za nadaljnjo obdelavo v skladu s pogoji teh klavzul, in ki ni podvržen sistemu tretje države za zagotovitev ustreznega varstva;

(d)

‚klavzule‘ pomenijo pogodbene klavzule, ki so samostojen dokument in ne vsebujejo trgovinskih in poslovnih pogojev, določenih s strani pogodbenic v posebnih trgovinskih dogovorih.

(a)

so bili osebni podatki zbrani, obdelani in preneseni v skladu z zakoni, ki veljajo za izvoznika podatkov;

(b)

je sprejel vse primerne ukrepe, s katerimi je ugotovil, da je uvoznik podatkov zmožen izpolniti svoje pravne obveznosti iz teh klavzul;

(c)

uvozniku podatkov zagotovi kopije ustreznih zakonov o varstvu podatkov ali kopije sklicev nanje (kadar so ti ustrezni in ne vključujejo pravnih nasvetov) v državi, v kateri ima izvoznik podatkov sedež, če je to potrebno;

(d)

se odzove na poizvedbe posameznikov, na katere se nanašajo osebni podatki, in organa v zvezi z osebnimi podatki, ki jih obdela uvoznik podatkov, razen če pogodbenici soglašata, da to stori uvoznik podatkov, v tem primeru pa se izvoznik podatkov še vedno odzove v razumni meri in z dosegljivimi podatki, če se uvoznik podatkov noče ali ne more odzvati. Na poizvedbe se odzove v razumnem času;

(e)

posameznikom, na katere se nanašajo osebni podatki in ki imajo po klavzuli III korist tretjega, na njihovo zahtevo da na voljo kopijo klavzul, razen če klavzule vsebujejo zaupne podatke; v tem primeru ima pravico, da jih odstrani. Če so bili podatki odstranjeni, mora izvoznik podatkov pisno obvestiti posameznike, na katere se nanašajo osebni podatki, o razlogu odstranitve in o njihovi pravici, da na odstranitev opozorijo. Vendar pa izvoznik podatkov spoštuje odločbo organa v zvezi z dostopom posameznikov, na katere se nanašajo osebni podatki, do celotnega besedila klavzul, dokler se posamezniki, na katere se nanašajo osebni podatki, strinjajo, da bodo spoštovali tajnost odstranjenih zaupnih podatkov. Izvoznik podatkov zagotovi tudi organu kopijo klavzul, če je to potrebno.

(a)

bo poskrbel za ustrezne tehnične in organizacijske ukrepe in z njimi zaščitil osebne podatke pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom in zagotovil varnostno raven, ustrezno tveganju, ki ga predstavljata obdelava in narava podatkov, ki jih je treba zaščititi;

(b)

bo poskrbel za postopke, ki spoštujejo in ohranjajo zaupnost osebnih podatkov, tako da bo vsaka tretja oseba, pooblaščena za dostop do osebnih podatkov, vključno z obdelovalci, spoštoval in ohranjal zaupnost in varnost osebnih podatkov. Vsaka oseba, ki je pod nadzorom uvoznika podatkov, vključno z obdelovalcem podatkov, mora obdelovati podatke samo v skladu z navodili uvoznika podatkov. Ta določba ne velja za osebe, ki jih zakon ali drugi predpisi pooblaščajo ali od njih zahtevajo, da imajo dostop do osebnih podatkov;

(c)

nima nobenega razloga za domnevo, da v času sprejetja teh klavzul obstajajo kakršni koli lokalni zakoni s precejšnjimi škodljivimi posledicami za jamstva, določena s temi klavzulami, in obvesti izvoznika podatkov (ki prenese to obvestilo organu, če je to potrebno), če ugotovi, da takšni zakoni obstajajo;

(d)

obdeluje osebne podatke v namene, opisane v Prilogi B, in ima pravno pooblastilo, da daje jamstva in izpolnjuje obveznosti, določene v teh klavzulah;

(e)

izvozniku podatkov določi kontaktno točko znotraj organizacije, ki je pooblaščena, da odgovarja na poizvedbe v zvezi z obdelovanjem osebnih podatkov, in v dobri veri ter razumnem roku sodeluje z izvoznikom podatkov, s posameznikom, na katerega se nanašajo osebni podatki, in organom pri vseh takih poizvedbah. Če izvoznik podatkov preneha delovati ali če sta se tako zmenili pogodbenici, prevzame uvoznik podatkov odgovornost za ravnanje po določbah klavzule I(e);

(f)

na njegovo zahtevo izvozniku podatkov priskrbi dokaze o zadostnih finančnih sredstvih za izpolnitev svojih obveznosti iz klavzule III (ki lahko vključujejo zavarovanje);

