a) a 95/46/EK irányelv meghatározásait kell alkalmazni;

b) „különleges adatkategóriák” a fenti irányelv 8. cikkében említett adatok;

c) „felügyeleti hatóság” a fenti irányelv 28. cikkében említett hatóság;

d) „adatok átadója” a személyes adatokat továbbító adatkezelő;

e) „adatok átvevője” az az adatkezelő, aki e határozat rendelkezéseinek megfelelően az adatok átadójától a személyes adatokat további feldolgozásra átveszi.

a) megállapítást nyer, hogy az adatátvevőre vonatkozó jogszabály olyan, az adott adatvédelmi jogszabályoktól való eltérésre vonatkozó előírásokat támaszt vele szemben, amelyek túlmennek egy demokratikus társadalomban a 95/46/EK irányelv 13. cikkében foglalt szükséges korlátozásokon, amennyiben e korlátozások alapvetően ellenkező hatással lennének az általános szerződési feltételek által nyújtott biztosítékokra; vagy

b) a hatáskörrel rendelkező hatóság megállapította, hogy az adatátvevő nem tartotta tiszteletben a szerződési feltételeket; vagy

c) nagy a valószínűsége annak, hogy a mellékletben szereplő általános szerződési feltételeknek nem tesznek eleget vagy nem fognak eleget tenni, és az adattovábbítás folytatása súlyosan veszélyeztetné az érintetteket.

a) az adatátvevő megtagadja a jóhiszemű együttműködést az adatvédelmi hatóságokkal, vagy a szerződés szerinti világos kötelezettségeinek teljesítését;

b) amikor az adatátadó megtagadja, hogy megtegye a megfelelő lépéseket az adatátvevővel szemben a szerződésnek a normális, egy hónapos határidőn belül történő érvényesítésére, az illetékes adatvédelmi hatóság által az adatátadónak küldött értesítésről számítva.

1.  Célhoz kötöttség: adatot feldolgozni, ezt követően felhasználni vagy nyilvánosságra hozni csak a feltételek 1. függelékében szereplő meghatározott célokra lehet. Az adatok csak a továbbítás céljához szükséges ideig tárolhatók.

2.  Adatminőség és arányosság: az adatoknak pontosnak és, adott esetben, naprakésznek kell lenniük. Az adatoknak megfelelőnek, a tárgyhoz tartozónak, és a továbbítás illetőleg további adatfeldolgozás céljához viszonyítva arányosnak kell lenniük.

3.  Átláthatóság: az érintetteket tájékoztatni kell az adatfeldolgozás céljáról, a harmadik országbeli adatkezelő személyéről, valamint – amennyiben az a tisztességes eljárás biztosításához szükséges – az egyéb információkról, kivéve ha ezeket az információkat az adatátadó már rendelkezésre bocsátotta.

4.  Adatbiztonság és titoktartás: az adatkezelőnek meg kell tennie az adatfeldolgozással járó kockázatok – mint például a jogosulatlan hozzáférés – miatt szükséges műszaki és szervezeti biztonsági intézkedéseket. Az adatkezelő megbízásából eljáró személy, ideértve az adatfeldolgozót is, az adatfeldolgozást kizárólag az adatkezelő utasításai szerint végezheti.

5.  Hozzáféréshez, kiigazításhoz, törléshez és zároláshoz való jog: a 95/46/EK irányelv 12. cikkének megfelelően az érintettnek biztosítani kell a rá vonatkozó, feldolgozás alatt álló adatokhoz hozzáférés, valamint adott esetben, az olyan adatok kiigazításához, törléséhez és zárolásához való jogot, amelyek feldolgozása nem felel meg az e függelékben szereplő alapelveknek, különösen azért, mert az adatok hiányosak vagy pontatlanok. Az érintett – egyéni helyzetével kapcsolatos lényeges jogos érdekből – tiltakozhat a rá vonatkozó adatok feldolgozása ellen.

