(a) „categorii speciale de date” înseamnă datele menționate la articolul 8 din Directiva 95/46/CE;

(b) „autorități de supraveghere” înseamnă autoritățile menționate la articolul 28 din Directiva 95/46/CE;

(c) „exportator de date” înseamnă operatorul care transferă datele cu caracter personal;

(d) „importator de date” înseamnă persoana împuternicită de către operator stabilită într-o țară terță care este de acord să primească de la exportatorul de date datele cu caracter personal destinate prelucrării în numele exportatorului de date, în urma transferului, în conformitate cu instrucțiunile acestuia și cu condițiile prezentei decizii, și care nu este supusă unui sistem al unei țări terțe capabil să asigure o protecție adecvată, în sensul articolului 25 alineatul (1) din Directiva 95/46/CE;

(e) „subcontractant” înseamnă orice persoană împuternicită de către operator angajată de importatorul de date sau de orice alt subcontractant al acestuia, care este de acord să primească de la importatorul de date sau de la orice alt subcontractant al acestuia datele cu caracter personal destinate exclusiv activităților de prelucrare care urmează să fie efectuate în numele exportatorului de date, în urma transferului, în conformitate cu instrucțiunile acestuia, cu condițiile stabilite în anexă și cu condițiile contractului scris de subcontractare a serviciilor de prelucrare a datelor;

(f) „legea aplicabilă protecției datelor” înseamnă legislația care protejează drepturile și libertățile fundamentale ale particularilor și, în special, dreptul lor la viață privată cu privire la prelucrarea datelor cu caracter personal, aplicabilă operatorului de date din statul membru în care este stabilit exportatorul de date;

(g) „măsuri tehnice și organizatorice de securitate” înseamnă măsurile menite să protejeze datele cu caracter personal împotriva distrugerii accidentale sau ilegale sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat, în special atunci când prelucrarea presupune transmiterea datelor într-o rețea, precum și împotriva oricărei alte forme de prelucrare ilegală.

(a) „date cu caracter personal”, „categorii speciale de date”, „prelucrare”, „operator”, „persoană împuternicită de către operator”, „persoană vizată” și „autoritate de supraveghere” au același înțeles ca cel din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date ( 1 );

(b) „exportator de date” înseamnă operatorul care transferă datele cu caracter personal;

(c) „importator de date” înseamnă persoana împuternicită de către operator care este de acord să primească, de la exportatorul de date, datele cu caracter personal destinate prelucrării în numele exportatorului, în urma transferului, în conformitate cu instrucțiunile acestuia și cu condițiile prezentelor clauze și care nu este supusă unui sistem al unei țări terțe capabil să asigure o protecție adecvată în sensul articolului 25 alineatul (1) din Directiva 95/46/CE;

(d) „subcontractant” înseamnă orice persoană împuternicită de către operator angajată de importatorul de date sau de orice alt subcontractant al acestuia, care este de acord să primească, de la importatorul de date sau de la oricare alt subcontractant al acestuia, datele cu caracter personal destinate exclusiv activităților de prelucrare care sunt efectuate în numele exportatorului de date, în urma transferului, în conformitate cu instrucțiunile acestuia, cu condițiile stabilite în prezentele clauze și cu condițiile contractului scris de subcontractare;

(e) „legea aplicabilă protecției datelor” înseamnă legislația care protejează drepturile și libertățile fundamentale ale particularilor și, în special, dreptul lor la viață privată cu privire la prelucrarea datelor cu caracter personal, aplicabilă operatorului de date din statul membru în care este stabilit exportatorul de date;

(f) „măsuri tehnice și organizatorice de securitate” înseamnă măsurile menite să protejeze datele cu caracter personal împotriva distrugerii accidentale sau ilegale sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat, în special atunci când prelucrarea presupune transmiterea datelor într-o rețea, precum și împotriva oricărei alte forme ilegale de prelucrare.

