a)

Näillä vakiosopimuslausekkeilla on tarkoitus varmistaa, että siirrettäessä henkilötietoja kolmanteen maahan noudatetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (1) vaatimuksia.

b)

Osapuolet

ovat hyväksyneet nämä vakiosopimuslausekkeet, jäljempänä ’lausekkeet’.

c)

Näitä lausekkeita sovelletaan liitteessä I.B tarkoitettuun henkilötietojen siirtoon.

d)

Näiden lausekkeiden lisäys, joka sisältää mainitut liitteet, on erottamaton osa näitä lausekkeita.

a)

Näissä lausekkeissa vahvistetaan asianmukaiset suojatoimet, mukaan lukien asetuksen (EU) 2016/679 46 artiklan 1 kohdassa ja 2 kohdan c alakohdassa tarkoitetut täytäntöönpanokelpoiset rekisteröityjen oikeudet ja tehokkaat oikeussuojakeinot, ja rekisterinpitäjiltä henkilötietojen käsittelijöille ja/tai henkilötietojen käsittelijöiltä henkilötietojen käsittelijöille tehtävien siirtojen osalta asetuksen (EU) 2016/679 28 artiklan 7 kohdassa tarkoitetut vakiosopimuslausekkeet edellyttäen, että niitä ei muuteta muutoin kuin valitsemalla asianmukainen moduuli tai moduulit tai lisäämällä tai päivittämällä lisäykseen tietoja. Tämä ei estä osapuolia sisällyttämästä näissä lausekkeissa vahvistettuja vakiosopimuslausekkeita laajempaan sopimukseen ja/tai lisäämästä muita lausekkeita tai suojatoimia edellyttäen, että ne eivät ole suoraan tai välillisesti ristiriidassa näiden lausekkeiden kanssa eivätkä rajoita rekisteröityjen perusoikeuksia tai -vapauksia.

b)

Nämä lausekkeet eivät vaikuta velvoitteisiin, joita tietojen viejään sovelletaan asetuksen (EU) 2016/679 nojalla.

a)

Rekisteröidyt voivat edunsaajina olevina kolmansina osapuolina vedota näihin lausekkeisiin ja panna ne täytäntöön tietojen viejää ja/tai tietojen tuojaa vastaan seuraavin poikkeuksin:

b)

Edellä oleva a alakohta ei vaikuta oikeuksiin, joita rekisteröidyillä on asetuksen (EU) 2016/679 nojalla.

a)

Jos näissä lausekkeissa käytetään asetuksessa (EU) 2016/679 määriteltyjä termejä, näillä termeillä tarkoitetaan samaa kuin kyseisessä asetuksessa.

b)

Lausekkeita on luettava ja tulkittava asetuksen (EU) 2016/679 säännökset huomioon ottaen.

c)

Lausekkeita ei saa tulkita tavalla, joka on ristiriidassa asetuksessa (EU) 2016/679 säädettyjen oikeuksien ja velvollisuuksien kanssa.

a)

Yksikkö, joka ei ole näiden lausekkeiden osapuoli, voi osapuolten suostumuksella liittyä näihin lausekkeisiin milloin tahansa joko tietojen viejänä tai tietojen tuojana täyttämällä lisäyksen ja allekirjoittamalla liitteen I.A.

b)

Kun liittyvä yksikkö on täyttänyt lisäyksen ja allekirjoittanut liitteen I.A, siitä tulee näiden lausekkeiden osapuoli ja sillä on tietojen viejän tai tietojen tuojan oikeudet ja velvollisuudet sen mukaan kuin se on liitteessä I.A ilmoittanut.

c)

Liittyvällä yksiköllä ei ole näistä lausekkeista johtuvia oikeuksia tai velvollisuuksia ajalta ennen osapuoleksi liittymistä.

i)

jos se on saanut rekisteröidyltä ennakkosuostumuksen;

ii)

jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä; tai

iii)

jos se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi.

a)

Jotta rekisteröidyt voivat tosiasiallisesti käyttää lausekkeesta 10 johtuvia oikeuksiaan, tietojen tuojan on ilmoitettava heille joko suoraan tai tietojen viejän välityksellä

b)

Edellä olevaa a kohtaa ei sovelleta, jos rekisteröidyllä on jo kyseiset tiedot, myös siinä tapauksessa, että tietojen viejä on jo toimittanut tällaiset tiedot, tai jos kyseisten tietojen antaminen osoittautuu mahdottomaksi tai vaatisi tietojen tuojalta kohtuutonta vaivannäköä. Jälkimmäisessä tapauksessa tietojen tuojan on mahdollisuuksien mukaan asetettava tiedot julkisesti saataville.

c)

Osapuolet antavat maksutta rekisteröidyn saataville tämän pyynnöstä jäljennöksen näistä lausekkeista ja täyttämästään lisäyksestä. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, osapuolet voivat poistaa osan lisäyksen tekstistä ennen jäljennöksen antamista. Niiden on kuitenkin toimitettava tarkoituksenmukainen yhteenveto tekstistä, jos rekisteröity ei muutoin pystyisi ymmärtämään sen sisältöä tai käyttämään oikeuksiaan. Osapuolten on pyynnöstä ilmoitettava rekisteröidylle tekstin poistamisen syyt siinä määrin kuin se on mahdollista paljastamatta poistettavia tietoja.

d)

Edellä olevat a–c kohta eivät rajoita tietojen viejälle asetuksen (EU) 2016/679 13 ja 14 artiklan nojalla kuuluvia velvoitteita.

a)

Kummankin osapuolen on varmistettava, että henkilötiedot ovat paikkansapitäviä ja että ne saatetaan tarvittaessa ajan tasalle. Tietojen tuojan on toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä.

b)

Jos osapuoli havaitsee, että sen siirtämät tai vastaanottamat henkilötiedot ovat virheellisiä tai vanhentuneita, sen on ilmoitettava asiasta toiselle osapuolelle ilman aiheetonta viivytystä.

c)

Tietojen tuojan on varmistettava, että henkilötiedot ovat asianmukaisia ja olennaisia ja että ne rajoittuvat siihen, mikä on tarpeen käsittelyn tarkoituksen kannalta.

a)

Tietojen tuojan ja siirron aikana myös tietojen viejän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa niiden on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidylle käsittelystä aiheutuvat riskit. Osapuolten on harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin.

b)

Osapuolet ovat sopineet liitteessä II esitetyistä teknisistä ja organisatorisista toimenpiteistä. Tietojen tuojan on tehtävä säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet tarjoavat edelleen asianmukaisen turvallisuustason.

c)

Tietojen tuojan on varmistettava, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

d)

Jos henkilötietojen tietoturvaloukkaus koskee tietojen tuojan näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen tuojan on toteutettava asianmukaisia toimenpiteitä henkilötietojen tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet sen mahdollisten haittavaikutusten lieventämiseksi.

e)

Jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille, tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava asiasta sekä tietojen viejälle että lausekkeessa 13 tarkoitetulle toimivaltaiselle valvontaviranomaiselle. Ilmoituksessa on oltava i) kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan myös asianomaiset rekisteröityjen ryhmät ja arvioitu rekisteröityjen ja henkilötietotietueiden lukumäärä), ii) tietoturvaloukkauksen todennäköiset seuraukset, iii) tietoturvaloukkauksen johdosta toteutetut tai ehdotetut toimenpiteet ja iv) tiedot yhteyspisteestä, josta voi saada lisätietoa. Jos tietojen tuoja ei pysty toimittamaan kaikkia tietoja samanaikaisesti, se voi toimittaa ne vaiheittain ilman aiheetonta viivytystä.