6.  További adattovábbításokra vonatkozó korlátozások: az adatátvevőtől a megfelelő védelmet nem biztosító vagy a 95/46/EK irányelv 25. cikkének (6) bekezdése szerint a Bizottság által hozott határozat hatálya alá nem tartozó harmadik országban letelepedett adatkezelő felé történő további személyesadat-továbbításra (további adattovábbítás) kizárólag akkor kerülhet sor, ha:

7.  Különleges adatkategóriák: a 95/46/EK irányelv értelmében további garanciákra – különösen olyan megfelelő biztonsági intézkedésekre, mint az adatátvitel szigorú kódolása vagy a szenzitív adatokba való betekintésről vezetett nyilvántartás – van szükség, ha a feldolgozás alatt álló adatok faji vagy etnikai származásra, politikai nézetekre, vallási vagy filozófiai meggyőződésre vagy szakszervezeti tagságra utalnak, illetve az egészségi állapotra, a szexuális életre, továbbá bűncselekményekre, büntetett előéletre vagy biztonsági intézkedésekre vonatkoznak.

8.  Direkt marketing: amennyiben az adatokat direkt marketing céljából dolgozzák fel, hatékony eljárásokat kell biztosítani arra, hogy az érintett bármikor „kivonhassa magát” adatainak ilyen célú tárolása alól.

9.  Automatizált egyedi döntések: az érintetteknek joguk van arra, hogy kivonják magukat az olyan döntések hatálya alól, amelyek kizárólag automatizált adatfeldolgozáson alapulnak, kivéve ha a 95/46/EK irányelv 15. cikkének (2) bekezdésének megfelelően egyéb intézkedésekkel biztosítják az egyén jogos érdekeinek védelmét. Amennyiben az adattovábbítás célja a 95/46/EK irányelv 15. cikkében említett olyan automatikus döntéshozatal, amely az egyénre nézve joghatással jár, vagy őt jelentős mértékben érinti, és amely kizárólag egyes rá vonatkozó, személyes tulajdonságok – mint munkahelyi teljesítmény, hitelesség, megbízhatóság, magatartás stb. – értékelésére szolgáló automatizált adatfeldolgozáson alapul, akkor az egyénnek joga van megismernie e döntés indokolását.

1.  Célhoz kötöttség: adatot feldolgozni, ezt követően felhasználni vagy nyilvánosságra hozni csak a feltételek 1. függelékében szereplő meghatározott célokra lehet. Az adatok csak a továbbítás céljához szükséges ideig tárolhatók.

2.  Hozzáféréshez, kiigazításhoz, törléshez és zároláshoz való jog: a 95/46/EK irányelv 12. cikkének megfelelően az érintettnek biztosítani kell a rá vonatkozó, feldolgozás alatt álló adatokhoz való hozzáférés, valamint adott esetben, az olyan adatok kiigazításához, törléséhez és zárolásához való jogot, amelyek feldolgozása nem felel meg az e függelékben szereplő alapelveknek, különösen azért, mert az adatok hiányosak vagy pontatlanok. Az érintett – egyéni helyzetével kapcsolatos lényeges jogos érdekből – tiltakozhat a rá vonatkozó adatok feldolgozása ellen.

3.  További adattovábbításokra vonatkozó korlátozások: az adatátvevőtől a megfelelő védelmet nem biztosító vagy a 95/46/EK irányelv 25. cikkének (6) bekezdése szerint a Bizottság által hozott határozat hatálya alá nem tartozó harmadik országban letelepedett adatkezelő felé történő további személyesadat-továbbításra (további adattovábbítás) kizárólag akkor kerülhet sor, ha:

a) „személyes adatok”, „különleges adatkategóriák”/„érzékeny információk”, „folyamat/feldolgozás”, „kezelő”, „feldolgozó”, „érintett” és „felügyeleti hatóság/hatóság” ugyanazzal a jelentéssel bír, mint az 1995. október 24-i 95/46/EK irányelvben (ahol „a hatóság” az illetékes adatvédelmi hatóságot jelenti azon a területen, ahol az adatátvevő be van jegyezve);

b) „az adatátadó” a személyes adatokat továbbító adatkezelőt jelenti;

c) „az adatátvevő” azt az adatkezelőt jelenti, aki beleegyezik abba, hogy az adatátadótól személyes adatokat vegyen át további feldolgozásra ezeknek a feltételeknek az alapján, és akire nem vonatkozik egy harmadik ország megfelelő védelmet biztosító rendszere;

d) „feltételek” jelentik ezeket a szerződési feltételeket, amelyek önálló dokumentumot képeznek, amely nem tartalmazza a felek által megállapított, külön üzleti megállapodásban szereplő üzleti kondíciókat.

