UPOŠTEVAJTE: SPODNJE POGOJE SMO OBJAVILI V POVEZAVI Z NOVIMI STANDARDNIMI POGODBENIMI KLAVZULAMI, KI JIH JE POTRDILA EVROPSKA KOMISIJA IN VELJAJO OD 27. SEPTEMBRA 2021

(a) Namen teh standardnih pogodbenih klavzul je zagotoviti skladnost z zahtevami Uredbe (EU) št. 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu fizičnih oseb v zvezi z obdelavo osebnih podatkov in v zvezi s prostim pretokom takih podatkov (Splošna uredba o varstvu podatkov) (1) za prenos osebnih podatkov v tretjo državo.

(b) Pogodbene stranke:

(i) fizične ali pravne osebe, javni organi, agencije/organizacije ali drugi organi (v nadaljevanju »pravne osebe«), ki prenašajo osebne podatke, kot so navedeni v Prilogi I.A (v nadaljevanju vsak »izvoznik podatkov«), in

(ii) pravne osebe v tretji državi, ki prejemajo osebne podatke od izvoznika podatkov, neposredno ali posredno preko pravne osebe, ki je prav tako stranka, ki jo zavezujejo te klavzule, kot je navedeno v Prilogi I.A (v nadaljevanju vsak »uvoznik podatkov«)

so sprejele te standardne pogodbene klavzule (v nadaljevanju »klavzule«).

(c) Te klavzule veljajo za prenos osebnih podatkov, kot je določeno v Prilogi I.B.

(d) Dodatek k tem klavzulam, ki vsebuje priloge, navedene v dodatku, je sestavni del teh klavzul.

(a) Te klavzule določajo ustrezne zaščitne ukrepe, vključno s pravicami, ki se uveljavljajo za posameznike, na katere se nanašajo osebni podatki, in učinkovitimi pravnimi sredstvi v skladu s členom 46(1) in členom 46(2)(c) Uredbe (EU) št. 2016/679 ter glede na prenose podatkov s kontrolorjev na obdelovalce in/ali z obdelovalcev na obdelovalce, standardne pogodbene klavzule v skladu s členom 28(7) Uredbe (EU) št. 2016/679, pod pogojem, da niso spremenjene, razen za namene izbire ustreznega modula ali za dodajanje ali posodobitev informacij v dodatku. To pogodbenih strankam ne preprečuje vključitve standardnih pogodbenih klavzul iz teh klavzul v širšo pogodbo in/ali dodajanja drugih klavzul ali dodatnih zaščitnih ukrepov pod pogojem, da niso v nasprotju s temi klavzulami oz. ne posegajo, posredno ali neposredno, v temeljne pravice ali svoboščine posameznikov, na katere se nanašajo osebni podatki.

(b) Te klavzule ne posegajo v obveznosti, ki veljajo za izvoznika podatkov v skladu z Uredbo (EU) št. 2016/679.

(a) Posamezniki, na katere se nanašajo osebni podatki, lahko zoper izvoznika in/ali uvoznika podatkov uveljavljajo te klavzule kot tretji upravičenci, pri tem pa veljajo naslednje izjeme:

(i) klavzula 1, klavzula 2, klavzula 3, klavzula 6, klavzula 7;

(ii) klavzule 8.1(b), 8.9(a), (c), (d) in (e);

(iii) klavzula 9 – klavzule 9(a), (c), (d) in (e);

(iv) klavzula – klavzule 12(a), (d) in (f);

(v) klavzula 13;

(vi) klavzule 15.1(c), (d) in (e);

(vii) klavzula 16(e);

(viii) klavzula 18 – klavzuli 18(a) in (b);

(b) Odstavek (a) ne posega v pravice posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) št. 2016/679.

(a) Kadar te klavzule uporabljajo izraze, ki so opredeljeni v Uredbi (EU) št. 2016/679, imajo ti izrazi enak pomen kot v navedeni uredbi.

(b) Te klavzule je treba brati in si jih razlagati glede na določbe Uredbe (EU) št. 2016/679.

(c) Te klavzule se ne smejo razlagati tako, da so v nasprotju s pravicami in obveznostmi iz Uredbe (EU) št. 2016/679.

V primeru protislovja med temi klavzulami in določbami povezanih sporazumov med pogodbenimi strankami, ki obstajajo v času, ko se stranke dogovorijo o teh klavzulah in jih nato potrdijo, prevladajo te klavzule.

Podrobnosti o prenosu podatkov, zlasti o kategorijah osebnih podatkov, ki se prenašajo, in namenih, za katere se prenašajo, so navedene v Prilogi I.B.

