# Europeiska unionens L 199/2021

| | ISSN 1977-0820 |
| --- | --- |
| Europeiska unionens
  officiella tidning | L 199 |
| | |
| Svensk utgåva | Lagstiftning | 64 årgången7 juni 2021 |

ISSN 1977-0820

Europeiska unionens

officiella tidning

L 199

Svensk utgåva

Lagstiftning

64 årgången7 juni 2021

---

| Innehållsförteckning | | II   Icke-lagstiftningsakter | Sida |
| --- | --- | --- | --- |
| | | FÖRORDNINGAR |
| | * | Kommissionens genomförandeförordning (EU) 2021/909 av den 31 maj 2021 om klassificering av vissa varor i Kombinerade nomenklaturen | 1 |
| | * | Kommissionens genomförandeförordning (EU) 2021/910 av den 31 maj 2021 om klassificering av vissa varor i Kombinerade nomenklaturen | 4 |
| | * | Kommissionens genomförandeförordning (EU) 2021/911 av den 31 maj 2021 om klassificering av vissa varor i Kombinerade nomenklaturen | 7 |
| | * | Kommissionens genomförandeförordning (EU) 2021/912 av den 4 juni 2021 om godkännande av ändringar av specifikationerna för det nya livsmedlet lakto-N-neotetraos (mikrobiellt ursprung) och om ändring av genomförandeförordning (EU) 2017/2470 (
  1
  ) | 10 |
| | | BESLUT |
| | * | Kommissionens genomförandebeslut (EU) 2021/913 av den 3 juni 2021 om de harmoniserade standarder för diskmaskiner för hushållsbruk som utarbetats till stöd för förordning (EU) 2019/2022 och delegerad förordning (EU) 2019/2017 | 13 |
| | * | Kommissionens genomförandebeslut (EU) 2021/915 av den 4 juni 2021 om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i Europaparlamentets och rådets förordning (EU) 2016/679 och artikel 29.7 i Europaparlamentets och rådets förordning (EU) 2018/1725 (
  1
  ) | 18 |
| | * | Kommissionens genomförandebeslut (EU) 2021/914 av den 4 juni 2021 om standardavtalsklausuler för överföring av personuppgifter till tredjeländer i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (
  1
  ) | 31 |

Innehållsförteckning

II   Icke-lagstiftningsakter

Sida

FÖRORDNINGAR

*

Kommissionens genomförandeförordning (EU) 2021/909 av den 31 maj 2021 om klassificering av vissa varor i Kombinerade nomenklaturen

1

*

Kommissionens genomförandeförordning (EU) 2021/910 av den 31 maj 2021 om klassificering av vissa varor i Kombinerade nomenklaturen

4

*

Kommissionens genomförandeförordning (EU) 2021/911 av den 31 maj 2021 om klassificering av vissa varor i Kombinerade nomenklaturen

7

*

Kommissionens genomförandeförordning (EU) 2021/912 av den 4 juni 2021 om godkännande av ändringar av specifikationerna för det nya livsmedlet lakto-N-neotetraos (mikrobiellt ursprung) och om ändring av genomförandeförordning (EU) 2017/2470 (
  1
  )

N

1

10

BESLUT

*

Kommissionens genomförandebeslut (EU) 2021/913 av den 3 juni 2021 om de harmoniserade standarder för diskmaskiner för hushållsbruk som utarbetats till stöd för förordning (EU) 2019/2022 och delegerad förordning (EU) 2019/2017

13

*

Kommissionens genomförandebeslut (EU) 2021/915 av den 4 juni 2021 om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i Europaparlamentets och rådets förordning (EU) 2016/679 och artikel 29.7 i Europaparlamentets och rådets förordning (EU) 2018/1725 (
  1
  )

1

18

*

Kommissionens genomförandebeslut (EU) 2021/914 av den 4 juni 2021 om standardavtalsklausuler för överföring av personuppgifter till tredjeländer i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (
  1
  )

1

31

| | |
| --- | --- |
| | (1)   Text av betydelse för EES. |

---

(1)   Text av betydelse för EES.

1

| SV | De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.
  Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk. |
| --- | --- |

SV

De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.

Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk.

---

II Icke-lagstiftningsakter

FÖRORDNINGAR

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/1 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/1

---

KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/909

av den 31 maj 2021

om klassificering av vissa varor i Kombinerade nomenklaturen

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 952/2013 av den 9 oktober 2013 om fastställande av en tullkodex för unionen (1), särskilt artiklarna 57.4 och 58.2, och

av följande skäl:

| (1) | För att säkerställa en enhetlig tillämpning av Kombinerade nomenklaturen, som är en bilaga till rådets förordning (EEG) nr 2658/87 (2), är det nödvändigt att anta bestämmelser för klassificering av de varor som avses i bilagan till den här förordningen. |
| --- | --- |

(1)

För att säkerställa en enhetlig tillämpning av Kombinerade nomenklaturen, som är en bilaga till rådets förordning (EEG) nr 2658/87 (2), är det nödvändigt att anta bestämmelser för klassificering av de varor som avses i bilagan till den här förordningen.

| (2) | I förordning (EEG) nr 2658/87 fastställs allmänna bestämmelser för tolkningen av Kombinerade nomenklaturen. Dessa bestämmelser gäller också för varje annan nomenklatur som helt eller delvis grundar sig på denna eller som tillfogar underuppdelningar till den och som har upprättats genom särskilda unionsbestämmelser för tillämpningen av tulltaxebestämmelser eller andra åtgärder för varuhandeln. |
| --- | --- |

(2)

I förordning (EEG) nr 2658/87 fastställs allmänna bestämmelser för tolkningen av Kombinerade nomenklaturen. Dessa bestämmelser gäller också för varje annan nomenklatur som helt eller delvis grundar sig på denna eller som tillfogar underuppdelningar till den och som har upprättats genom särskilda unionsbestämmelser för tillämpningen av tulltaxebestämmelser eller andra åtgärder för varuhandeln.

| (3) | Enligt dessa allmänna bestämmelser bör de varor som beskrivs i kolumn 1 i tabellen i bilagan klassificeras enligt motsvarande KN-nummer i kolumn 2 i enlighet med den motivering som anges i kolumn 3. |
| --- | --- |

(3)

Enligt dessa allmänna bestämmelser bör de varor som beskrivs i kolumn 1 i tabellen i bilagan klassificeras enligt motsvarande KN-nummer i kolumn 2 i enlighet med den motivering som anges i kolumn 3.

| (4) | Bindande klassificeringsbesked som har utfärdats för de varor som omfattas av denna förordning men som inte stämmer överens med reglerna i denna förordning bör under en viss period kunna åberopas av innehavaren i enlighet med artikel 34.9 i förordning (EU) nr 952/2013. Denna period bör vara tre månader. |
| --- | --- |

(4)

Bindande klassificeringsbesked som har utfärdats för de varor som omfattas av denna förordning men som inte stämmer överens med reglerna i denna förordning bör under en viss period kunna åberopas av innehavaren i enlighet med artikel 34.9 i förordning (EU) nr 952/2013. Denna period bör vara tre månader.

| (5) | De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från tullkodexkommittén. |
| --- | --- |

(5)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från tullkodexkommittén.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

De varor som beskrivs i kolumn 1 i tabellen i bilagan ska i Kombinerade nomenklaturen klassificeras enligt motsvarande KN-nummer i kolumn 2 i tabellen.

