(a)

pojmovi ‚osobni podaci’, ‚posebne kategorije podataka/podaci osjetljive prirode’, ‚postupak/obrada’, ‚nadzornik’, ‚obrađivač’, ‚pojedinac na kojeg se odnose osobni podaci’ i ‚nadzorno nadležno tijelo’ imaju jednako značenje kao u Direktivi 95/46/EZ od 24. listopada 1995. (gdje ‚nadležno tijelo’ znači nadležno tijelo za zaštitu podataka na području na kojem izvoznik podataka ima poslovni nastan);

(b)

‚izvoznik podataka’ je nadzornik koji prenosi osobne podatke;

(c)

‚uvoznik podataka’ je nadzornik koji je suglasan s tim da od izvoznika podataka zaprimi osobne podatke radi daljnje obrade u skladu s uvjetima ovih klauzula te koji ne podliježe sustavu treće zemlje za osiguranjem dostatne zaštite;

(d)

‚klauzule’ su ugovorne klauzule koje predstavljaju samostalni dokument koji ne uključuje trgovačke i poslovne uvjete što su ih stranke odredile u posebnim trgovačkim sporazumima.

(a)

su osobni podaci prikupljeni, obrađeni i preneseni u skladu sa zakonima koji važe za izvoznika podataka;

(b)

je poduzeo razumne napore kako bi utvrdio je li uvoznik podataka u mogućnosti ispuniti svoje pravne obveze iz ovih klauzula;

(c)

uvozniku podataka osigura preslike mjerodavnih zakona o zaštiti podataka ili upute na njih (gdje je potrebno i ne uključujući pravni savjet) one države u kojoj izvoznik podataka ima poslovni nastan;

(d)

odgovori na upite pojedinaca na koje se osobni podaci odnose i na upite nadležnih tijela u vezi s obradom osobnih podataka koju obavlja uvoznik podataka, osim ako su se stranke dogovorile da odgovara uvoznik; u tom slučaju izvoznik odgovora u razumno mogućoj mjeri i s dostupnim podacima ako uvoznik ne želi ili nije u mogućnosti odgovoriti. Odgovori se dostavljaju u razumnom roku;

(e)

pojedincima na koje se osobni podaci odnose i koji prema klauzuli III imaju korist trećega, na zahtjev dostavi preslike klauzula, osim ako klauzule sadrže povjerljive podatke; u tom slučaju ima pravo ukloniti takve podatke. Ako su podaci uklonjeni, izvoznik podataka pojedince na koje se osobni podaci odnose pisanim putem obavješćuje o razlogu uklanjanja i njihovom pravu da o tome obavijeste nadležna tijela. Međutim, izvoznik podataka dužan je postupiti prema odluci nadležnog tijela u vezi s pristupom pojedinaca na koje se osobni podaci odnose punom tekstu klauzula, sve dok pojedinci na koje se osobni podaci odnose poštuju povjerljivost uklonjenih povjerljivih podataka. Izvoznik podataka dostavlja presliku klauzula nadležnom tijelu prema potrebi.

(a)

postojanje prikladnih tehničkih i organizacijskih mjera za zaštitu osobnih podataka od slučajnog ili nezakonitog uništavanja ili slučajnog gubitka, promjene, nedozvoljenog otkrivanja ili pristupa, koje pružaju stupanj zaštite primjeren riziku što ga obrada i priroda zaštićenih podataka predstavljaju;

(b)

postojanje postupaka koji će osigurati da bilo koja treća strana kojoj omogući pristup osobnim podacima poštuje i održava povjerljivost i sigurnost osobnih podataka. Svaka osoba koja djeluje pod nadzorom uvoznika podataka, uključujući obrađivača podataka, obvezna je obrađivati osobne podatke samo po nalogu uvoznika podataka. Ova se odredba ne primjenjuje na osobe koje zakon ili drugi propis ovlašćuje ili od njih zahtijeva da imaju pristup osobnim podacima;

