a) použijí definice uvedené ve směrnici 95/46/ES;

b) „zvláštními kategoriemi údajů“ rozumějí údaje uvedené v článku 8 uvedené směrnice;

c) „orgánem dozoru“ rozumí orgán uvedený v článku 28 uvedené směrnice;

d) „vývozcem údajů“ rozumí správce, který předává osobní údaje;

e) „dovozcem údajů“ rozumí správce údajů, který se zavazuje přijímat od vývozce údajů osobní údaje určené k jejich dalšímu zpracování v souladu s podmínkami tohoto rozhodnutí.

a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná standardními smluvními doložkami; nebo

b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky; nebo

c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.

a) dovozce údajů odmítá spolupracovat v dobré víře s orgány pro ochranu údajů nebo dostát svým jednoznačným závazkům podle smlouvy;

b) vývozce údajů odmítá přijmout vhodná opatření pro vynucení splnění smlouvy ze strany dovozce údajů v průběhu obvyklého období jednoho měsíce po upozornění vývozce údajů příslušným orgánem pro ochranu údajů.

1.  Omezení účelu: údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro konkrétní účely uvedené v dodatku 1 k doložkám. Údaje se nesmějí uchovávat déle, než je nezbytně nutné pro účely, pro které jsou předávány.

2.  Kvalita a přiměřenost údajů: údaje musí být přesné a tam, kde to je nutné, aktuální. Údaje musí být přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou předávány a dále zpracovávány.

3.  Průhlednost: subjekty údajů musí být informovány o účelech zpracování a totožnosti správce údajů ve třetí zemi, a musí jim být poskytnuty další informace v míře nezbytné pro zajištění řádného zpracování, pokud již tyto informace nebyly poskytnuty vývozcem údajů.

4.  Bezpečnost a důvěrnost: správce údajů musí přijmout technická a organizační bezpečnostní opatření, která jsou přiměřená rizikům vyskytujícím se v souvislosti se zpracováním, jako je například neoprávněný přístup. Každá osoba jednající na základě oprávnění správce údajů, včetně zpracovatele, smí údaje zpracovávat pouze na základě pokynů správce údajů.

5.  Právo na přístup, opravu, výmaz a blokování údajů: jak je stanoveno v článku 12 směrnice 95/46/ES, subjekt údajů musí mít právo na přístup ke všem zpracovávaným údajům, které se ho týkají, a popřípadě též právo na opravu, výmaz nebo blokování údajů, jejichž zpracovávání není v souladu se zásadami stanovenými v tomto dodatku, zejména z důvodů neúplné nebo nepřesné povahy těchto údajů. Měl by být také oprávněn vznést z vážných legitimních důvodů souvisejících s jeho osobní situací námitky proti zpracování svých osobních údajů.

6.  Omezení dalších předávání: další předávání osobních údajů od dovozce údajů k jinému správci údajů, který je usazený ve třetí zemi neposkytující odpovídající úroveň ochrany nebo na kterého se nevztahuje rozhodnutí přijaté Komisí podle čl. 25 odst. 6 směrnice 95/46/ES (další předávání), se mohou uskutečnit pouze tehdy, jestliže:

7.  Zvláštní kategorie údajů: zpracovávají-li se údaje, které odhalují rasový či etnický původ, politické názory, náboženské nebo filozofické přesvědčení nebo odborovou příslušnost, jakož i údaje o zdraví nebo sexuálním životě a údaje týkající se protiprávního jednání, rozsudků v trestních věcech nebo bezpečnostních opatření, měly by být předložena dodatečná ochranná opatření ve smyslu směrnice 95/46/ES, zejména přiměřená bezpečnostní opatření, jako je přísné šifrování pro účely přenosu nebo vedení evidence přístupu k citlivým údajům.

8.  Přímý marketing: zpracovávají-li se údaje pro účely přímého marketingu, měly by existovat účinné postupy umožňující subjektu údajů kdykoli „opt-out/zvolit vynětí“, aby údaje o něm již nebyly využívány k takovým účelům.