Artikel 2

Bindande klassificeringsbesked som inte stämmer överens med reglerna i denna förordning får under en period på tre månader från den dag då denna förordning träder i kraft fortfarande åberopas i enlighet med artikel 34.9 i förordning (EU) nr 952/2013.

Artikel 3

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Bryssel den 31 maj 2021.

På kommissionens vägnar

För ordföranden

Gerassimos THOMAS

Generaldirektör

Generaldirektoratet för skatter och tullar

---

(1)  
  EUT L 269, 10.10.2013, s. 1.

1

(2)  Rådets förordning (EEG) nr 2658/87 av den 23 juli 1987 om tulltaxe- och statistiknomenklaturen och om Gemensamma tulltaxan (EGT L 256, 7.9.1987, s. 1).

2

---

BILAGA

| Varubeskrivning | Klassificering (KN-nummer) | Motivering |
| --- | --- | --- |
| 1 | 2 | 3 |
| En flexibel produkt (så kallad flytstav), tillverkad av cellplast (skumplast), i form av en ihålig tub med en längd av ca 1 meter och en diameter av cirka 8 cm. Produkten flyter på vatten, är avsedd att användas som flythjälpmedel och uppfyller en europeisk standard för flythjälpmedel för simutbildning (EN 13138-2:2014). Produkten är också stötdämpande och värmeisolerande.
  Se bilder  (*1). | 3926 90 97 | Klassificering på grundval av de allmänna bestämmelserna 1 och 6 för tolkning av Kombinerade nomenklaturen samt texten till KN-nummer 3926 , 3926 90 och 3926 90 97 .
  Klassificering enligt nr 9506 som redskap och annan utrustning för kroppsövningar, gymnastik, idrott, annan sport, utomhusspel eller utomhuslek är utesluten, eftersom produkten på grund av sin enkla och vanliga form inte kan identifieras som en produkt avsedd för kroppsövningar eller sport enligt nr 9506 , även om produkten på grund av sin flytförmåga uppfyller standarden för flythjälpmedel för simutbildning. Dessutom kan produkten, på grund av sin enkla form och sitt vanliga material, användas för olika ändamål (t.ex. som produkt avsedd som stötdämpare runt stolpar, produkt avsedd som värmeisolering runt rör, produkt avsedd att roa barn).
  På samma sätt är klassificering som andra leksaker enligt nr 9503 utesluten, eftersom produkten med tanke på hur den är utformad inte tydligt kan identifieras som en produkt avsedd att roa barn eller vuxna.
  Produkten ska således klassificeras enligt det material den är gjord av (plast).
  Produkten ska därför klassificeras enligt KN-nummer 3926 90 97 som andra plastvaror. |

Varubeskrivning

Klassificering (KN-nummer)

Motivering

1

2

3

En flexibel produkt (så kallad flytstav), tillverkad av cellplast (skumplast), i form av en ihålig tub med en längd av ca 1 meter och en diameter av cirka 8 cm. Produkten flyter på vatten, är avsedd att användas som flythjälpmedel och uppfyller en europeisk standard för flythjälpmedel för simutbildning (EN 13138-2:2014). Produkten är också stötdämpande och värmeisolerande.

Se bilder  (*1).

3926 90 97

Klassificering på grundval av de allmänna bestämmelserna 1 och 6 för tolkning av Kombinerade nomenklaturen samt texten till KN-nummer 3926 , 3926 90 och 3926 90 97 .

Klassificering enligt nr 9506 som redskap och annan utrustning för kroppsövningar, gymnastik, idrott, annan sport, utomhusspel eller utomhuslek är utesluten, eftersom produkten på grund av sin enkla och vanliga form inte kan identifieras som en produkt avsedd för kroppsövningar eller sport enligt nr 9506 , även om produkten på grund av sin flytförmåga uppfyller standarden för flythjälpmedel för simutbildning. Dessutom kan produkten, på grund av sin enkla form och sitt vanliga material, användas för olika ändamål (t.ex. som produkt avsedd som stötdämpare runt stolpar, produkt avsedd som värmeisolering runt rör, produkt avsedd att roa barn).

På samma sätt är klassificering som andra leksaker enligt nr 9503 utesluten, eftersom produkten med tanke på hur den är utformad inte tydligt kan identifieras som en produkt avsedd att roa barn eller vuxna.

Produkten ska således klassificeras enligt det material den är gjord av (plast).

Produkten ska därför klassificeras enligt KN-nummer 3926 90 97 som andra plastvaror.

---

(*1)  Bilderna återges endast i informationssyfte.

Image 1

---

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/4 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/4

---

KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/910

av den 31 maj 2021

om klassificering av vissa varor i Kombinerade nomenklaturen

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 952/2013 av den 9 oktober 2013 om fastställande av en tullkodex för unionen (1), särskilt artiklarna 57.4 och 58.2, och

av följande skäl:

| (1) | För att säkerställa en enhetlig tillämpning av Kombinerade nomenklaturen, som är en bilaga till rådets förordning (EEG) nr 2658/87 (2), är det nödvändigt att anta bestämmelser för klassificering av de varor som avses i bilagan till den här förordningen. |
| --- | --- |

(1)

För att säkerställa en enhetlig tillämpning av Kombinerade nomenklaturen, som är en bilaga till rådets förordning (EEG) nr 2658/87 (2), är det nödvändigt att anta bestämmelser för klassificering av de varor som avses i bilagan till den här förordningen.

| (2) | I förordning (EEG) nr 2658/87 fastställs allmänna bestämmelser för tolkningen av Kombinerade nomenklaturen. Dessa bestämmelser gäller också för varje annan nomenklatur som helt eller delvis grundar sig på denna eller som tillfogar underuppdelningar till den och som har upprättats genom särskilda unionsbestämmelser för tillämpningen av tulltaxebestämmelser eller andra åtgärder för varuhandeln. |
| --- | --- |

(2)

I förordning (EEG) nr 2658/87 fastställs allmänna bestämmelser för tolkningen av Kombinerade nomenklaturen. Dessa bestämmelser gäller också för varje annan nomenklatur som helt eller delvis grundar sig på denna eller som tillfogar underuppdelningar till den och som har upprättats genom särskilda unionsbestämmelser för tillämpningen av tulltaxebestämmelser eller andra åtgärder för varuhandeln.

| (3) | Enligt dessa allmänna bestämmelser bör de varor som beskrivs i kolumn 1 i tabellen i bilagan klassificeras enligt motsvarande KN-nummer i kolumn 2 i enlighet med den motivering som anges i kolumn 3. |
| --- | --- |

(3)

Enligt dessa allmänna bestämmelser bör de varor som beskrivs i kolumn 1 i tabellen i bilagan klassificeras enligt motsvarande KN-nummer i kolumn 2 i enlighet med den motivering som anges i kolumn 3.

| (4) | Bindande klassificeringsbesked som har utfärdats för de varor som omfattas av denna förordning men som inte stämmer överens med reglerna i denna förordning bör under en viss period kunna åberopas av innehavaren i enlighet med artikel 34.9 i förordning (EU) nr 952/2013. Denna period bör vara tre månader. |
| --- | --- |

(4)

Bindande klassificeringsbesked som har utfärdats för de varor som omfattas av denna förordning men som inte stämmer överens med reglerna i denna förordning bör under en viss period kunna åberopas av innehavaren i enlighet med artikel 34.9 i förordning (EU) nr 952/2013. Denna period bör vara tre månader.

| (5) | De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från tullkodexkommittén. |
| --- | --- |

(5)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från tullkodexkommittén.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

De varor som beskrivs i kolumn 1 i tabellen i bilagan ska i Kombinerade nomenklaturen klassificeras enligt motsvarande KN-nummer i kolumn 2 i tabellen.

