a)

’henkilötiedoilla’, ’erityisillä tietoryhmillä / arkaluonteisilla tiedoilla’, ’käsittelyllä’, ’rekisterinpitäjällä’, ’käsittelijällä’, ’rekisteröidyllä’ ja ’valvontaviranomaisella’ samaa kuin 24 päivänä lokakuuta 1995 annetussa direktiivissä 95/46/EY (’viranomaisella’ tarkoitetaan toimivaltaista tietosuojaviranomaista alueella, johon tietojen viejä on sijoittautunut);

b)

’tietojen viejällä’ rekisterinpitäjää, joka siirtää henkilötietoja;

c)

’tietojen tuojalla’ rekisterinpitäjää, joka sopii henkilötietojen vastaanottamisesta tietojen viejältä edelleen käsittelyä varten näiden lausekkeiden ehtojen mukaisesti ja jota ei koske riittävän suojan takaava kolmannen maan järjestelmä;

d)

’lausekkeilla’ näitä sopimuslausekkeita, jotka muodostavat itsenäisen asiakirjan, johon eivät sisälly sopimuspuolten erillisten kaupankäyntijärjestelyiden mukaisesti vahvistamat kaupalliset ehdot.

a)

henkilötiedot on kerätty, käsitelty ja siirretty tietojen viejään sovellettavan lainsäädännön mukaisesti;

b)

se on pyrkinyt parhaansa mukaan varmistamaan, että tietojen tuoja pystyy täyttämään näiden lausekkeiden mukaiset oikeudelliset velvoitteensa;

c)

se toimittaa pyydettäessä tietojen tuojalle kopiot asiaan liittyvistä tietojen viejän sijoittautumismaan tietosuojalaeista tai viitteet niihin (tarvittaessa; tämä ei koske oikeudellista neuvontaa);

d)

se vastaa rekisteröidyn ja viranomaisen tiedusteluihin, jotka koskevat tietojen tuojan suorittamaa henkilötietojen käsittelyä, elleivät sopimuspuolet ole sopineet, että tietojen tuoja hoitaa vastaamisen, jolloin tietojen viejä edelleenkin vastaa siinä määrin kuin se on kohtuullisesti katsottuna mahdollista ja jos se saa tiedot käyttöönsä kohtuullisen helposti, jos tietojen tuoja on haluton tai ei pysty vastaamaan; vastaukset on annettava kohtuullisessa ajassa;

e)

se toimittaa pyynnöstä kopion lausekkeista rekisteröidyille, jotka ovat edunsaajina olevia kolmansia osapuolia lausekkeen III mukaisesti, elleivät lausekkeet sisällä luottamuksellista tietoa, jolloin se voi poistaa tällaiset tiedot. Jos tietoja on poistettu, tietojen viejä ilmoittaa rekisteröidyille kirjallisesti poistamisen syistä ja rekisteröityjen oikeudesta saattaa poistaminen viranomaisen tietoon. Tietojen viejää sitoo kuitenkin viranomaisen päätös, joka koskee lausekkeiden täydellisen tekstin antamista rekisteröidyille, jos rekisteröidyt ovat luvanneet noudattaa poistetun luottamuksellisen tekstin luottamuksellisuutta. Tietojen viejän on toimitettava pyydettäessä kopio lausekkeista myös viranomaiselle.

a)

se toteuttaa asianmukaisia teknisiä ja organisatorisia toimenpiteitä, joilla suojataan henkilötiedot tahattomalta tai luvattomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä ja jotka tarjoavat asianmukaisen turvallisuustason suojattavien tietojen käsittelyn ja luonteen edustamaan riskiin nähden;

b)

sillä on käytössään menettelyt, joilla varmistetaan, että kaikki kolmannet osapuolet, joille tietojen tuoja sallii pääsyn henkilötietoihin, käsittelijät mukaan luettuina, noudattavat ja pitävät yllä henkilötietojen luottamuksellisuutta ja suojaa. Kaikki tietojen tuojan lukuun toimivat henkilöt, myös tiedon käsittelijät, saavat käsitellä henkilötietoja vain tietojen tuojan luvalla. Tämä ei koske henkilöitä, joilla lain tai asetuksen perusteella on oikeus tai velvollisuus saada henkilötietoja;

c)