9.  Automatizovaná individuální rozhodnutí: subjekty údajů mají právo nepodléhat rozhodnutí, které vychází pouze z automatizovaného zpracování údajů, pokud nejsou přijata jiná opatření k zajištění legitimních zájmů jednotlivce, jak je stanoví čl. 15 odst. 2 směrnice 95/46/ES. Je-li účelem předání přijetí automatizovaného rozhodnutí ve smyslu článku 15 směrnice 95/46/ES, které s sebou nese právní účinky vůči jednotlivci nebo které se ho významně dotýká a které je výlučně založeno na automatizovaném zpracování údajů určeném k hodnocení určitých hledisek jeho osoby, například pracovního výkonu, důvěryhodnosti, spolehlivosti, chování atd., měla by mít fyzická osoba právo znát důvody pro toto rozhodnutí.

1.  Omezení účelu: údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro konkrétní účely uvedené v dodatku 1 k doložkám. Údaje se nesmějí uchovávat déle, než je nezbytně nutné pro účely, pro které jsou předávány.

2.  Právo na přístup, opravu, výmaz a blokování údajů: jak je stanoveno v článku 12 směrnice 95/46/ES, subjekt údajů musí mít právo na přístup ke všem zpracovávaným údajům, které se ho týkají, a popřípadě též právo na opravu, výmaz nebo blokování údajů, jejichž zpracovávání není v souladu se zásadami stanovenými v tomto dodatku, zejména z důvodů neúplné nebo nepřesné povahy těchto údajů. Měl by být také oprávněn vznést z vážných legitimních důvodů souvisejících s jeho osobní situací námitky proti zpracování svých osobních údajů.

3.  Omezení dalších předávání: další předávání osobních údajů od dovozce údajů k jinému správci údajů, který je usazený ve třetí zemi neposkytující odpovídající úroveň ochrany nebo na kterého se nevztahuje rozhodnutím přijaté Komisí podle čl. 25 odst. 6 směrnice 95/46/ES (další předávání), se mohou uskutečnit pouze tehdy, jestliže:

a) „osobní údaje“, „zvláštní kategorie údajů/citlivé údaje“, „zpracovávat/zpracování“, „správce“, „zpracovatel“, „subjekt údajů“ a „orgán dozoru/orgán“ mají stejný význam jako ve směrnici 95/46/ES ze dne 24. října 1995 (přičemž „orgánem“ se rozumí orgán příslušný pro ochranu údajů na území, v němž je vývozce údajů usazen);

b) „vývozcem údajů“ se rozumí správce, který předává osobní údaje;

c) „dovozcem údajů“ se rozumí správce, který se zavazuje přijímat od vývozce údajů osobní údaje za účelem jejich dalšího zpracování v souladu s podmínkami těchto doložek a který nepodléhá systému třetí země zajišťující odpovídající ochranu;

d) „doložkami“ se rozumí tyto smluvní doložky, které jsou samostatným dokumentem, který neobsahuje obchodní podmínky stanovené stranami v oddělených obchodních ujednáních.

a) osobní údaje byly shromážděny, zpracovány a předány v souladu se zákony platnými pro vývozce údajů;

b) vyvinul přiměřené úsilí, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z těchto doložek;

c) na požádání poskytne dovozci údajů kopie příslušných zákonů o ochraně údajů nebo odkazy na ně (pokud je to vhodné, přičemž toto nezahrnuje právní poradu) té země, v níž je vývozce údajů usazen;

d) zodpoví dotazy subjektů údajů a orgánu týkající se zpracování daných osobních údajů dovozcem údajů, pokud se strany nedohodly, že bude takto odpovídat dovozce údajů, v kterémžto případě vývozce údajů bude i tak odpovídat v přiměřeně možném rozsahu a na základě jemu přiměřeně dostupných informací, pokud dovozce údajů nechce nebo nemůže odpovědět. Odpovězeno bude v přiměřené lhůtě;