Artikel 2

Bindande klassificeringsbesked som inte stämmer överens med reglerna i denna förordning får under en period på tre månader från den dag då denna förordning träder i kraft fortfarande åberopas i enlighet med artikel 34.9 i förordning (EU) nr 952/2013.

Artikel 3

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Bryssel den 31 maj 2021.

På kommissionens vägnar

För ordföranden

Gerassimos THOMAS

Generaldirektören

Generaldirektoratet för skatter och tullar

---

(1)  
  EUT L 269, 10.10.2013, s. 1.

1

(2)  Rådets förordning (EEG) nr 2658/87 av den 23 juli 1987 om tulltaxe- och statistiknomenklaturen och om Gemensamma tulltaxan (EGT L 256, 7.9.1987, s. 1).

2

---

BILAGA

| Varubeskrivning | Klassificering
  (KN-nummer) | Motivering |
| --- | --- | --- |
| (1) | (2) | (3) |
| Kermetstavar med enhetligt runt tvärsnitt. Artiklarna har varierande längd och diameter och har trubbiga ändar, och kan vara solida eller perforerade och ha kylkanaler. Vissa av artiklarna kan också vara avfasade.
  Artiklarna är gjorda av kermet, närmare bestämt av sintrad metallkarbid, på basis av volframkarbid och med kobolt som bindemedel.
  På grund av artiklarnas låga bearbetningsgrad, enkla karaktär och form kan de användas inom många olika användningsområden, t.ex. som förstärkningselement. Om artiklarna bearbetas vidare kan de användas till verktyg och som verktyg. | 8113 00 90 | Klassificering på grundval av de allmänna bestämmelserna 1 och 6 för tolkning av Kombinerade nomenklaturen, anmärkning 4 till avdelning XV samt texten till KN-numren 8113 00 och 8113 00 90 .
  Klassificering enligt KN-nummer 8209 00 80 som stavar och liknande delar till verktyg, omonterade, av kermet är utesluten eftersom artiklarna kan användas till verktyg och som verktyg endast om de bearbetas vidare, och eftersom de är lämpliga även för annan användning.
  Artiklarna omfattas av nr 8113 , som omfattar både obearbetade kermeter och kermeter i form av artiklar som inte är nämnda någon annanstans i Kombinerade nomenklaturen (se även Förklarande anmärkningar till Harmoniserade systemet, nr 8113 , sjätte stycket).
  Artiklarna ska därför klassificeras enligt KN-nummer 8113 00 90 som andra slag av kermeter och varor av kermeter. |

Varubeskrivning

Klassificering

(KN-nummer)

Motivering

(1)

(2)

(3)

Kermetstavar med enhetligt runt tvärsnitt. Artiklarna har varierande längd och diameter och har trubbiga ändar, och kan vara solida eller perforerade och ha kylkanaler. Vissa av artiklarna kan också vara avfasade.

Artiklarna är gjorda av kermet, närmare bestämt av sintrad metallkarbid, på basis av volframkarbid och med kobolt som bindemedel.

På grund av artiklarnas låga bearbetningsgrad, enkla karaktär och form kan de användas inom många olika användningsområden, t.ex. som förstärkningselement. Om artiklarna bearbetas vidare kan de användas till verktyg och som verktyg.

8113 00 90

Klassificering på grundval av de allmänna bestämmelserna 1 och 6 för tolkning av Kombinerade nomenklaturen, anmärkning 4 till avdelning XV samt texten till KN-numren 8113 00 och 8113 00 90 .

Klassificering enligt KN-nummer 8209 00 80 som stavar och liknande delar till verktyg, omonterade, av kermet är utesluten eftersom artiklarna kan användas till verktyg och som verktyg endast om de bearbetas vidare, och eftersom de är lämpliga även för annan användning.

Artiklarna omfattas av nr 8113 , som omfattar både obearbetade kermeter och kermeter i form av artiklar som inte är nämnda någon annanstans i Kombinerade nomenklaturen (se även Förklarande anmärkningar till Harmoniserade systemet, nr 8113 , sjätte stycket).

Artiklarna ska därför klassificeras enligt KN-nummer 8113 00 90 som andra slag av kermeter och varor av kermeter.

---

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/7 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/7

---

KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/911

av den 31 maj 2021

om klassificering av vissa varor i Kombinerade nomenklaturen

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 952/2013 av den 9 oktober 2013 om fastställande av en tullkodex för unionen (1), särskilt artiklarna 57.4 och 58.2, och

av följande skäl:

| (1) | För att säkerställa en enhetlig tillämpning av Kombinerade nomenklaturen, som är en bilaga till rådets förordning (EEG) nr 2658/87 (2), är det nödvändigt att anta bestämmelser för klassificering av de varor som avses i bilagan till den här förordningen. |
| --- | --- |

(1)

För att säkerställa en enhetlig tillämpning av Kombinerade nomenklaturen, som är en bilaga till rådets förordning (EEG) nr 2658/87 (2), är det nödvändigt att anta bestämmelser för klassificering av de varor som avses i bilagan till den här förordningen.

| (2) | I förordning (EEG) nr 2658/87 fastställs allmänna bestämmelser för tolkningen av Kombinerade nomenklaturen. Dessa bestämmelser gäller också för varje annan nomenklatur som helt eller delvis grundar sig på denna eller som tillfogar underuppdelningar till den och som har upprättats genom särskilda unionsbestämmelser för tillämpningen av tulltaxebestämmelser eller andra åtgärder för varuhandeln. |
| --- | --- |

(2)

I förordning (EEG) nr 2658/87 fastställs allmänna bestämmelser för tolkningen av Kombinerade nomenklaturen. Dessa bestämmelser gäller också för varje annan nomenklatur som helt eller delvis grundar sig på denna eller som tillfogar underuppdelningar till den och som har upprättats genom särskilda unionsbestämmelser för tillämpningen av tulltaxebestämmelser eller andra åtgärder för varuhandeln.

| (3) | Enligt dessa allmänna bestämmelser bör de varor som beskrivs i kolumn 1 i tabellen i bilagan klassificeras enligt motsvarande KN-nummer i kolumn 2 i enlighet med den motivering som anges i kolumn 3. |
| --- | --- |

(3)

Enligt dessa allmänna bestämmelser bör de varor som beskrivs i kolumn 1 i tabellen i bilagan klassificeras enligt motsvarande KN-nummer i kolumn 2 i enlighet med den motivering som anges i kolumn 3.

| (4) | Bindande klassificeringsbesked som har utfärdats för de varor som omfattas av denna förordning men som inte stämmer överens med reglerna i denna förordning bör under en viss period kunna åberopas av innehavaren i enlighet med artikel 34.9 i förordning (EU) nr 952/2013. Denna period bör vara tre månader. |
| --- | --- |

(4)

Bindande klassificeringsbesked som har utfärdats för de varor som omfattas av denna förordning men som inte stämmer överens med reglerna i denna förordning bör under en viss period kunna åberopas av innehavaren i enlighet med artikel 34.9 i förordning (EU) nr 952/2013. Denna period bör vara tre månader.

| (5) | De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från tullkodexkommittén. |
| --- | --- |

(5)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från tullkodexkommittén.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

De varor som beskrivs i kolumn 1 i tabellen i bilagan ska i Kombinerade nomenklaturen klassificeras enligt motsvarande KN-nummer i kolumn 2 i tabellen.

