a)

terminai asmens duomenys, ypatingos duomenų kategorijos, tvarkyti ir (arba) tvarkymas, valdytojas, tvarkytojas, duomenų subjektas ir priežiūros institucija turi tą pačią reikšmę kaip ir 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvoje 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1);

b)

duomenų eksportuotojas – duomenų valdytojas, kuris perduoda asmens duomenis;

c)

duomenų importuotojas – tvarkytojas, sutinkantis gauti iš duomenų eksportuotojo asmens duomenis, kuriuos, jis turi tvarkyti jo vardu po duomenų perdavimo pagal jo nurodymus bei šių sąlygų reikalavimus ir kuris nepriklauso trečiosios šalies tinkamos apsaugos užtikrinimo sistemai, kaip nustatyta Direktyvos 95/46/EB 25 straipsnio 1 dalyje;

d)

pagalbinis duomenų tvarkytojas – bet koks tvarkytojas, kurį pasamdo duomenų importuotojas arba bet koks kitas duomenų importuotojo pagalbinis duomenų tvarkytojas ir kuris sutinka iš duomenų importuotojo arba bet kokio kito duomenų importuotojo pagalbinio duomenų tvarkytojo gauti asmens duomenis, skirtus tik tvarkymui, kuris atliekamas duomenų eksportuotojo vardu perdavus duomenis pagal jo nurodymus, sąlygose nustatytus reikalavimus ir rašytinę subrangos sutartį;

e)

taikytina duomenų apsaugos teisė – teisės aktai, ginantys pagrindines asmenų teises ir laisves (ypač jų teisę į privatų gyvenimą) tvarkant asmens duomenis, kurių turi laikytis duomenų valdytojas valstybėje narėje, kurioje įsikūręs duomenų eksportuotojas;

f)

techninės ir organizacinės saugumo priemonės – priemonės, kurių paskirtis – saugoti asmens duomenis nuo atsitiktinio ar neteisėto sunaikinimo arba nuo atsitiktinio praradimo, pakeitimo, nesankcionuoto atskleidimo arba nesankcionuotos prieigos prie jų, ypač tais atvejais, kai tvarkymo proceso metu duomenys perduodami tinklu, taip pat nuo visų kitų neteisėtų tvarkymo formų.

1.

Duomenų subjektas gali iškelti ieškinį duomenų eksportuotojui kaip trečiajai šaliai naudos gavėjai pagal šią sąlygą, 4 sąlygos b–i punktus, 5 sąlygos a–e ir g–j punktus, 6 sąlygos 1–2 dalis, 7 sąlygą, 8 sąlygos 2 dalį ir 9–12 sąlygas.

2.

Duomenų subjektas gali iškelti ieškinį duomenų importuotojui pagal šią sąlygą, 5 sąlygos a–e ir g punktus, 6 sąlygą, 7 sąlygą, 8 sąlygos 2 dalį ir 9–12 sąlygas tais atvejais, kai duomenų eksportuotojas yra faktiškai dingęs, teisiškai nutraukė savo veiklą arba tapo nemokus, išskyrus atvejus, kai visus duomenų eksportuotojo teisinius įsipareigojimus sutartimi arba teisiniais veiksmais perėmė veiklos tęsėjas. Jis prisiima duomenų eksportuotojo teises ir įsipareigojimus, ir tokiu atveju duomenų subjektas gali iškelti tokiai įstaigai ieškinį.

3.