e) na požádání zpřístupní kopii doložek subjektům údajů, kteří jsou oprávněnou třetí stranou podle doložky III, pokud doložky neobsahují důvěrné informace, v kterémžto případě může takovéto informace odstranit. V případě, že jsou informace odstraněny, vývozce údajů písemně informuje subjekty údajů o důvodu odstranění a o jejich právu upozornit na toto odstranění orgán. Vývozce údajů se však řídí rozhodnutím orgánu o přístupu subjektů údajů k úplnému znění doložek, pokud subjekty údajů souhlasily se zachováním důvěrnosti odstraněné důvěrné informace. Vývozce údajů také na požádání poskytne kopii doložek orgánu.

a) bude uplatňovat vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému nebo nedovolenému zničení nebo náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu, která zajistí úroveň bezpečnosti odpovídající riziku, které představuje zpracování, a povaze údajů, které mají být chráněny;

b) bude uplatňovat postupy zajišťující, aby jakákoli třetí strana, kterou oprávní k přístupu k osobním údajům, včetně zpracovatelů, respektovala a zachovávala důvěrnost a bezpečnost osobních údajů. Jakákoli osoba, která jedná z pověření dovozce údajů, včetně zpracovatele údajů, je povinna zpracovávat osobní údaje pouze podle pokynů dovozce údajů. Toto ustanovení se nevztahuje na osoby, které právní nebo správní předpisy opravňují nebo povinují k přístupu k osobním údajům;

c) v době uzavření těchto doložek nemá důvod se domnívat, že existují jakékoli místní zákony, které by mohly mít zásadní negativní vliv na záruky podle těchto doložek, a pokud se o existenci takových zákonů dozví, bude informovat vývozce údajů (který toto oznámení předá orgánu, pokud je to vyžadováno);

d) bude osobní údaje zpracovávat za účely popsanými v příloze B a má pravomoc poskytovat záruky a plnit závazky stanovené v těchto doložkách;

e) uvede vývozci údajů kontaktní místo ve své organizaci oprávněné odpovídat na dotazy týkající se zpracovávání osobních údajů a bude v dobré víře spolupracovat s vývozcem údajů, subjektem údajů a orgánem při všech takových dotazech v přiměřeném čase. V případě právního zrušení vývozce údajů nebo pokud se strany takto dohodly, přijímá dovozce údajů odpovědnost za dodržení ustanovení doložky I písm. e);

f) na žádost vývozce údajů poskytne vývozci údajů důkaz o dostatečných finančních zdrojích na splnění svých povinností podle doložky III (což může zahrnovat pojistné krytí);

g) na přiměřenou žádost vývozce údajů umožní, aby byly jeho zařízení na zpracování údajů, datové soubory a dokumentace potřebná pro zpracování podrobeny revizi, auditu a/nebo certifikaci provedené vývozcem údajů (nebo jakýmikoli nezávislými nebo nestrannými kontrolory či auditory vybranými vývozcem údajů, proti kterým nevznese dovozce údajů odůvodněné námitky), aby se přesvědčil o dodržování záruk a závazků v těchto doložkách, a to po obdržení přiměřeně včasného oznámení a během obvyklé provozní doby. Uvedená žádost bude podléhat případnému nezbytnému souhlasu nebo schválení regulačního orgánu nebo orgánu dozoru v zemi dovozce údajů, přičemž dovozce údajů se bude snažit tento souhlas nebo schválení získat včas;

h) bude osobní údaje zpracovávat, podle vlastní volby, buď v souladu se:

i) nesdělí ani nepředá osobní údaje správci údajů, který je třetí stranou, se sídlem mimo Evropský hospodářský prostor (EHP), s výjimkou případů, kdy o předání uvědomí vývozce údajů a

a) Každá strana je odpovědná vůči druhé straně za škody, které způsobí jakýmkoli porušením těchto doložek. Vzájemná odpovědnost stran je omezena na skutečně utrpěnou škodu. Náhrada škody punitivní povahy (tj. náhrada škody s cílem potrestat stranu za její hrubé chování) je výslovně vyloučena. Každá strana je odpovědná vůči subjektům údajů za škody, které způsobí jakýmkoli porušením práv třetí strany podle těchto doložek. Tím není dotčena odpovědnost vývozce údajů podle jemu příslušného práva na ochranu údajů.