(g)

na razumno zahtevo izvoznika podatkov predloži izvozniku podatkov (ali katerim koli neodvisnim ali nepristranskim inšpekcijskim uslužbencem ali revizorjem, ki jih izbere izvoznik podatkov, uvoznik podatkov pa temu izboru ne nasprotuje na podlagi utemeljenega razloga) v presojo, pregled in/ali certificiranje svojo opremo za obdelovanje podatkov, datoteke in dokumentacijo, potrebno za obdelavo, zaradi preverjanja skladnosti z jamstvi in obveznostmi v teh klavzulah, ob primernem predhodnem obvestilu in v času uradnih ur. Pri zahtevi se upoštevajo vse potrebne odobritve ali privoljenja regulativnega ali nadzornega organa države, v kateri ima uvoznik podatkov sedež, s tem da bo skušal uvoznik podatkov te odobritve ali privoljenja dobiti pravočasno;

(h)

obdeluje osebne podatke po svoji izbiri v skladu:

(i)

ne razkriva ali prenaša osebnih podatkov upravljavcu podatkov, ki je tretja oseba in je zunaj Evropskega gospodarskega prostora (EGP), razen če o prenosu obvesti izvoznika podatkov in če

(a)

Vsaka pogodbenica odgovarja drugi pogodbenici za škodo, ki jo povzroči s kakršno koli kršitvijo teh klavzul. Odgovornost med pogodbenicama je omejena na dejansko povzročeno škodo. Dodatne odškodnine (tj. odškodnine, s katerimi se pogodbenica kaznuje zaradi neprimernega ravnanja) so izrecno izvzete. Vsaka pogodbenica odgovarja drugi pogodbenici za škodo, ki jo povzroči s kakršno koli kršitvijo teh klavzul. To ne vpliva na odgovornost izvoznika podatkov po pravu o varstvu podatkov.

(b)

Pogodbenici soglašata, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da kot tretja oseba uveljavi to klavzulo in klavzule I(b), I(d), I(e), II(a), II(c), II(d), II(e), II(h), II(i), III(a), V, VI(d) in VII zoper uvoznika podatkov ali izvoznika podatkov za njune kršitve obligacijskih razmerij v zvezi z osebnimi podatki in da v ta namen prizna pristojnost države, v kateri ima izvoznik podatkov sedež. Če obstajajo domneve o kršitvi s strani uvoznika podatkov, mora posameznik, na katerega se nanašajo osebni podatki, najprej zahtevati od izvoznika podatkov, naj primerno ukrepa in uveljavi svoje pravice nasproti uvozniku podatkov; če izvoznik podatkov ne ravna tako v razumnem roku (v normalnih okoliščinah je to en mesec), lahko posameznik, na katerega se nanašajo osebni podatki, uveljavlja svoje pravice neposredno nasproti uvozniku podatkov. Posameznik, na katerega se nanašajo osebni podatki, je upravičen do neposrednega ukrepanja zoper izvoznika podatkov, ki ni sprejel vseh primernih ukrepov, s katerimi bi ugotovil, ali je uvoznik podatkov zmožen izpolniti svoje pravne obveznosti iz teh klavzul (dokazno breme, da si je za to razumno prizadeval, nosi izvoznik podatkov).

(a)

Pogodbenici se pri sporu ali zahtevku, ki ga vloži posameznik, na katerega se nanašajo osebni podatki, ali organ, v zvezi z obdelavo osebnih podatkov, povezanih s katero koli pogodbenico ali z obema pogodbenicama, pogodbenici medsebojno obvestita o vsakem takem sporu ali zahtevku in sodelujeta zato, da ga poravnata po mirni poti in pravočasno.

(b)

Pogodbenici soglašata, da se odzoveta na kateri koli splošno dosegljiv nezavezujoč postopek mediacije, sprožen s strani posameznika, na katerega se nanašajo osebni podatki, ali organa. Če pogodbenici sodelujeta v postopkih, se lahko odločita za sodelovanje na daljavo (po telefonu ali elektronski poti). Pogodbenici tudi soglašata, da bosta premislili o sodelovanju v kateri koli drugi arbitraži, mediaciji ali drugih postopkih za reševanje sporov, ki se uporabljajo za spore v zvezi z varstvom podatkov.

(c)

Vsaka pogodbenica spoštuje odločbo pristojnega sodišča iz države, v kateri ima izvoznik podatkov sedež, ali organa; ta je dokončna in zoper njo se ni več mogoče pritožiti.

(a)

Če uvoznik podatkov krši svoje obveznosti po teh klavzulah, lahko izvoznik podatkov začasno ustavi prenos osebnih podatkov k uvozniku podatkov, dokler se kršitev ne odpravi ali dokler pogodba ne preneha veljati.

(b)

V primeru:

potem ima izvoznik podatkov pravico, brez poseganja v katere koli druge pravice, ki jih lahko ima nasproti uvozniku podatkov, do odpovedi teh klavzul; v tem primeru se po potrebi obvesti organ. V primerih, zajetih v (i), (ii), ali (iv), je tudi uvoznik podatkov upravičen do odpovedi teh klavzul.

(c)

Vsaka pogodbenica lahko odpove te klavzule, če (i) se izda kakršna koli ustrezna odločba Komisije v skladu s členom 25(6) Direktive 95/46/ES (ali kakšno nadomestno besedilo) v zvezi z državo (ali sektorjem le-te), v katero uvoznik podatkov prenaša podatke in jih obdeluje, ali (ii) se Direktiva 95/46/ES (ali kakšno nadomestno besedilo) začne neposredno uporabljati v taki državi.