(a) Pravna oseba, ki ni predmet teh klavzul, lahko s soglasjem pogodbenih strank kadarkoli pristopi k tem klavzulam, bodisi kot izvoznik ali uvoznik podatkov, in sicer tako, da izpolni dodatek in podpiše Prilogo I.A.

(b) Ko pravna oseba, ki pristopa h klavzulam, izpolni dodatek in podpiše Prilogo I.A, postane pogodbena stranka, ki je predmet teh klavzul, in ima pravice ter obveznosti izvoznika ali uvoznika podatkov v skladu s poimenovanjem v Prilogi I.A.

(c) Pravna oseba, ki pristopa h klavzulam, nima pravic ali obveznosti v skladu s temi klavzulami, ki veljajo za obdobje, preden je postala pogodbena stranka.

Izvoznik podatkov jamči, da si je razumno prizadeval ugotoviti, da je uvoznik podatkov z izvajanjem ustreznih tehničnih in organizacijskih ukrepov sposoben izpolniti obveznosti v skladu s temi klavzulami.

(a)  Uvoznik podatkov obdeluje osebne podatke samo po navodilih izvoznika podatkov, ki so dokumentirana. Izvoznik podatkov lahko ta navodila posreduje med trajanjem pogodbe.

(b) Če uvoznik podatkov ne more slediti tem navodilom, o tem nemudoma obvesti izvoznika podatkov.

Uvoznik podatkov obdeluje osebne podatke samo za poseben namen prenosa, kot je določeno v Prilogi I.B, razen če izvoznik podatkov posreduje nadaljnja navodila.

Izvoznik podatkov na zahtevo brezplačno zagotovi posamezniku, na katerega se nanašajo osebni podatki, kopijo teh klavzul, vključno z dodatkom, ki sta ga pripravili pogodbeni stranki. Izvoznik podatkov lahko v obsegu, ki je potreben za zaščito poslovnih skrivnosti ali drugih zaupnih podatkov, vključno z ukrepi, opisanimi v Prilogi II in osebnimi podatki, prikrije del besedila iz dodatka k tem klavzulam, preden posreduje kopijo, vendar zagotovi smiseln povzetek, kadar posameznik, na katerega se nanašajo osebni podatki sicer ne bi mogel razumeti njene vsebine ali uveljavljati svojih pravic. Pogodbeni stranki na zahtevo posamezniku, na katerega se nanašajo osebni podatki, predložita razloge za prikrite dele besedila v največji možni meri, ne da bi razkrili prikrite informacije. Klavzula ne posega v obveznosti izvoznika podatkov v skladu s 13. in 14. členom Uredbe (EU) št. 2016/679.

Če uvoznik podatkov izve, da so osebni podatki, ki jih je prejel, netočni ali so zastareli, nemudoma obvesti izvoznika podatkov. V tem primeru uvoznik podatkov sodeluje z izvoznikom podatkov pri izbrisu oz. popravkih podatkov.

Uvoznik podatkov obdeluje podatke samo v času trajanja izvajanja storitev obdelave, ki je določen v Prilogi I.B. Po koncu obdobja izvajanja storitev obdelave uvoznik podatkov po izbiri izvoznika podatkov izbriše vse osebne podatke, obdelane v imenu izvoznika podatkov in izvozniku podatkov potrdi, da je to storil, ali pa izvozniku podatkov vrne vse osebne podatke, obdelane v njegovem imenu, ter izbriše obstoječe kopije. Dokler se podatki ne izbrišejo ali vrnejo, uvoznik podatkov še naprej zagotavlja skladnost s temi klavzulami. V primeru lokalne zakonodaje o prepovedi vračanja ali izbrisa osebnih podatkov, ki velja za uvoznika podatkov, uvoznik podatkov jamči, da bo še naprej zagotavljal skladnost s temi klavzulami in jih bo obdeloval samo v obsegu in tako dolgo časa, kot je to potrebno v skladu z lokalno zakonodajo. To ne posega v klavzulo 14, še zlasti ne v zahtevo v klavzuli 14(e), da mora uvoznik podatkov v času trajanja pogodbe obvestiti izvoznika podatkov, če ima razlog za domnevo, da zanj veljajo ali so veljali zakoni oz. prakse, ki niso v skladu z zahtevami iz klavzule 14(a).