(1) Persoana vizată poate invoca în fața exportatorului de date prezenta clauză, clauza 4 literele (b)-(i), clauza 5 literele (a)-(e) și (g)-(j), clauza 6 alineatele (1) și (2), clauza 7, clauza 8 alineatul (2), precum și clauzele 9-12 în calitate de terți beneficiari.

(2) Persoana vizată poate invoca în fața importatorului de date prezenta clauză, clauza 5 literele (a)-(e) și (g), clauza 6, clauza 7, clauza 8 alineatul (2) și clauzele 9-12, în situația în care exportatorul de date a dispărut în fapt sau și-a încetat existența de drept, cu excepția cazului în care vreo entitate succesoare și-a asumat toate obligațiile juridice ale exportatorului de date prin contract sau prin efectul legii și, ca rezultat, preia drepturile și obligațiile exportatorului de date, caz în care persoana vizată poate invoca clauzele menționate în fața acestei entități.

(3) Persoana vizată poate invoca în fața subcontractantului prezenta clauză, clauza 5 literele (a)-(e) și (g), clauza 6, clauza 7, clauza 8 alineatul (2) și clauzele 9-12, în situațiile în care atât exportatorul de date, cât și importatorul de date au dispărut în fapt, și-au încetat existența de drept sau au devenit insolvabili, cu excepția cazului în care o entitate succesoare și-a asumat toate obligațiile juridice ale exportatorului de date prin contract sau prin efectul legii și, ca rezultat, își asumă drepturile și obligațiile exportatorului de date, caz în care persoana vizată poate invoca clauzele menționate în raport cu o asemenea entitate. O astfel de răspundere civilă față de terțe părți a subcontractantului se limitează la propriile operațiuni de prelucrare în temeiul prezentelor clauze.

(4) Părțile nu se opun ca persoana vizată să fie reprezentată de o asociație sau alt organism, în cazul în care persoana vizată dorește în mod expres acest lucru și dacă legislația națională permite acest fapt.

(a) prelucrarea, inclusiv transferul în sine, a datelor cu caracter personal a fost și va continua să fie efectuată în conformitate cu dispozițiile relevante ale legii aplicabile privind protecția datelor (și, atunci când a fost cazul, a fost notificată autorităților competente din statul membru în care este stabilit exportatorul de date) și nu încalcă dispozițiile relevante din statul respectiv;

(b) a instruit și, pe toată durata serviciilor de prelucrare a datelor cu caracter personal, acesta va continua să îl instruiască pe importatorul de date să prelucreze datele cu caracter personal transferate numai în numele exportatorului de date și în conformitate cu legea aplicabilă privind protecția datelor și cu prezentele clauze;

(c) importatorul de date prezintă suficiente garanții referitoare la măsurile tehnice și organizatorice de securitate menționate în apendicele 2 la acest contract;

(d) după evaluarea cerințelor legii aplicabile privind protecția datelor, măsurile de securitate sunt adecvate pentru a proteja datele cu caracter personal împotriva distrugerii accidentale sau ilegale sau a pierderii accidentale, modificării, divulgării sau accesului neautorizat, în special atunci când prelucrarea presupune transmiterea datelor într-o rețea, precum și împotriva oricăror alte forme ilegale de prelucrare, și că aceste măsuri asigură un nivel adecvat de securitate în ceea ce privește riscurile prezentate de prelucrarea sau natura datelor care trebuie protejate, ținând seama de cele mai recente tehnici din sector și de costurile punerii lor în aplicare;

(e) va asigura respectarea măsurilor de securitate;

(f) în cazul în care transferul implică categorii speciale de date, persoana vizată a fost informată sau va fi informată înainte de transferul datelor sale, sau cât de curând posibil în urma transferului, că datele sale ar putea fi transmise către o țară terță care nu oferă protecția adecvată în sensul Directivei 95/46/CE;