sillä ei ole syytä olettaa, että näiden lausekkeiden tullessa voimaan voimassa olisi paikallisia lakeja, joilla olisi merkittävää haitallista vaikutusta lausekkeilla annettaviin takeisiin, ja se ilmoittaa tietojen viejälle (joka välittää tämän ilmoituksen viranomaiselle, jos sitä vaaditaan), jos se saa tietoa tällaisista laeista;

d)

se käsittelee henkilötietoja liitteessä B esitettyjä tarkoituksia varten, ja sillä on sellainen oikeudellinen toimivalta, että se voi antaa takeet ja sitoumukset, jotka on esitetty näissä lausekkeissa;

e)

se osoittaa tietojen viejälle organisaatiossaan yhteystahon, jolla on valtuudet vastata henkilötietojen käsittelyä koskeviin tiedusteluihin, ja se tekee vilpitöntä yhteistyötä tietojen viejän, rekisteröidyn ja viranomaisen kanssa vastatakseen tiedusteluihin kohtuullisessa ajassa. Jos tietojen viejän toiminta lakkautetaan tai jos sopimuspuolet ovat niin sopineet, tietojen tuoja vastaa lausekkeen I kohdan e määräysten noudattamisesta;

f)

se toimittaa tietojen viejän pyynnöstä tälle todisteet riittävistä varoista, jotta se voi hoitaa lausekkeen III mukaiset velvoitteensa (joihin saattaa sisältyä vakuutusturva);

g)

se antaa tietojen viejän perustellun pyynnön perusteella käsittelyyn vaadittavat tietojenkäsittelyjärjestelmät, tietueet ja asiakirjat tietojen viejän (tai sen valitsemien riippumattomien tai puolueettomien tarkastuselimien tai tarkastajien, joiden valintaa tietojen tuoja ei ole perustellusti vastustanut) tutkittaviksi, tarkastettaviksi ja/tai sertifioitaviksi, jotta varmistetaan lausekkeiden mukaisten takeiden ja sitoumusten noudattaminen; tarkastuksesta on ilmoitettava kohtuullisessa ajassa etukäteen ja se on tehtävä tavanomaisena työaikana. Pyyntö edellyttää tietojen tuojan sijoittautumismaan sääntely- tai valvontaviranomaiselta mahdollisesti tarvittavaa suostumusta tai hyväksyntää, jonka tietojen tuoja pyrkii saamaan mahdollisimman pikaisesti;

h)

se käsittelee henkilötietoja valintansa mukaan

i)

se ei luovuta tai siirrä henkilötietoja Euroopan talousalueen (ETA:n) ulkopuolella sijaitsevalle kolmantena osapuolena olevalle rekisterinpitäjälle ilmoittamatta siirrosta tietojen viejälle, ja

a)

Kumpikin sopimuspuoli on vastuussa toiselle sopimuspuolelle vahingoista, jotka ovat aiheutuneet näiden lausekkeiden rikkomisesta. Sopimuspuolten välinen vastuu rajoittuu todellisuudessa kärsittyihin vahinkoihin. Rankaisevat vahingonkorvaukset (eli vahingonkorvaukset, joilla on tarkoitus rangaista sopimuspuolta sopimattomasta käytöksestä) on nimenomaisesti jätetty soveltamisalan ulkopuolelle. Kumpikin sopimuspuoli on vastuussa rekisteröidyille vahingoista, jotka ovat aiheutuneet siitä, että sopimuspuolet ovat rikkoneet näiden lausekkeiden mukaisia kolmannen osapuolen etua suojaavia oikeuksia. Tämä ei vaikuta tietojen viejän vastuuseen siihen sovellettavan tietosuojalain mukaisesti.

b)

Sopimuspuolet sopivat, että rekisteröidyllä – kolmantena osapuolena olevana edunsaajana – on oikeus vaatia tietojen tuojaa tai tietojen viejää panemaan tämä lauseke ja lausekkeet I b, I d, I e, II a, II c, II d, II e, II h, II i, III a, V, VI d ja VII täytäntöön, jos ne ovat rikkoneet sopimusvelvoitteitaan rekisteröidyn henkilötietojen osalta, ja hyväksyvät tietojen viejän sijoittautumismaan tuomiovallan asiassa. Tapauksissa, joissa esitetään väitteitä tietojen tuojan sopimusrikkomuksesta, rekisteröidyn täytyy ensin pyytää tietojen viejää toteuttamaan asianmukaiset toimet, jotta tietojen tuoja panisi rekisteröidyn oikeudet täytäntöön; ellei tietojen viejä toteuta tällaisia toimia kohtuullisen ajan kuluessa (joka tavanomaisissa olosuhteissa olisi yksi kuukausi), rekisteröity voi vaatia oikeuksiensa täytäntöönpanoa suoraan tietojen tuojalta. Rekisteröidyllä on oikeus ryhtyä oikeustoimiin suoraan sellaista tietojen viejää vastaan, joka ei ole pyrkinyt parhaansa mukaan varmistamaan, että tietojen tuoja pystyy täyttämään lausekkeiden mukaiset oikeudelliset velvoitteensa (tietojen viejällä on todistustaakka osoittaa, että se on toiminut parhaan kykynsä mukaan).