Duomenų subjektas gali iškelti ieškinį pagalbiniam duomenų tvarkytojui pagal šią sąlygą, 5 sąlygos a–e ir g punktus, 6 sąlygą, 7 sąlygą, 8 sąlygos 2 dalį ir 9–12 sąlygas tais atvejais, kai tiek duomenų eksportuotojas, tiek duomenų importuotojas yra faktiškai dingę, teisiškai nutraukė savo veiklą arba tapo nemokūs, išskyrus atvejus, kai visus duomenų eksportuotojo teisinius įsipareigojimus sutartimi arba teisiniais veiksmais perėmė veiklos tęsėjas ir todėl jis prisiima duomenų eksportuotojo teises ir įsipareigojimus, ir tokiu atveju duomenų subjektas gali iškelti ieškinį tokiam veiklos tęsėjui. Tokia pagalbinio duomenų tvarkytojo kaip trečiojo asmens atsakomybė apribojama jo paties vykdoma duomenų tvarkymo veikla pagal šias sąlygas.

4.

Šalys neprieštarauja, kad duomenų subjektui atstovautų asociacija arba kita įstaiga, jeigu duomenų subjektas to primygtinai pageidauja ir jeigu tai leidžiama pagal nacionalinę teisę.

a)

asmens duomenų tvarkymas, įskaitant jų perdavimą, yra ir bus vykdomas laikantis susijusių taikytinos duomenų apsaugos teisės nuostatų (ir, jei taikytina, apie jį pranešta atitinkamoms valstybės narės, kurioje įsikūręs duomenų eksportuotojas, institucijoms) ir juo nepažeidžiamos atitinkamos tos valstybės nuostatos;

b)

jis davė nurodymus duomenų importuotojui ir visą asmens duomenų tvarkymo paslaugų laikotarpį duos nurodymus tvarkyti perduotus asmens duomenis tik duomenų eksportuotojo vardu ir laikantis taikytinos duomenų apsaugos teisės ir šių sąlygų;

c)

duomenų importuotojas suteiks pakankamas garantijas, susijusias su techninėmis ir organizacinėmis saugumo priemonėmis, nustatytas šios sutarties 2 priedėlyje;

d)

įvertinus taikytinos duomenų apsaugos teisės reikalavimus apsaugos priemonės yra tinkamos, kad asmens duomenys būtų apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo arba nuo atsitiktinio praradimo, pakeitimo, nesankcionuoto atskleidimo arba nesankcionuotos prieigos prie jų, ypač tais atvejais, kai tvarkymo proceso metu duomenys perduodami tinklu, taip pat nuo visų kitų neteisėtų tvarkymo formų, ir kad šiomis priemonėmis užtikrinamas tinkamas apsaugos lygis atsižvelgiant į riziką, susijusią su tvarkymu, ir saugotinų duomenų pobūdį ir atsižvelgiant į tų priemonių modernumą bei jų įgyvendinimo išlaidas;

e)

užtikrins saugumo priemonių laikymąsi;

f)

ypatingų kategorijų duomenų perdavimo atveju duomenų subjektui buvo pranešta arba bus pranešta prieš arba kuo greičiau po duomenų perdavimo, kad jo duomenys gali būti perduoti trečiajai šaliai, neužtikrinančiai reikiamos apsaugos pagal Direktyvą 95/46/EB;

g)

persiųs bet kokį pranešimą, gautą iš duomenų importuotojo arba pagalbinio duomenų tvarkytojo pagal 5 sąlygos b punktą ir 8 sąlygos 3 dalį duomenų apsaugos priežiūros institucijai, jeigu duomenų eksportuotojas nusprendžia tęsti perdavimą arba nutraukti sustabdymą;

h)

pagal pageidavimą pateiks duomenų subjektui šių sąlygų kopiją (išskyrus 2 priedėlį ir saugumo priemonių aprašymo santrauką) ir bet kokios sutarties dėl pagalbinio tvarkymo paslaugų, kuri buvo sudaryta laikantis šių sąlygų, kopiją, išskyrus atvejus, kai sąlygose arba sutartyje yra komercinės informacijos; tokiu atveju jis gali pašalinti tokią komercinę informaciją;

i)

pagalbinio tvarkymo atveju tvarkymo veiklą pagal 11 sąlygą vykdo pagalbinis duomenų tvarkytojas, užtikrinantis bent tokį patį asmens duomenų ir duomenų subjekto teisių apsaugos lygį, kokį užtikrina duomenų importuotojas pagal šias sąlygas; ir

j)

užtikrins atitiktį 4 sąlygos a–i punktams.

a)

tvarkys asmens duomenis tik duomenų eksportuotojo vardu ir laikysis jo nurodymų ir šių sąlygų; jeigu jis dėl bet kokių priežasčių negali užtikrinti atitikties, jis sutinka kuo skubiau pranešti duomenų importuotojui apie tai, kad jis negali užtikrinti atitikties, ir tokiu atveju duomenų eksportuotojas turi teisę sustabdyti duomenų perdavimą ir (arba) nutraukti sutartį;

b)

neturi pagrindo manyti, kad pagal jam taikytiną teisę jis negalės vykdyti iš duomenų eksportuotojo gautų nurodymų ir savo įsipareigojimų pagal sutartį, o jeigu ši teisė pakeičiama ir šie pakeitimai turi didelį neigiamą poveikį pagal šias sąlygas teikiamoms garantijoms ir prisiimtiems įsipareigojimams, jis kuo greičiau praneš apie šiuos pasikeitimus duomenų eksportuotojui, kai tik apie juos sužinos, o duomenų eksportuotojas tokiu atveju turi teisę sustabdyti duomenų perdavimą ir (arba) nutraukti sutartį;

c)

prieš pradėdamas tvarkyti perduotus asmens duomenis jis įgyvendino 2 priedėlyje nustatytas technines ir organizacines saugumo priemones;

d)

kuo greičiau praneš duomenų eksportuotojui apie:

e)

greitai ir tinkamai atsakys į visas duomenų eksportuotojo užklausas, susijusias su jo vykdomu perduoti skirtų asmens duomenų tvarkymu, ir laikysis priežiūros institucijos rekomendacijų, susijusių su perduotų duomenų tvarkymu;

f)

duomenų eksportuotojo prašymu leis atlikti savo duomenų tvarkymo priemonių auditą, kiek tai susiję su šių sąlygų apimama duomenų tvarkymo veikla, kurį atliks duomenų eksportuotojas arba tikrinimo grupė, sudaryta iš nepriklausomų narių, kurie turi reikiamą profesinę kvalifikaciją, yra saistomi pasižadėjimo saugoti konfidencialumą ir kuriuos atrinko duomenų eksportuotojas, kai taikytina, suderinęs tai su priežiūros institucija;

g)

duomenų subjekto prašymu pateiks jam šių sąlygų arba bet kokios egzistuojančios pagalbinio duomenų tvarkymo sutarties kopiją (išskyrus atvejį, kai į sąlygas arba sutartį įtraukta komercinė informacija – tokiu atveju ši komercinė informacija gali būti pašalinta), išskyrus 2 priedėlį, kuris pakeičiamas saugumo priemonių aprašymo santrauka tais atvejais, kai duomenų subjektas negali gauti kopijos iš duomenų eksportuotojo;

h)

pagalbinio duomenų tvarkymo atveju jis iš anksto informavo duomenų eksportuotoją ir gavo jo išankstinį raštišką sutikimą;

i)

pagalbinio duomenų tvarkytojo teikiamos tvarkymo paslaugos bus vykdomos pagal 11 sąlygą;

j)

nedelsdamas išsiųs duomenų eksportuotojui bet kokio pagalbinio duomenų tvarkymo susitarimo, sudaromo pagal šias sąlygas, kopiją.

1.

Šalys susitaria, kad bet koks duomenų subjektas, kuriam bet kuri šalis arba pagalbinis duomenų tvarkytojas padarė žalą, nes neįvykdė 3 arba 11 sąlygoje nustatytų įsipareigojimų, turi teisę gauti kompensaciją iš duomenų eksportuotojo dėl patirtos žalos.

2.

Jeigu duomenų subjektas negali reikalauti kompensacijos, kaip nustatyta 1 dalyje, iš duomenų eksportuotojo dėl duomenų importuotojo arba jo pagalbinio duomenų tvarkytojo padaryto bet kurio iš jų įsipareigojimų, įvardytų 3 arba 11 sąlygose, pažeidimo dėl to, kad duomenų eksportuotojas yra faktiškai dingęs, teisiškai nutraukė savo veiklą arba tapo nemokus, duomenų importuotojas sutinka, kad duomenų subjektas gali iškelti ieškinį duomenų importuotojui, tarytum jis būtų duomenų eksportuotojas, išskyrus atvejį, kai visus duomenų eksportuotojo teisinius įsipareigojimus sutartimi arba teisiniais veiksmais perėmė veiklos tęsėjas; tokiais atvejais duomenų subjektas gindamas savo teises gali iškelti ieškinį tokiam tęsėjui.

Duomenų importuotojas negali išvengti atsakomybės remdamasis tuo, kad pagalbinis duomenų tvarkytojas nevykdė savo įsipareigojimų.

3.

Jeigu duomenų subjektas negali pareikšti reikalavimų duomenų eksportuotojui arba duomenų importuotojui, kaip paminėta 1 ir 2 dalyse, dėl pagalbinio duomenų tvarkytojo padaryto bet kurio iš jų įsipareigojimų, įvardytų 3 arba 11 sąlygose, pažeidimo dėl to, kad duomenų eksportuotojas ir duomenų importuotojas yra faktiškai dingę, teisiškai nutraukė savo veiklą arba tapo nemokūs, pagalbinis duomenų tvarkytojas sutinka, kad duomenų subjektas gali iškelti ieškinį pagalbiniam duomenų tvarkytojui, kiek tai susiję su jo vykdoma duomenų tvarkymo veikla pagal šias sąlygas, tarytum jis būtų duomenų eksportuotojas arba duomenų importuotojas, išskyrus atvejį, kai visus duomenų eksportuotojo arba duomenų importuotojo teisinius įsipareigojimus sutartimi arba teisiniais veiksmais perėmė veiklos tęsėjas; tokiais atvejais duomenų subjektas gindamas savo teises gali iškelti ieškinį tokiam tęsėjui. Tokia pagalbinio duomenų tvarkytojo atsakomybė apribojama jo paties vykdoma duomenų tvarkymo veikla pagal šias sąlygas.

1.

Duomenų importuotojas sutinka, kad jeigu duomenų subjektas prieš jį pasinaudoja trečiosios šalies naudos gavėjos teisėmis ir (arba) pareikalauja kompensuoti žalą pagal šias sąlygas, duomenų importuotojas sutiks su duomenų subjekto sprendimu:

2.

Šalys sutinka, kad duomenų subjekto pasirinkimas nepažeis jo esminių arba procedūrinių teisių imtis teisių gynimo priemonių pagal kitas nacionalinės arba tarptautinės teisės nuostatas.

1.

Duomenų eksportuotojas sutinka pateikti šios sutarties kopiją saugoti priežiūros institucijai, jeigu ji to pareikalauja arba jeigu to reikalaujama pagal taikytiną duomenų apsaugos teisę.

2.

Šalys sutinka, kad priežiūros institucija turi teisę atlikti duomenų importuotojo ir bet kurio pagalbinio duomenų tvarkytojo auditą, kuris būtų tokio paties masto ir kuriam būtų taikomos tokios pačios sąlygos kaip ir duomenų eksportuotojo auditui pagal taikytiną duomenų apsaugos teisę.

3.

Duomenų importuotojas kuo skubiau praneša duomenų eksportuotojui apie jam arba bet kuriam pagalbiniam duomenų tvarkytojui taikytinų teisės aktų, kurie neleistų atlikti duomenų importuotojo arba bet kurio pagalbinio duomenų tvarkytojo audito pagal 2 dalį, buvimą. Tokiu atveju duomenų eksportuotojas turi teisę imtis 5 sąlygos b punkte numatytų priemonių.

1.

Duomenų importuotojas nesudaro subrangos sutarties dėl duomenų tvarkymo veiksmų, atliekamų duomenų eksportuotojo vardu pagal šias sąlygas, negavęs išankstinio raštiško duomenų eksportuotojo sutikimo. Kai duomenų importuotojas, gavęs duomenų eksportuotojo sutikimą, sudaro subrangos sutartį, kuria perduoda savo įsipareigojimus pagal šias sąlygas, jis tai daro tik pasirašydamas rašytinį susitarimą su pagalbiniu duomenų tvarkytoju, kuriuo pagalbinis duomenų tvarkytojas prisiima tokius pačius įsipareigojimus, kuriuos pagal šias sąlygas prisiima duomenų importuotojas (3). Jeigu pagalbinis duomenų tvarkytojas nevykdo savo duomenų apsaugos įsipareigojimų pagal tokį rašytinį susitarimą, duomenų importuotojas visiškai atsako duomenų eksportuotojui už pagal tokį susitarimą pagalbinio duomenų tvarkytojo prisiimtų įsipareigojimų vykdymą.

2.

Iš anksto sudarytoje duomenų importuotojo ir pagalbinio duomenų tvarkytojo rašytinėje sutartyje taip pat nustatoma trečiosios šalies naudos gavėjos sąlyga, kaip nustatyta 3 sąlygoje, skirta atvejams, kai duomenų subjektas negali rekalauti kompensacijos, nurodytos 6 sąlygos 1 dalyje, iš duomenų eksportuotojo arba duomenų importuotojo, nes jie yra faktiškai dingę, teisiškai nutraukė savo veiklą arba tapo nemokūs ir joks veiklos tęsėjas sutartimi arba teisiniais veiksmais neperėmė visų duomenų eksportuotojo arba duomenų importuotojo teisinių įsipareigojimų. Tokia pagalbinio duomenų tvarkytojo kaip trečiojo asmens atsakomybė apribojama jo paties vykdoma duomenų tvarkymo veikla pagal šias sąlygas.

3.

1 dalyje įvardytos sutarties nuostatos, susijusios su pagalbinio duomenų tvarkymo duomenų apsaugos aspektais, reglamentuojamos valstybės narės, kurioje įsikūręs duomenų eksportuotojas, teisės, konkrečiai …

4.

Duomenų eksportuotojas saugo pagalbinio duomenų tvarkymo susitarimų, kurie sudaryti pagal šias sąlygas ir apie kuriuos duomenų importuotojas pranešė pagal 5 sąlygos j punktą, sąrašą, kuris atnaujinamas mažiausiai kartą per metus. Su sąrašu gali susipažinti duomenų eksportuotojo duomenų apsaugos priežiūros institucija.

1.

Šalys sutinka, kad nutraukus asmens duomenų tvarkymo paslaugų teikimą duomenų importuotojas ir pagalbinis duomenų tvarkytojas duomenų eksportuotojo pasirinkimu grąžins visus perduotus asmens duomenis ir jų kopijas duomenų eksportuotojui arba sunaikins visus asmens duomenis ir išsiųs patvirtinimą duomenų eksportuotojui, kad tai buvo atlikta, išskyrus atvejus, kai pagal duomenų importuotojui taikytinus teisės aktus jam draudžiama grąžinti arba sunaikinti visus perduotus asmens duomenis arba jų dalį. Tuo atveju duomenų importuotojas užtikrina, kad jis garantuos perduotų asmens duomenų konfidencialumą ir daugiau netvarkys perduotų asmens duomenų.

2.

Duomenų importuotojas ir pagalbinis duomenų tvarkytojas garantuoja, kad, duomenų eksportuotojo ir (arba) priežiūros institucijos prašymu, leis atlikti savo duomenų tvarkymo priemonių auditą, kiek tai susiję su 1 dalyje įvardytomis priemonėmis.