(g) transmite orice notificare primită de la importatorul de date sau de la oricare dintre subcontractanți, în temeiul clauzei 5 litera (b) și al clauzei 8 alineatul (3), către autoritatea de supraveghere a protecției datelor, în cazul în care exportatorul de date decide să continue transferul sau să ridice suspendarea;

(h) pune la dispoziția persoanelor vizate, la cerere, o copie a clauzelor, mai puțin apendicele 2, și o descriere pe scurt a măsurilor de securitate, precum și o copie a oricărui contract de subcontractare a serviciilor care trebuie încheiat în conformitate cu clauzele, cu excepția cazului în care clauzele sau contractul conțin informații comerciale, caz în care acesta le poate înlătura;

(i) în cazul subcontractării serviciilor de prelucrare a datelor, activitatea de prelucrare este efectuată în conformitate cu clauza 11 de către un subcontractant care oferă cel puțin același nivel de protecție a datelor cu caracter personal și a drepturilor persoanei vizate ca și importatorul de date, în temeiul prezentelor clauze; precum și

(j) va asigura respectarea clauzei 4 literele (a)-(i).

(a) prelucrează datele cu caracter personal exclusiv în numele exportatorului de date și în conformitate cu instrucțiunile acestuia și cu clauzele; în cazul în care, din diverse motive, nu poate garanta conformitatea, acesta este de acord să informeze fără întârziere exportatorul de date cu privire la imposibilitatea sa de a asigura conformitatea, caz în care exportatorul de date are dreptul să suspende transferul de date și/sau să rezilieze contractul;

(b) acesta nu are niciun motiv să creadă că legislația care i se aplică îl împiedică să îndeplinească instrucțiunile primite de la exportatorul de date și obligațiile ce îi revin în temeiul contractului și că, în cazul unei modificări în legislația respectivă, susceptibilă să aibă efecte negative asupra garanțiilor și obligațiilor prevăzute de clauze, va notifica fără întârziere modificarea exportatorului de date, de îndată ce are cunoștință de aceasta, caz în care exportatorul de date are dreptul să suspende transferul de date și/sau să rezilieze contractul;

(c) a pus în aplicare măsurile tehnice și organizatorice de securitate menționate în apendicele 2 înainte de prelucrarea datelor cu caracter personal transferate;

(d) acesta notifică fără întârziere exportatorului de date:

(i) orice solicitare, obligatorie din punct de vedere juridic, de a divulga date cu caracter personal, prezentată de o autoritate de aplicare a legii, cu excepția cazului în care aceasta face obiectul altei interdicții, de exemplu interdicția, în cadrul dreptului penal, de a păstra confidențialitatea unei investigații urmărind aplicarea legii;

(ii) orice acces accidental sau neautorizat; precum și

(iii) orice solicitare primită direct de la persoanele vizate, fără a răspunde la aceasta, cu excepția cazului în care a fost autorizat să facă acest lucru;

(e) tratează fără întârziere și în mod adecvat toate întrebările exportatorului de date privind prelucrarea datelor cu caracter personal care fac obiectul transferului și se conformează recomandării făcute de autoritatea de supraveghere în ceea ce privește prelucrarea datelor transferate;

(f) la cererea exportatorului de date, își prezintă facilitățile privind prelucrarea datelor în scopul auditului privind activitățile de prelucrare acoperite de clauze, care va fi efectuat de exportatorul de date sau de un organism de inspecție alcătuit din membri independenți care dețin calificările profesionale și sunt supuși obligației de confidențialitate, selectați de exportatorul de date, după caz, în acord cu autoritatea de supraveghere;

(g) pune la dispoziția persoanelor vizate, la cerere, o copie a clauzelor sau orice contract existent de subcontractare a serviciilor de prelucrare a datelor, cu excepția cazului în care clauzele sau contractul conțin informații comerciale, caz în care acestea pot fi înlăturate, mai puțin apendicele 2, care se înlocuiește cu o descriere pe scurt a măsurilor de securitate, în situația în care persoana vizată nu poate obține o copie de la exportatorul de date;

(h) în cazul subcontractării serviciilor de prelucrare, a informat în prealabil exportatorul de date și a obținut acordul în scris al acestuia;

(i) serviciile de prelucrare efectuate de subcontractant sunt efectuate în conformitate cu clauza 11;

(j) trimite fără întârziere exportatorului de date o copie a oricărui contract de subcontractare încheiat în temeiul prezentelor clauze.