(d)

Pogodbenici soglašata, da ju prenehanje veljavnosti klavzul kadar koli in v kakršnih koli okoliščinah ter iz katerega koli vzroka (razen prenehanja v klavzuli VI(c)) ne odvezuje od obveznosti in/ali pogojev iz klavzul, ki zadevajo obdelavo prenesenih osebnih podatkov.

1.

Omejitev namenov: Osebni podatki se lahko obdelujejo in posledično uporabljajo ali posredujejo naprej samo v namene, opisane v Prilogi B, ali če posameznik, na katerega se nanašajo osebni podatki, pozneje dovoli njihovo uporabo.

2.

Kakovost in sorazmernost podatkov: Osebni podatki morajo biti točni in, kjer je to potrebno, ažurirani. Podatki morajo biti primerni, ustrezni in ne pretirani glede na namene, zaradi katerih so preneseni in nadalje obdelani.

3.

Preglednost: Posamezniki, na katere se nanašajo osebni podatki, morajo razpolagati z informacijami, potrebnimi za pravično obdelavo (kot je informacija o namenih obdelave in o prenosu), razen če so tako informacijo že dobili od izvoznika podatkov.

4.

Varnost in tajnost: Upravljavec podatkov mora pri obdelavi poskrbeti za tehnične in organizacijske varnostne ukrepe, ustrezne za varstvo osebnih podatkov pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom. Podatkov ne sme obdelovati nobena oseba, ki deluje pod vodstvom upravljavca podatkov, vključno z obdelovalcem, razen v skladu z navodili upravljavca.

5.

Pravica do dostopa, rektifikacije, izbrisa in ugovora: Kot določa člen 12 Direktive 95/46/ES, morajo posamezniki, na katere se nanašajo osebni podatki, neposredno ali po tretji osebi, priskrbeti osebne informacije, ki jih ima o njih organizacija, razen pri zahtevah, ki so očitno neprimerne, temeljijo na nerazumnih rokih, številu, se ponavljajo, ali do katerih je dostop onemogočen po zakonodaji države izvoznika podatkov. Dostopa ni treba odobriti v primeru predhodne odobritve s strani organa, če obstaja možnost resnega škodovanja interesom uvoznika podatkov ali drugih organizacij, ki zadevajo uvoznika podatkov, in če take interese ne prekrijejo interesi človekovih pravic in temeljnih svoboščin posameznika, na katerega se nanašajo osebni podatki. Virov osebnih podatkov ni treba identificirati, kadar to po najboljših možnih prizadevanjih ni mogoče ali kadar bi bile kršene zakonite pravice drugih oseb. Posamezniki, na katere se nanašajo osebni podatki, morajo popraviti, spremeniti ali zbrisati svoje osebne informacije, če so netočne ali obdelane v nasprotju s temi načeli. Če obstajajo nujni razlogi za dvom v zakonitost odločitev, lahko organizacija zahteva nadaljnje obrazložitve, še preden pride do rektifikacije, spremembe ali izbrisa. Tretjih oseb, ki so jim bili razkriti podatki, ni treba uradno obvestiti o kakršni koli rektifikaciji, spremembi ali izbrisu, če predstavlja to izjemen napor. Posameznikom, na katere se nanašajo osebni podatki, naj bo omogočeno tudi, da na nujni zakonski podlagi v zvezi z njihovim posebnim položajem ugovarjajo obdelavi podatkov, ki se nanašajo nanje. Dokazno breme za vsako zavrnitev nosi uvoznik podatkov, posameznik, na katerega se nanašajo osebni podatki, pa lahko pred organom vedno spodbija to zavrnitev.

6.

Občutljivi podatki: Uvoznik podatkov sprejme dodatne ukrepe (npr. tiste, povezane z varnostjo), ki so potrebni za varstvo takih občutljivih podatkov, v skladu z obveznostmi v klavzuli II.

7.

Podatki, ki se uporabljajo v namen trženja: Kjer so podatki obdelani v namen neposrednega trženja, naj obstajajo učinkoviti postopki, ki posamezniku, na katerega se nanašajo osebni podatki, dovoljujejo, da kadar koli izbere možnost, da se njegovi podatki ne uporabljajo v takšne namene.

8.

Avtomatizirane odločitve: V ta namen pomeni ‚avtomatizirana odločitev‘ odločitev izvoznika podatkov ali uvoznika podatkov, ki ima pravne učinke za posameznika, na katerega se nanašajo osebni podatki, ali ki nanj v precejšnji meri vpliva, ter temelji zgolj na avtomatizirani obdelavi osebnih podatkov za ocenitev nekaterih osebnih vidikov, ki se nanj nanašajo, kot so na primer njegova delovna uspešnost, kreditna sposobnost, zanesljivost, njegovo vedenje idr. Uvoznik podatkov ne sprejema avtomatiziranih odločitev, povezanih s posameznikom, na katerega se nanašajo osebni podatki, razen ko:

ali