f)

Jos kyseessä on henkilötietojen tietoturvaloukkaus, joka todennäköisesti aiheuttaa luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkean riskin, tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava henkilötietojen tietoturvaloukkauksesta ja sen luonteesta myös asianomaisille rekisteröidyille, tarvittaessa yhteistyössä tietojen viejän kanssa, ja ilmoitettava samalla e kohdan ii–iv alakohdassa tarkoitetut tiedot, paitsi jos tietojen tuoja on toteuttanut toimenpiteitä, joilla luonnollisten henkilöiden oikeuksiin tai vapauksiin kohdistuvaa riskiä pienennetään merkittävästi, tai jos ilmoittaminen vaatisi kohtuutonta vaivannäköä. Jälkimmäisessä tapauksessa tietojen tuojan on sen sijaan annettava julkinen tiedote tai toteutettava vastaava toimenpide, jolla henkilötietojen tietoturvaloukkauksesta tiedotetaan yleisölle.

g)

Tietojen tuojan on dokumentoitava kaikki henkilötietojen tietoturvaloukkaukseen liittyvät merkitykselliset tosiseikat, mukaan lukien sen vaikutukset ja toteutetut korjaavat toimet, ja pidettävä niistä kirjaa.

i)

ne siirretään maahan, jonka hyväksi on tehty asetuksen (EU) 2016/679 45 artiklan nojalla tehty tietosuojan riittävyyttä koskeva päätös, joka kattaa edelleen siirtämisen;

ii)

kolmas osapuoli muutoin varmistaa asetuksen (EU) 2016/679 46 tai 47 artiklassa tarkoitetut asianmukaiset suojatoimet kyseisen käsittelyn osalta;

iii)

kolmas osapuoli sopii tietojen tuojan kanssa sitovasta välineestä, jolla varmistetaan sama tietosuojan taso kuin näissä lausekkeissa, ja tietojen tuoja toimittaa tietojen viejälle jäljennöksen näistä suojatoimista;

iv)

se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä;

v)

se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; tai

vi)

siinä tapauksessa, että mitään muuta edellytystä ei sovelleta, tietojen tuoja on saanut rekisteröidyn nimenomaisen suostumuksen tietojen edelleen siirtämiseen tietyssä tilanteessa ilmoitettuaan hänelle siirtämisen tarkoitukset, vastaanottajan henkilöllisyyden ja mahdolliset riskit, joita rekisteröidylle aiheutuu tällaisesta tietojen siirtämisestä asianmukaisten tietosuojaa koskevien suojatoimien puuttumisen vuoksi. Tässä tapauksessa tietojen tuojan on ilmoitettava asiasta tietojen viejälle ja tämän pyynnöstä toimitettava sille jäljennös rekisteröidylle annetuista tiedoista.

a)

Kunkin osapuolen on pystyttävä osoittamaan, että se on noudattanut näiden lausekkeiden mukaisia velvoitteitaan. Tietojen tuojan on muun muassa säilytettävä asianmukainen dokumentaatio vastuullaan suoritetuista käsittelytoimista.

b)

Tietojen tuojan on pyynnöstä asetettava tällainen dokumentaatio toimivaltaisen valvontaviranomaisen saataville.

a)

Tietojen tuoja saa käsitellä henkilötietoja ainoastaan tietojen viejän antamien dokumentoitujen ohjeiden mukaisesti. Tietojen viejä voi antaa tällaisia ohjeita koko sopimuksen voimassaolon ajan.

b)

Tietojen tuojan on välittömästi ilmoitettava tietojen viejälle, jos se ei pysty noudattamaan näitä ohjeita.

a)

Tietojen tuojan ja siirron aikana myös tietojen viejän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy kyseisiin tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa osapuolten on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidyille käsittelystä aiheutuvat riskit. Osapuolten on harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin. Jos kyseessä on pseudonymisointi, lisätiedot, joiden perusteella henkilötiedot voidaan yhdistää tiettyyn rekisteröityyn, on mahdollisuuksien mukaan pidettävä tietojen viejän yksinomaisessa valvonnassa. Täyttäessään tämän kohdan mukaisia velvoitteitaan tietojen tuojan on toteutettava ainakin liitteessä II mainitut tekniset ja organisatoriset toimenpiteet. Tietojen tuojan on tehtävä säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet tarjoavat edelleen asianmukaisen turvallisuustason.

b)

Tietojen tuoja saa antaa henkilöstönsä jäsenille pääsyn henkilötietoihin vain siinä laajuudessa kuin se on ehdottoman välttämätöntä sopimuksen täytäntöönpanoa, hallinnointia ja seurantaa varten. Sen on varmistettava, että henkilötietojen käsittelyluvan saaneet henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus.

c)

Jos henkilötietojen tietoturvaloukkaus koskee tietojen tuojan näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen tuojan on toteutettava asianmukaisia toimenpiteitä tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet sen haittavaikutusten lieventämiseksi. Saatuaan tietoturvaloukkauksesta tiedon tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava siitä myös tietojen viejälle. Ilmoituksessa on oltava tiedot yhteyspisteestä, josta voi saada lisätietoja, kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan myös asianomaiset rekisteröityjen ryhmät ja arvioitu rekisteröityjen ja henkilötietotietueiden lukumäärä), tietoturvaloukkauksen todennäköisistä seurauksista ja sen johdosta toteutetuista tai ehdotetuista toimenpiteistä, ja tarvittaessa myös toimenpiteistä sen mahdollisten haittavaikutusten lieventämiseksi. Jos kaikkia tietoja ei ole mahdollista toimittaa samanaikaisesti, alkuperäisessä ilmoituksessa on oltava sillä hetkellä saatavilla olevat tiedot, ja lisätiedot on toimitettava myöhemmin ilman aiheetonta viivytystä, kun ne tulevat saataville.

d)

Tietojen tuojan on tehtävä yhteistyötä tietojen viejän kanssa ja autettava sitä, jotta tietojen viejä voi täyttää asetuksen (EU) 2016/679 mukaiset velvoitteensa ja erityisesti ilmoittaa asiasta toimivaltaiselle valvontaviranomaiselle ja asianomaisille rekisteröidyille ottaen huomioon käsittelyn luonteen ja tietojen tuojan saatavilla olevat tiedot.

i)

tietoja siirretään edelleen maahan, jonka hyväksi on tehty asetuksen (EU) 2016/679 45 artiklan nojalla tietosuojan riittävyyttä koskeva päätös, joka kattaa edelleen siirtämisen;

ii)

kolmas osapuoli muutoin varmistaa asetuksen (EU) 2016/679 46 tai 47 artiklassa tarkoitetut asianmukaiset suojatoimet kyseisen käsittelyn osalta;

iii)

edelleen siirtäminen on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä; tai

iv)

edelleen siirtäminen on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi.

a)

Tietojen tuojan on käsiteltävä nopeasti ja asianmukaisesti tietojen viejän tiedustelut, jotka liittyvät näiden lausekkeiden mukaiseen henkilötietojen käsittelyyn.