(c)

kako nema razloga sumnjati, u trenutku prihvaćanja ovih klauzula, u postojanje bilo kakvih lokalnih propisa koji bi imali značajan suprotni učinak na jamstva predviđena ovim klauzulama te da će izvoznika podataka (koji takve obavijesti prosljeđuje nadležnim tijelima prema potrebi) obavijestiti ako uoči postojanje takvih zakona;

(d)

obradu osobnih podataka za potrebe iz Priloga B te da ima pravno ovlaštenje za davanje jamstva i da će ispunjavati obveze utvrđene ovim klauzulama;

(e)

izvozniku podataka dostaviti podatke o osobi za kontakt u svojoj organizaciji koja je nadležna za odgovore na upite u vezi s obradom osobnih podataka i za suradnju u dobroj vjeri i u razumnom roku, s izvoznikom podataka, pojedincima na koje se osobni podaci odnose i nadležnim tijelima u vezi sa svim upitima takve vrste. U slučaju prestanka djelovanja izvoznika podataka, ili ako su se stranke tako dogovorile, uvoznik podataka preuzima odgovornost za postupanje prema odredbama klauzule I(e);

(f)

izvozniku podataka, na njegov zahtjev, pružiti dokaze o financijskim sredstvima dovoljnim za ispunjavanje svojih obveza na temelju klauzule III (što može uključivati pokriće osiguranjem);

(g)

na razumni zahtjev izvoznika podataka omogućiti izvozniku podataka (ili bilo kojem nezavisnom ili nepristranom inspekcijskom tijelu ili revizoru, izabranom od strane izvoznika podataka i na koje uvoznik podataka nema razumne primjedbe) pregled, reviziju i/ili odobravanje svojih sredstava za obradu podataka, podataka i potrebne dokumentacije radi utvrđivanja usuglašenosti s jamstvima i preuzetim obvezama u ovim klauzulama, s prikladnom najavom i tijekom redovnog radnog vremena. Ovaj zahtjev podliježe svakom potrebnom pristanku ili odobrenju regulatornog ili nadzornog nadležnog tijela u državi uvoznika podataka, čiji pristanak ili odobrenje će uvoznik podataka pokušati pravovremeno dobiti;

(h)

obradu osobnih podataka, po svom izboru, u skladu sa:

(i)

da osobne podatke neće otkrivati ni prenositi nadzorniku podataka treće strane smještenom izvan Europskog gospodarskog prostora (EGP-a), a da o prijenosu ne obavijesti izvoznika, osim ako:

(a)

Svaka stranka je ostalim strankama odgovorna za štetu koju učini bilo kakvim povredom ovih klauzula. Odgovornost među strankama je ograničena na stvarnu počinjenu štetu. Dodatna odšteta (tj. obeštećivanje s namjerom kažnjavanja stranke zbog neprimjerenog postupanja) je izrijekom isključena. Svaka je stranka pojedincima na koje se osobni podaci odnose odgovorna za štetu koju prouzroči povredom prava trećih na temelju ovih klauzula. To ne utječe na odgovornost izvoznika podataka prema pravu o zaštiti podataka;

(b)

Stranke su suglasne da pojedinac na kojeg se osobni podaci odnose kao treća strana ima pravo provesti ove klauzule i klauzule I(b), I(d), I(e), II(a), II(c), II(d), II(e), II(h), II(i), III(a), V, VI(d) i VII protiv uvoznika ili izvoznika podataka zbog njihovih povreda ugovornih obveza, s obzirom na njegove osobne podatke i u tu svrhu prihvaća nadležnost države u kojoj izvoznik podataka ima poslovni nastan. Ako postoji sumnja o povredama od strane uvoznika podataka, pojedinac na kojeg se osobni podaci odnose, prvo od izvoznika podataka mora zahtijevati da poduzme primjerene mjere protiv uvoznika podataka radi ostvarenja svojih prava; ako izvoznik podataka ne poduzme takve mjere u razumnom roku (koji bi u uobičajenim okolnostima bilo jedan mjesec), pojedinac na kojeg se osobni podaci odnose tada može zaštitu svojih prava potraživati izravno od uvoznika podataka. Pojedinac na kojeg se osobni podaci odnose ima pravo postupiti izravno protiv izvoznika podataka koji nije uložio razuman trud da odredi je li uvoznik podataka u mogućnosti ispuniti svoje pravne obveze prema ovim klauzulama (teret dokaza o tome da je uložen razuman trud snosi izvoznik podataka).