(a)  Uvoznik podatkov, med prenosom pa tudi izvoznik podatkov, izvajata ustrezne tehnične in organizacijske ukrepe za zagotovitev varnosti podatkov, vključno z zaščito pred kršitvijo varnosti, ki vodi do nenamernega ali nezakonitega uničenja, izgube, sprememb, nepooblaščenega razkritja ali dostopa do teh podatkov (v nadaljevanju »kršitev varnosti osebnih podatkov«). Pri ocenjevanju ustrezne ravni varnosti pogodbeni stranki primerno upoštevata stanje tehnike, stroške izvajanja, naravo, obseg, kontekst in namen(e) obdelave ter tveganja, ki so povezana z obdelavo podatkov posameznikov, na katere se nanašajo osebni podatki. Pogodbeni stranki še zlasti preučita uporabo šifriranja ali psevdonimizacije, tudi med prenosom, kadar je mogoče namen obdelave izpolniti na ta način. V primeru psevdonimizacije ostanejo dodatne informacije, ki omogočajo dodelitev osebnih podatkov določenemu posamezniku, na katerega se nanašajo osebni podatki, kadar je to mogoče, pod izključnim nadzorom izvoznika podatkov. Pri izpolnjevanju obveznosti iz tega odstavka mora uvoznik podatkov vsaj izvajati tehnične in organizacijske ukrepe, določene v Prilogi II. Uvoznik podatkov izvaja redna preverjanja, da se zagotovi, da ti ukrepi še naprej zagotavljajo ustrezno raven varnosti.

(b) Uvoznik podatkov članom svojega osebja odobri dostop do osebnih podatkov samo v obsegu, ki je nujno potreben za izvajanje, upravljanje in spremljanje pogodbe. Zagotovi se, da so se osebe, pooblaščene za obdelavo osebnih podatkov, zavezale zaupnosti oz., da jih k zaupnosti zavezuje ustrezen zakon.

(c)  V primeru kršitve varstva osebnih podatkov, ki zadeva osebne podatke, ki jih obdeluje uvoznik podatkov v skladu s temi klavzulami, uvoznik podatkov sprejme ustrezne ukrepe za obravnavo kršitve, vključno z ukrepi za ublažitev njenih neželenih učinkov. Uvoznik podatkov prav tako nemudoma obvesti izvoznika podatkov po tem, ko se je seznanil s kršitvijo. Takšno obvestilo vsebuje podatke o kontaktni točki, kjer je mogoče pridobiti več informacij, opis narave kršitve (vključno, kadar je to mogoče, s kategorijami in približnim številom posameznikov, na katere se nanašajo osebni podatki, in številom zadevnih evidenc osebnih podatkov), verjetne posledice in ukrepe, sprejete ali predlagane ukrepe za obravnavo kršitve, vključno z ukrepi za ublažitev možnih neželenih učinkov kršitve, kadar je to primerno. Kadar in v kolikor ni mogoče istočasno zagotoviti vseh podatkov, začetno obvestilo vsebuje podatke, ki so nato na voljo, nadaljnje informacije, ko so na voljo, pa se pozneje zagotovijo brez nepotrebnega odlašanja.

(d) Uvoznik podatkov sodeluje z izvoznikom podatkov in mu pomaga pri tem, da izvozniku podatkov omogoči izpolnjevanje obveznosti iz Uredbe (EU) št. 2016/679, zlasti pri obveščanju pristojnega nadzornega organa in prizadetih posameznikov, na katere se nanašajo osebni podatki, ob upoštevanju narave obdelave in podatkov, ki so na voljo uvozniku podatkov.

Kadar prenos vključuje osebne podatke, ki razkrivajo rasno ali etnično poreklo, politična prepričanja in verska ali filozofska prepričanja ali informacije o članstvu v sindikatu, genetske ali biometrične podatke za namen edinstvene identifikacije fizične osebe, podatke o zdravstvenem stanju ali spolnem življenju osebe ali spolni usmerjenosti ali podatkih v zvezi s kazenskimi obsodbami in kaznivimi dejanji (v nadaljevanju »občutljivi podatki«), uvoznik podatkov uporablja posebne omejitve in/ali dodatne zaščitne ukrepe, opisane v Prilogi I.B.

Uvoznik podatkov osebne podatke razkrije samo tretji osebi po dokumentiranih navodilih izvoznika podatkov. Poleg tega se lahko podatki razkrijejo samo tretji osebi, ki se nahaja zunaj Evropske unije (4) (v isti državi kot uvoznik podatkov ali v drugi tretji državi, v nadaljevanju »nadaljnji prenos«), če tretjo osebo zavezujejo te klavzule, v skladu z ustreznim modulom, oz. če se tretja oseba strinja, da jo zavezujejo te klavzule, ali če:

(a)  nadaljnji prenos je v državo, ki ima od odločitve o ustreznosti korist v skladu s 45. členom Uredbe (EU) št. 2016/679, ki zajema nadaljnji prenos;

(b) tretja oseba sicer zagotavlja ustrezne zaščitne ukrepe v skladu s 46. in 47. členom Uredbe (EU) št. 2016/679 v zvezi z zasebno obdelavo;

(c)  nadaljnji prenos je potreben za vzpostavljanje, izvajanje ali obrambo pravnih zahtevkov v okviru posebnih upravnih, regulativnih ali sodnih postopkov; ali

(d) nadaljnji prenos je potreben za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe.