a) A személyes adatok összegyűjtése, feldolgozása és átadása az adatátadóra vonatkozó jogszabályoknak megfelelően történt.

b) Megtette az indokolt erőfeszítéseket annak megállapítására, hogy az adatátvevő képes-e az ezen feltételek szerinti jogi kötelezettségeinek a teljesítésére.

c) Átadja az adatátvevőnek, kérésre, a vonatkozó adatvédelmi jogszabályok másolatait vagy az azokra való utalásokat (amikor arra szükség van, jogi tanácsadás nélkül) annak az országnak a tekintetében, amelyben az adatátadó székhelye van.

d) Válaszol az érintettek és a hatóság megkereséseire a személyes adatoknak az adatátvevő által történő feldolgozását illetően, kivéve, ha a felek úgy állapodtak meg, hogy az adatátvevő válaszol ezekre, amely esetben az adatátadó is válaszolni fog, az indokoltan megvalósítható mértékben és azokon az információkon belül, amelyek indokoltan a rendelkezésére állnak, ha az adatátvevő nem akar, vagy nem tud választ adni. A válaszokat indokolt időn belül meg kell adni.

e) Rendelkezésre bocsát, kérés alapján, egy másolatot a feltételekből azoknak az érintetteknek, akik harmadik félként kedvezményezettek, a III. feltétel szerint, kivéve, ha a feltételek bizalmas információkat tartalmaznak, amely esetben az ilyen információkat eltávolíthatja. Amikor az információt eltávolítják, az adatátadónak írásban tájékoztatnia kell az érintetteket az eltávolítás okáról és arról a jogukról, hogy az eltávolításra felhívják a hatóság figyelmét. Mindazonáltal, az adatátadóra nézve kötelező a hatóság határozata a feltételek teljes szövegének hozzáférhetőségéről az érintettek számára, mindaddig, amíg az érintettek beleegyeztek abba, hogy az eltávolított bizalmas információ bizalmasságát megőrzik. Az adatátadónak a feltételek egy példányát biztosítania kell a hatóság számára is, ahol ez követelmény.

a) Megvalósítja a megfelelő műszaki és szervezeti intézkedéseket a személyes adatok véletlen vagy jogtalan tönkretételével vagy véletlen elvesztésével, módosításával, jogosulatlan közzétételével vagy hozzáférésével szemben, amelyeknek megfelelő szintű biztonságot kell jelenteniük a megvédendő adatok feldolgozása által képviselt kockázat és az adatok jellege szerint.

b) Kialakítja azokat az eljárásokat, amelyek szerint az a harmadik fél, aki a személyes adatokhoz hozzáfér, a feldolgozókat is beleértve, tiszteletben fogja tartani és be fogja tartani a személyes adatok bizalmasságát és biztonságát. Bármely személy, aki az adatátvevő felügyelete alatt cselekszik, beleértve a feldolgozót, köteles a személyes adatokat csak az adatátvevőtől kapott utasításoknak megfelelően feldolgozni. Ez a rendelkezés nem vonatkozik azokra a személyekre, akiket törvény vagy jogszabály hatalmaz fel a személyes adatokhoz való hozzáférésre.

c) Nincs oka azt hinni ezeknek a feltételeknek az elfogadásakor, hogy vannak olyan helyi jogszabályok, amelyek lényeges ellentétes hatást gyakorolnának az ezekben a feltételekben előírt garanciákhoz képest, és az adatátadót tájékoztatni fogja, ha ilyen jogszabályok a tudomására jutnak (az pedig továbbítja ezt az értesítést a hatóságnak, ha ez szükséges).

d) A személyes adatokat a B mellékletben leírt célokra dolgozza fel, és rendelkezik azzal a jogi hatáskörrel, hogy megadja azokat a garanciákat és teljesítse a vállalásokat, amelyek ezekben a feltételekben szerepelnek.

e) Az adatátadó számára megad egy kapcsolattartót a szervezetén belül, aki fel van hatalmazva arra, hogy válaszoljon a személyes adatok feldolgozásával kapcsolatos megkeresésekre, aki jóhiszeműen együttműködik az adatátadóval, az érintettel és a hatósággal, minden ilyen megkereséssel kapcsolatban, ésszerű határidőn belül. Az adatátadó jogi megszűnése esetében, vagy ha a felek így egyeznek meg, az adatátvevő felel az I. feltétel e) pontja rendelkezéseinek teljesítéséért.

f) Az adatátadó kérésére átadja az adatátadó számára a bizonyítékot arra vonatkozóan, hogy elegendő pénzügyi forrással rendelkezik a III. feltétel szerinti kötelezettségeinek teljesítéséhez (ami magában foglalhatja a biztosítási kötelezettséget is).

g) Az adatátadó indokolt kérése esetén a feldolgozáshoz szükséges adatfeldolgozó létesítményeit, adatfájljait és dokumentációját átvizsgálásra, ellenőrzésre és/vagy tanúsításra az átadó (vagy az átadó által kiválasztott, az adatátvevő által indokoltan nem kifogásolható bármely független vagy pártatlan vizsgálati megbízott vagy bevizsgáló) rendelkezésére bocsátja, az ezekben a feltételekben szereplő garanciák és vállalások megfelelősége ellenőrzése céljára, ésszerű előzetes értesítéssel és a szokásos üzleti nyitvatartási időben. A kérelemre érvényes az, hogy valamilyen beleegyezés vagy jóváhagyás szükséges lehet hozzá az adatátvevő országában a szabályozó vagy felügyelő hatóság részéről, amely beleegyezést vagy jóváhagyást az adatátvevő megkísérel a kellő időben megszerezni.

h) A személyes adatokat saját választása szerint a következők szerint dolgozza fel:

i) Nem ismertet meg vagy ad át személyes adatot egy harmadik félként szereplő, az Európai Gazdasági Térségen (EGT) kívüli adatkezelőnek, kivéve, ha az átadásról értesíti az adatátadót, valamint

a) Mindegyik fél felel a másik féllel szemben azokért a károkért, amelyeket ezeknek a feltételeknek a megsértésével okoz. A felek közötti felelősségviselés a ténylegesen elszenvedett kárra korlátozódik. A büntető jellegű károk (azaz olyan károk, amelyek az egyik felet tűrhetetlen viselkedése miatti büntetést szolgálják) kifejezetten kizárásra kerülnek. Mindegyik fél felel az érintettekkel szemben azokért a károkért, amelyeket egy harmadik személy ezen feltételek szerinti jogainak megsértésével okoz. Ez nem érinti az adatátadó felelősségét adatvédelmi törvénye szerint.

b) A felek megállapodnak abban, hogy az érintettnek jogában áll harmadik személy kedvezményezettként ezt a feltételt és a I. feltétel b) pontját, I. feltétel d) pontját, I. felvétel e) pontját, II. feltétel a) pontját, II. feltétel c) pontját, II. feltétel d) pontját, II. feltétel e) pontját, II. feltétel h) pontját, II. feltétel i) pontját, III. feltétel a) pontját, V. feltételt, VI. feltétel d) pontját, és VII. feltételt érvényesíteni az adatátvevővel vagy az adatátadóval szemben, ha azok a maguk részéről szerződéses kötelezettségeiket megsértik személyes adataival kapcsolatban, és elfogadja erre a célra az adatátadó székhelye szerinti ország jogrendjét. Azokban az esetekben, amikor felmerül az adatátvevő állítólagos szerződésszegése, az érintettnek először az adatátadót kell kérnie, hogy tegye meg a szükséges lépéseket jogainak érvényesítésére az adatátvevővel szemben; ha az adatátadó ilyen lépéseket nem tesz ésszerű időn belül (ami normális esetben egy hónap), az érintett közvetlenül érvényesítheti jogait az adatátvevővel szemben. Az érintettnek jogában áll közvetlenül eljárni az adatátadónál, ha az nem tette meg az indokolt erőfeszítéseket annak megállapítására, hogy az adatátvevő képes-e megfelelni az ezen feltételek szerinti jogi kötelezettségeinek (az adatátadót terheli az indokolt erőfeszítések megtétele).