(1) Părțile convin că orice persoană vizată care a suferit un prejudiciu în urma încălcării obligațiile prevăzute de clauza 3 sau clauza 11 de către oricare dintre părți sau de către subcontractant are dreptul de a primi despăgubiri din partea exportatorului de date pentru prejudiciul suferit.

(2) În cazul în care persoana vizată nu poate introduce împotriva exportatorului de date o acțiune în despăgubiri menționată la alineatul (1), în urma încălcării de către importatorul de date sau subcontractantul acestuia a oricăreia dintre obligațiile prevăzute de clauza 3 sau clauza 11 din motiv că exportatorul de date a dispărut în fapt, și-a încetat existența de drept sau a devenit insolvabil, importatorul de date este de acord ca persoana vizată să poată formula o cerere de despăgubire împotriva importatorului de date, în locul exportatorului de date, cu excepția cazului în care vreo entitate succesoare și-a asumat toate obligațiile juridice ale exportatorului de date prin contract sau prin efectul legii, caz în care persoana vizată își poate cere drepturile de la o astfel de entitate.

(3) În cazul în care persoana vizată nu poate introduce o acțiune împotriva exportatorului de date sau importatorului de date, după cum se menționează la alineatele (1) și (2), în urma încălcării de către subcontractant a oricăreia dintre obligațiile prevăzute de clauza 3 sau clauza 11 din motiv că atât exportatorul de date, cât și importatorul de date au dispărut în fapt, și-au încetat existența de drept sau au devenit insolvabili, subcontractantul este de acord ca persoana vizată să poată formula o cerere de despăgubire împotriva subcontractantului care prelucrează datele în legătură cu propriile operațiuni de prelucrare, în locul exportatorului de date sau al importatorului de date, cu excepția cazului în care o entitate succesoare și-a asumat toate obligațiile juridice ale exportatorului de date sau ale importatorului de date prin contract sau prin efectul legii, caz în care persoana vizată își poate cere drepturile de la o astfel de entitate. Răspunderea civilă față de terțe părți a subcontractantului se limitează la propriile operațiuni de prelucrare în temeiul prezentelor clauze.

(1) Importatorul de date este de acord ca, în cazul în care persoana vizată invocă împotriva sa drepturile terțului beneficiar și/sau cere despăgubiri pentru prejudiciile suferite, în temeiul clauzelor, importatorul de date va accepta decizia persoanei vizate:

(a) de a prezenta litigiul în vederea medierii, de către o persoană independentă sau, după caz, de către autoritatea de supraveghere;

(b) de a prezenta litigiul instanțelor din statul membru în care este stabilit exportatorul de date.

(2) Părțile convin că opțiunea aleasă de persoana vizată nu va aduce atingere drepturilor materiale sau procedurale ale acestuia de a introduce acțiuni în conformitate cu alte dispoziții din legislația națională sau internațională.

(1) Exportatorul de date convine să depună o copie a prezentului contract la autoritatea de supraveghere, la cererea acesteia sau dacă depunerea copiei este cerută de legea aplicabilă privind protecția datelor.

(2) Părțile convin că autoritatea de supraveghere are dreptul să efectueze un audit la importatorul de date și la oricare dintre subcontractanți, în aceeași măsură și aceleași condiții care s-ar aplica unui audit efectuat la exportatorul de date în temeiul legii aplicabile privind protecția datelor.