a)

Kun kyseessä on rekisteröidyn tai viranomaisen esiin ottama henkilötietojen käsittelyä koskeva riita-asia tai vaatimus, joka kohdistuu toiseen tai molempiin sopimuspuoliin, sopimuspuolet ilmoittavat toisilleen tällaisista riita-asioista tai vaatimuksista ja tekevät yhteistyötä, jotta niissä päästäisiin sovintoratkaisuun mahdollisimman pikaisesti.

b)

Sopimuspuolet sopivat vastaavansa yleisesti käytössä olevaan ei-sitovaan välitysmenettelyyn, jonka rekisteröity tai viranomainen on käynnistänyt. Jos sopimuspuolet osallistuvat menettelyyn, ne voivat tehdä niin olematta paikan päällä (esimerkiksi puhelimitse tai muuta sähköistä välinettä käyttäen). Sopimuspuolet sopivat myös, että ne harkitsevat osallistumista muuhun sovittelu-, välitys- tai riitojenratkaisumenettelyyn, joka on tarkoitettu tietosuojariitoja varten.

c)

Sopimuspuolet noudattavat tietojen viejän sijoittautumismaan toimivaltaisen tuomioistuimen tai viranomaisen päätöstä, joka on lopullinen ja josta ei voi valittaa.

a)

Jos tietojen tuoja rikkoo näiden lausekkeiden mukaisia velvoitteitaan, tietojen viejä voi tilapäisesti keskeyttää henkilötietojen siirron tietojen tuojalle, kunnes rikkominen päättyy, tai sopimus päätetään.

b)

Siinä tapauksessa, että

tietojen viejällä on oikeus päättää näiden lausekkeiden voimassaolo, sanotun rajoittamatta muiden oikeuksien täytäntöönpanoa tietojen tuojaa vastaan, jolloin viranomaiselle ilmoitetaan tarvittaessa. Tapauksissa, joita koskevat edellä olevat kohdat i, ii tai iv, myös tietojen tuoja voi päättää lausekkeiden voimassaolon.

c)

Sopimuspuolet voivat päättää lausekkeiden voimassaolon, jos i) direktiivin 95/46/EY 25 artiklan 6 kohdan (tai muun korvaavan tekstin) nojalla komissio tekee tietosuojan riittävää tasoa koskevan myönteisen päätöksen sen maan (tai siellä olevan toimialan) osalta, johon tiedot on siirretty ja jossa tietojen tuoja on ne käsitellyt tai ii) direktiivistä 95/46/EY (tai muusta korvaavasta tekstistä) tulee suoraan sovellettava kyseisessä maassa.

d)

Sopimuspuolet sopivat, että näiden lausekkeiden voimassaolon päättäminen milloin tahansa, missä tahansa olosuhteissa ja mistä tahansa syystä (lukuun ottamatta lausekkeen VI kohdan c mukaista päättämistä) ei vapauta sopimuspuolia näiden lausekkeiden mukaisista velvoitteista ja/tai ehdoista siirrettyjen henkilötietojen käsittelyn osalta.

1.

Tarkoituksen rajoittaminen – Henkilötietoja saa käsitellä ja sen jälkeen käyttää tai luovuttaa edelleen ainoastaan liitteessä B esitettyjä tarkoituksia varten tai jos rekisteröity on antanut siihen luvan.

2.

Tiedon laatu ja suhteellisuus – Henkilötietojen on oltava täsmällisiä ja ne on tarvittaessa saatettava ajan tasalle. Henkilötietojen on oltava asianmukaisia ja olennaisia eikä niitä saa olla liikaa suhteessa siirron tai edelleen käsittelyn tarkoituksiin.

3.