b) Strany sjednávají, že subjekt údajů má právo vynucovat jako oprávněná třetí strana tuto doložku a doložku I písm. b), d) a e), doložku II písm. a), c), d), e), h) a i), doložku III písm. a), doložku V, doložku VI písm. d) a doložku VII proti dovozci údajů nebo vývozci údajů, pokud tito poruší své smluvní povinnosti v souvislosti s jeho osobními údaji, a rovněž přijímají pro tento účel příslušnost soudů v zemi, v níž je usazen vývozce údajů. V případech týkajících se tvrzení o porušení ze strany dovozce údajů musí subjekt údajů nejdříve požádat vývozce údajů, aby podnikl odpovídající kroky k vynucení jeho práv vůči dovozci údajů; pokud vývozce údajů tyto kroky nepodnikne v přiměřené lhůtě (která za normálních okolností činí jeden měsíc), může subjekt údajů svá práva vynucovat vůči dovozci údajů přímo. Subjekt údajů je oprávněn postupovat přímo proti vývozci údajů, který nevyvinul přiměřené úsilí, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z těchto doložek (vývozce údajů ponese břemeno důkazu toho, že přiměřené úsilí vyvinul).

a) V případě sporu nebo nároku vzneseného subjektem údajů nebo orgánem, které se týkají zpracování osobních údajů, proti jedné nebo oběma stranám, se budou strany vzájemně informovat o všech takových sporech nebo nárocích a budou spolupracovat s cílem je smírně a urychleně urovnat.

b) Strany se zavazují, že budou reagovat na každé obecně dostupné nezávazné mediační řízení zahájené subjektem údajů nebo orgánem. Pokud se strany řízení účastní, mohou si zvolit učinit tak na dálku (například telefonicky nebo pomocí jiných elektronických prostředků). Strany se také zavazují, že zváží svou účast na jakýchkoli ostatních rozhodčích, mediačních či jiných řízeních k řešení sporů vyvinutých pro spory týkající se ochrany údajů.

c) Každá strana se bude řídit rozhodnutím příslušného soudu země, v níž je usazen vývozce údajů, nebo orgánu, které je konečné a proti kterému není možné podat žádný další opravný prostředek.

a) Pokud dovozce údajů poruší své závazky podle těchto doložek, může vývozce údajů dočasně zastavit předávání osobních údajů dovozci údajů, dokud není porušení napraveno nebo smlouva vypovězena.

b) V případě, že:

potom je vývozce údajů, aniž jsou dotčeny jeho případné jiné nároky vůči dovozci údajů, oprávněn vypovědět tyto doložky, v kterémžto případě bude, pokud je to vyžadováno, uvědomen orgán. V případech zahrnutých ve výše uvedených bodech i), ii) nebo iv) může dovozce údajů tyto doložky také vypovědět.

c) Každá ze stran může tyto doložky vypovědět, pokud i) je vydáno jakékoli kladné rozhodnutí Komise o odpovídající úrovni podle čl. 25 odst. 6 směrnice 95/46/ES (nebo jakéhokoli předpisu, který tento předpis nahradí) týkající se země (nebo jejího odvětví), do které dovozce údajů údaje předává a v níž údaje zpracovává, nebo ii) se směrnice 95/46/ES (nebo jakýkoli předpis, který tento předpis nahradí) stane v takové zemi přímo použitelnou.

d) Strany sjednávají, že vypovězení těchto doložek kdykoli, za jakýchkoli okolností a z jakéhokoli důvodu (kromě vypovězení podle doložky VI písm. c)) je nezbavuje závazků a/nebo podmínek podle těchto doložek, pokud jde o zpracování předaných údajů.