Artikel 2

Bindande klassificeringsbesked som inte stämmer överens med reglerna i denna förordning får under en period på tre månader från den dag då denna förordning träder i kraft fortfarande åberopas i enlighet med artikel 34.9 i förordning (EU) nr 952/2013.

Artikel 3

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Bryssel den 31 maj 2021.

På kommissionens vägnar

För ordföranden

Gerassimos THOMAS

Generaldirektören

Generaldirektoratet för skatter och tullar

---

(1)  
  EUT L 269, 10.10.2013, s. 1.

1

(2)  Rådets förordning (EEG) nr 2658/87 av den 23 juli 1987 om tulltaxe- och statistiknomenklaturen och om Gemensamma tulltaxan (EGT L 256, 7.9.1987, s. 1).

2

---

BILAGA

| Varubeskrivning | Klassificering
  (KN-nummer) | Motivering |
| --- | --- | --- |
| (1) | (2) | (3) |
| Rullplatta bestående av






  — | en träbaserad skiva (träfiberskiva med rundade hörn och kanter), |

Varubeskrivning

Klassificering

(KN-nummer)

Motivering

(1)

(2)

(3)

Rullplatta bestående av

—

en träbaserad skiva (träfiberskiva med rundade hörn och kanter),

| — | glidskydd av plast på skivans översida, |
| --- | --- |

—

glidskydd av plast på skivans översida,

| — | plasthjul, |
| --- | --- |

—

plasthjul,

| — | metallfästen för att montera plasthjulen på skivans undersida. |
| --- | --- |

—

metallfästen för att montera plasthjulen på skivans undersida.

Artikeln har ett handtag i form av en urtagning som kan användas för att t.ex. lyfta artikeln eller för att hänga upp den på en vägg.

Artikeln är utformad för att användas vid förflyttning av olika föremål, särskilt möbler och andra tunga föremål.

(Se bild) (*1)

4421 99 10

Klassificering på grundval av de allmänna bestämmelserna 1, 3 b och 6 för tolkning av Kombinerade nomenklaturen, anmärkning 3 till kapitel 44 samt texten till KN-nummer 4421 , 4421 99 och 4421 99 10 .

Klassificering enligt KN-nummer 8716 80 00 som andra fordon utan mekanisk framdrivningsanordning är utesluten, eftersom artikelns objektiva kännetecken och egenskaper inte helt överensstämmer med villkoren för nr 8716 och KN-nummer 8716 80 00 .

Utifrån sina objektiva kännetecken och egenskaper, inbegripet ett handtag i form av en urtagning som inte används för att dra artikeln med fot eller hand, och dess utformning för förflyttning av tunga föremål, t.ex. möbler, genom att själva föremålen skjuts framåt, är artikeln inte utformad för att dras av andra fordon, för att skjutas eller dras för hand, för att skjutas med foten eller för att dras av djur (se även Förklarande anmärkningar till Harmoniserade systemet, nr 8716 , andra stycket).

Artikeln kan inte anses vara ett fordon, eftersom den saknar vissa kännetecken och egenskaper hos ett hand- eller fotdrivet fordon enligt nr 8716 , genom att den inte är en vagn, dragkärra eller liknande, eller genom att den inte utgör en specifik del av ett fordon, t.ex. ett chassi.

Artikeln ska därför klassificeras enligt materialets beskaffenhet.

Artikeln är en sammansatt produkt som består av olika material (trä, plast och metall). Den beståndsdel som ger artikeln dess huvudsakliga karaktär är av trä, eftersom träskivan utgör huvuddelen av den sammansatta produkten och eftersom träskivan är av störst betydelse för artikelns avsedda användning.

Artikeln ska därför klassificeras enligt KN-nummer 4421 99 10 som andra varor av träfiberskivor.

Image 2

---

(*1)  Bilden återges endast i informationssyfte.

---

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/10 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/10

---

KOMMISSIONENS GENOMFÖRANDEFÖRORDNING (EU) 2021/912

av den 4 juni 2021

om godkännande av ändringar av specifikationerna för det nya livsmedlet lakto-N-neotetraos (mikrobiellt ursprung) och om ändring av genomförandeförordning (EU) 2017/2470

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2015/2283 av den 25 november 2015 om nya livsmedel och om ändring av Europaparlamentets och rådets förordning (EU) nr 1169/2011 och upphävande av Europaparlamentets och rådets förordning (EG) nr 258/97 och kommissionens förordning (EG) nr 1852/2001 (1), särskilt artikel 12, och

av följande skäl:

| (1) | Enligt förordning (EU) 2015/2283 får endast nya livsmedel som godkänts och införts i unionsförteckningen släppas ut på marknaden i unionen. |
| --- | --- |

(1)

Enligt förordning (EU) 2015/2283 får endast nya livsmedel som godkänts och införts i unionsförteckningen släppas ut på marknaden i unionen.

| (2) | I enlighet med artikel 8 i förordning (EU) 2015/2283 antogs kommissionens genomförandeförordning (EU) 2017/2470 (2) genom vilken unionsförteckningen över godkända nya livsmedel upprättas. |
| --- | --- |

(2)

I enlighet med artikel 8 i förordning (EU) 2015/2283 antogs kommissionens genomförandeförordning (EU) 2017/2470 (2) genom vilken unionsförteckningen över godkända nya livsmedel upprättas.

| (3) | Enligt artikel 12 i förordning (EU) 2015/2283 ska kommissionen lägga fram ett utkast till genomförandeakt som godkänner att ett nytt livsmedel släpps ut på marknaden i unionen och som uppdaterar unionsförteckningen. |
| --- | --- |

(3)

Enligt artikel 12 i förordning (EU) 2015/2283 ska kommissionen lägga fram ett utkast till genomförandeakt som godkänner att ett nytt livsmedel släpps ut på marknaden i unionen och som uppdaterar unionsförteckningen.

| (4) | Genom kommissionens genomförandebeslut (EU) 2016/375 (3) godkändes, i enlighet med Europaparlamentets och rådets förordning (EG) nr 258/97 (4), utsläppande på marknaden av kemiskt syntetiserat lakto-N-neotetraos som ny livsmedelsingrediens. |
| --- | --- |

(4)

Genom kommissionens genomförandebeslut (EU) 2016/375 (3) godkändes, i enlighet med Europaparlamentets och rådets förordning (EG) nr 258/97 (4), utsläppande på marknaden av kemiskt syntetiserat lakto-N-neotetraos som ny livsmedelsingrediens.

| (5) | Den 1 september 2016 informerade företaget Glycom A/S kommissionen, i enlighet med artikel 5 i förordning (EG) nr 258/97, att det avsåg släppa ut lakto-N-neotetraos av mikrobiellt ursprung framställt med Escherichia coli stam K-12 på marknaden som ny livsmedelsingrediens. |
| --- | --- |

(5)

Den 1 september 2016 informerade företaget Glycom A/S kommissionen, i enlighet med artikel 5 i förordning (EG) nr 258/97, att det avsåg släppa ut lakto-N-neotetraos av mikrobiellt ursprung framställt med Escherichia coli stam K-12 på marknaden som ny livsmedelsingrediens.