b)

Osapuolten on pystyttävä osoittamaan, että näitä lausekkeita on noudatettu. Tietojen tuojan on muun muassa säilytettävä asianmukainen dokumentaatio tietojen viejän puolesta suoritetuista käsittelytoimista.

c)

Tietojen tuojan on asetettava tietojen viejän saataville kaikki tarvittavat tiedot, joilla voidaan osoittaa, että näissä lausekkeissa asetettuja velvoitteita on noudatettu, ja sallittava tietojen viejän pyynnöstä kohtuullisin väliajoin tai tilanteessa, jossa on viitteitä siitä, että vaatimuksia ei ole noudatettu, näiden lausekkeiden piiriin kuuluvien käsittelytoimien auditointeja ja osallistuttava niihin. Päättäessään tarkastelusta tai auditoinnista tietojen viejä voi ottaa huomioon tietojen tuojalle myönnetyt asiaankuuluvat sertifioinnit.

d)

Tietojen viejä voi päättää suorittaa auditoinnin itse tai valtuuttaa riippumattoman auditoijan. Auditoinnit voivat sisältää tietojen tuojan tiloihin tai fyysisiin rakenteisiin kohdistuvia tarkastuksia, jotka on tehtävä kohtuullisen ajan kuluessa.

e)

Osapuolten on annettava b ja c kohdassa tarkoitetut tiedot, mukaan lukien mahdollisten auditointien tulokset, toimivaltaisen valvontaviranomaisen saataville tämän pyynnöstä.

a)

Tietojen viejä on ilmoittanut tietojen tuojalle toimivansa henkilötietojen käsittelijänä noudattaen rekisterinpitäjänsä tai rekisterinpitäjiensä ohjeita, jotka tietojen viejän on asetettava tietojen tuojan saataville ennen tietojen käsittelyä.

b)

Tietojen tuoja saa käsitellä henkilötietoja ainoastaan noudattaen rekisterinpitäjän antamia dokumentoituja ohjeita, jotka tietojen viejä on toimittanut tietojen tuojalle, ja mahdollisia tietojen viejän antamia dokumentoituja lisäohjeita. Tällaiset lisäohjeet eivät saa olla ristiriidassa rekisterinpitäjän antamien ohjeiden kanssa. Rekisterinpitäjä tai tietojen viejä voi antaa dokumentoituja lisäohjeita tietojen käsittelystä koko sopimuksen voimassaolon ajan.

c)

Tietojen tuojan on välittömästi ilmoitettava tietojen viejälle, jos se ei pysty noudattamaan näitä ohjeita. Jos tietojen tuoja ei pysty noudattamaan rekisterinpitäjän antamia ohjeita, tietojen viejän on ilmoitettava siitä välittömästi rekisterinpitäjälle.

d)

Tietojen viejä vakuuttaa, että se on asettanut tietojen tuojalle samat tietosuojavelvoitteet kuin rekisterinpitäjän ja tietojen viejän välisessä sopimuksessa tai unionin oikeuden tai jäsenvaltion lainsäädännön mukaisessa muussa oikeudellisessa asiakirjassa (5).

a)

Tietojen tuojan ja siirron aikana myös tietojen viejän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy kyseisiin tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa niiden on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidylle käsittelystä aiheutuvat riskit. Osapuolten on harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin. Jos kyseessä on pseudonymisointi, lisätiedot, joiden perusteella henkilötiedot voidaan yhdistää tiettyyn rekisteröityyn, on mahdollisuuksien mukaan pidettävä tietojen viejän tai rekisterinpitäjän yksinomaisessa valvonnassa. Täyttäessään tämän kohdan mukaisia velvoitteitaan tietojen tuojan on toteutettava ainakin liitteessä II mainitut tekniset ja organisatoriset toimenpiteet. Tietojen tuojan on tehtävä säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet tarjoavat edelleen asianmukaisen turvallisuustason.

b)

Tietojen tuoja saa antaa henkilöstönsä jäsenille pääsyn tietoihin vain siinä laajuudessa kuin se on ehdottoman välttämätöntä sopimuksen täytäntöönpanoa, hallinnointia ja seurantaa varten. Sen on varmistettava, että henkilötietojen käsittelyluvan saaneet henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus.

c)

Jos henkilötietojen tietoturvaloukkaus koskee tietojen tuojan näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen tuojan on toteutettava asianmukaisia toimenpiteitä tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet sen haittavaikutusten lieventämiseksi. Saatuaan tietoturvaloukkauksesta tiedon tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava siitä myös tietojen viejälle ja, jos se on tarkoituksenmukaista ja mahdollista, rekisterinpitäjälle. Ilmoituksessa on oltava tiedot yhteyspisteestä, josta voi saada lisätietoja, kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan myös asianomaiset rekisteröityjen ryhmät ja arvioitu rekisteröityjen ja henkilötietotietueiden lukumäärä), tietoturvaloukkauksen todennäköisistä seurauksista ja sen johdosta toteutetuista tai ehdotetuista toimenpiteistä sekä toimenpiteistä sen mahdollisten haittavaikutusten lieventämiseksi. Jos kaikkia tietoja ei ole mahdollista toimittaa samanaikaisesti, alkuperäisessä ilmoituksessa on oltava sillä hetkellä saatavilla olevat tiedot, ja lisätiedot on toimitettava myöhemmin ilman aiheetonta viivytystä, kun ne tulevat saataville.

d)

Tietojen tuojan on tehtävä yhteistyötä tietojen viejän kanssa ja autettava sitä, jotta tietojen viejä voi täyttää asetuksen (EU) 2016/679 mukaiset velvoitteensa ja erityisesti ilmoittaa asiasta rekisterinpitäjälleen, jotta tämä voi puolestaan ilmoittaa asiasta toimivaltaiselle valvontaviranomaiselle ja asianomaisille rekisteröidyille ottaen huomioon käsittelyn luonteen ja tietojen tuojan saatavilla olevat tiedot.

i)

tietoja siirretään edelleen maahan, jonka hyväksi on tehty asetuksen (EU) 2016/679 45 artiklan nojalla tietosuojan riittävyyttä koskeva päätös, joka kattaa edelleen siirtämisen;

ii)

kolmas osapuoli muutoin varmistaa asetuksen (EU) 2016/679 46 tai 47 artiklassa tarkoitetut asianmukaiset suojatoimet;

iii)

edelleen siirtäminen on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä; tai

iv)

edelleen siirtäminen on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi.

a)

Tietojen tuojan on käsiteltävä nopeasti ja asianmukaisesti tietojen viejän tai rekisterinpitäjän tiedustelut, jotka liittyvät näiden lausekkeiden mukaiseen henkilötietojen käsittelyyn.

b)

Osapuolten on pystyttävä osoittamaan, että näitä lausekkeita on noudatettu. Tietojen tuojan on muun muassa säilytettävä asianmukainen dokumentaatio rekisterinpitäjän puolesta suoritetuista käsittelytoimista.

c)

Tietojen tuojan on asetettava tietojen viejän saataville kaikki tarvittavat tiedot, joilla voidaan osoittaa, että näissä lausekkeissa asetettuja velvoitteita on noudatettu. Tietojen viejän on toimitettava ne rekisterinpitäjälle.

d)