Pri vsakem nadaljnjem prenosu mora uvoznik podatkov upoštevati vse druge zaščitne ukrepe v skladu s temi klavzulami, zlasti omejitev namena.

(a)  Uvoznik podatkov mora nemudoma in ustrezno obravnavati poizvedbe izvoznika podatkov, ki se nanašajo na obdelavo podatkov v skladu s temi klavzulami.

(b) Pogodbeni stranki morata biti zmožni dokazati skladnost s temi klavzulami. Zlasti uvoznik podatkov mora hraniti ustrezno dokumentacijo o dejavnostih obdelave podatkov, ki se izvajajo v imenu izvoznika podatkov.

(c)  Uvoznik podatkov mora izvozniku podatkov dati na voljo vse informacije, potrebne za dokazovanje skladnosti z obveznostmi iz teh klavzul, in na zahtevo izvoznika podatkov, dovoliti in omogočiti izvajanje revizij dejavnosti obdelave, ki so zajete v teh klavzulah, v razumnih časovnih presledkih ali če obstajajo znaki neskladnosti. Pri odločanju o pregledu ali reviziji lahko izvoznik podatkov upošteva ustrezna potrdila, ki jih hrani uvoznik podatkov.

(d) Izvoznik podatkov se lahko odloči za samostojno izvedbo revizije ali pa pooblasti neodvisnega revizorja. Revizije lahko vključujejo inšpekcijske preglede v prostorih ali fizičnih objektih uvoznika podatkov, in se morajo po potrebi opraviti na podlagi razumnega predhodnega obvestila.

(e)  Pogodbeni stranki morata na zahtevo pristojnemu nadzornemu organu predložiti informacije iz odstavkov (b) in (c), vključno z rezultati kakršnih koli revizij.

(a)  Uvoznik podatkov ima splošno pooblastilo izvoznika podatkov za najem podobdelovalcev, ki so navedeni na dogovorjenem seznamu. Uvoznik podatkov mora izrecno pisno obvestiti izvoznika podatkov o morebitnih predvidenih spremembah na tem seznamu v obliki dodajanja ali zamenjave podobdelovalcev vsaj štirinajst dni vnaprej, s tem pa izvozniku podatkov dati dovolj časa, da lahko ugovarja tem spremembam pred najemom teh podobdelovalcev. Uvoznik podatkov mora izvozniku podatkov zagotoviti informacije, potrebne za omogočanje uveljavljanja pravice do ugovora.

(b) Kadar uvoznik podatkov najame podobdelovalca za izvajanje določenih dejavnosti obdelave (v imenu izvoznika podatkov), mora to storiti s pisno pogodbo, ki vsebinsko določa enake obveznosti varstva podatkov, kot tiste, ki zavezujejo uvoznika podatkov v skladu s temi klavzulami, vključno z vidika pravic tretje osebe kot upravičenca za posameznike, na katere se nanašajo osebni podatki. (8) Pogodbeni stranki se strinjata, da uvoznik podatkov z upoštevanjem te klavzule izpolnjuje obveznosti iz klavzule 8.8. Uvoznik podatkov mora zagotoviti, da podobdelovalec izpolnjuje obveznosti, ki veljajo za uvoznika podatkov v skladu s temi klavzulami.

(c)  Uvoznik podatkov mora na zahtevo izvoznika podatkov predložiti kopijo takšnega sporazuma o najemu podobdelovalca in morebitne naknadne spremembe, ki zadevajo izvoznika podatkov. V obsegu, ki je potreben za zaščito poslovnih skrivnosti ali drugih zaupnih podatkov, vključno z osebnimi podatki, lahko uvoznik podatkov prikrije besedilo sporazuma, preden posreduje kopijo sporazuma.

(d) Uvoznik podatkov mora ostati v celoti odgovoren izvozniku podatkov za izvajanje obveznosti podobdelovalca v skladu s pogodbo z uvoznikom podatkov. Uvoznik podatkov mora izvoznika podatkov obvestiti o podobdelovalčevi neizpolnitvi obveznosti iz te pogodbe.

(e)  Uvoznik podatkov se mora s podobdelovalcem dogovoriti o klavzuli v korist tretjega, pri kateri ima – v primeru, da je uvoznik podatkov dejansko izginil, zakonsko prenehal obstajati ali je postal insolventen – izvoznik podatkov pravico prekiniti pogodbo s podobdelovalcem in mu naročiti, da izbriše ali vrne osebne podatke.