Avoimuus – Rekisteröidyille on annettava tarvittavat tiedot oikeudenmukaisen käsittelyn varmistamiseksi (kuten tiedot käsittelyn tarkoituksista ja siirrosta), ellei tietojen viejä ole jo antanut näitä tietoja.

4.

Turvallisuus ja luottamuksellisuus – Rekisterinpitäjän on huolehdittava teknisistä ja organisatorisista toimenpiteistä, jotka ovat asianmukaisia käsittelystä aiheutuviin riskeihin nähden, kuten tietojen vahingossa tapahtuva tai laiton tuhoaminen, vahingossa tapahtuva häviäminen, muuttaminen, luvaton luovuttaminen tai antaminen. Rekisterinpitäjän lukuun toimiva henkilö, myös henkilötietojen käsittelijä, saa käsitellä tietoja ainoastaan rekisterinpitäjän luvalla.

5.

Tietojen saantia, oikaisemista, poistamista ja käsittelyn vastustamista koskevat oikeudet – Direktiivin 95/46/EY 12 artiklan mukaisesti rekisteröidyille on – joko suoraan tai kolmannen osapuolen kautta – annettava heitä koskevat henkilötiedot, jotka organisaatiolla on hallussaan, lukuun ottamatta pyyntöjä, jotka ovat selvästi kohtuuttomia kohtuuttoman tiheytensä tai lukumääränsä taikka toistuvan tai järjestelmällisen luonteensa vuoksi tai jotka koskevat tietoja, joita ei tarvitse antaa tietojen viejän sijoittautumismaan lainsäädännön mukaisesti. Sillä edellytyksellä, että viranomainen on antanut etukäteen hyväksyntänsä, tietoja ei tarvitse myöskään antaa silloin, kun se todennäköisesti vahingoittaisi vakavasti tietojen tuojan tai muiden tietojen tuojan kanssa toimivien organisaatioiden etuja ja kun rekisteröidyn intressit ja perusoikeudet ja -vapaudet eivät syrjäytä näitä etuja. Henkilötietojen lähteitä ei tarvitse ilmoittaa, jos se ei ole mahdollista ilman kohtuutonta vaivaa tai jos muiden kuin kyseisen henkilön oikeuksia rikottaisiin. Rekisteröityjen on voitava saada heitä koskevat henkilötiedot oikaistuksi, muutetuksi tai poistetuksi, jos ne ovat epätarkkoja tai niitä on käsitelty näiden periaatteiden vastaisesti. Jos on perusteltuja syitä epäillä, että pyyntö ei ole oikeutettu, organisaatio voi pyytää lisäperusteita ennen oikaisun, muutoksen tai poiston tekemistä. Oikaisusta, muutoksesta tai poistosta ei tarvitse ilmoittaa kolmansille osapuolille, joille tiedot on luovutettu, jos siitä aiheutuu kohtuutonta vaivaa. Rekisteröidyn on lisäksi voitava vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi. Kieltäytymisen osalta todistustaakka on tietojen tuojalla, ja rekisteröity voi aina tehdä valituksen kieltäytymisestä viranomaiselle.

6.

Arkaluonteiset tiedot – Tietojen tuoja toteuttaa (esim. tietoturvaan liittyviä) lisätoimenpiteitä, jotka ovat tarpeen arkaluonteisten tietojen suojaamiseksi lausekkeen II mukaisten velvoitteiden nojalla.

7.

Markkinointiin tarkoitetut tiedot – Kun tietoja käsitellään suoramarkkinointia varten, käytettävissä on oltava tehokkaat menettelyt, joiden avulla rekisteröity voi milloin tahansa kieltää henkilötietojensa käytön sellaisiin tarkoituksiin.

8.

Automatisoidut päätökset – Näissä lausekkeissa ’automatisoidulla päätöksellä’ tarkoitetaan tietojen viejän tai tietojen tuojan päätöstä, josta aiheutuu rekisteröityä koskevia oikeudellisia vaikutuksia tai joka merkittävästi vaikuttaa rekisteröityyn ja joka perustuu yksinomaan henkilötietojen automatisoituun käsittelyyn, jolla on tarkoitus arvioida tiettyjä rekisteröityyn liittyviä henkilökohtaisia ominaisuuksia, esimerkiksi hänen työsuoritustaan, luottokelpoisuuttaan, luotettavuuttaan tai käytöstään. Tietojen tuoja ei saa tehdä mitään rekisteröityjä koskevia automatisoituja päätöksiä, paitsi jos

tai