Tietojen tuojan on annettava tietojen viejän auditoida näiden lausekkeiden piiriin kuuluvat käsittelytoimet kohtuullisin väliajoin tai tilanteessa, jossa on viitteitä siitä, että vaatimuksia ei ole noudatettu, ja osallistuttava auditointeihin. Sama pätee silloin, kun tietojen viejä pyytää auditointia rekisterinpitäjän ohjeistamana. Päättäessään auditoinnista tietojen viejä voi ottaa huomioon tietojen tuojalle myönnetyt asiaankuuluvat sertifioinnit.

e)

Jos auditointi tehdään rekisterinpitäjän ohjeistamana, tietojen viejän on asetettava tulokset rekisterinpitäjän saataville.

f)

Tietojen viejä voi päättää suorittaa auditoinnin itse tai valtuuttaa riippumattoman auditoijan. Auditoinnit voivat sisältää tietojen tuojan tiloihin tai fyysisiin rakenteisiin kohdistuvia tarkastuksia, jotka on tehtävä kohtuullisen ajan kuluessa.

g)

Osapuolten on annettava b ja c kohdassa tarkoitetut tiedot, mukaan lukien mahdollisten auditointien tulokset, toimivaltaisen valvontaviranomaisen saataville tämän pyynnöstä.

a)

Tietojen viejä saa käsitellä henkilötietoja ainoastaan rekisterinpitäjänä toimivan tietojen tuojan antamien dokumentoitujen ohjeiden mukaisesti.

b)

Tietojen viejän on välittömästi ilmoitettava tietojen tuojalle, jos se ei pysty noudattamaan kyseisiä ohjeita, myös siinä tapauksessa, että ohjeet rikkovat asetusta (EU) 2016/679 tai muuta unionin tai jäsenvaltion tietosuojalainsäädäntöä.

c)

Tietojen tuojan on pidättäydyttävä kaikista toimista, jotka estäisivät tietojen viejää täyttämästä asetuksen (EU) 2016/679 mukaisia velvoitteitaan, myös siinä tapauksessa, että henkilötietoja käsitellään alihankintana, tai toimivaltaisten valvontaviranomaisten kanssa tehtävän yhteistyön osalta.

d)

Kun käsittelypalvelujen tarjoaminen on päättynyt, tietojen viejän on tietojen tuojan valinnan mukaan poistettava kaikki tietojen tuojan puolesta käsitellyt henkilötiedot ja todistettava tietojen tuojalle, että se on tehnyt niin, tai palautettava tietojen tuojalle kaikki sen puolesta käsitellyt henkilötiedot ja poistettava olemassa olevat kopiot.

a)

Osapuolten on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, myös siirron aikana, ja niiden suojaamiseksi tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa niiden on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, henkilötietojen luonne (7), käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidyille käsittelystä aiheutuvat riskit ja harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin.

b)

Tietojen viejän on avustettava tietojen tuojaa a kohdassa tarkoitetussa tietojen asianmukaisen turvallisuuden varmistamisessa. Jos tapahtuu henkilötietojen tietoturvaloukkaus, joka koskee tietojen viejän näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen viejän on ilmoitettava asiasta tietojen tuojalle ilman aiheetonta viivytystä saatuaan siitä tiedon ja avustettava tietojen tuojaa toteuttamaan toimenpiteitä tietoturvaloukkauksen johdosta.

c)

Tietojen viejän on varmistettava, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

a)

Osapuolten on pystyttävä osoittamaan, että näitä lausekkeita on noudatettu.

b)

Tietojen viejän on asetettava tietojen tuojan saataville kaikki tarvittavat tiedot, joilla voidaan osoittaa, että se on noudattanut näissä lausekkeissa asetettuja velvoitteitaan, sekä sallittava auditoinnit ja osallistuttava niihin.

a)

VAIHTOEHTO 1: ERITYINEN ENNAKKOLUPA Tietojen tuoja ei saa antaa tietojen viejän puolesta näiden lausekkeiden mukaisesti suorittamiaan henkilötietojen käsittelytoimia alihankkijalle ilman tietojen viejän etukäteen antamaa erityistä kirjallista lupaa. Tietojen tuojan on pyydettävä lupaa vähintään [mainitaan aika] ennen alihankkijan palvelusten käyttämistä ja toimitettava siinä yhteydessä tiedot, jotka tietojen viejä tarvitsee voidakseen päättää luvasta. Luettelo tietojen tuojan jo valtuuttamista henkilötietojen alikäsittelijöistä on liitteessä III. Osapuolten on pidettävä liite III ajan tasalla.

VAIHTOEHTO 2: YLEINEN KIRJALLINEN ENNAKKOLUPA Tietojen tuojalla on tietojen viejän yleinen lupa, joka koskee yhden tai useamman sovitussa luettelossa olevan henkilötietojen käsittelijän käyttämistä alihankkijana. Jos tietojen tuoja aikoo muuttaa kyseistä luetteloa lisäämällä tai korvaamalla alihankkijana toimivia henkilötietojen käsittelijöitä, sen on ilmoitettava tästä tietojen viejälle erikseen kirjallisesti vähintään [mainitaan aika] etukäteen, jotta tietojen viejällä on riittävästi aikaa vastustaa muutoksia ennen kyseisten alihankkijoiden palvelusten käyttöä. Tietojen tuojan on toimitettava tietojen viejälle tiedot, jotka tämä tarvitsee voidakseen käyttää oikeuttaan vastustaa luettelon muuttamista.

b)

Jos tietojen tuoja käyttää alihankkijaa tiettyjen käsittelytoimien suorittamiseen (tietojen viejän puolesta), sen on tehtävä asiasta kirjallinen sopimus, jossa määrätään olennaisilta osiltaan samoista tietosuojavelvoitteista, jotka näiden lausekkeiden nojalla sitovat tietojen tuojaa, mukaan lukien rekisteröityjen oikeudet edunsaajina olevina kolmansina osapuolina (8). Osapuolet sopivat, että noudattamalla tätä lauseketta tietojen tuoja täyttää 8.8 lausekkeen mukaiset velvoitteensa. Tietojen tuojan on varmistettava, että alihankkijana toimiva henkilötietojen käsittelijä noudattaa velvoitteita, joita tietojen tuojaan näiden lausekkeiden nojalla sovelletaan.

c)

Tietojen tuojan on toimitettava tietojen viejälle tämän pyynnöstä jäljennös tällaisesta alihankkijan kanssa tehdystä sopimuksesta ja sen mahdollisista myöhemmistä muutoksista. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, tietojen tuoja voi poistaa osan sopimuksen tekstistä ennen jäljennöksen antamista.

d)

Tietojen tuojalla on edelleen tietojen viejään nähden täysi vastuu siitä, että alihankkijana toimiva henkilötietojen käsittelijä täyttää velvoitteensa tietojen tuojan kanssa tekemänsä sopimuksen nojalla. Tietojen tuojan on ilmoitettava tietojen viejälle, jos alihankkijana toimiva henkilötietojen käsittelijä ei täytä kyseisen sopimuksen mukaisia velvoitteitaan.

e)

Tietojen tuojan on sovittava alihankkijana toimivan henkilötietojen käsittelijän kanssa edunsaajina olevia kolmansia osapuolia koskevasta lausekkeesta, jonka mukaan tietojen viejällä on oikeus irtisanoa alihankkijana toimivan henkilötietojen käsittelijän sopimus ja ohjeistaa tätä poistamaan tai palauttamaan henkilötiedot, jos tietojen tuoja on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta tai siitä on tullut maksukyvytön.

a)

VAIHTOEHTO 1: ERITYINEN ENNAKKOLUPA Tietojen tuoja ei saa antaa tietojen viejän puolesta näiden lausekkeiden mukaisesti suorittamiaan henkilötietojen käsittelytoimia alihankkijalle ilman rekisterinpitäjän etukäteen antamaa erityistä kirjallista lupaa. Tietojen tuojan on pyydettävä lupaa vähintään [mainitaan aika] ennen alihankkijan palvelusten käyttämistä ja toimitettava siinä yhteydessä tiedot, jotka rekisterinpitäjä tarvitsee voidakseen päättää luvasta. Sen on ilmoitettava tietojen viejälle tällaisesta palvelusten käyttämisestä. Luettelo rekisterinpitäjän jo valtuuttamista henkilötietojen alikäsittelijöistä on liitteessä III. Osapuolten on pidettävä liite III ajan tasalla.