(3) Importatorul de date informează fără întârziere exportatorul de date privind existența unei legislații care se aplică în cazul său sau al oricărui subcontractant, care împiedică efectuarea unui audit la importatorul de date, sau la oricare dintre subcontractanți, în temeiul alineatului (2). Într-un astfel de caz, exportatorul de date are dreptul să ia măsurile prevăzute de clauza 5 litera (b).

(1) Importatorul de date nu subcontractează niciuna dintre operațiunile de prelucrare efectuate în numele exportatorului de date în temeiul clauzelor fără acordul în scris dat în prealabil de exportatorul de date. În cazul în care importatorul de date, având acordul exportatorului de date, își subcontractează obligațiile în temeiul prezentelor clauze, o face numai prin intermediul unui acord scris cu subcontractantul, care îi impune acestuia aceleași obligații ca cele impuse importatorului de date în temeiul prezentelor clauze ( 3 ). În cazul în care subcontractantul nu își îndeplinește obligațiile privind protecția datelor în temeiul unui astfel de acord scris, importatorul de date este pe deplin responsabil față de exportatorul de date pentru respectarea, de către subcontractant, a obligațiilor în temeiul acordului respectiv.

(2) Contractul scris prealabil dintre importatorul de date și subcontractant prevede, de asemenea, o clauză a terțului beneficiar, astfel cum este menționat la clauza 3, pentru cazurile în care persoana vizată nu poate introduce acțiunea în despăgubiri prevăzută de clauza 6 alineatul (1) împotriva exportatorului de date și importatorului de date, întrucât aceștia au dispărut în fapt, și-au încetat existența de drept sau au devenit insolvabili și nici o entitate succesoare nu și-a asumat toate obligațiile juridice ale exportatorului de date și ale importatorului de date prin contract sau prin efectul legii. O astfel de răspundere civilă față de terțe părți a subcontractantului se limitează la propriile operațiuni de prelucrare în temeiul clauzelor.

(3) Dispozițiile privind aspectele de protecție a datelor pentru subcontractarea contractului menționat la alineatul (1) sunt guvernate de legea statului membru în care este stabilit exportatorul de date, anume …

(4) Exportatorul de date păstrează o listă a acordurilor de subcontractare a serviciilor de prelucrare a datelor încheiate în temeiul clauzelor și notificate de către importatorul de date în temeiul clauzei 5 litera (j), care se actualizează cel puțin o dată pe an. Lista este la dispoziția autorității de supraveghere a protecției datelor a exportatorului de date.

(1) Părțile convin că, la încheierea furnizării serviciilor de prelucrare a datelor cu caracter personal, la alegerea exportatorului de date, importatorul de date și subcontractantul returnează toate datele cu caracter personal transferate, precum și copiile acestora, sau distrug toate datele cu caracter personal, confirmând exportatorului de date că au făcut acest lucru, cu excepția cazului în care legislația aplicabilă importatorului de date îl împiedică să returneze sau să distrugă integral sau parțial datele cu caracter personal transferate. În acest caz, importatorul de date garantează că va asigura confidențialitatea datelor cu caracter personal transferate și nu le va mai prelucra în mod activ.

(2) Importatorul de date și subcontractantul garantează că, la cererea exportatorului de date și/sau a autorității de supraveghere, își prezintă facilitățile privind prelucrarea datelor în scopul auditului măsurilor menționate la alineatul (1).

EXPORTATORUL DE DATE

Nume: …

Semnătură autorizată …

IMPORTATORUL DE DATE

Nume: …

Semnătură autorizată …

(a) exportatorul de date notifică fără întârziere importatorului de date existența unei cereri de despăgubire; și

(b) importatorului de date i se dă posibilitatea de a coopera cu exportatorul de date privind apărarea și soluționarea cererii de despăgubire ( 4 ).