(a)  Uvoznik podatkov mora izvoznika podatkov nemudoma obvestiti o kakršnikoli zahtevi, ki jo je prejel od posameznika, na katerega se nanašajo osebni podatki. Na zahtevo se ne sme odzvati samostojno, razen če ga je to pooblastil izvoznik podatkov.

(b) Uvoznik podatkov mora izvozniku podatkov pomagati pri izpolnjevanju obveznosti glede odzivanja na zahteve posameznikov, na katere se nanašajo osebni podatki, za namene uveljavljanja njihovih pravic v skladu z Uredbo (EU) št. 2016/679. V zvezi s tem morata pogodbeni stranki v Prilogi II določiti ustrezne tehnične in organizacijske ukrepe, s katerimi se zagotovi pomoč, pri čemer morata upoštevati naravo obdelave, ter okvir in obseg zahtevane pomoči.

(c)  Pri izpolnjevanju obveznosti iz odstavkov (a) in (b) mora uvoznik podatkov upoštevati navodila izvoznika podatkov.

(a)  Uvoznik podatkov mora vsakemu posamezniku, na katerega se nanašajo osebni podatki, posredovati individualno obvestilo v pregledni in zlahka dostopni obliki ali posredovati informacije o kontaktni točki, ki je pooblaščena za obravnavanje pritožb, preko lastnega spletnega mesta. Takoj mora obravnavati morebitne pritožbe, ki jih prejme od posameznika, na katerega se nanašajo osebni podatki.

(b) V primeru spora med posameznikom, na katerega se nanašajo osebni podatki, in eno od pogodbenih strank glede skladnosti s temi klavzulami, si mora ta pogodbena stranka po najboljših močeh prizadevati za sporazumno in pravočasno rešitev zadeve. Pogodbeni stranki morata druga drugo obveščati o takšnih sporih in po potrebi sodelovati pri njihovem reševanju.

(c)  Kadar posameznik, na katerega se nanašajo osebni podatki, uveljavlja pravico, ki velja v korist tretje osebe, v skladu s Klavzulo 3, mora uvoznik podatkov sprejeti odločitev posameznika, na katerega se nanašajo osebni podatki, da:

(i)     pri nadzornem organu v državi članici, kjer ima običajno prebivališče ali kraj dela, ali pri pristojnem nadzornem organu v skladu s Klavzulo 13, vloži pritožbo;

(ii)     spor predloži pristojnim sodiščem v smislu Klavzule 18.

(d) Pogodbeni stranki se strinjata, da lahko posameznika, na katerega se nanašajo osebni podatki, zastopa neprofitni organ, organizacija ali združenje pod pogoji iz člena 80(1) Uredbe (EU) št. 2016/679.

(e)  Uvoznik podatkov mora upoštevati odločitev, ki je zavezujoča v skladu z veljavno zakonodajo EU ali zakonodajo držav članic.

(f)  Uvoznik podatkov se strinja, da izbira posameznika, na katerega se nanašajo osebni podatki, ne bo vplivala na njegove vsebinske in procesne pravice za uveljavljanje pravnih sredstev v skladu z veljavnimi zakoni.

(a)  Vsaka pogodbena stranka nasprotni stranki odgovarja za kakršnokoli škodo, ki jo povzroči s kršitvijo teh klavzul.

(b) Uvoznik podatkov odgovarja posamezniku, na katerega se nanašajo osebni podatki, za morebitno materialno ali nematerialno škodo, ki jo povzroči uvoznik podatkov ali njegov podobdelovalec s kršitvijo pravic, ki veljajo v korist tretjega, po teh klavzulah, posameznik, na katerega se nanašajo osebni podatki, pa je upravičen do odškodnine.

(c)  Izvoznik podatkov odgovarja posamezniku, na katerega se nanašajo osebni podatki, za morebitno materialno ali nematerialno škodo, ki jo povzroči izvoznik podatkov ali uvoznik podatkov (ali njegov podobdelovalec) s kršitvijo pravic, ki veljajo v korist tretjega, po teh klavzulah, posameznik, na katerega se nanašajo osebni podatki, pa je upravičen do odškodnine, ne glede na odstavek (b). To ne posega v odgovornost izvoznika podatkov in, kadar je izvoznik podatkov obdelovalec podatkov, ki deluje v imenu kontrolorja podatkov, v odgovornost kontrolorja v skladu z Uredbo (EU) št. 2016/679 ali Uredbo (EU) št. 2018/1725, kot je primerno.

(d) Pogodbeni stranki se strinjata, da če izvoznik podatkov v skladu z odstavkom (c) odgovarja za škodo, ki jo povzroči uvoznik podatkov (ali njegov podobdelovalec), je upravičen do tega, da od uvoznika podatkov zahteva povračilo tistega dela odškodnine, ki ustreza odgovornosti uvoznika podatkov za škodo, ki jo je povzročil uvoznik podatkov.

