α) εφαρμόζονται οι ορισμοί της οδηγίας 95/46/ΕΚ·

β) ως «ειδικές κατηγορίες δεδομένων» νοούνται τα δεδομένα που αναφέρονται στο άρθρο 8 της οδηγίας 95/46/ΕΚ·

γ) ως «αρχή ελέγχου» νοείται η αρχή που αναφέρεται στο άρθρο 28 της οδηγίας 95/46/ΕΚ·

δ) ως «εξαγωγέας των δεδομένων» νοείται ο υπεύθυνος επεξεργασίας ο οποίος διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα·

ε) ως «εισαγωγέας των δεδομένων» νοείται ο υπεύθυνος επεξεργασίας ο οποίος συμφωνεί να παραλάβει από τον εξαγωγέα των δεδομένων δεδομένα προσωπικού χαρακτήρα για περαιτέρω επεξεργασία σύμφωνα με τους όρους της παρούσας απόφασης.

α) είναι αποδεδειγμένο ότι η νομοθεσία στην οποία υπόκειται ο εισαγωγέας των δεδομένων του επιβάλλει υποχρεώσεις παρέκκλισης από τους σχετικούς κανόνες προστασίας των δεδομένων οι οπίες υπερβαίνουν το αναγκαίο σε μια δημοκρατική κοινωνία μέτρο, όπως ορίζεται στο άρθρο 13 της οδηγίας 95/46/ΕΚ, όταν οι υποχρεώσεις ατυτές ενδέχεται να έχουν σημαντικό αρνητικό αντίκτυπο στις εγγυήσεις που παρέχονται από τιε τυποποιημένες συμβατικές ρήτρες· ή

β) κάποια αρμόδια αρχή απέδειξε ότι ο εισαγωγέας των δεδομένων δεν τήρησε τις συμβατικές ρήτρες· ή

γ) υπάρχει σοβαρή πιθανότητα ότι οι τυποποιημένες συμβατικές ρήτρες του παραρτήματος δεν τηρούνται ή δεν θα τηρηθούν και ότι η συνέχιση της διαβίβασης δημιουργεί άμεσο κίνδυνο πρόκλησης σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα.

α) άρνηση του εισαγωγέα των δεδομένων να συνεργαστεί καλόπιστα με τις αρχές προστασίας των δεδομένων ή να συμμορφωθεί με τις υποχρεώσεις που υπέχει δυνάμει της σύμβασης·

β) άρνηση του εξαγωγέα των δεδομένων να προβεί στις αναγκαίες ενέργειες για να υποχρεώσει τον εισαγωγέα των δεδομένων να συμμορφωθεί με τη σύμβαση εντός της κανονικής περιόδου του ενός μήνα από τη σχετική ειδοποίηση της αρμόδιας αρχής προστασίας των δεδομένων προς τον εξαγωγέα των δεδομένων.

1.  Περιορισμός του σκοπού: Τα δεδομένα πρέπει να υφίστανται επεξεργασία και, στη συνέχεια, να χρησιμοποιούνται ή να κοινοποιούνται περαιτέρω για τους συγκεκριμένους σκοπούς που προβλέπονται στο προσάρτημα 1 των συμβατικών ρητρών. Τα δεδομένα δεν πρέπει να διατηρούνται περισσότερο από ό,τι είναι αναγκαίο για τους σκοπούς της διαβίβασης.

2.  Ποιότητα των δεδομένων και αναλογικότητα: Τα δεδομένα πρέπει να είναι ακριβή και, όταν χρειάζεται, να ενημερώνονται. Πρέπει να είναι κατάλληλα, να έχουν άμεση σχέση με το θέμα και να μην είναι περισσότερα από όσα απαιτούνται για τους σκοπούς για τους οποίους διαβιβάζονται ή υφίστανται περαιτέρω επεξεργασία.

3.  Διαφάνεια: Πρέπει να παρέχονται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα πληροφορίες σχετικά με τους σκοπούς της επεξεργασίας και την ταυτότητα του υπευθύνου της επεξεργασίας της τρίτης χώρας, καθώς και άλλες πληροφορίες εφόσον αυτό είναι απαραίτητο για την εξασφάλιση σωστής επεξεργασίας, εκτός αν πληροφορίες αυτού του είδους έχουν ήδη δοθεί από τον εξαγωγέα των δεδομένων.

4.  Ασφάλεια και εμπιστευτικότητα: Ο υπεύθυνος της επεξεργασίας πρέπει να λαμβάνει μέτρα ασφαλείας, τεχνικής και οργανωτικής φύσης, κατάλληλα για τους κινδύνους (π.χ. μη επιτρεπόμενη πρόσβαση) που αντιπροσωπεύει η επεξεργασία. Κάθε πρόσωπο που ενεργεί υπό τις εντολές του υπευθύνου της επεξεργασίας, περιλαμβανομένου του εκτελούντος την επεξεργασία, μπορεί να επεξεργάζεται τα δεδομένα μόνο κατόπιν οδηγιών του υπευθύνου της επεξεργασίας.

5.  Δικαιώματα πρόσβασης, διόρθωσης, διαγραφής και κλειδώματος: Όπως προβλέπει το άρθρο 12 της οδηγίας 95/46/ΕΚ, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να έχει δικαίωμα πρόσβασης σε όλα τα υπό επεξεργασία δεδομένα που το αφορούν και, κατά περίπτωση, το δικαίωμα να ζητήσει τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων των οποίων η επεξεργασία δεν είναι σύμφωνη προς τις αρχές που παρατίθενται στο παρόν προσάρτημα, ιδίως λόγω ελλείψεων ή ανακρίβειας των δεδομένων. Πρέπει επίσης να μπορεί να αντιτάσσεται στην επεξεργασία των δεδομένων που το αφορούν επικαλούμενο νόμιμους λόγους που σχετίζονται με τη ιδιαίτερη κατάστασή του.

6.  Περιορισμοί των διαδοχικών διαβιβάσεων: Η περαιτέρω διαβίβαση δεδομένων προσωπικού χαρακτήρα από τον εισαγωγέα των δεδομένων σε άλλο υπεύθυνο επεξεργασίας εγκατεστημένο σε τρίτη χώρα που δεν παρέχει ικανοποιητική προστασία ή δεν καλύπτεται από απόφαση της Επιτροπής εκδοθείσα δυνάμει του άρθρου 25 παράγραφος 6, της οδηγίας 95/46/ΕΚ (διαδοχική διαβίβαση) μπορεί να πραγματοποιηθεί μόνον εφόσον πληρούται ένας από τους παρακάτω όρους:

7.  Ειδικές κατηγορίες δεδομένων: Στις περιπτώσεις επεξεργασίας δεδομένων που παρέχουν πληροφορίες για τη φυλετική ή εθνική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, τη συμμετοχή σε συνδικαλιστικές οργανώσεις, την υγεία ή τη σεξουαλική ζωή και δεδομένων που αφορούν παραβάσεις, ποινικές καταδίκες ή μέτρα ασφαλείας, πρέπει να υπάρχουν περισσότερες εγγυήσεις προστασίας κατά την έννοια της οδηγίας 95/46/ΕΚ, και ιδίως, κατάλληλα μέτρα ασφαλείας, όπως η κρυπτογράφηση της διαβίβασης ή η τήρηση αρχείου πρόσβασης στα ευαίσθητα δεδομένα.

8.  Άμεση προώθηση προϊόντων: Στην περίπτωση επεξεργασίας δεδομένων με σκοπό την άμεση προώθηση προϊόντων, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να υφίστανται αποτελεσματικές διαδικασίες που θα επιτρέπουν στο πρόσωπο στο οποίο αφορούν τα δεδομένα να αντιτάσσεται ανά πάσα στιγμή στη χρησιμοποίηση των δεδομένων που το αφορούν για το σκοπό αυτό.

9.  Αυτοματοποιημένες ατομικές αποφάσεις: Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα έχουν το δικαίωμα να μην αποτελούν αντικείμενο απόφασης που βασίζεται αποκλειστικά και μόνο σε αυτοματοποιημένη επεξεργασία δεδομένων, εκτός αν λαμβάνονται άλλα μέτρα για την κατοχύρωση των εννόμων συμφερόντων του προσώπου, όπως προβλέπει το άρθρο 15 παράγραφος 2, της οδηγίας 95/46/ΕΚ. Όταν σκοπός της διαβίβασης είναι η λήψη αυτοματοποιημένης απόφασης όπως αναφέρεται στο άρθρο 15 της οδηγίας 95/46/ΕΚ, η οποία παράγει έννομα αποτελέσματα έναντι του ατόμου ή το θίγει σημαντικά και η οποία απόφαση βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεδομένων που αποβλέπει σε αξιολόγηση ορισμένων πτυχών της προσωπικότητάς του, όπως η απόδοσή του στην εργασία, η φερεγγυότητα, η αξιοπιστία, η διαγωγή του κ.λπ. το πρόσωπο πρέπει να έχει το δικαίωμα να γνωρίζει την αιτιολογία της απόφασης.

1.  Περιορισμός του σκοπού: Τα δεδομένα πρέπει να υφίστανται επεξεργασία και, στη συνέχεια, να χρησιμοποιούνται ή να κοινοποιούνται περαιτέρω για τους συγκεκριμένους σκοπούς που προβλέπονται στο προσάρτημα 1 των συμβατικών ρητρών. Τα δεδομένα δεν πρέπει να διατηρούνται περισσότερο από ό,τι είναι αναγκαίο για τους σκοπούς της διαβίβασης.

2.  Δικαιώματα πρόσβασης, διόρθωσης, διαγραφής και κλειδώματος: Όπως προβλέπει το άρθρο 12 της οδηγίας 95/46/ΕΚ, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να έχει δικαίωμα πρόσβασης σε όλα τα υπό επεξεργασία δεδομένα που το αφορούν και, κατά περίπτωση, το δικαίωμα να ζητήσει τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων των οποίων η επεξεργασία δεν είναι σύμφωνη προς τις αρχές που παρατίθενται στο παρόν προσάρτημα, ιδίως λόγω ελλείψεων ή ανακρίβειας των δεδομένων. Πρέπει επίσης να μπορεί να αντιτάσσεται στην επεξεργασία των δεδομένων που το αφορούν επικαλούμενο νόμιμους λόγους που σχετίζονται με τη ιδιαίτερη κατάστασή του.

3.  Περιορισμοί των διαδοχικών διαβιβάσεων: Η περαιτέρω διαβίβαση δεδομένων προσωπικού χαρακτήρα από τον εισαγωγέα των δεδομένων σε άλλον υπεύθυνο επεξεργασίας εγκατεστημένο σε τρίτη χώρα που δεν παρέχει ικανοποιητική προστασία ή δεν καλύπτεται από απόφαση της Επιτροπής εκδοθείσα δυνάμει του άρθρου 25 παράγραφος 6, της οδηγίας 95/46/ΕΚ (διαδοχική διαβίβαση) μπορεί να πραγματοποιηθεί μόνον εφόσον πληρούται ένας από τους παρακάτω όρους:

α) οι όροι «δεδομένα προσωπικού χαρακτήρα», «ειδικές κατηγορίες δεδομένων/ευαίσθητα δεδομένα», «επεξεργασία», «υπεύθυνος της επεξεργασίας», «εκτελών την επεξεργασία», «πρόσωπο στο οποίο αναφέρονται τα δεδομένα» και «αρχή ελέγχου/αρχή» έχουν την ίδια έννοια όπως στην οδηγία 95/46/ΕΚ, (επομένως ως «αρχή» νοείται η αρμόδια για την προστασία των δεδομένων αρχή της χώρας στην οποία είναι εγκατεστημένος ο εξαγωγέας των δεδομένων)·

β) ο όρος «εξαγωγέας των δεδομένων» σημαίνει τον υπεύθυνο επεξεργασίας που διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα·

γ) ο όρος «εισαγωγέας των δεδομένων» σημαίνει τον υπεύθυνο επεξεργασίας που συμφωνεί να παραλάβει από τον εξαγωγέα των δεδομένων δεδομένα προσωπικού χαρακτήρα για περαιτέρω επεξεργασία, σύμφωνα με τους όρους των παρουσών ρητρών, και ο οποίος δεν υπόκειται σε σύστημα τρίτης χώρας που εξασφαλίζει ικανοποιητική προστασία·

δ) ο όρος «ρήτρες» σημαίνει τις παρούσες συμβατικές ρήτρες, που αποτελούν αυτοτελές έγγραφο το οποίο δεν περιλαμβάνει εμπορικούς όρους συναλλαγών που θεσπίζονται από τα συμβαλλόμενα μέρη βάσει χωριστών εμπορικών συμφωνιών.

α) τα δεδομένα προσωπικού χαρακτήρα συνελέγησαν, υποβλήθηκαν σε επεξεργασία και διαβιβάστηκαν σύμφωνα με τη νομοθεσία που ισχύει για τον εξαγωγέα των δεδομένων·

β) κατέβαλε εύλογες προσπάθειες για να εξασφαλίσει ότι ο εισαγωγέας των δεδομένων είναι σε θέση να εκπληρώσει τις νομικές υποχρεώσεις που υπέχει βάσει των παρουσών ρητρών·

γ) θα παράσχει στον εισαγωγέα των δεδομένων, αν του ζητηθεί, αντίγραφα των νόμων που διέπουν την προστασία των δεδομένων στη χώρα στην οποία είναι εγκατεστημένος ο εξαγωγέας των δεδομένων ή παραπομπές στους νόμους αυτούς (εφόσον υπάρχουν σχετικές νομοθετικές ρυθμίσεις και μη περιλαμβανομένων των νομικών συμβουλών)·

δ) θα απαντά σε ερωτήματα/αιτήματα που υποβάλλονται από τα πρόσωπα στα οποία αναφέρονται τα δεδομένα και από την Αρχή όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα από τον εισαγωγέα των δεδομένων, εκτός αν τα συμβαλλόμενα μέρη έχουν συμφωνήσει ότι οι σχετικές πληροφορίες θα παρέχονται από τον εισαγωγέα των δεδομένων. Στην περίπτωση αυτή, ο εξαγωγέας των δεδομένων εξακολουθεί να οφείλει να απαντά, στο μέτρο του λογικά δυνατού και βάσει των πληροφοριών που λογικά έχει στη διάθεσή του, αν ο εισαγωγέας των δεδομένων δεν είναι πρόθυμος ή δεν είναι σε θέση να απαντήσει. Οι απαντήσεις πρέπει να παρέχονται σε εύλογο χρονικό διάστημα·

ε) θα θέτει αντίγραφο των ρητρών στη διάθεση των προσώπων στα οποία αναφέρονται τα δεδομένα που είναι δικαιούχοι τρίτοι βάσει της ρήτρας III., κατόπιν αιτήσεως των προσώπων αυτών, εκτός εάν οι ρήτρες περιέχουν εμπιστευτικές πληροφορίες, οπότε θα μπορεί να αφαιρέσει τις πληροφορίες αυτές. Σε περίπτωση αφαίρεσης πληροφοριών, ο εξαγωγέας των δεδομένων ενημερώνει γραπτώς τα πρόσωπα στα οποία αναφέρονται τα δεδομένα για το λόγο της αφαίρεσης και για το δικαίωμά τους να γνωστοποιήσουν την αφαίρεση στην Αρχή. Ωστόσο, ο εξαγωγέας των δεδομένων οφείλει να συμμορφώνεται με απόφαση της Αρχής σχετικά με την πρόσβαση των προσώπων στα οποία αναφέρονται τα δεδομένα στο πλήρες κείμενο των ρητρών, εφόσον τα πρόσωπα στα οποία αναφέρονται τα δεδομένα έχουν συμφωνήσει να σεβαστούν τον απόρρητο χαρακτήρα των εμπιστευτικών πληροφοριών που αφαιρέθηκαν. Ο εξαγωγέας των δεδομένων παρέχει επίσης αντίγραφο των ρητρών στην Αρχή, αν του ζητηθεί.

α) θα λάβει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των δεδομένων προσωπικού χαρακτήρα από την τυχαία ή παράνομη καταστροφή ή την τυχαία απώλεια, αλλοίωση, άνευ αδείας κοινοποίηση ή πρόσβαση, μέτρα που παρέχουν κατάλληλο επίπεδο ασφάλειας σε σχέση με τον κίνδυνο που εγκυμονεί η επεξεργασία και η φύση των προς προστασία δεδομένων·

β) θα θεσπίσει τις κατάλληλες διαδικασίες ούτως ώστε κάθε τρίτος στον οποίο επιτρέπει να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων των εκτελούντων επεξεργασία, να σέβεται και να τηρεί την εμπιστευτικότητα και την ασφάλεια των δεδομένων προσωπικού χαρακτήρα. Κάθε πρόσωπο που ενεργεί υπό την ευθύνη του εισαγωγέα των δεδομένων, περιλαμβανομένων των εκτελούντων επεξεργασία, υποχρεούται να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα μόνο σύμφωνα με τις οδηγίες του εισαγωγέα των δεδομένων. Η διάταξη αυτή δεν ισχύει για τα πρόσωπα που επιτρέπεται ή επιβάλλεται βάσει νομοθετικών ή κανονιστικών ρυθμίσεων να έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα·

γ) δεν έχει κανένα λόγο να πιστεύει, κατά τη στιγμή της προσχώρησής του στις παρούσες ρήτρες, ότι υπάρχει οποιαδήποτε τοπική νομοθετική ρύθμιση η οποία ενδέχεται να έχει σημαντικό αρνητικό αντίκτυπο στις εγγυήσεις που προβλέπονται από τις παρούσες ρήτρες, δεσμεύεται δε να ενημερώσει τον εξαγωγέα των δεδομένων (ο οποίος θα διαβιβάσει την πληροφορία αυτή στην Αρχή, εφόσον απαιτείται) αν περιέλθει σε γνώση του οποιαδήποτε τέτοια νομοθετική ρύθμιση·

δ) θα επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα για τους σκοπούς που περιγράφονται στο παράρτημα B, έχει δε τη νομική δυνατότητα να παράσχει τις εγγυήσεις και να εκπληρώσει τις δεσμεύσεις που αναφέρονται στις παρούσες ρήτρες·

ε) θα γνωστοποιήσει στον εξαγωγέα των δεδομένων τα στοιχεία επικοινωνίας ενός υπαλλήλου του, εξουσιοδοτημένου να απαντά στα ερωτήματα/αιτήματα τα σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, και θα συνεργάζεται καλόπιστα με τον εξαγωγέα των δεδομένων, με το πρόσωπο στο οποίο αναφέρονται τα δεδομένα και με την Αρχή σχετικά με όλα τα εν λόγω ερωτήματα/αιτήματα εντός ευλόγου χρονικού διαστήματος. Αν ο εξαγωγέας των δεδομένων παύσει να υφίσταται από νομικής απόψεως ή αν τα συμβαλλόμενα μέρη το αποφασίσουν, ο εισαγωγέας των δεδομένων θα αναλάβει την ευθύνη για τη συμμόρφωση με τις διατάξεις της ρήτρας Ι στοιχείο ε)·

στ) αιτήσει του εξαγωγέα των δεδομένων, θα παράσχει στον εξαγωγέα των δεδομένων αποδεικτικά στοιχεία από τα οποία να προκύπτει ότι διαθέτει χρηματοοικονομικούς πόρους που επαρκούν για την εκπλήρωση των υποχρεώσεων που υπέχει βάσει της ρήτρας III (πράγμα που ενδέχεται να περιλαμβάνει την ασφαλιστική κάλυψη)·

ζ) κατόπιν ευλόγου αιτήματος του εξαγωγέα των δεδομένων, θα δέχεται να υποβάλλει τις εγκαταστάσεις που διαθέτει για την επεξεργασία δεδομένων, καθώς επίσης τα αρχεία δεδομένων που τηρεί και την τεκμηρίωση που απαιτείται για την επεξεργασία, σε εξέταση, έλεγχο ή/και πιστοποίηση από τον εξαγωγέα των δεδομένων (ή από οποιουσδήποτε ανεξάρτητους ή αμερόληπτους επιθεωρητές ή ελεγκτές που θα επιλεγούν από τον εξαγωγέα των δεδομένων και κατά των οποίων ο εισαγωγέας των δεδομένων δεν έχει προβάλει λογικές αντιρρήσεις), προκειμένου να ελεγχθεί η συμμόρφωση με τις εγγυήσεις και τις δεσμεύσεις που προβλέπονται στις παρούσες ρήτρες. Οι έλεγχοι θα γίνονται έπειτα από εύλογη προθεσμία προειδοποίησης και κατά τη διάρκεια του κανονικού ωραρίου εργασίας. Το αίτημα θα υπόκειται στην όποια αναγκαία συγκατάθεση ή έγκριση κανονιστικής ή εποπτικής αρχής της χώρας του εισαγωγέα των δεδομένων, την οποία (συγκατάθεση ή έγκριση) ο εισαγωγέας των δεδομένων θα επιδιώξει να λάβει έγκαιρα·

η) θα επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα, κατ’ επιλογήν του, σύμφωνα με:

θ) δεν θα αποκαλύψει ούτε θα διαβιβάσει τα δεδομένα προσωπικού χαρακτήρα σε τρίτο υπεύθυνο επεξεργασίας δεδομένων εγκατεστημένο εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), εκτός αν ενημερώσει τον εξαγωγέα των δεδομένων για τη διαβίβαση και

α) Κάθε συμβαλλόμενο μέρος ευθύνεται έναντι του άλλου για τις ζημίες που του προξενεί συνεπεία οποιασδήποτε παραβίασης των παρουσών ρητρών. Η ευθύνη μεταξύ των συμβαλλομένων μερών δεν δύναται να υπερβαίνει την προκαλούμενη πραγματική ζημία. Η αποζημίωση δίκην ποινής (δηλαδή η αποζημίωση που αποσκοπεί στο να τιμωρηθεί το συμβαλλόμενο μέρος για την επίμεμπτη συμπεριφορά του) αποκλείεται ρητά. Κάθε συμβαλλόμενο μέρος ευθύνεται έναντι των προσώπων στα οποία αναφέρονται τα δεδομένα για τις ζημίες που προξενεί συνεπεία οποιασδήποτε παραβίασης δικαιωμάτων τρίτων βάσει των παρουσών ρητρών. Η διάταξη αυτή δεν θίγει την ευθύνη του εξαγωγέα των δεδομένων βάσει της δικής του νομοθεσίας περί προστασίας των δεδομένων.

β) Τα συμβαλλόμενα μέρη συμφωνούν ότι το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει το δικαίωμα να επικαλεστεί ως δικαιούχος τρίτος την παρούσα ρήτρα καθώς και τη ρήτρα I στοιχεία β), δ) και ε), τη ρήτρα II στοιχεία α), γ), δ), ε), η) και θ), τη ρήτρα III στοιχείο α), τη ρήτρα V, τη ρήτρα VI στοιχείο δ) και τη ρήτρα VII. κατά του εισαγωγέα ή του εξαγωγέα των δεδομένων, για την αντίστοιχη από μέρους τους παραβίαση των συμβατικών τους υποχρεώσεων, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, και δέχεται ότι αρμόδια για το σκοπό αυτό είναι τα δικαστήρια της χώρας εγκατάστασης του εξαγωγέα των δεδομένων. Αν προβληθεί ο ισχυρισμός ότι ο εισαγωγέας των δεδομένων παραβιάζει τις υποχρεώσεις του, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει πρώτα να ζητήσει από τον εξαγωγέα των δεδομένων να προβεί στις ενδεδειγμένες ενέργειες κατά του εισαγωγέα των δεδομένων για να προασπίσει τα δικαιώματά του· αν ο εξαγωγέας των δεδομένων δεν προβεί στις ενέργειες αυτές εντός ευλόγου χρονικού διαστήματος (το οποίο, σε κανονικές συνθήκες, θα ανέρχεται σε ένα μήνα), το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δύναται να προσφύγει απευθείας κατά του εισαγωγέα των δεδομένων. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει το δικαίωμα να προσφύγει απ’ ευθείας κατά του εξαγωγέα των δεδομένων ο οποίος δεν κατέβαλε εύλογες προσπάθειες για να εξασφαλίσει ότι ο εισαγωγέας των δεδομένων είναι σε θέση να εκπληρώσει τις νομικές υποχρεώσεις που υπέχει βάσει των παρουσών ρητρών (ο εξαγωγέας των δεδομένων είναι εκείνος που οφείλει να αποδείξει ότι κατέβαλε εύλογες προσπάθειες).

α) Σε περίπτωση διαφοράς ή απαίτησης που προβάλλεται από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα ή από την Αρχή κατά ενός ή και των δύο συμβαλλομένων μερών όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, τα συμβαλλόμενα μέρη ενημερώνονται αμοιβαία για κάθε τέτοια διαφορά ή απαίτηση και συνεργάζονται για τη φιλική διευθέτησή της το ταχύτερο δυνατόν.

β) Τα συμβαλλόμενα μέρη συμφωνούν να ανταποκρίνονται θετικά σε κάθε γενικώς διαθέσιμη, μη δεσμευτική διαδικασία διαμεσολάβησης που κινείται από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα ή από την Αρχή. Σε περίπτωση συμμετοχής τους στη διαδικασία, τα συμβαλλόμενα μέρη μπορούν να επιλέξουν να το κάνουν εξ αποστάσεως (π.χ., μέσω τηλεφώνου ή άλλου ηλεκτρονικού μέσου). Τα συμβαλλόμενα μέρη συμφωνούν επίσης να εξετάσουν τη συμμετοχή τους σε κάθε άλλη διαδικασία διαιτησίας, διαμεσολάβησης ή επίλυσης διαφορών η οποία θεσπίζεται για την επίλυση διαφορών σχετικών με θέματα προστασίας δεδομένων.

γ) Κάθε συμβαλλόμενο μέρος συμμορφώνεται με τις οριστικές και τελεσίδικες αποφάσεις των αρμόδιων δικαστηρίων της χώρας εγκατάστασης του εξαγωγέα των δεδομένων ή της Αρχής.

α) Αν ο εισαγωγέας των δεδομένων παραβιάσει τις υποχρεώσεις που υπέχει δυνάμει των παρουσών ρητρών, ο εξαγωγέας των δεδομένων δύναται να αναστείλει προσωρινά τη διαβίβαση δεδομένων προσωπικού χαρακτήρα στον εισαγωγέα των δεδομένων έως ότου παύσει η παραβίαση ή καταγγελθεί η σύμβαση.

β) Αν:

ο εξαγωγέας των δεδομένων, με την επιφύλαξη τυχόν άλλων δικαιωμάτων που ενδέχεται να έχει κατά του εισαγωγέα των δεδομένων, δικαιούται να καταγγείλει τις παρούσες ρήτρες. Στην περίπτωση αυτή ενημερώνεται, εφόσον απαιτείται, η Αρχή. Ο εισαγωγέας των δεδομένων δύναται επίσης να καταγγείλει τις παρούσες ρήτρες στις περιπτώσεις των σημείων i), ii) ή iv) ανωτέρω.

γ) Κάθε συμβαλλόμενο μέρος δύναται να καταγγείλει τις παρούσες ρήτρες (i) αν εκδοθεί, βάσει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ (ή κάθε πράξης που ενδεχομένως την αντικαταστήσει), για τη χώρα (ή το σχετικό τομέα) στην οποία διαβιβάζονται τα δεδομένα και υποβάλλονται σε επεξεργασία από τον εισαγωγέα των δεδομένων, απόφαση της Επιτροπής που να διαπιστώνει ικανοποιητικό επίπεδο προστασίας ή (ii) αν η οδηγία 95/46/ΕΚ (ή κάθε πράξη που ενδεχομένως την αντικαταστήσει) καταστεί άμεσα εφαρμοστέα στη χώρα αυτή.

δ) Τα συμβαλλόμενα μέρη συμφωνούν ότι η καταγγελία των παρουσών ρητρών σε κάθε στιγμή, υπό οποιεσδήποτε συνθήκες και για οποιονδήποτε λόγο [πλην της καταγγελίας βάσει της ρήτρας VI.(γ)] δεν τα απαλλάσσει από τις υποχρεώσεις ή/και τους όρους που προβλέπουν οι ρήτρες όσον αφορά την επεξεργασία των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα.

1) Περιορισμός του σκοπού: Τα δεδομένα προσωπικού χαρακτήρα μπορούν να υφίστανται επεξεργασία και, στη συνέχεια, να χρησιμοποιούνται ή να κοινοποιούνται περαιτέρω μόνο για τους σκοπούς που περιγράφονται στο παράρτημα B ή εγκρίνονται στη συνέχεια από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα.

2) Ποιότητα των δεδομένων και αναλογικότητα: Τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι ακριβή και, όταν χρειάζεται, να ενημερώνονται. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, να έχουν σχέση με το θέμα και να μην είναι περισσότερα από όσα απαιτούνται για τους σκοπούς για τους οποίους διαβιβάζονται ή υφίστανται περαιτέρω επεξεργασία.

3) Διαφάνεια: Πρέπει να παρέχονται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα οι πληροφορίες που απαιτούνται για να διασφαλιστεί η θεμιτή επεξεργασία των δεδομένων (όπως πληροφορίες για τους σκοπούς της επεξεργασίας και για τη διαβίβαση), εκτός αν πληροφορίες αυτού του είδους έχουν ήδη δοθεί από τον εξαγωγέα των δεδομένων.

4) Ασφάλεια και εμπιστευτικότητα: Ο υπεύθυνος της επεξεργασίας πρέπει να λαμβάνει τεχνικά και οργανωτικά μέτρα ασφαλείας κατάλληλα για τους κινδύνους που εγκυμονεί η επεξεργασία, π.χ. για την αποτροπή της τυχαίας ή παράνομης καταστροφής, της τυχαίας απώλειας, της αλλοίωσης και της άνευ αδείας αποκάλυψης ή πρόσβασης στα δεδομένα. Κάθε πρόσωπο που ενεργεί υπό τις εντολές του υπευθύνου της επεξεργασίας, περιλαμβανομένου του εκτελούντος την επεξεργασία, μπορεί να επεξεργάζεται τα δεδομένα μόνον κατόπιν οδηγιών του υπευθύνου της επεξεργασίας.

5) Δικαιώματα πρόσβασης, διόρθωσης, διαγραφής και αντίταξης: Όπως προβλέπει το άρθρο 12 της οδηγίας 95/46/ΕΚ, πρέπει, είτε άμεσα είτε μέσω τρίτου, να παρέχονται στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα οι πληροφορίες προσωπικού χαρακτήρα που το αφορούν και που βρίσκονται στην κατοχή κάποιου φορέα, με εξαίρεση τα αιτήματα που είναι προδήλως καταχρηστικά λόγω του ότι υποβάλλονται σε μη εύλογα διαστήματα ή λόγω του αριθμού τους ή του επαναληπτικού ή συστηματικού χαρακτήρα τους, καθώς και τα αιτήματα για τα οποία, βάσει της νομοθεσίας της χώρας του εξαγωγέα των δεδομένων, δεν είναι υποχρεωτικό να επιτρέπεται η πρόσβαση. Με την προϋπόθεση ότι η Αρχή έχει δώσει εκ των προτέρων την έγκρισή της, δεν είναι επίσης υποχρεωτικό να επιτρέπεται η πρόσβαση όταν αυτό θα ήταν δυνατόν να θίξει σοβαρά τα συμφέροντα του εισαγωγέα των δεδομένων ή άλλων φορέων που συναλλάσσονται μ’ αυτόν και εφόσον των εν λόγω συμφερόντων δεν υπερισχύουν συμφέροντα που άπτονται των θεμελιωδών δικαιωμάτων και ελευθεριών του προσώπου στο οποίο αναφέρονται τα δεδομένα. Οι πηγές των δεδομένων προσωπικού χαρακτήρα δεν χρειάζεται να προσδιορίζονται όταν αυτό δεν είναι δυνατό να γίνει με εύλογες προσπάθειες ή όταν κάτι τέτοιο θα παραβίαζε τα δικαιώματα άλλων ατόμων πέραν του προσώπου στο οποίο αναφέρονται τα δεδομένα. Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να έχουν τη δυνατότητα να ζητούν τη διόρθωση, την τροποποίηση ή τη διαγραφή των πληροφοριών προσωπικού χαρακτήρα που τα αφορούν, όταν οι πληροφορίες αυτές είναι ανακριβείς ή η επεξεργασία τους γίνεται κατά παράβαση των παρουσών αρχών. Αν υπάρχουν επιτακτικοί λόγοι που θέτουν σε αμφισβήτηση τη νομιμότητα του αιτήματος, ο φορέας δύναται να ζητήσει περαιτέρω εξηγήσεις προτού προβεί στη διόρθωση, την τροποποίηση ή τη διαγραφή. Δεν χρειάζεται να γίνεται κοινοποίηση κάθε διόρθωσης, τροποποίησης ή διαγραφής σε τρίτους στους οποίους έχουν ανακοινωθεί τα δεδομένα, αν αυτό συνεπάγεται δυσανάλογες προσπάθειες. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει επίσης να μπορεί να αντιτάσσεται στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, αν υπάρχουν επιτακτικοί νόμιμοι λόγοι που σχετίζονται με τη ιδιαίτερη κατάστασή του. Το βάρος της απόδειξης για κάθε άρνηση φέρει ο εισαγωγέας των δεδομένων, ενώ το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει πάντοτε το δικαίωμα να προσβάλει τυχόν άρνηση ενώπιον της Αρχής.

6) Ευαίσθητα δεδομένα: Ο εισαγωγέας των δεδομένων λαμβάνει κάθε πρόσθετο αναγκαίο μέτρο (π.χ., στον τομέα της ασφάλειας) προκειμένου να εξασφαλίσει την προστασία των ευαίσθητων δεδομένων σύμφωνα με τις υποχρεώσεις που υπέχει βάσει της ρήτρας II.

7) Δεδομένα που χρησιμοποιούνται για σκοπούς εμπορικής προώθησης (μάρκετινγκ): Όταν η επεξεργασία των δεδομένων γίνεται για σκοπούς άμεσης εμπορικής προώθησης, πρέπει να υπάρχουν αποτελεσματικές διαδικασίες που να επιτρέπουν στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα να ζητήσει ανά πάσα στιγμή να μη χρησιμοποιούνται τα δεδομένα που το αφορούν για τέτοιους σκοπούς.

8) Αυτοματοποιημένες αποφάσεις: Για τους σκοπούς των παρουσών ρητρών ο όρος «αυτοματοποιημένη απόφαση» σημαίνει κάθε απόφαση του εξαγωγέα ή του εισαγωγέα των δεδομένων η οποία παράγει έννομα αποτελέσματα έναντι προσώπου στο οποίο αναφέρονται τα δεδομένα ή το θίγει σημαντικά και η οποία βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποβλέπει σε αξιολόγηση ορισμένων πτυχών της προσωπικότητάς του, όπως η απόδοσή του στην εργασία, η φερεγγυότητα, η αξιοπιστία, η διαγωγή του κ.λπ. Ο εισαγωγέας των δεδομένων δεν λαμβάνει καμία αυτοματοποιημένη απόφαση για πρόσωπα στα οποία αναφέρονται τα δεδομένα, εκτός όταν:

ή