VAIHTOEHTO 2: YLEINEN KIRJALLINEN ENNAKKOLUPA Tietojen tuojalla on rekisterinpitäjän yleinen lupa, joka koskee yhden tai useamman sovitussa luettelossa olevan henkilötietojen käsittelijän käyttämistä alihankkijana. Jos tietojen tuoja aikoo muuttaa kyseistä luetteloa lisäämällä tai korvaamalla alihankkijana toimivia henkilötietojen käsittelijöitä, sen on ilmoitettava tästä rekisterinpitäjälle erikseen kirjallisesti vähintään [mainitaan aika] etukäteen, jotta rekisterinpitäjällä on riittävästi aikaa vastustaa muutoksia ennen kyseisten alihankkijoiden palvelusten käyttöä. Tietojen tuojan on toimitettava rekisterinpitäjälle tiedot, jotka tämä tarvitsee voidakseen käyttää oikeuttaan vastustaa luettelon muuttamista. Tietojen tuojan on ilmoitettava tietojen viejälle asianomaisten alihankkijana toimivien henkilötietojen käsittelijöiden palvelusten käyttämisestä.

b)

Jos tietojen tuoja käyttää alihankkijaa tiettyjen käsittelytoimien suorittamiseen (rekisterinpitäjän puolesta), sen on tehtävä asiasta kirjallinen sopimus, jossa määrätään olennaisilta osiltaan samoista tietosuojavelvoitteista, jotka näiden lausekkeiden nojalla sitovat tietojen tuojaa, mukaan lukien rekisteröityjen oikeudet edunsaajina olevina kolmansina osapuolina (9). Osapuolet sopivat, että noudattamalla tätä lauseketta tietojen tuoja täyttää 8.8 lausekkeen mukaiset velvoitteensa. Tietojen tuojan on varmistettava, että alihankkijana toimiva henkilötietojen käsittelijä noudattaa velvoitteita, joita tietojen tuojaan näiden lausekkeiden nojalla sovelletaan.

c)

Tietojen tuojan on toimitettava tietojen viejän tai rekisterinpitäjän pyynnöstä jäljennös tällaisesta alihankkijan kanssa tehdystä sopimuksesta ja sen mahdollisista myöhemmistä muutoksista. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, tietojen tuoja voi poistaa osan sopimuksen tekstistä ennen jäljennöksen antamista.

d)

Tietojen tuojalla on edelleen tietojen viejään nähden täysi vastuu siitä, että alihankkijana toimiva henkilötietojen käsittelijä täyttää velvoitteensa tietojen tuojan kanssa tekemänsä sopimuksen nojalla. Tietojen tuojan on ilmoitettava tietojen viejälle, jos alihankkijana toimiva henkilötietojen käsittelijä ei täytä kyseisen sopimuksen mukaisia velvoitteitaan.

e)

Tietojen tuojan on sovittava alihankkijana toimivan henkilötietojen käsittelijän kanssa edunsaajina olevia kolmansia osapuolia koskevasta lausekkeesta, jonka mukaan tietojen viejällä on oikeus irtisanoa alihankkijana toimivan henkilötietojen käsittelijän sopimus ja ohjeistaa tätä poistamaan tai palauttamaan henkilötiedot, jos tietojen tuoja on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta tai siitä on tullut maksukyvytön.

a)

Tietojen tuojan on, tarvittaessa tietojen viejän avustuksella, käsiteltävä kaikki rekisteröidyltä saamansa tiedustelut ja pyynnöt, jotka koskevat rekisteröidyn henkilötietojen käsittelyä ja näiden lausekkeiden mukaisten oikeuksien käyttämistä, ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa tiedustelun tai pyynnön vastaanottamisesta (10). Tietojen tuojan on toteutettava asianmukaiset toimenpiteet tällaisten tiedustelujen, pyyntöjen ja rekisteröidyn oikeuksien käyttämisen helpottamiseksi. Rekisteröidylle annettavien tietojen on oltava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa ja ne on esitettävä selkeällä ja yksinkertaisella kielellä.

b)

Tietojen tuojan on rekisteröidyn pyynnöstä maksua veloittamatta

c)

Jos tietojen tuoja käsittelee henkilötietoja suoramarkkinointia varten, sen on lopetettava käsittely tällaisiin tarkoituksiin, jos rekisteröity vastustaa sitä.

d)

Tietojen tuoja ei saa pelkästään siirrettyjen henkilötietojen automaattisen käsittelyn perusteella tehdä päätöstä, jäljempänä ’automaattinen päätös’, jolla olisi rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaisi rekisteröityyn vastaavalla tavalla merkittävästi, paitsi jos rekisteröity on antanut nimenomaisen suostumuksensa tai jos se on määrämaan lainsäädännön nojalla sallittua, edellyttäen että kyseisessä lainsäädännössä vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja oikeutettujen etujen suojaamiseksi. Tällöin tietojen tuojan on tarvittaessa yhteistyössä tietojen viejän kanssa

e)

Jos rekisteröidyn pyynnöt ovat kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, tietojen tuoja voi joko periä niistä pyynnön täyttämisestä aiheutuvat hallinnolliset kustannukset huomioon ottaen kohtuullisen maksun tai kieltäytyä täyttämästä pyyntöä.

f)

Tietojen tuoja voi evätä rekisteröidyn pyynnön, jos se on sallittua määrämaan lainsäädännön nojalla sekä tarpeen ja oikeasuhteista demokraattisessa yhteiskunnassa jonkin asetuksen (EU) 2016/679 23 artiklan 1 kohdassa luetellun tavoitteen turvaamiseksi.

g)

Jos tietojen tuoja aikoo evätä rekisteröidyn pyynnön, sen on ilmoitettava rekisteröidylle epäämisen syyt ja kerrottava mahdollisuudesta tehdä kantelu valvontaviranomaiselle ja/tai käyttää muita oikeussuojakeinoja.

a)

Tietojen tuojan on nopeasti ilmoitettava tietojen viejälle rekisteröidyltä saamastaan pyynnöstä. Tietojen tuoja ei saa itse vastata tähän pyyntöön, paitsi jos tietojen viejä on antanut siihen luvan.

b)