(e)  Kadar več kot ena pogodbena stranka odgovarja za kakršnokoli škodo, ki je nastala posamezniku, na katerega se nanašajo osebni podatki, zaradi kršitve teh klavzul, vse odgovorne stranke solidarno odgovarjajo za škodo, posameznik, na katerega se nanašajo osebni podatki, pa ima pravico, da zoper te stranke vloži tožbo pred sodiščem.

(f)  Pogodbeni stranki se strinjata, da če ena od strank nosi odgovornost v skladu z odstavkom (e), ima pravico, da od druge pogodbene stranke zahteva del odškodnine, ki ustreza njeni odgovornosti za škodo.

(g) Uvoznik podatkov se ne sme sklicevati na ravnanje podobdelovalca, da bi se izognil lastni odgovornosti.

(a)  Pogodbeni stranki se strinjata, da je nadzorni organ, ki je odgovoren za skladnost izvoznika podatkov z Uredbo (EU) št. 2016/679 v zvezi s prenosom podatkov, nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens), ki deluje kot pristojni nadzorni organ.

(b) Uvoznik podatkov se strinja, da se bo v vseh postopkih za zagotavljanje skladnosti s temi klavzulami podrejal pristojnosti oz. sodeloval s pristojnim nadzornim organom. Uvoznik podatkov se zlasti strinja, da se bo odzval na poizvedbe, predložil dokumentacijo v revizijo in upošteval ukrepe, ki jih je sprejel nadzorni organ, vključno s popravnimi in kompenzacijskimi ukrepi. Nadzornemu organu mora predložiti pisno potrditev, da so bili sprejeti potrebni ukrepi.

(a) Pogodbeni stranki jamčita, nimata razloga za domnevo, da zakoni in prakse v tretji namembni državi, ki se uporabljajo za obdelavo osebnih podatkov s strani uvoznika podatkov, vključno z morebitnimi zahtevami za razkritje osebnih podatkov ali ukrepov, ki omogočajo dostop javnih organov, uvozniku podatkov preprečujejo izpolnjevanja obveznosti v skladu s temi klavzulami. To temelji na razumevanju, da zakoni in prakse, ki spoštujejo bistvo temeljnih pravic in svoboščin in ne presegajo tistega, kar je nujno in sorazmerno v demokratični družbi za zaščito enega od ciljev, navedenih v členu 23(1) Uredbe (EU) št. 2016/679, niso v nasprotju s temi klavzulami.

(b) Pogodbeni stranki izjavljata, da sta pri nudenji jamstva v odstavku (a) ustrezno upoštevali zlasti naslednje elemente:

(i) posebne okoliščine prenosa, vključno z dolžino verige obdelave, številom vpletenih akterjev in uporabljenih kanalov za prenos; predvidene nadaljnje prenose; vrsto prejemnika; namen obdelave; kategorije in format prenesenih osebnih podatkov; gospodarski sektor, v katerem pride do prenosa; lokacijo shranjevanja prenesenih podatkov;

(ii) zakone in prakse tretje namembne države – vključno s tistimi, ki zahtevajo razkritje podatkov javnim organom ali odobritev dostopa tem organom – ki so relevantni glede na posebne okoliščine prenosa, in veljavne omejitve in zaščitne ukrepe (12);

(iii) kakršnekoli ustrezne pogodbene ali tehnične zaščitne ukrepe, ki so bili uvedeni za dopolnitev zaščitnih ukrepov v skladu s temi klavzulami, vključno z ukrepi, ki se uporabljajo med prenosom in obdelavo osebnih podatkov v namembni državi.

(c) Uvoznik podatkov jamči, da si je pri izvajanju ocene v skladu z odstavkom (b) po najboljših močeh prizadeval izvozniku podatkov zagotoviti ustrezne informacije, in se strinja, da bo še naprej sodeloval z izvoznikom podatkov pri zagotavljanju skladnosti s temi klavzulami.

(d) Pogodbeni stranki se strinjata, da bosta dokumentirali oceno v skladu z odstavkom (b) in da jo bosta na zahtevo predložili pristojnemu nadzornemu organu.

(e) Uvoznik podatkov se strinja, da bo izvoznika podatkov takoj obvestil, če potem, ko je pristal na te klavzule, in v času trajanja pogodbe obstaja razlog za domnevo, da je ali je postal predmet zakonov ali praks, ki niso v skladu z zahtevami iz odstavka (a), vključno z uvedbo sprememb zakonodaje tretje države ali sprememb ukrepa (kot je zahteva za razkritje), ki nakazujejo uporabo takšnih zakonov v praksi, ki ni v skladu z zahtevami iz odstavka (a).