a) Abban az esetben, ha a személyes adatok feldolgozásával kapcsolatban vita, illetve az érintett vagy a hatóság részéről igény merül fel a felek egyikével, vagy mindkettőjükkel szemben, a felek tájékoztatják egymást az ilyen vitákról vagy igényekről, és együttműködnek annak érdekében, hogy azokat barátságos módon és időben rendezzék.

b) A felek megállapodnak abban, hogy elfogadják az érintett vagy a hatóság által kezdeményezett általánosan elfogadott, nem kötelező érvényű közvetítés eljárást. Ha az eljárásban részt vesznek, a felek dönthetnek úgy, hogy ezt a távolból teszik (például telefonon vagy más elektronikus eszköz révén). A felek megállapodnak arról is, hogy megfontolnak minden más, olyan választottbírósági, közvetítői vagy más vitarendezési eljárást, amelyet az adatvédelmi viták rendezésére alakítottak ki.

c) Mindegyik fél számára kötelező az adatátadó székhelye szerinti ország illetékes bíróságának vagy hatóságának határozata, amely végleges és amely ellen további fellebbezésnek nincs helye.

a) Abban az esetben, ha az adatátvevő megsérti az ezen feltételek szerinti kötelezettségeit, akkor az adatátadó ideiglenesen felfüggesztheti a személyes adatok védelmének továbbítását az adatátvevő felé, mindaddig, amíg a sérelem meg nem szűnik vagy a szerződés megszüntetésre nem kerül.

b) Abban az esetben, ha:

akkor az adatátadó, minden más, az adatátvevővel kapcsolatos jogának sérelme nélkül, jogosult ezeknek a feltételeknek a megszüntetésére, amely esetben a hatóságot tájékoztatni kell, ha van ilyen követelmény. A fenti i., ii. vagy iv. esetekben az adatátvevő is megszüntetheti ezeket a feltételeket.

c) Bármelyik fél megszüntetheti ezeket a feltételeket, ha i. a 95/46/EK irányelv 25. cikkének (6) bekezdése (vagy annak helyébe lépő szöveg) alapján a Bizottság határozata kimondja, hogy az az ország (vagy annak az az ágazata), ahová az adatokat továbbítják és azokat az adatátvevő feldolgozza, a követelményeknek megfelel, vagy ii. a 95/46/EK irányelv (vagy az annak helyébe lépő bármely szöveg) közvetlenül alkalmazandóvá válik az adott országban.

d) A felek megállapodnak abban, hogy ezeknek a feltételeknek a megszüntetése, bármikor, bármilyen körülmények között és bármely okból történik is (kivéve a VI. feltétel c) pontja szerinti megszüntetést), nem mentesíti őket azok alól a kötelezettségek és/vagy kondíciók alól, amelyek a feltételekben szerepelnek, az átadott személyes adatok feldolgozását illetően.

1. A cél korlátozása: a személyes adatokat feldolgozni és később felhasználni vagy továbbadni csak a B mellékletben leírt, vagy az érintett által a későbbiekben engedélyezett célokra lehet.

2. Az adatok minősége és arányossága: a személyes adatoknak pontosaknak kell lenniük, és szükség esetén naprakésszé kell azokat tenni. A személyes adatoknak megfelelőeknek, relevánsaknak és nem túlzottaknak kell lenniük azoknak a céloknak a szempontjából, amelyekre azokat átadták, vagy tovább feldolgozták.

3. Átláthatóság: Az érintetteknek meg kell adni azokat a szükséges tájékoztatást, amely biztosítja a tisztességes feldolgozást (mint például tájékoztatás a feldolgozás céljairól és az átadásról), kivéve, ha az ilyen tájékoztatást az adatátadó már megadta.