1. Omezení účelu: osobní údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro účely uvedené v příloze B nebo následně schválené subjektem údajů.

2. Kvalita a přiměřenost údajů: osobní údaje musí být přesné a tam, kde to je nutné, aktualizované. Údaje musí být přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou předávány a dále zpracovávány.

3. Průhlednost: subjektům údajů musí být poskytnuty informace nezbytné pro zajištění řádného zpracování (například informace o účelech zpracování a o předávání), pokud již tyto informace nebyly poskytnuty vývozcem údajů.

4. Bezpečnost a důvěrnost: správce údajů musí přijmout technická a organizační bezpečnostní opatření, která jsou přiměřená rizikům vyskytujícím se v souvislosti se zpracováním, jako například proti náhodnému nebo nedovolenému zničení či náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu. Každá osoba jednající na základě oprávnění správce údajů, včetně zpracovatele, smí údaje zpracovávat pouze na základě pokynů správce údajů.

5. Právo na přístup, opravu, výmaz a námitku: jak je stanoveno v článku 12 směrnice 95/46/ES, subjektům údajů musí být, buď přímo nebo prostřednictvím třetí strany, poskytnuty osobní informace o nich, které organizace má, s výjimkou požadavků, které jsou vzhledem ke své nepřiměřené frekvenci nebo počtu nebo opakovanosti či soustavnosti zjevně přehnané, nebo pro něž nemusí být přístup umožněn podle práva země vývozce údajů. Za předpokladu, že orgán vydal předchozí souhlas, nemusí být přístup umožněn také tehdy, pokud by to pravděpodobně vážně poškodilo zájmy dovozce údajů nebo organizací, které s dovozcem údajů obchodují, a takové zájmy nejsou převýšeny zájmy základních práv a svobod subjektu údajů. Původ osobních údajů nemusí být označen, pokud to není možné za použití přiměřeného úsilí nebo pokud by byla porušena práva osob jiných než dotčené fyzické osoby. Subjekty údajů musí mít možnost nechat osobní informace, které se jich týkají, opravit, změnit nebo vymazat, pokud jsou nepřesné nebo jsou zpracovány v rozporu s těmito zásadami. Pokud existují vážné důvody pro zpochybnění oprávněnosti uvedeného požadavku, může organizace před přistoupením k opravě, změně nebo výmazu požadovat další odůvodnění. Oznámení všech úprav, změn nebo výmazů třetím stranám, kterým byly údaje sděleny, není nutné, pokud by to vyžadovalo neúměrné úsilí. Subjekty údajů musí mít rovněž možnost vznést z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají. Důkazní břemeno leží v případě jakéhokoliv odmítnutí na dovozci údajů a subjekt údajů může vždy u orgánu odmítnutí napadnout.

6. Citlivé údaje: dovozce údajů přijme taková dodatečná opatření (například bezpečnostní), která jsou nebytná pro ochranu citlivých údajů v souladu s jeho povinnostmi podle doložky II.

7. Údaje používané pro účely marketingu: zpracovávají-li se údaje pro účely přímého marketingu, měly by existovat účinné postupy umožňující subjektu údajů kdykoli „zvolit vynětí“, aby údaje o něm již nebyly využívány k takovým účelům.

8. Automatizovaná rozhodnutí: pro účely těchto doložek se „automatizovaným rozhodnutím“ rozumí rozhodnutí vývozce údajů nebo dovozce údajů, které vůči subjektu údajů zakládá právní účinky nebo které se subjektu údajů významně dotýká, přijaté výlučně na základě automatizovaného zpracování údajů určeného k hodnocení určitých rysů jeho osobnosti, například pracovního výkonu, důvěryhodnosti, spolehlivosti, chování atd. Dovozce údajů neučiní žádné automatizované rozhodnutí týkající se subjektů údajů, s výjimkou případů, kdy:

nebo