(a)

U slučaju spora ili zahtjeva pojedinca na kojeg se osobni podaci odnose ili nadležno tijelo u vezi s obradom osobnih podataka povezanih s bilo kojom ili obje stranke, stranke se međusobno obavješćuju o svim takvim sporovima ili zahtjevima i surađuju imajući u vidu pravovremeno rješavanje sporova mirnim putem;

(b)

Stranke su suglasne odazvati se svakom općenito dostupnom neobvezujućem postupku posredovanja koji pokrene pojedinac na kojeg se osobni podaci odnose ili nadležno tijelo. Ako sudjeluju u postupku, stranke mogu izabrati sudjelovanje na daljinu (putem telefona ili elektronskim putem). Stranke su suglasne razmotriti sudjelovanje u bilo kojoj drugoj arbitraži, posredovanju ili ostalim postupcima rješavanja sporova koji se koriste za sporove u vezi sa zaštitom podataka;

(c)

Svaka stranka poštuje odluku nadležnog suda države u kojoj izvoznik podataka ima poslovni nastan ili nadležnog tijela, koja je konačna i protiv koje se ne može izjaviti žalba.

(a)

U slučaju da je uvoznik podataka povrijedio svoje obveze prema ovim klauzulama, izvoznik podataka može uvozniku podataka privremeno obustaviti prijenos osobnih podataka dok se povreda ne ispravi ili ugovor ne raskine.

(b)

U slučaju:

tada izvoznik podataka, ne dovodeći u pitanje ostala prava koja može imati nad uvoznikom podataka, ima pravo raskinuti ove klauzule, u slučaju čega prema potrebi obavješćuje nadležna tijela. U slučajevima i., ii. ili iv. klauzule može raskinuti i uvoznik podataka;

(c)

Bilo koja stranka može raskinuti ove klauzule u slučaju da i. Komisija donese bilo koju odluku na temelju članka 25. stavka 6. Direktive 95/46/EZ (ili bilo kojeg nadomjesnog teksta) u vezi s državom (ili njezinim područjem) u kojoj uvoznik podataka prenosi i obrađuje podatke, ili ii. Direktiva 95/46/EZ (ili bilo koji nadomjesni tekst) postane neposredno primjenjiva u toj državi;

(d)

Stranke su suglasne da ih raskid klauzula bilo kada, u bilo kojim okolnostima i zbog bilo kojeg razloga (osim prekida na temelju klauzule VI(c)) ne oslobađa odgovornosti i/ili uvjeta pod klauzulama koji se odnose na obradu prenesenih osobnih podataka.

1.

Ograničavanje svrhe: Osobni podaci mogu biti obrađeni i kasnije uporabljeni ili dalje isporučeni samo za potrebe iz Priloga B ili naknadno odobrene od strane pojedinca na kojeg se osobni podaci odnose.

2.

Kvaliteta podataka i razmjernost: Osobni podaci moraju biti točni i, prema potrebi, upotpunjeni. Osobni podaci moraju biti dostatni, bitni i nepretjerani u odnosu na svrhu za koju se prenose i dalje obrađuju.

3.

Preglednost: Pojedinci na koje se osobni podaci odnose moraju raspolagati potrebnim podacima radi osiguranja pravilne obrade (kao što su podaci o svrsi obrade i o prijenosu), osim ako su takve podatke dobili od izvoznika podataka.