4. Biztonság és titoktartás: Az adatkezelőnek meg kell valósítania azokat a technikai és szervezeti biztonsági intézkedéseket, amelyek a kockázatoknak megfelelnek, mint például a véletlen vagy jogtalan tönkretétellel vagy véletlen elvesztéssel, módosítással, jogtalan közzététellel vagy hozzáféréssel kapcsolatosak a feldolgozás során. Bármely személy, aki az adatkezelő felügyelete alatt cselekszik, beleértve a feldolgozót, köteles a személyes adatokat csak az adatkezelőtől kapott utasításoknak megfelelően feldolgozni.

5. Hozzáférési jogok, pontosítás, törlés és kifogás: Ahogyan azt a 95/46/EK irányelv 12. cikke előírja, az érintetteknek – akár közvetlenül, akár egy harmadik félen keresztül – meg kell adni azokat a róluk szóló személyes információkat, amelyekkel a szervezet rendelkezik, kivéve azokat a kérelmeket, amelyek nyilvánvalóan rosszindulatúak az indokolatlan indőintervallumok, vagy számuk, illetve ismétlődő vagy rendszeres jellegük miatt, vagy amelyek esetében az adatátadó országának joga szerint a hozzáférést nem kell megadni. Feltéve, hogy a hatóság nem adott előző jóváhagyást, a hozzáférést akkor sem kell megadni, ha az valószínűleg súlyos kárt okozna az adatátvevő vagy más, az adatátvevővel kapcsolatban álló szervezet érdekeinek, és ezek az érdekek nem előzik meg az érintett alapvető jogaiból és szabadságjogaiból következő érdekeket. A személyes adatok forrásait nem kell beazonosítani akkor, amikor az ésszerű erőfeszítésekkel ez nem lehetséges, vagy amikor az adott egyéntől különböző személyek jogai sérülnének. Az érintetteknek képeseknek kell lenniük arra, hogy a róluk szóló információt helyesbíttessék, módosíttassák vagy töröltessék, ha az pontatlan, vagy feldolgozása ezektől az elvektől eltérően történt. Ha vannak kényszerítő okok a kérelem jogosságában való kételkedésre, a szervezet kérhet további igazolásokat, mielőtt a helyesbítéshez, módosításhoz vagy törléshez hozzálát. A helyesbítésről, módosításról vagy törlésről harmadik személyeknek értesítést nem kell küldeni, ha ez aránytalan erőfeszítést igényelne. Az érintetteknek képesnek kell lenniük arra is, hogy a rájuk vonatkozó személyes adatok feldolgozását ellenezzék, ha vannak kényszerítő okok az adott helyzettel kapcsolatban. A bizonyítás terhét az esetleges visszautasítás esetén az adatátvevő viseli, és az érintett mindig fellebbezhet a visszautasítással szemben a hatóságnál.

6. Érzékeny információ: Az adatátvevőnek kell megtenni a kiegészítő intézkedéseket (pl. a biztonsággal kapcsolatban), ahogyan azokra szükség van az ilyen érzékeny információ megvédésére, a II. feltétel szerinti kötelezettségeivel összhangban.

7. A marketing célra használt adatok: Amikor az adatok feldolgozása közvetlen marketing céljára történik, hatékony eljárásoknak kell lenniük arra, hogy az érintett bármikor „kimaradhasson” adatainak ilyen célokra történő felhasználásából.

8. Automatizált döntések: Ennek a dokumentumnak a céljaira az „automatizált döntés” az adatátadó vagy az adatátvevő által hozott olyan döntést jelenti, amely jogi hatásokat eredményez az érintettel szemben, vagy jelentős hatást gyakorolt az érintettre, és amely egyedül a személyes adatok automatizált feldolgozásán alapul, éspedig olyan adatokén, amelyek a rá vonatkozó egyes szempontok értékelését szolgálják, mint például a munkában nyújtott teljesítménye, hitelképessége, megbízhatósága, viselkedése, stb. Az adatátvevő nem hozhat semmilyen automatizált döntést az érintettekről, kivéve, amikor:

vagy