| (6) | I anmälan till kommissionen lämnade Glycom A/S också en rapport utfärdad av den behöriga myndigheten i Irland i enlighet med artikel 3.4 i förordning (EG) nr 258/97, där det på grundval av de vetenskapliga belägg som företaget lämnat konstaterades att lakto-N-neotetraos framställt med Escherichia coli stam K-12 i huvudsak motsvarar syntetisk lakto-N-neotetraos som godkänts genom genomförandebeslut (EU) 2016/375. Lakto-N-neotetraos av mikrobiellt ursprung infördes därför i unionsförteckningen över nya livsmedel. |
| --- | --- |

(6)

I anmälan till kommissionen lämnade Glycom A/S också en rapport utfärdad av den behöriga myndigheten i Irland i enlighet med artikel 3.4 i förordning (EG) nr 258/97, där det på grundval av de vetenskapliga belägg som företaget lämnat konstaterades att lakto-N-neotetraos framställt med Escherichia coli stam K-12 i huvudsak motsvarar syntetisk lakto-N-neotetraos som godkänts genom genomförandebeslut (EU) 2016/375. Lakto-N-neotetraos av mikrobiellt ursprung infördes därför i unionsförteckningen över nya livsmedel.

| (7) | Den 23 juni 2019 lämnade företaget Chr. Hansen A/S (nedan kallad sökanden) in en ansökan till kommissionen i enlighet med artikel 10.1 i förordning (EU) 2015/2283 om godkännande av lakto-N-neotetraos (mikrobiellt ursprung), som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), som ett nytt livsmedel under samma användningsvillkor som för närvarande är godkända för lakto-N-neotetraos av syntetiskt eller mikrobiellt ursprung. Sökanden begärde att unionsförteckningen uppdateras när det gäller den nya källan för det nya livsmedlet. |
| --- | --- |

(7)

Den 23 juni 2019 lämnade företaget Chr. Hansen A/S (nedan kallad sökanden) in en ansökan till kommissionen i enlighet med artikel 10.1 i förordning (EU) 2015/2283 om godkännande av lakto-N-neotetraos (mikrobiellt ursprung), som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), som ett nytt livsmedel under samma användningsvillkor som för närvarande är godkända för lakto-N-neotetraos av syntetiskt eller mikrobiellt ursprung. Sökanden begärde att unionsförteckningen uppdateras när det gäller den nya källan för det nya livsmedlet.

| (8) | Dessutom föreslog sökanden att uppdatera vissa av specifikationerna för lakto-N-neotetraos (mikrobiellt ursprung) som framställs av den nya källan eftersom de skiljer sig från specifikationerna för den godkända lakto-N-neotetraos av mikrobiellt ursprung som framställts med Escherichia coli stam K-12, när det gäller en ökning av halten av aska från ≤ 0,4 % till ≤ 1,0 %; en högre halt av jäst och mögel från ≤ 10 kolonibildande enheter (CFU)/g nytt livsmedel för varje typ av mikroorganism till ≤ 50 CFU/g för kombinationen av båda, och avsaknad av metanol (≤ 100 mg/kg för närvarande) och isomer av lakto-N-neotetraosfruktos (≤ 1,0 % för närvarande). |
| --- | --- |

(8)

Dessutom föreslog sökanden att uppdatera vissa av specifikationerna för lakto-N-neotetraos (mikrobiellt ursprung) som framställs av den nya källan eftersom de skiljer sig från specifikationerna för den godkända lakto-N-neotetraos av mikrobiellt ursprung som framställts med Escherichia coli stam K-12, när det gäller en ökning av halten av aska från ≤ 0,4 % till ≤ 1,0 %; en högre halt av jäst och mögel från ≤ 10 kolonibildande enheter (CFU)/g nytt livsmedel för varje typ av mikroorganism till ≤ 50 CFU/g för kombinationen av båda, och avsaknad av metanol (≤ 100 mg/kg för närvarande) och isomer av lakto-N-neotetraosfruktos (≤ 1,0 % för närvarande).

| (9) | Den 17 januari 2020 bad kommissionen Europeiska myndigheten för livsmedelssäkerhet (nedan kallad livsmedelsmyndigheten) att genomföra en bedömning av lakto-N-neotetraos som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), i enlighet med kraven i artikel 11 i förordning (EU) 2015/2283. |
| --- | --- |

(9)

Den 17 januari 2020 bad kommissionen Europeiska myndigheten för livsmedelssäkerhet (nedan kallad livsmedelsmyndigheten) att genomföra en bedömning av lakto-N-neotetraos som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), i enlighet med kraven i artikel 11 i förordning (EU) 2015/2283.

| (10) | Den 22 oktober 2020 antog livsmedelsmyndigheten det vetenskapliga yttrandet Safety of lacto-N-neotetraose (LNnT) produced by derivative strains of E. coli BL21 as a novel food pursuant to Regulation (EU) 2015/2283 (5). |
| --- | --- |

(10)

Den 22 oktober 2020 antog livsmedelsmyndigheten det vetenskapliga yttrandet Safety of lacto-N-neotetraose (LNnT) produced by derivative strains of E. coli BL21 as a novel food pursuant to Regulation (EU) 2015/2283 (5).

| (11) | I det vetenskapliga yttrandet konstaterade livsmedelsmyndigheten att lakto-N-neotetraos (LNnT), som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), är säkert som ett nytt livsmedel enligt förordning (EU) 2015/2283 för de användningsvillkor som för närvarande är godkända. Det vetenskapliga yttrandet ger därför tillräckligt underlag för att fastställa att lakto-N-neotetraos (LNnt), som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), uppfyller kraven i artikel 12.1 i förordning (EU) 2015/2283. |
| --- | --- |

(11)

I det vetenskapliga yttrandet konstaterade livsmedelsmyndigheten att lakto-N-neotetraos (LNnT), som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), är säkert som ett nytt livsmedel enligt förordning (EU) 2015/2283 för de användningsvillkor som för närvarande är godkända. Det vetenskapliga yttrandet ger därför tillräckligt underlag för att fastställa att lakto-N-neotetraos (LNnt), som framställs genom en kombination av derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3), uppfyller kraven i artikel 12.1 i förordning (EU) 2015/2283.

| (12) | Det är därför lämpligt att ändra specifikationerna för mikrobiologiskt framställt lakto-N-neotetraos så att de omfattar derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3) som källa för det nya livsmedlet, utöver den redan godkända Escherichia coli stam K12, och att ändra de föreslagna halterna för aska, mögel och jäst. |
| --- | --- |

(12)

Det är därför lämpligt att ändra specifikationerna för mikrobiologiskt framställt lakto-N-neotetraos så att de omfattar derivatstammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli stam BL21(DE3) som källa för det nya livsmedlet, utöver den redan godkända Escherichia coli stam K12, och att ändra de föreslagna halterna för aska, mögel och jäst.

| (13) | Bilagan till förordning (EU) 2017/2470 bör därför ändras i enlighet med detta. |
| --- | --- |

(13)

Bilagan till förordning (EU) 2017/2470 bör därför ändras i enlighet med detta.

| (14) | De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från ständiga kommittén för växter, djur, livsmedel och foder. |
| --- | --- |

(14)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från ständiga kommittén för växter, djur, livsmedel och foder.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

De uppgifter i unionsförteckningen över godkända nya livsmedel enligt artikel 6 i förordning (EU) 2015/2283 som avser ämnet lakto-N-neotetraos (mikrobiellt ursprung) ska ändras i enlighet med bilagan till den här förordningen.