(f) Po uradnem obvestilu v skladu z odstavkom (e) ali če ima izvoznik podatkov sicer razlog za domnevo, da uvoznik podatkov ne more več izpolniti obveznosti v skladu s temi klavzulami, izvoznik podatkov takoj opredeli ustrezne ukrepe (npr. tehnične ali organizacijske ukrepe za zagotovitev varnosti in zaupnosti), ki jih mora sprejeti izvoznik podatkov in/ali uvoznik podatkov za namene reševanja situacije. Izvoznik podatkov mora začasno prekiniti prenos podatkov, če meni, da ni mogoče zagotoviti ustreznih zaščitnih ukrepov za tak prenos ali če mu je to naročil pristojni nadzorni organ. V tem primeru ima izvoznik podatkov pravico prekiniti pogodbo, kolikor ta zadeva obdelavo osebnih podatkov v skladu s temi klavzulami. Če pogodba vključuje več kot dve pogodbeni stranki, lahko izvoznik podatkov uveljavlja to pravico do prekinitve samo v zvezi z zadevno pogodbeno stranko, razen če so se pogodbene stranke dogovorile drugače. Kadar se pogodba prekine v skladu s to klavzulo, se uporabljata klavzuli 16(d) in (e).

(a) Uvoznik podatkov se strinja, da bo izvoznika podatkov in, kjer je to mogoče, posameznika, na katerega se nanašajo osebni podatki, takoj obvestil (po potrebi ob pomoči izvoznika podatkov), če:

(i) prejme pravno zavezujočo zahtevo javnega organa, vključno z zahtevami pravosodnih organov, v skladu z zakonodajo namembne države za razkritje osebnih podatkov, prenesenih v skladu s temi klavzulami; takšno obvestilo mora vključevati informacije o zahtevanih osebnih podatkih, informacije o organu, ki je vložil zahtevo, pravno podlago za zahtevo in posredovanem odzivu; ali

(ii) izve za kakršenkoli neposreden dostop javnih organov do osebnih podatkov, prenesenih v skladu s temi klavzulami in zakonodajo namembne države; mora takšno obvestilo vključevati vse informacije, ki so na voljo uvozniku podatkov.

(b) Če uvoznik podatkov v skladu z zakonodajo namembne države ne sme obvestiti izvoznika podatkov in/ali posameznika, na katerega se nanašajo osebni podatki, se uvoznik podatkov strinja, da si bo po najboljših močeh prizadeval za opustitev tovrstne prepovedi obveščanja, z namenom, da čim prej sporoči čim več informacij. Uvoznik podatkov se strinja, da bo svoja prizadevanja dokumentiral, da bi jih lahko dokazal na zahtevo izvoznika podatkov.

(c) Kadar je dovoljeno v skladu z zakonodajo namembne države, se uvoznik podatkov strinja, da bo izvozniku podatkov v rednih časovnih presledkih v času trajanja pogodbe zagotovil čim več ustreznih informacij o prejetih zahtevah (zlasti informacij o številu zahtev, vrsti zahtevanih podatkov, organih, ki so vložili zahteve, pa o tem, ali so bile zahteve izpodbijane, in o tem, kakašen je bil izid teh izpodbijanj, itd.).

(d) Uvoznik podatkov se strinja, da bo informacije v skladu z odstavki (a) do (c) hranil v času trajanja pogodbe in da jih bo na zahtevo predložil pristojnemu nadzornemu organu.

(e) Odstavka (a) do (c) ne posegata v obveznost uvoznika podatkov, da v skladu s klavzulama 14(e) in 16 izvoznika podatkov nemudoma obvesti, kadar ne more izpolniti zahtev teh klavzul.

(a) Uvoznik podatkov se strinja, da bo preučil zakonitost zahteve za razkritje, zlasti ali ostaja v okviru pristojnosti, ki so bile podeljene javnemu, ki je vložil zahtevo, in da bo zahtevo izpodbijal, če po temeljiti oceni ugotovi, da obstajajo utemeljeni razlogi za domnevo, da je zahteva nezakonita glede na zakonodajo namembne države, veljavne obveznosti v skladu z mednarodnim pravom in načela mednarodnega pravnega sodelovanja. Uvoznik podatkov mora pod enakimi pogoji izkoristiti možnosti pritožbe. Uvoznik podatkov pri izpodbijanju zahteve zaprosi za začasne ukrepe z namenom začasne prekinitve učinkov zahteve, dokler pristojni organ ne odloči, ali je zahteva utemeljena. Ne sme razkriti zahtevanih osebnih podatkov, dokler to ni potrebno v skladu z veljavnimi postopkovnimi pravili. Te zahteve ne posegajo v obveznosti uvoznika podatkov iz klavzule 14(e).