Tietojen tuojan on autettava tietojen viejää täyttämään velvollisuutensa vastata rekisteröityjen pyyntöihin, jotka koskevat rekisteröityjen oikeuksien käyttämistä asetuksen (EU) 2016/679 nojalla. Tältä osin osapuolten on liitteessä II vahvistettava asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon, millaista se käsittely, jonka avulla apua annetaan, on luonteeltaan, sekä tarvittavan avun soveltamisala ja laajuus.

c)

Täyttäessään a ja b kohdassa tarkoitettuja velvoitteitaan tietojen tuojan on noudatettava tietojen viejän antamia ohjeita.

a)

Tietojen tuojan on nopeasti ilmoitettava tietojen viejälle ja tarvittaessa rekisterinpitäjälle rekisteröidyltä saamastaan pyynnöstä. Se ei saa vastata tähän pyyntöön, paitsi jos rekisterinpitäjä on antanut siihen luvan.

b)

Tietojen tuojan on tarvittaessa yhteistyössä tietojen viejän kanssa autettava rekisterinpitäjää täyttämään velvollisuutensa vastata rekisteröityjen pyyntöihin, jotka koskevat rekisteröityjen oikeuksien käyttämistä asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 nojalla. Tältä osin osapuolten on liitteessä II vahvistettava asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon, millaista se käsittely, jonka avulla apua annetaan, on luonteeltaan, sekä tarvittavan avun soveltamisala ja laajuus.

c)

Täyttäessään a ja b kohdassa tarkoitettuja velvoitteitaan tietojen tuojan on noudatettava rekisterinpitäjän antamia ohjeita, jotka tietojen viejä on toimittanut.

a)

Tietojen tuojan on ilmoitettava rekisteröidyille selkeässä ja helposti saatavilla olevassa muodossa, yksilöllisellä ilmoituksella tai verkkosivustollaan, yhteyspisteestä, jolla on valtuudet käsitellä kanteluja. Sen on käsiteltävä rekisteröidyiltä saamansa kantelut nopeasti.

[VAIHTOEHTO: Tietojen tuoja hyväksyy sen, että rekisteröidyt voivat tehdä kantelun myös riippumattomalle riidanratkaisuelimelle (11) ilman rekisteröidylle aiheutuvia kustannuksia. Sen on ilmoitettava rekisteröidyille a kohdassa säädetyllä tavalla tällaisesta oikeussuojamekanismista ja siitä, että rekisteröityjen ei ole pakko käyttää sitä tai noudattaa oikeussuojakeinojen käytössä tiettyä järjestystä.]

b)

Jos rekisteröidyn ja osapuolen välillä syntyy riita näiden lausekkeiden noudattamisesta, osapuolen on parhaansa mukaan pyrittävä ratkaisemaan asia sopimalla ja hyvissä ajoin. Osapuolten on ilmoitettava toisilleen tällaisista riidoista ja tehtävä tarvittaessa yhteistyötä niiden ratkaisemiseksi.

c)

Jos rekisteröity vetoaa 3 lausekkeen nojalla edunsaajana olevan kolmannen osapuolen oikeuteen, tietojen tuojan on hyväksyttävä rekisteröidyn päätös

d)

Osapuolet hyväksyvät, että rekisteröityä voi edustaa voittoa tavoittelematon elin, järjestö tai yhdistys asetuksen (EU) 2016/679 80 artiklan 1 kohdassa säädetyin edellytyksin.

e)

Tietojen tuojan on noudatettava päätöstä, joka on sovellettavan EU:n tai jäsenvaltion lainsäädännön nojalla sitova.

f)

Tietojen tuoja hyväksyy sen, että rekisteröidyn tekemä valinta ei vaikuta rekisteröidyn aineellisiin ja menettelyllisiin oikeuksiin käyttää sovellettavan lainsäädännön mukaisia oikeussuojakeinoja.

a)

Kukin osapuoli on vastuussa toiselle osapuolelle tai toisille osapuolille vahingoista, joita se aiheuttaa toiselle osapuolelle tai toisille osapuolille rikkomalla näitä lausekkeita.

b)

Kukin osapuoli on vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvausta kaikista aineellisista tai aineettomista vahingoista, joita osapuoli aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia edunsaajana olevan kolmannen osapuolen oikeuksia. Tämä ei rajoita tietojen viejälle asetuksen (EU) 2016/679 nojalla kuuluvaa vastuuta.

c)

Jos useampi kuin yksi osapuoli aiheuttaa rekisteröidylle näitä lausekkeita rikkomalla vahinkoa, kaikki vahinkoa aiheuttaneet osapuolet ovat yhteisvastuussa, ja rekisteröidyllä on oikeus nostaa kanne mitä tahansa näistä osapuolista vastaan.

d)

Osapuolet sopivat, että jos yksi osapuoli vedetään c kohdan nojalla vastuuseen, sillä on oikeus vaatia toista osapuolta tai toisia osapuolia maksamaan takaisin se osa korvauksesta, joka vastaa sen/niiden vastuuta vahingosta.

e)

Tietojen tuoja ei voi vedota henkilötietojen käsittelijän tai alihankkijana toimivan henkilötietojen käsittelijän toimintaan oman vastuunsa välttämiseksi.

a)

Kukin osapuoli on vastuussa toiselle osapuolelle tai toisille osapuolille vahingoista, joita se aiheuttaa toiselle osapuolelle tai toisille osapuolille rikkomalla näitä lausekkeita.

b)

Tietojen tuoja on vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvausta kaikista aineellisista tai aineettomista vahingoista, joita tietojen tuoja tai sen alihankkijana toimiva henkilötietojen käsittelijä aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia edunsaajana olevan kolmannen osapuolen oikeuksia.

c)

Tietojen viejä on vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvausta kaikista aineellisista tai aineettomista vahingoista, joita tietojen viejä tai tietojen tuoja (tai sen alihankkijana toimiva henkilötietojen käsittelijä) aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia edunsaajana olevan kolmannen osapuolen oikeuksia, sanotun kuitenkaan rajoittamatta b kohdan soveltamista. Tämä ei rajoita tietojen viejälle ja, jos tietojen viejä on rekisterinpitäjän puolesta toimiva henkilötietojen käsittelijä, rekisterinpitäjälle asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 nojalla kuuluvaa vastuuta.

d)

Osapuolet sopivat, että jos tietojen viejä vedetään c kohdan nojalla vastuuseen tietojen tuojan (tai sen alihankkijana toimivan henkilötietojen käsittelijän) aiheuttamista vahingoista, sillä on oikeus vaatia tietojen tuojaa maksamaan takaisin se osa korvauksesta, joka vastaa tietojen tuojan vastuuta vahingosta.

e)

Jos useampi kuin yksi osapuoli aiheuttaa rekisteröidylle näitä lausekkeita rikkomalla vahinkoa, kaikki vahinkoa aiheuttaneet osapuolet ovat yhteisvastuussa, ja rekisteröidyllä on oikeus nostaa kanne mitä tahansa näistä osapuolista vastaan.

f)

Osapuolet sopivat, että jos yksi osapuoli vedetään e kohdan nojalla vastuuseen, sillä on oikeus vaatia toista osapuolta tai toisia osapuolia maksamaan takaisin se osa korvauksesta, joka vastaa sen/niiden vastuuta vahingosta.

g)

Tietojen tuoja ei voi vedota alihankkijana toimivan henkilötietojen käsittelijän toimintaan oman vastuunsa välttämiseksi.

a)

[Jos tietojen viejä on sijoittautunut EU:n jäsenvaltioon:] Toimivaltainen valvontaviranomainen on liitteessä I.C mainittu valvontaviranomainen, jonka tehtävänä on varmistaa, että tietojen viejä noudattaa asetusta (EU) 2016/679 tietojen siirtämisessä.