Artikel 2

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Bryssel den 4 juni 2021.

På kommissionens vägnar

Ursula VON DER LEYEN

Ordförande

---

(1)  
  EUT L 327, 11.12.2015, s. 1.

1

(2)  Kommissionens genomförandeförordning (EU) 2017/2470 av den 20 december 2017 om upprättande av en unionsförteckning över nya livsmedel i enlighet med Europaparlamentets och rådets förordning (EU) 2015/2283 om nya livsmedel (EUT L 351, 30.12.2017, s. 72).

2

(3)  Kommissionens genomförandebeslut (EU) 2016/375 av den 11 mars 2016 om tillstånd för utsläppande på marknaden av lakto-N-neotetraos som ny livsmedelsingrediens enligt Europaparlamentets och rådets förordning (EG) nr 258/97 (EUT L 70, 16.3.2016, s. 22).

3

N

(4)  Europaparlamentets och rådets förordning (EG) nr 258/97 av den 27 januari 1997 om nya livsmedel och nya livsmedelsingredienser (EGT L 43, 14.2.1997, s. 1).

4

(5)  
  EFSA Journal, vol. 18(2020):11, artikelnr 6305.

5

EFSA Journal

---

BILAGA

I tabell 2 (Specifikationer) i bilagan till genomförandeförordning (EU) 2017/2470 ska posten för Lakto-N-neotetraos (mikrobiellt ursprung) ersättas med följande:

| ”Lakto-N-neotetraos


  (mikrobiellt ursprung) | Definition

  Kemiskt namn: β-D-Galaktopyranosyl-(1→4)-2-acetamido-2-deoxi-β-D-glukopyranosyl-(1→3)-β-D-galaktopyranosyl-(1→4)-D-glukopyranos
  Kemisk formel: C26H45NO21

  CAS-nr: 13007-32-4
  Molekylvikt: 707,63 g/mol

  Källa:







  — | En genetiskt modifierad stam av Escherichia coli K-12, eller |
| --- | --- | --- |

”Lakto-N-neotetraos

(mikrobiellt ursprung)

Definition

Kemiskt namn: β-D-Galaktopyranosyl-(1→4)-2-acetamido-2-deoxi-β-D-glukopyranosyl-(1→3)-β-D-galaktopyranosyl-(1→4)-D-glukopyranos

Kemisk formel: C26H45NO21

CAS-nr: 13007-32-4

Molekylvikt: 707,63 g/mol

Källa:

—

En genetiskt modifierad stam av Escherichia coli K-12, eller

| — | en kombination av de genetiskt modifierade stammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli BL21(DE3) |
| --- | --- |

—

en kombination av de genetiskt modifierade stammarna PS-LNnT-JBT och DS-LNnT-JBT av Escherichia coli BL21(DE3)

Beskrivning

Lakto-N-neotetraos är ett vitt till benvitt pulver som framställs genom en mikrobiologisk process.

Renhetsgrad

Innehåll (vattenfritt): ≥ 80 %

D-Laktos: ≤ 10,0 %

Lakto-N-trios II: ≤ 3,0 %

para-Lakto-N-neohexaos: ≤ 5,0 %

Isomer av lakto-N-neotetraosfruktos: ≤ 1,0 %

Summan av sackarider (lakto-N-neotetraos, D-laktos, lakto-N-trios II, para-lakto-N-neohexaos, isomer av lakto-N-neotetraosfruktos): ≥ 92 % (vikt/vikt torrsubstans)

pH (20 °C, 5 % lösning): 4,0–7,0

Vatten: ≤ 9,0 %

Sulfataska: ≤ 1,0 %

Lösningsmedelsrester (metanol): ≤ 100 mg/kg

Proteinrester: ≤ 0,01 %

Mikrobiologiska kriterier

Totalt antal aeroba mesofila bakterier: ≤ 500 CFU/g

Jäst och mögel: ≤ 50 CFU/g

Endotoxinrester: ≤ 10 EU/mg

CFU: kolonibildande enheter, EU: endotoxinenheter”

---

BESLUT

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/13 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/13

---

KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/913

av den 3 juni 2021

om de harmoniserade standarder för diskmaskiner för hushållsbruk som utarbetats till stöd för förordning (EU) 2019/2022 och delegerad förordning (EU) 2019/2017

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG (1), särskilt artikel 10.6, och

av följande skäl:

| (1) | I enlighet med artikel 9.2 i Europaparlamentets och rådets direktiv 2009/125/EG (2) ska medlemsstaterna betrakta produkter för vilka harmoniserade standarder har tillämpats och vilkas referensnummer har offentliggjorts i Europeiska unionens officiella tidning som överensstämmande med alla de relevanta kraven i den tillämpliga genomförandeåtgärd som dessa standarder rör. I artikel 4 i kommissionens förordning (EU) 2019/2022 (3) och i bilaga III till den förordningen fastställs relevanta krav på mätning och beräkning i fråga om diskmaskiner för hushållsbruk. |
| --- | --- |

(1)

I enlighet med artikel 9.2 i Europaparlamentets och rådets direktiv 2009/125/EG (2) ska medlemsstaterna betrakta produkter för vilka harmoniserade standarder har tillämpats och vilkas referensnummer har offentliggjorts i Europeiska unionens officiella tidning som överensstämmande med alla de relevanta kraven i den tillämpliga genomförandeåtgärd som dessa standarder rör. I artikel 4 i kommissionens förordning (EU) 2019/2022 (3) och i bilaga III till den förordningen fastställs relevanta krav på mätning och beräkning i fråga om diskmaskiner för hushållsbruk.

| (2) | I enlighet med artikel 13 i Europaparlamentets och rådets förordning (EU) 2017/1369 (4) ska kommissionen, efter att ha antagit en delegerad akt enligt artikel 16 i den förordningen som fastställer specifika märkningskrav, i Europeiska unionens officiella tidning offentliggöra hänvisningar till de harmoniserade standarder som uppfyller relevanta krav på mätning och beräkning i den delegerade akten. Om sådana harmoniserade standarder tillämpas vid bedömningen av en produkts överensstämmelse ska modellen presumeras överensstämma med relevanta krav på mätning och beräkning i den delegerade akten. I artikel 3 i kommissionens delegerade förordning (EU) 2019/2017 (5) och i bilaga IV till den förordningen fastställs krav för mätning och beräkning i fråga om diskmaskiner för hushållsbruk. |
| --- | --- |

(2)

I enlighet med artikel 13 i Europaparlamentets och rådets förordning (EU) 2017/1369 (4) ska kommissionen, efter att ha antagit en delegerad akt enligt artikel 16 i den förordningen som fastställer specifika märkningskrav, i Europeiska unionens officiella tidning offentliggöra hänvisningar till de harmoniserade standarder som uppfyller relevanta krav på mätning och beräkning i den delegerade akten. Om sådana harmoniserade standarder tillämpas vid bedömningen av en produkts överensstämmelse ska modellen presumeras överensstämma med relevanta krav på mätning och beräkning i den delegerade akten. I artikel 3 i kommissionens delegerade förordning (EU) 2019/2017 (5) och i bilaga IV till den förordningen fastställs krav för mätning och beräkning i fråga om diskmaskiner för hushållsbruk.