4.

Sigurnost i povjerljivost: Nadzornici podataka moraju poduzeti tehničke i organizacijske mjere primjerene za sigurnost osobnih podataka od slučajnog ili nezakonitog uništavanja podataka ili slučajnog gubitka, promjene, neovlaštenog otkrivanja ili pristupa koji se javljaju pri obradi. Osobe koje su pod nadzorom nadzornika podataka, uključujući obrađivače, ne smiju obrađivati podatke, osim po naredbi nadzornika podataka.

5.

Prava pristupa, ispravljanja, brisanja i primjedbi: Kako je predviđeno člankom 12. Direktive 95/46/EZ, pojedincima na koje se osobni podaci odnose izravno ili preko treće strane moraju biti pruženi osobni podaci koje organizacija o njima posjeduje, osim za zahtjeve koji su očito neprimjereni, temeljeni na nerazumnim rokovima ili njihovom broju, ili se ponavljaju, ili do kojih je pristup onemogućen prema zakonodavstvu države izvoznika podataka. Pristup ne mora biti odobren u slučaju da su nadležna tijela prethodno dala dopuštenje, ako postoji mogućnost stvarnog ugrožavanja interesa uvoznika podataka ili ostalih organizacija koje posluju s uvoznikom podataka i takvi interesi nisu manje važni od interesa osnovnih prava i sloboda pojedinca na kojeg se osobni podaci odnose. Izvori osobnih podataka ne moraju biti navedeni kada to nije moguće uz razumni napor ili kada bi bila ugrožena prava ostalih osoba. Pojedinci na koje se osobni podaci odnose moraju imati mogućnost da se njihovi osobni podaci isprave, izmijene ili izbrišu ako su netočni ili obrađeni protivno ovim načelima. Ako postoje značajni temelji za sumnju u zakonitost zahtjeva, organizacija može zahtijevati daljnja opravdanja prije nego što nastavi s ispravcima, izmjenama ili brisanjem podataka. Nije nužno obavijestiti treće strane kojima su podaci o ispravcima, izmjenama ili brisanju podataka otkriveni ako to uključuje nerazmjeran napor. Pojedinac na kojeg se osobni podaci odnose mora biti u mogućnosti prigovoriti zbog obrade osobnih podataka koji se odnose na njega ako postoje značajni zakonski temelji koji se odnose na njegovu posebnu situaciju. Teret dokaza za bilo kakvo odbijanje snosi uvoznik podataka, pojedinac na kojeg se osobni podaci odnose tome uvijek može prigovoriti pred nadležnim tijelom.

6.

Podaci osjetljive prirode: Uvoznik podataka u skladu sa svojim obvezama prema klauzuli II poduzima dodatne mjere (npr. koje se odnose na sigurnost) koje su potrebne za zaštitu takvih podataka osjetljive prirode.

7.

Podaci koji se koriste za svrhe trgovine: Kada se podaci obrađuju za potrebe izravne trgovine, moraju postojati učinkoviti postupci koji pojedincu na kojeg se osobni podaci odnose dopuštaju da isključi svoje podatke koji se koriste u te svrhe.

8.

Automatizirane odluke: Za potrebe ovoga, ‚automatizirana odluka’ jest odluka izvoznika podataka ili uvoznika podataka koja ima pravni učinak u vezi s pojedincem na kojeg se osobni podaci odnose ili značajno utječe na pojedinca na kojeg se osobni podaci odnose i koja se temelji isključivo na automatiziranoj obradi osobnih podataka namijenjenih procjeni njegovih određenih osobnih aspekata, kao što su uspješnost na radnom mjestu, kreditna sposobnost, pouzdanost, ponašanje itd. Uvoznik podataka neće donositi automatizirane odluke koje se odnose na pojedinca na kojeg se osobni podaci odnose, osim kada: