(a)

L-għan ta’ dawn il-Klawżoli Kuntrattwali Standard (“il-Klawżoli”) huwa li tkun żgurata konformità [agħżel l-għażla rilevanti: GĦAŻLA 1: mal-Artikolu 28(3) u mal-Artikolu 28(4) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data], u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) / [GĦAŻLA 2: mal-Artikolu 29(3) u mal-Artikolu 29(4) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data], u li jħassar r-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE.

(b)

Il-kontrolluri u l-proċessuri elenkati fl-Anness I qablu ma’ dawn il-Klawżoli sabiex jiżguraw konformità mal-Artikolu 28(3) u mal-Artikolu 28(4) tar-Regolament (UE) 2016/679 u/jew mal-Artikolu 29(3) u mal-Artikolu 29(4) tar-Regolament (UE) 2018/1725.

(c)

Dawn il-Klawżoli japplikaw għall-ipproċessar ta’ data personali kif speċifikat fl-Anness II.

(d)

L-Annessi minn I sa IV huma parti integrali mill-Klawżoli.

(e)

Dawn il-Klawżoli huma mingħajr preġudizzju għall-obbligi li għalihom huwa soġġett il-kontrollur skont ir-Regolament (UE) 2016/679 u/jew ir-Regolament (UE) 2018/1725.

(f)

Fihom infushom, dawn il-Klawżoli ma jiżgurawx il-konformità mal-obbligi relatati mat-trasferimenti internazzjonali f’konformità mal-Kapitolu V tar-Regolament (UE) 2016/679 u/jew ir-Regolament (UE) 2018/1725.

(a)

Il-Partijiet jimpenjaw ruħhom li ma jimmodifikawx il-Klawżoli, ħlief biex iżidu informazzjoni fl-Annessi jew jaġġornaw l-informazzjoni fihom.

(b)

Dan ma jipprevjenix lill-Partijiet milli jinkludu l-klawżoli kuntrattwali standard stipulati f’dawn il-Klawżoli f’kuntratt usa’, jew milli jżidu klawżoli jew salvagwardji addizzjonali oħra sakemm dawn ma jikkontradixxux direttament jew indirettament il-Klawżoli jew inaqqsu d-drittijiet jew il-libertajiet fundamentali tas-suġġetti tad-data.

(a)

Fejn dawn il-Klawżoli jużaw it-termini definiti fir-Regolament (UE) 2016/679 jew fir-Regolament (UE) 2018/1725 rispettivament, dawn it-termini għandu jkollhom l-istess tifsira bħal f’dak ir-Regolament.

(b)

Dawn il-Klawżoli għandhom jinqraw u jiġu interpretati fid-dawl tad-dispożizzjonijiet tar-Regolament (UE) 2016/679 jew tar-Regolament (UE) 2018/1725 rispettivament.

(c)

Dawn il-Klawżoli ma għandhomx jiġu interpretati b’mod li jmur kontra d-drittijiet u l-obbligi previsti fir-Regolament (UE) 2016/679/fir-Regolament (UE) 2018/1725 jew b’mod li jippreġudika d-drittijiet jew il-libertajiet fundamentali tas-suġġetti tad-data.

(a)

Bil-qbil tal-Partijiet kollha, kwalunkwe entità li mhijiex Parti għal dawn il-Klawżoli tista’ taderixxi għal dawn il-Klawżoli fi kwalunkwe ħin bħala kontrollur jew proċessur billi timla l-Annessi u tiffirma l-Anness I.

(b)

Ladarba l-Annessi f’(a) ikunu mimlija u ffirmati, l-entità aderenti għandha tiġi ttrattata bħala Parti għal dawn il-Klawżoli u għandu jkollha d-drittijiet u l-obbligi ta’ kontrollur jew proċessur, f’konformità mad-deżinjazzjoni tagħha fl-Anness I.

(c)

L-entità aderenti ma għandu jkollha l-ebda dritt jew obbligu li jirriżulta minn dawn il-Klawżoli mill-perjodu qabel ma ssir Parti.

(a)

Il-proċessur għandu jipproċessa d-data personali fuq struzzjonijiet dokumentati mill-kontrollur biss, sakemm ma jkunx meħtieġ jagħmel dan bil-liġi tal-Unjoni jew tal-Istat Membru li għaliha jkun soġġett il-proċessur. F’dan il-każ, il-proċessur għandu jinforma lill-kontrollur dwar dak ir-rekwiżit legali qabel l-ipproċessar, sakemm il-liġi ma tipprojbixxix dan għal raġunijiet importanti ta’ interess pubbliku. Jistgħu jingħataw ukoll struzzjonijiet sussegwenti mill-kontrollur matul il-perjodu tal-ipproċessar ta’ data personali. Dawn l-istruzzjonijiet għandhom dejjem jiġu dokumentati.

(b)

Il-proċessur għandu jinforma minnufih lill-kontrollur jekk, fl-opinjoni tal-proċessur, l-istruzzjonijiet mogħtija mill-kontrollur jiksru r-Regolament (UE) 2016/679/ir-Regolament (UE) 2018/1725 jew id-dispożizzjonijiet applikabbli dwar il-protezzjoni tad-data tal-Unjoni jew tal-Istati Membri.

(a)

Il-proċessur għandu mill-inqas jimplimenta l-miżuri tekniċi u organizzattivi speċifikati fl-Anness III biex jiżgura s-sigurtà tad-data personali. Dan jinkludi l-protezzjoni tad-data kontra ksur ta’ sigurtà li jwassal għal qerda aċċidentali jew illegali, telf, bidliet, żvelar mhux awtorizzat jew l-aċċess għad-data (ksur ta’ data personali). Waqt il-valutazzjoni tal-livell xieraq ta’ sigurtà, il-Partijiet għandhom iqisu b’mod xieraq l-ogħla livell ta’ żvilupp tekniku, il-kostijiet tal-implimentazzjoni, in-natura, l-ambitu, il-kuntest u l-għanijiet tal-ipproċessar u r-riskji involuti għas-suġġetti tad-data.

(b)

Il-proċessur għandu jagħti aċċess għad-data personali li tkun qed tiġi proċessata lill-membri tal-persunal tiegħu sa fejn ikun strettament meħtieġ biss għall-fini ta’ implimentazzjoni, ġestjoni u monitoraġġ tal-kuntratt. Il-proċessur għandu jiżgura li l-persuni awtorizzati biex jipproċessaw id-data personali rċevuta jkunu impenjaw ruħhom li jżommu l-kunfidenzjalità jew ikunu taħt obbligu statutorju xieraq ta’ kunfidenzjalità.

(a)

Il-Partijiet għandhom ikunu kapaċi juru konformità ma’ dawn il-Klawżoli.

(b)

Il-proċessur għandu jittratta fil-pront u b’mod adegwat l-inkjesti mingħand il-kontrollur dwar l-ipproċessar ta’ data f’konformità ma’ dawn il-Klawżoli.

(c)

Il-proċessur għandu jipprovdi lill-kontrollur l-informazzjoni kollha meħtieġa biex tintwera l-konformità mal-obbligi stabbiliti f’dawn il-Klawżoli u li jirriżultaw direttament mir-Regolament (UE) 2016/679 u/jew mir-Regolament (UE) 2018/1725. Wara talba mill-kontrollur, il-proċessur għandu wkoll jippermetti u jikkontribwixxi għall-awditjar tal-attivitajiet ta’ pproċessar koperti minn dawn il-Klawżoli, f’intervalli raġonevoli jew jekk ikun hemm indikazzjonijiet ta’ nonkonformità. Meta jiddeċiedi dwar rieżami jew awditu, il-kontrollur jista’ jqis iċ-ċertifikazzjonijiet rilevanti miżmuma mill-proċessur.

(d)

Il-kontrollur jista’ jagħżel li jwettaq l-awditu b’mod awtonomu jew li jinkariga awditur indipendenti. L-awditi jistgħu jinkludu wkoll spezzjonijiet fil-post jew fil-faċilitajiet fiżiċi tal-proċessur u għandhom, jekk ikun xieraq, jitwettqu bi preavviż raġonevoli.

(e)

Il-Partijiet għandhom jipprovdu l-informazzjoni msemmija f’din il-Klawżola, inklużi r-riżultati ta’ kwalunkwe awditi, lill-awtorità(ijiet) superviżorja/i kompetenti fuq talba.

(a)

GĦAŻLA 1: AWTORIZZAZZJONI PRELIMINARI SPEĊIFIKA: Il-proċessur ma għandux jissottokuntratta xi waħda mill-operazzjonijiet ta’ pproċessar tiegħu mwettqa f’isem il-kontrollur f’konformità ma’ dawn il-Klawżoli lil sottoproċessur, mingħajr l-awtorizzazzjoni preliminari speċifika bil-miktub mill-kontrollur. Il-proċessur għandu jissottometti t-talba għal awtorizzazzjoni speċifika mill-inqas [SPEĊIFIKA L-PERJODU TA’ ŻMIEN] qabel l-ingaġġ tas-sottoproċessur ikkonċernat, flimkien mal-informazzjoni meħtieġa biex il-kontrollur ikun jista’ jiddeċiedi dwar l-awtorizzazzjoni. Il-lista tas-sottoproċessuri awtorizzati mill-kontrollur tinsab fl-Anness IV. Il-Partijiet għandhom iżommu l-Anness IV aġġornat.

GĦAŻLA 2: AWTORIZZAZZJONI ĠENERALI BIL-MIKTUB: Il-proċessur għandu l-awtorizzazzjoni ġenerali tal-kontrollur għall-ingaġġ ta’ sottoproċessuri minn lista miftiehma. Il-proċessur għandu jinforma b’mod speċifiku bil-miktub lill-kontrollur dwar kwalunkwe bidla intenzjonata ta’ dik il-lista permezz taż-żieda jew is-sostituzzjoni ta’ sottoproċessuri mill-inqas [SPEĊIFIKA PERJODU TA’ ŻMIEN] minn qabel, biex il-kontrollur ikollu biżżejjed żmien biex ikun jista’ joġġezzjona għal tali bidliet qabel l-ingaġġ tas-sottoproċessur(i) ikkonċernat(i). Il-proċessur għandu jagħti l-informazzjoni meħtieġa lill-kontrollur biex dan tal-aħħar ikun jista’ jeżerċita d-dritt ta’ oġġezzjoni.

(b)

Jekk il-proċessur jinkariga sottoproċessur għat-twettiq ta’ attivitajiet speċifiċi ta’ pproċessar (f’isem il-kontrollur), dan għandu jagħmel hekk permezz ta’ kuntratt li jimponi fuq is-sottoproċessur, fis-sustanza, l-istess obbligi tal-protezzjoni tad-data bħal dawk imposti fuq il-proċessur tad-data f’konformità ma’ dawn il-Klawżoli. Il-proċessur għandu jiżgura li s-sottoproċessur jikkonforma mal-obbligi li huwa soġġett għalihom il-proċessur skont dawn il-Klawżoli u r-Regolament (UE) 2016/679 u/jew ir-Regolament (UE) 2018/1725.

(c)

Wara talba mill-kontrollur, il-proċessur għandu jipprovdi kopja ta’ tali ftehim ma’ sottoproċessur u kwalunkwe emenda sussegwenti lill-kontrollur. Sa fejn ikun meħtieġ għall-protezzjoni tas-sigriet kummerċjali jew informazzjoni kunfidenzjali oħra, inkluża d-data personali, il-proċessur jista’ jħassar it-test tal-ftehim qabel ma jikkondividi l-kopja.

(d)

Il-proċessur għandu jibqa’ kompletament responsabbli fil-konfront tal-kontrollur għat-twettiq tal-obbligi tas-sottoproċessur f’konformità mal-kuntratt tiegħu mal-proċessur. Il-proċessur għandu jinnotifika lill-kontrollur bi kwalunkwe nuqqas ta’ osservanza mis-sottoproċessur tal-obbligi kuntrattwali.

(e)

Il-proċessur għandu jiftiehem mas-sottoproċessur dwar klawżola tat-terz benefiċjarju, skont liema — fil-każ li l-proċessur ikun fattwalment sparixxa, ma jibqax jeżisti fil-liġi jew isir insolventi — il-kontrollur għandu jkollu d-dritt li jittermina l-kuntratt mas-sottoproċessur u li jagħti struzzjonijiet lis-sottoproċessur biex iħassar jew jirritorna d-data personali.

(a)

Kwalunkwe trasferiment tad-data lejn pajjiż terz jew organizzazzjoni internazzjonali mill-proċessur għandu jsir biss fuq il-bażi ta’ struzzjonijiet dokumentati mill-kontrollur jew sabiex jiġi ssodisfat rekwiżit speċifiku fil-qafas tal-liġi tal-Unjoni jew ta’ Stat Membru li l-proċessur huwa soġġett għaliha u għandu jseħħ f’konformità mal-Kapitolu V tar-Regolament (UE) 2016/679 jew tar-Regolament (UE) 2018/1725.

(b)

Il-kontrollur jaqbel li jekk il-proċessur jinkariga sottoproċessur f’konformità mal-Klawżola 7.7 għat-twettiq ta’ attivitajiet speċifiċi ta’ pproċessar (f’isem il-kontrollur) u dawn l-attivitajiet ta’ pproċessar ikunu jinvolvu trasferiment ta’ data personali skont it-tifsira tal-Kapitolu V tar-Regolament (UE) 2016/679, il-proċessur u s-sottoproċessur jistgħu jiżguraw konformità mal-Kapitolu V tar-Regolament (UE) 2016/679 billi jużaw klawżoli kuntrattwali standard adottati mill-Kummissjoni f’konformità mal-Artikolu 46(2) tar-Regolament (UE) 2016/679, dment li jiġu ssodisfati l-kundizzjonijiet għall-użu ta’ dawn il-klawżoli kuntrattwali standard.

(a)

Il-proċessur għandu jinnotifika minnufih lill-kontrollur dwar kwalunkwe talba li jkun irċieva mis-suġġett tad-data. Dan ma għandux iwieġeb għat-talba hu nnifsu, ħlief jekk ikun ġie awtorizzat jagħmel dan mill-kontrollur.

(b)

Il-proċessur għandu jassisti lill-kontrollur fit-twettiq tal-obbligi tiegħu li jwieġeb għat-talbiet tas-suġġetti tad-data biex jeżerċitaw id-drittijiet tagħhom, b’kont meħud tan-natura tal-ipproċessar. Waqt li jissodisfa l-obbligi tiegħu f’konformità mal-punti (a) u (b), il-proċessur għandu jikkonforma mal-istruzzjonijiet tal-kontrollur.

(c)

Minbarra l-obbligu tal-proċessur li jassisti lill-kontrollur skont il-Klawżola 8(b), il-proċessur għandu barra minn hekk jassisti lill-kontrollur fl-iżgurar tal-konformità mal-obbligi li ġejjin, waqt li titqies in-natura tal-ipproċessar tad-data u l-informazzjoni disponibbli għall-proċessur:

(d)

Fl-Anness III il-Partijiet għandhom jistabbilixxu l-miżuri tekniċi u organizzattivi xierqa li l-proċessur huwa meħtieġ iħares meta jassisti l-kontrollur fl-applikazzjoni ta’ din il-Klawżola kif ukoll l-ambitu u l-firxa tal-assistenza meħtieġa.

(a)

fin-notifika tal-ksur ta’ data personali lill-awtorità/ijiet superviżorja/i kompetenti, mingħajr dewmien żejjed wara li l-kontrollur ikun sar jaf bih, jekk ikun rilevanti/(ħlief jekk il-ksur ta’ data personali x’aktarx ma jirriżultax f’riskju għad-drittijiet u għal-libertajiet tal-persuni fiżiċi);

(b)

fil-ksib tal-informazzjoni li ġejja li, skont [GĦAŻLA 1] l-Artikolu 33(3) tar-Regolament (UE) 2016/679/ [GĦAŻLA 2] l-Artikolu 34(3) tar-Regolament (UE) 2018/1725, għandha tiġi ddikjarata fin-notifika tal-kontrollur, u mill-inqas trid tinkludi dan li ġej:

(c)

fl-osservanza, skont [GĦAŻLA 1] l-Artikolu 34 tar-Regolament (UE) 2016/679 / [GĦAŻLA 2] l-Artikolu 35 tar-Regolament (UE) 2018/1725, tal-obbligu li l-ksur ta’ data personali jiġi kkomunikat mingħajr dewmien bla bżonn lis-suġġett tad-data, jekk il-ksur ta’ data personali x’aktarx jirriżulta f’riskju għoli għad-drittijiet u għal-libertajiet tal-persuni fiżiċi.

(a)

deskrizzjoni tan-natura tal-ksur (inklużi, fejn hu possibbli, il-kategoriji u n-numru approssimattiv ta’ suġġetti tad-data u ta’ reġistri tad-data kkonċernati);

(b)

id-dettalji ta’ punt ta’ kuntatt minfejn tista’ tinkiseb aktar informazzjoni dwar il-ksur ta’ data personali;

(c)

il-konsegwenzi probabbli tiegħu u l-miżuri meħuda jew proposti li għandhom jittieħdu biex jiġi indirizzat il-ksur, fosthom biex jittaffew l-effetti negattivi possibbli tiegħu.

(a)

Mingħajr preġudizzju għal kwalunkwe dispożizzjoni tar-Regolament (UE) 2016/679 u/jew tar-Regolament (UE) 2018/1725, f’każ li l-proċessur jikser l-obbligi tiegħu skont dawn il-Klawżoli, il-kontrollur jista’ jagħti struzzjonijiet lill-proċessur biex jissospendi l-ipproċessar ta’ data personali sakemm dan tal-aħħar jikkonforma ma’ dawn il-Klawżoli jew sakemm jiġi tterminat il-kuntratt. Il-proċessur għandu jinforma minnufih lill-kontrollur f’każ li ma jkunx kapaċi josserva dawn il-Klawżoli, tkun xi tkun ir-raġuni.

(b)

Il-kontrollur għandu jkun intitolat li jittermina l-kuntratt sa fejn dan jikkonċerna l-ipproċessar ta’ data personali f’konformità ma’ dawn il-Klawżoli jekk:

(c)

Il-proċessur għandu jkun intitolat li jittermina l-kuntratt sa fejn dan jikkonċerna l-ipproċessar ta’ data personali skont dawn il-Klawżoli fejn, wara li jkun informa lill-kontrollur li l-istruzzjonijiet tiegħu jiksru r-rekwiżiti legali applikabbli f’konformità mal-Klawżola 7.1(b), il-kontrollur jinsisti fuq il-konformità mal-istruzzjonijiet.

(d)

Wara t-terminazzjoni tal-kuntratt, il-proċessur għandu, skont l-għażla tal-kontrollur, iħassar id-data personali kollha proċessata f’isem il-kontrollur u jiċċertifika lill-kontrollur li għamel dan, jew, jirritorna d-data personali kollha lill-kontrollur u jħassar il-kopji eżistenti sakemm il-liġi tal-Unjoni jew tal-Istat Membru ma tkunx teħtieġ il-ħżin tad-data personali. Sakemm id-data titħassar jew tiġi ritornata, il-proċessur għandu jkompli jiżgura l-konformità ma’ dawn il-Klawżoli.

1.

Isem: …

Indirizz: …

Isem, pożizzjoni u dettalji ta’ kuntatt tal-persuna ta’ kuntatt: …

Firma u data tal-adeżjoni: …

2.

1.

Isem: …

Indirizz: …

Isem, pożizzjoni u dettalji ta’ kuntatt tal-persuna ta’ kuntatt: …

Firma u data tal-adeżjoni: …

2.

Miżuri ta’ psewdonimizzazzjoni u l-kriptaġġ tad-data personali

Miżuri biex jiġu żgurati l-kunfidenzjalità, l-integrità, id-disponibbiltà u r-reżiljenza kontinwi tas-sistemi u s-servizzi tal-ipproċessar

Miżuri biex tiġi żgurata l-kapaċità li jiġu restawrati d-disponibbiltà u l-aċċess għad-data personali fil-pront fil-każ ta’ inċident fiżiku jew tekniku

Proċessi għall-ittestjar, għall-valutazzjoni u għall-evalwazzjoni regolari tal-effikaċja tal-miżuri tekniċi u organizzattivi għall-iżgurar tas-sigurtà tal-ipproċessar

Miżuri għall-identifikazzjoni u għall-awtorizzazzjoni tal-utenti

Miżuri għall-protezzjoni tad-data matul it-trażmissjoni

Miżuri għall-protezzjoni tad-data waqt il-ħżin

Miżuri għall-iżgurar tas-sigurtà fiżika tal-postijiet fejn tiġi pproċessata d-data personali

Miżuri għall-iżgurar tal-illoggjar tal-avvenimenti

Miżuri għall-iżgurar tal-konfigurazzjoni tas-sistema, inkluża l-konfigurazzjoni prestabbilita

Miżuri ta’ governanza u ġestjoni tal-IT interna u tas-sigurtà tal-IT

Miżuri għaċ-ċertifikazzjoni/għall-assigurazzjoni tal-proċessi u tal-prodotti

Miżuri biex tiġi żgurata l-minimizzazzjoni tad-data

Miżuri biex tiġi żgurata l-kwalità tad-data

Miżuri biex tiġi żgurata żamma limitata tad-data

Miżuri biex tiġi żgurata r-responsabbiltà

Miżuri li jippermettu l-portabbiltà tad-data u li jiżguraw it-tħassir]

1.

Isem: …

Indirizz: …

Isem, pożizzjoni u dettalji ta’ kuntatt tal-persuna ta’ kuntatt: …

Deskrizzjoni tal-ipproċessar (inkluża delimitazzjoni ċara tar-responsabbiltajiet f’każ li diversi sottoproċessuri jkunu awtorizzati): …

2.

…