| (3) | Genom genomförandebeslut C(2020) 4329 (6) begärde kommissionen att Europeiska standardiseringskommittén (CEN), Europeiska kommittén för elektroteknisk standardisering (Cenelec) och Europeiska institutet för telekommunikationsstandarder (Etsi) skulle se över befintliga harmoniserade standarder för diskmaskiner för hushållsbruk, tvättmaskiner för hushållsbruk och kombinerade tvättmaskiner/torktumlare för hushållsbruk till stöd för förordningarna (EU) 2019/2022 och (EU) 2019/2023 och de delegerade förordningarna (EU) 2019/2017 och (EU) 2019/2014. |
| --- | --- |

(3)

Genom genomförandebeslut C(2020) 4329 (6) begärde kommissionen att Europeiska standardiseringskommittén (CEN), Europeiska kommittén för elektroteknisk standardisering (Cenelec) och Europeiska institutet för telekommunikationsstandarder (Etsi) skulle se över befintliga harmoniserade standarder för diskmaskiner för hushållsbruk, tvättmaskiner för hushållsbruk och kombinerade tvättmaskiner/torktumlare för hushållsbruk till stöd för förordningarna (EU) 2019/2022 och (EU) 2019/2023 och de delegerade förordningarna (EU) 2019/2017 och (EU) 2019/2014.

| (4) | På grundval av begäran i genomförandebeslut C(2020) 4329 utarbetade Cenelec den harmoniserade standarden EN 60436:2020 för att ta hänsyn till den tekniska och vetenskapliga utvecklingen. Cenelec antog också ändring EN 60436:2020/A11:2020 och rättelse EN 60436:2020/AC:2020–6 till den standarden. |
| --- | --- |

(4)

På grundval av begäran i genomförandebeslut C(2020) 4329 utarbetade Cenelec den harmoniserade standarden EN 60436:2020 för att ta hänsyn till den tekniska och vetenskapliga utvecklingen. Cenelec antog också ändring EN 60436:2020/A11:2020 och rättelse EN 60436:2020/AC:2020–6 till den standarden.

| (5) | Kommissionen har tillsammans med Cenelec bedömt om den harmoniserade standarden EN 60436:2020, ändrad genom EN 60436:2020/A11:2020 och rättad genom EN 60436:2020/AC:2020–6, överensstämmer med begäran i genomförandebeslut C(2020) 4329. |
| --- | --- |

(5)

Kommissionen har tillsammans med Cenelec bedömt om den harmoniserade standarden EN 60436:2020, ändrad genom EN 60436:2020/A11:2020 och rättad genom EN 60436:2020/AC:2020–6, överensstämmer med begäran i genomförandebeslut C(2020) 4329.

| (6) | Den harmoniserade standarden EN 60436:2020, ändrad genom EN 60436:2020/A11:2020 och rättad genom EN 60436:2020/AC:2020–6, uppfyller de krav som den syftar till att omfatta och som fastställs i förordning (EU) 2019/2022 och delegerad förordning (EU) 2019/2017. |
| --- | --- |

(6)

Den harmoniserade standarden EN 60436:2020, ändrad genom EN 60436:2020/A11:2020 och rättad genom EN 60436:2020/AC:2020–6, uppfyller de krav som den syftar till att omfatta och som fastställs i förordning (EU) 2019/2022 och delegerad förordning (EU) 2019/2017.

| (7) | Det är nödvändigt att klargöra vilka versioner av standarder som avses i punkt 3 ”Modification of Clause 2 “Normative references”” i standard EN 60436:2020 som ska tillämpas vid presumtion om överensstämmelse. |
| --- | --- |

(7)

Det är nödvändigt att klargöra vilka versioner av standarder som avses i punkt 3 ”Modification of Clause 2 “Normative references”” i standard EN 60436:2020 som ska tillämpas vid presumtion om överensstämmelse.

| (8) | Kolumnen ”Remarks / Notes*” i tabell ZZA.1 i standarden EN 60436:2020 vid tillämpning av delegerad förordning (EU) 2019/2017 och kolumnen ”Remarks / Notes*” i tabell ZZB.1 i standarden EN 60436:2020 vid tillämpning av förordning (EU) 2019/2022 bör undantas från offentliggörande på grund av att dessa kolumner inte överensstämmer med kraven i standardens huvudsakliga normativa del och på grund av rättslig osäkerhet till följd av tolkningen av den rättsliga verkan av presumtion om överensstämmelse i fotnoten till dessa kolumner. |
| --- | --- |

(8)

Kolumnen ”Remarks / Notes*” i tabell ZZA.1 i standarden EN 60436:2020 vid tillämpning av delegerad förordning (EU) 2019/2017 och kolumnen ”Remarks / Notes*” i tabell ZZB.1 i standarden EN 60436:2020 vid tillämpning av förordning (EU) 2019/2022 bör undantas från offentliggörande på grund av att dessa kolumner inte överensstämmer med kraven i standardens huvudsakliga normativa del och på grund av rättslig osäkerhet till följd av tolkningen av den rättsliga verkan av presumtion om överensstämmelse i fotnoten till dessa kolumner.

| (9) | Det är därför lämpligt att offentliggöra hänvisningen till den harmoniserade standarden EN 60436:2020, ändrad genom EN 60436:2020/A11:2020 och rättad genom EN 60436:2020/AC:2020–6 i Europeiska unionens officiella tidning med begränsningar. |
| --- | --- |

(9)

Det är därför lämpligt att offentliggöra hänvisningen till den harmoniserade standarden EN 60436:2020, ändrad genom EN 60436:2020/A11:2020 och rättad genom EN 60436:2020/AC:2020–6 i Europeiska unionens officiella tidning med begränsningar.

| (10) | Den harmoniserade standarden EN 60436:2020 ersätter den harmoniserade standarden EN 50242:2016, offentliggjord genom kommissionens meddelande 2016/C 416/05 (7). Det är därför lämpligt att upphäva det meddelandet. |
| --- | --- |

(10)

Den harmoniserade standarden EN 60436:2020 ersätter den harmoniserade standarden EN 50242:2016, offentliggjord genom kommissionens meddelande 2016/C 416/05 (7). Det är därför lämpligt att upphäva det meddelandet.

| (11) | Överensstämmelse med en harmoniserad standard ger en presumtion om överensstämmelse med motsvarande krav i unionens harmoniserade lagstiftning från och med dagen för offentliggörande av hänvisningen till en sådan standard i Europeiska unionens officiella tidning. Detta beslut bör därför träda i kraft samma dag som det offentliggörs. |
| --- | --- |

(11)

Överensstämmelse med en harmoniserad standard ger en presumtion om överensstämmelse med motsvarande krav i unionens harmoniserade lagstiftning från och med dagen för offentliggörande av hänvisningen till en sådan standard i Europeiska unionens officiella tidning. Detta beslut bör därför träda i kraft samma dag som det offentliggörs.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Hänvisningen till den harmoniserade standarden för energimärkning av diskmaskiner för hushållsbruk som utarbetats till stöd för delegerad förordning (EU) 2019/2017 och som förtecknas i bilaga I till detta beslut offentliggörs härmed i Europeiska unionens officiella tidning med begränsningar.

Hänvisningen till den harmoniserade standarden för ekodesign av diskmaskiner för hushållsbruk som utarbetats till stöd för förordning (EU) 2019/2022 och som förtecknas i bilaga II till detta beslut offentliggörs härmed i Europeiska unionens officiella tidning med begränsningar.