(b) Uvoznik podatkov se strinja, da bo dokumentiral svojo pravno oceno in morebitna izpodbijanja zahtev po razkritju in da bo, kolikor je dovoljeno v skladu z zakonodajo namembne države, dokumentacijo dal na voljo izvozniku podatkov. Na zahtevo jo mora dati na voljo tudi pristojnemu nadzornemu organu.

(c) Uvoznik podatkov se strinja, da bo na podlagi razumne utemeljitve zahteve zagotovil minimalno količino informacij, ki jo je dovoljeno posredovati v odzivu na zahtevo za razkritje.

(a) Uvoznik podatkov mora izvoznika podatkov takoj obvestiti, če iz kakršnegakoli razloga ne more izpolniti zahtev iz teh klavzul.

(b) V primeru, da uvoznik podatkov krši te klavzule ali ni sposoben izpolniti zahtev iz teh klavzul, izvoznik podatkov začasno prekliče prenos osebnih podatkov uvozniku podatkov, dokler ni ponovno zagotovljena skladnost, ali pa pogodba preneha veljati. To ne posega v klavzulo 14(f).

(c) V tem primeru ima izvoznik podatkov pravico prekiniti pogodbo, kolikor ta zadeva obdelavo osebnih podatkov v skladu s temi klavzulami, če:

(i) je izvoznik podatkov začasno ustavil prenos osebnih podatkov uvozniku podatkov v skladu z odstavkom (b) in če skladnost s temi klavzulami ni znova vzpostavljena v razumnem roku ter v vsakem primeru v enem mesecu od začasne ustavitve;

(ii) uvoznik podatkov v veliki ali trajni meri krši te klavzule; ali

(iii) uvoznik podatkov ne izpolnjuje zavezujoče odločbe pristojnega sodišča ali nadzornega organa v zvezi z obveznostmi v skladu s temi klavzulami.

V teh primerih izvoznik podatkov obvesti pristojni nadzorni organ o takšni neskladnosti. Če pogodba vključuje več kot dve pogodbeni stranki, lahko izvoznik podatkov uveljavlja to pravico do prekinitve samo v zvezi z zadevno pogodbeno stranko, razen če so se pogodbene stranke dogovorile drugače.

(d) Osebni podatki, ki so bili preneseni pred prenehanjem pogodbe v skladu z odstavkom (c), se po izbiri izvoznika podatkov takoj vrnejo izvozniku podatkov ali pa se v celoti izbrišejo. Enako velja za vse kopije podatkov. Uvoznik podatkov potrdi izbris podatkov izvozniku podatkov. Dokler se podatki ne izbrišejo ali vrnejo, uvoznik podatkov še naprej zagotavlja skladnost s temi klavzulami. V primeru lokalne zakonodaje o prepovedi vračanja ali izbrisa prenesenih osebnih podatkov, ki velja za uvoznika podatkov, uvoznik podatkov jamči, da bo še naprej zagotavljal skladnost s temi klavzulami in bo obdeloval te podatke samo v obsegu in tako dolgo časa, kot je to potrebno v skladu z lokalno zakonodajo.

(e) Vsaka pogodbena stranka lahko prekliče svoje soglasje, da jo zavezujejo te klavzule, kadar (i) Evropska komisija sprejme odločitev v skladu s členom 45(3) Uredbe (EU) št. 2016/679, ki zajema prenos osebnih podatkov, za katere veljajo te klavzule; ali (ii) Uredba (EU) št. 2016/679 postane del pravnega okvira države, v katero se prenašajo osebni podatki. To ne posega v druge obveznosti, ki veljajo za zadevno obdelavo v skladu z Uredbo (EU) št. 2016/679.

Te klavzule ureja zakonodaja države članice EU, v kateri ima sedež izvoznik podatkov. Kadar takšna zakonodaja ne dopušča pravic tretjih upravičencev, jih ureja zakonodaja druge države članice EU, ki dopušča pravice tretjih upravičencev. Pogodbeni stranki se strinjata, da pogodbo ureja nizozemska zakonodaja.

(a) Kakršnekoli spore, ki izhajajo iz teh klavzul, rešujejo sodišča v državi članici EU.

(b) Pogodbeni stranki se strinjata, da so to nizozemska sodišča.

(c) Posameznik, na katerega se nanašajo osebni podatki, lahko zoper izvoznika podatkov in/ali uvoznika podatkov sproži sodne postopke tudi pred sodišči držav, kjer ima svoje običajno prebivališče.

(d) Pogodbeni stranki se strinjata, da se podredita pristojnosti takšnih sodišč.

Informacije, ki so zajete v Prilogah I in II, najdete v popisu 1 in 2 Sporazuma o obdelavi podatkov.