[Jos tietojen viejä ei ole sijoittautunut EU:n jäsenvaltioon mutta se kuuluu asetuksen (EU) 2016/679 alueelliseen soveltamisalaan asetuksen 3 artiklan 2 kohdan nojalla ja se on nimennyt edustajan asetuksen (EU) 2016/679 27 artiklan 1 kohdan nojalla:] Toimivaltainen valvontaviranomainen on liitteessä I.C mainittu sen jäsenvaltion valvontaviranomainen, johon asetuksen (EU) 2016/679 27 artiklan 1 kohdassa tarkoitettu edustaja on sijoittautunut.

[Jos tietojen viejä ei ole sijoittautunut EU:n jäsenvaltioon mutta se kuuluu asetuksen (EU) 2016/679 alueelliseen soveltamisalaan asetuksen 3 artiklan 2 kohdan nojalla ilman, että sen pitäisi nimetä edustaja asetuksen (EU) 2016/679 27 artiklan 2 kohdan nojalla:] Toimivaltainen valvontaviranomainen on liitteessä I.C mainittu jonkin sellaisen jäsenvaltion valvontaviranomainen, jossa rekisteröidyt, joiden henkilötietoja siirretään näiden lausekkeiden nojalla tavaroiden tai palvelujen tarjoamisen yhteydessä tai joiden toimintaa seurataan, ovat.

b)

Tietojen tuoja hyväksyy toimivaltaisen valvontaviranomaisen lainkäyttövallan ja tekee sen kanssa yhteistyötä kaikissa menettelyissä, joilla pyritään varmistamaan näiden lausekkeiden noudattaminen. Tietojen tuoja lupaa vastata tiedusteluihin, hyväksyä auditointeja ja noudattaa valvontaviranomaisen hyväksymiä toimenpiteitä, korjaavat ja korvaavat toimenpiteet mukaan lukien. Sen on annettava valvontaviranomaiselle kirjallinen vahvistus siitä, että tarvittavat toimet on toteutettu.

a)

Osapuolet vakuuttavat, ettei niillä ole syytä uskoa, että määrämaana olevan kolmannen maan lainsäädäntö ja käytännöt, joita sovelletaan tietojen tuojan suorittamaan henkilötietojen käsittelyyn, mukaan lukien henkilötietojen luovuttamista koskevat vaatimukset tai viranomaisten pääsyn sallivat toimenpiteet, estäisivät tietojen tuojaa täyttämästä näiden lausekkeiden mukaisia velvoitteitaan. Tämä perustuu siihen käsitykseen, että sellaiset lait ja käytännöt, joissa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia eikä ylitetä sitä, mikä on demokraattisessa yhteiskunnassa välttämätöntä ja oikeasuhteista jonkin asetuksen (EU) 2016/679 23 artiklan 1 kohdassa mainitun tavoitteen turvaamiseksi, eivät ole ristiriidassa vakiosopimuslausekkeiden kanssa.

b)

Osapuolet ilmoittavat ottaneensa a kohdassa tarkoitettua vakuutusta antaessaan asianmukaisesti huomioon erityisesti seuraavat seikat:

c)

Tietojen tuoja vakuuttaa, että suorittaessaan b kohdassa tarkoitettua arviointia se on parhaansa mukaan pyrkinyt toimittamaan tietojen viejälle asiaankuuluvat tiedot, ja lupaa jatkaa yhteistyötä tietojen viejän kanssa varmistaakseen, että näitä lausekkeita noudatetaan.

d)

Osapuolet lupaavat dokumentoida b kohdassa tarkoitetun arvioinnin ja asettaa sen toimivaltaisen valvontaviranomaisen saataville tämän pyynnöstä.

e)

Tietojen tuoja lupaa ilmoittaa tietojen viejälle nopeasti koko sopimuksen voimassaolon ajan, jos sillä on sen jälkeen, kun se on sopinut näistä lausekkeista, syytä uskoa, että siihen sovelletaan tai on alettu soveltaa lakeja tai käytäntöjä, jotka eivät ole a kohdan vaatimusten mukaisia, esimerkiksi kolmannen maan lainsäädännön muututtua tai sellaisen toimenpiteen (kuten henkilötietojen luovutuspyynnön) seurauksena, joka osoittaa, että lainsäädännön käytännön soveltaminen ei ole a kohdan vaatimusten mukaista. [Moduulissa 3: Tietojen viejän on toimitettava ilmoitus rekisterinpitäjälle.]

f)

Edellä e kohdassa tarkoitetun ilmoituksen jälkeen tai jos tietojen viejällä muutoin on syytä uskoa, että tietojen tuoja ei voi enää täyttää näiden lausekkeiden mukaisia velvoitteitaan, tietojen viejän on nopeasti yksilöitävä asianmukaiset toimenpiteet (kuten tekniset tai organisatoriset toimenpiteet turvallisuuden ja luottamuksellisuuden varmistamiseksi), joita tietojen viejän ja/tai tietojen tuojan on toteutettava tilanteen korjaamiseksi [Moduulissa 3:, tarvittaessa rekisterinpitäjää kuullen]. Tietojen viejän on keskeytettävä tietojen siirtäminen, jos se katsoo, että siirtoa koskevia asianmukaisia suojatoimia ei voida varmistaa, tai jos [Moduulissa 3: rekisterinpitäjä tai] toimivaltainen valvontaviranomainen näin ohjeistaa. Tällöin tietojen viejällä on oikeus irtisanoa sopimus siltä osin kuin se koskee näiden lausekkeiden mukaista henkilötietojen käsittelyä. Jos sopimuksen osapuolia on useampi kuin kaksi, tietojen viejä voi käyttää tätä oikeutta irtisanomiseen ainoastaan asianomaisen osapuolen osalta, elleivät osapuolet ole toisin sopineet. Kun sopimus irtisanotaan tämän lausekkeen nojalla, sovelletaan 16 artiklan d ja e kohtaa.

a)

Tietojen tuoja lupaa nopeasti ilmoittaa tietojen viejälle ja mahdollisuuksien mukaan rekisteröidylle (tarvittaessa tietojen viejän avulla), jos se

[Moduulissa 3: Tietojen viejän on toimitettava ilmoitus rekisterinpitäjälle.]

b)

Jos tietojen tuojaa määrämaan lainsäädännön nojalla kielletään ilmoittamasta asiasta tietojen viejälle ja/tai rekisteröidylle, tietojen tuoja lupaa tehdä parhaansa saadakseen vapautuksen kiellosta voidakseen toimittaa mahdollisimman paljon tietoa mahdollisimman pian. Tietojen tuoja lupaa dokumentoida toteuttamansa toimet voidakseen tietojen viejän pyynnöstä osoittaa ne.

c)

Jos se on sallittua määrämaan lainsäädännön nojalla, tietojen tuoja lupaa toimittaa tietojen viejälle säännöllisin väliajoin sopimuksen voimassaolon ajan mahdollisimman paljon merkityksellisiä tietoja vastaanotetuista pyynnöistä (erityisesti pyyntöjen määrä, pyydettyjen tietojen tyyppi, pyyntöjä esittäneet viranomaiset, tietopyyntöjen mahdollinen riitauttaminen ja sen tulokset jne.). [Moduulissa 3: Tietojen viejän on toimitettava tiedot rekisterinpitäjälle.]

d)

Tietojen tuoja lupaa säilyttää a–c kohdassa tarkoitetut tiedot sopimuksen voimassaolon ajan ja asettaa ne pyynnöstä toimivaltaisen valvontaviranomaisen saataville.

e)

Edellä olevat a–c kohta eivät rajoita 14 lausekkeen e kohdan ja 16 lausekkeen mukaista tietojen tuojan velvollisuutta ilmoittaa nopeasti tietojen viejälle, jos se ei pysty noudattamaan näitä lausekkeita.

a)

Tietojen tuoja lupaa tutkia tietojen luovuttamista koskevan pyynnön laillisuuden ja erityisesti sen, pysyykö se pyynnön esittäneen viranomaisen toimivallan rajoissa, ja riitauttaa pyynnön, jos se huolellisen arvioinnin jälkeen toteaa, että on perusteltua katsoa, että pyyntö on määrämaan lainsäädännön, sovellettavien kansainvälisen oikeuden mukaisten velvoitteiden ja kansainvälisen kohteliaisuuden periaatteiden nojalla laiton. Tietojen tuojan on samoin edellytyksin käytettävä muutoksenhakukeinoja. Riitauttaessaan pyynnön tietojen tuojan on pyydettävä välitoimia pyynnön vaikutusten lykkäämiseksi siihen saakka, kunnes toimivaltainen oikeusviranomainen on ratkaissut asiakysymyksen. Se ei saa luovuttaa pyydettyjä henkilötietoja ennen kuin sovellettavien menettelysääntöjen nojalla niin vaaditaan. Nämä vaatimukset eivät rajoita 14 lausekkeen e kohdan mukaisia tietojen tuojan velvoitteita.

b)

Tietojen tuoja lupaa dokumentoida oikeudellisen arviointinsa ja tietojen luovuttamista koskevan pyynnön mahdollisen riitauttamisen sekä asettaa dokumentaation tietojen viejän saataville määrämaan lainsäädännön sallimissa rajoissa. Sen on pyynnöstä asetettava dokumentaatio myös toimivaltaisen valvontaviranomaisen saataville. [Moduulissa 3: Tietojen viejän on asetettava arviointi rekisterinpitäjän saataville.]

c)

Tietojen tuoja lupaa vastatessaan tietojen luovuttamista koskevaan pyyntöön toimittaa kohtuullisen tulkinnan perusteella vähimmäismäärän sallittuja tietoja.

a)

Tietojen tuojan on nopeasti ilmoitettava tietojen viejälle, jos se ei jostain syystä pysty noudattamaan näitä lausekkeita.

b)

Jos tietojen tuoja rikkoo lausekkeita tai ei pysty noudattamaan niitä, tietojen viejän on keskeytettävä henkilötietojen siirtäminen tietojen tuojalle, kunnes noudattaminen jälleen varmistetaan, tai sopimus irtisanotaan. Tämä ei rajoita 14 lausekkeen f kohdan soveltamista.

c)

Tietojen viejällä on oikeus irtisanoa sopimus siltä osin kuin se koskee näiden lausekkeiden mukaista henkilötietojen käsittelyä, jos

Tällöin sen on ilmoitettava noudattamatta jättämisestä toimivaltaiselle valvontaviranomaiselle [Moduulissa 3: ja rekisterinpitäjälle]. Jos sopimuksen osapuolia on useampi kuin kaksi, tietojen viejä voi käyttää tätä oikeutta irtisanomiseen ainoastaan asianomaisen osapuolen osalta, elleivät osapuolet ole toisin sopineet.

d)

[Moduuleissa 1, 2 ja 3: Henkilötiedot, jotka on siirretty, ennen kuin sopimus c kohdan nojalla irtisanotaan, on tietojen viejän valinnan mukaan joko välittömästi palautettava tietojen viejälle tai tuhottava kokonaan. Sama koskee tietojen jäljennöksiä.] [Moduulissa 4: Henkilötiedot, jotka tietojen viejä on kerännyt EU:ssa ennen kuin sopimus c kohdan nojalla irtisanotaan, ja niiden kopiot on välittömästi poistettava kokonaan.] Tietojen tuojan on todistettava tietojen poistaminen tietojen viejälle. Tietojen tuojan on varmistettava, että näitä lausekkeita noudatetaan, kunnes tiedot poistetaan tai palautetaan. Jos tietojen tuojaan sovelletaan paikallista lainsäädäntöä, jossa kielletään siirrettyjen henkilötietojen palauttaminen tai poistaminen, tietojen tuoja vakuuttaa varmistavansa edelleen näiden lausekkeiden noudattamisen ja käsittelevänsä tietoja vain siinä määrin ja niin kauan, kuin kyseisessä paikallisessa lainsäädännössä edellytetään.

e)

Kumpikin osapuoli voi peruuttaa hyväksyntänsä sille, että nämä lausekkeet sitovat sitä, jos i) Euroopan komissio tekee asetuksen (EU) 2016/679 45 artiklan 3 kohdan nojalla päätöksen, joka koskee sellaisten henkilötietojen siirtoa, joihin näitä lausekkeita sovelletaan; tai ii) asetuksesta (EU) 2016/679 tulee osa sen maan oikeudellista kehystä, johon henkilötiedot siirretään. Tämä ei rajoita muita kyseiseen henkilötietojen käsittelyyn asetuksen (EU) 2016/679 nojalla sovellettavia velvoitteita.

a)

Näistä lausekkeista johtuvat riidat ratkaistaan EU:n jäsenvaltion tuomioistuimissa.

b)

Osapuolet sopivat, että käytetään ___:n (ilmoitetaan jäsenvaltio) tuomioistuimia.]

c)

Myös rekisteröity voi nostaa kanteen tietojen viejää ja/tai tietojen tuojaa vastaan sen jäsenvaltion tuomioistuimissa, jossa hänen asuinpaikkansa on.

d)

Osapuolet sopivat olevansa tällaisten tuomioistuinten toimivallan alaisia.

Näistä lausekkeista johtuvat riidat ratkaistaan _____:n (ilmoitetaan maa) tuomioistuimissa.

1.

Osoite: …

Yhteyshenkilön nimi, asema ja yhteystiedot: …

Näitä lausekkeita noudattaen siirrettäviin tietoihin liittyvät toimet: …

Allekirjoitus ja päiväys: …

Rooli (rekisterinpitäjä / henkilötietojen käsittelijä): …

2.

1.

Osoite: …

Yhteyshenkilön nimi, asema ja yhteystiedot: …

Näitä lausekkeita noudattaen siirrettäviin tietoihin liittyvät toimet: …

Allekirjoitus ja päiväys: …

Rooli (rekisterinpitäjä / henkilötietojen käsittelijä): …

2.

1.

Osoite: …

Yhteyshenkilön nimi, asema ja yhteystiedot: …

Kuvaus henkilötietojen käsittelystä (mukaan lukien selkeä vastuunjako, jos alihankkijana toimivia henkilötietojen käsittelijöitä on useampi): …

2.