Artikel 2

Meddelande 2016/C 416/05 ska upphöra att gälla.

Artikel 3

Detta beslut träder i kraft samma dag som det offentliggörs i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 3 juni 2021.

På kommissionens vägnar

Ursula VON DER LEYEN

Ordförande

---

(1)  
  EUT L 316, 14.11.2012, s. 12.

1

(2)  Europaparlamentets och rådets direktiv 2009/125/EG av den 21 oktober 2009 om upprättande av en ram för att fastställa krav på ekodesign för energirelaterade produkter (EUT L 285, 31.10.2009, s. 10).

2

(3)  Kommissionens förordning (EU) 2019/2022 av den 1 oktober 2019 om fastställande av krav på ekodesign för diskmaskiner för hushållsbruk i enlighet med Europaparlamentets och rådets direktiv 2009/125/EG, om ändring av kommissionens förordning (EG) nr 1275/2008 och om upphävande av kommissionens förordning (EU) nr 1016/2010 (EUT L 315, 5.12.2019, s. 267).

3

(4)  Europaparlamentets och rådets förordning (EU) 2017/1369 av den 4 juli 2017 om fastställande av en ram för energimärkning och om upphävande av direktiv 2010/30/EU (EUT L 198, 28.7.2017, s. 1).

4

(5)  Kommissionens delegerade förordning (EU) 2019/2017 av den 11 mars 2019 om komplettering av Europaparlamentets och rådets förordning (EU) 2017/1369 vad gäller energimärkning av diskmaskiner för hushållsbruk och om upphävande av kommissionens delegerade förordning (EU) nr 1059/2010 (EUT L 315 5.12.2019, s. 134).

5

(6)  Commission Implementing Decision C(2020) 4329 of 1 July 2020 on a standardisation request to the European Committee for Standardisation, the European Committee for Electrotechnical Standardisation and the European Telecommunications Standards Institute as regards ecodesign and energy labelling requirements for household dishwashers, household washing machines and household washer-dryers in support of Commission Regulations (EU) 2019/2022 and (EU) 2019/2023 and Commission Delegated Regulations (EU) 2019/2017 and (EU) 2019/2014 (inte översatt till svenska).

6

(7)  Kommissionens meddelande inom ramen för genomförandet av kommissionens förordning (EU) nr 1016/2010 om genomförande av Europaparlamentets och rådets direktiv 2009/125/EG vad gäller krav på ekodesign för tvättmaskiner för hushållsbruk och kommissionens delegerade förordning (EU) nr 1059/2010 om komplettering av Europaparlamentets och rådets direktiv 2010/30/EU vad gäller energimärkning av diskmaskiner för hushållsbruk (Offentliggörande av titlar på och hänvisningar till harmoniserade standarder inom ramen för unionslagstiftningen om harmonisering) (EUT C 416, 11.11.2016, s. 14).

7

---

BILAGA I

Harmoniserade standarder som utarbetats till stöd för delegerad förordning (EU) 2019/2017

| SS-EN 60436:2020
  Diskmaskiner för hushållsbruk - Funktionsprovning
  SS-EN 60436:2020/A11:2020
  SS-EN 60436:2020/AC:2020–6
  Begränsningar:






  a) | Vid tillämpning av klausul ”2 Normative references” gäller följande versioner av harmoniserade standarder:






  i) | SS-EN 50564:2011, |
| --- | --- | --- |

SS-EN 60436:2020

Diskmaskiner för hushållsbruk - Funktionsprovning

SS-EN 60436:2020/A11:2020

SS-EN 60436:2020/AC:2020–6

Begränsningar:

a)

Vid tillämpning av klausul ”2 Normative references” gäller följande versioner av harmoniserade standarder:

i)

SS-EN 50564:2011,

| ii) | SS-EN 50643:2018, ändrad genom SS-EN 50643:2018/A1:2020, |
| --- | --- |

ii)

SS-EN 50643:2018, ändrad genom SS-EN 50643:2018/A1:2020,

| iii) | SS-EN 60704–2-3:2019, |
| --- | --- |

iii)

SS-EN 60704–2-3:2019,

| iv) | SS-EN 60704–2-3:2019, ändrad genom SS-EN 60704–2-3:2019/A11:2019, |
| --- | --- |

iv)

SS-EN 60704–2-3:2019, ändrad genom SS-EN 60704–2-3:2019/A11:2019,

| v) | SS-EN 60705:2015, ändrad genom SS-EN 60705:2015/A2:2018, |
| --- | --- |

v)

SS-EN 60705:2015, ändrad genom SS-EN 60705:2015/A2:2018,

| vi) | SS-EN 60734:2012, |
| --- | --- |

vi)

SS-EN 60734:2012,

| vii) | ISO 607:1980. |
| --- | --- |

vii)

ISO 607:1980.

| b) | Detta offentliggörande omfattar inte kolumnen ”Remarks / Notes*” till tabell ZZA.1 |
| --- | --- |

b)

Detta offentliggörande omfattar inte kolumnen ”Remarks / Notes*” till tabell ZZA.1

---

BILAGA II

Harmoniserade standarder som utarbetats till stöd för förordning (EU) 2019/2022

| SS-EN 60436:2020
  Diskmaskiner för hushållsbruk - Funktionsprovning
  SS-EN 60436:2020/A11:2020
  SS-EN 60436:2020/AC:2020–6
  Begränsningar:






  a) | Vid tillämpning av klausul ”2 Normative references” gäller följande versioner av harmoniserade standarder:






  i) | SS-EN 50564:2011, |
| --- | --- | --- |

SS-EN 60436:2020

Diskmaskiner för hushållsbruk - Funktionsprovning

SS-EN 60436:2020/A11:2020

SS-EN 60436:2020/AC:2020–6

Begränsningar:

a)

Vid tillämpning av klausul ”2 Normative references” gäller följande versioner av harmoniserade standarder:

i)

SS-EN 50564:2011,

| ii) | SS-EN 50643:2018, ändrad genom SS-EN 50643:2018/A1:2020, |
| --- | --- |

ii)

SS-EN 50643:2018, ändrad genom SS-EN 50643:2018/A1:2020,

| iii) | SS-EN 60704–2-3:2019, |
| --- | --- |

iii)

SS-EN 60704–2-3:2019,

| iv) | SS-EN 60704–2-3:2019, ändrad genom SS-EN 60704–2-3:2019/A11:2019, |
| --- | --- |

iv)

SS-EN 60704–2-3:2019, ändrad genom SS-EN 60704–2-3:2019/A11:2019,

| v) | SS-EN 60705:2015, ändrad genom SS-EN 60705:2015/A2:2018, |
| --- | --- |

v)

SS-EN 60705:2015, ändrad genom SS-EN 60705:2015/A2:2018,

| vi) | SS-EN 60734:2012, |
| --- | --- |

vi)

SS-EN 60734:2012,

| vii) | ISO 607:1980. |
| --- | --- |

vii)

ISO 607:1980.

| b) | Detta offentliggörande omfattar inte kolumnen ”Remarks / Notes*” till tabell ZZB.1 |
| --- | --- |

b)

Detta offentliggörande omfattar inte kolumnen ”Remarks / Notes*” till tabell ZZB.1

---

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/18 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/18

---

KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/915

av den 4 juni 2021

om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i Europaparlamentets och rådets förordning (EU) 2016/679 och artikel 29.7 i Europaparlamentets och rådets förordning (EU) 2018/1725

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (1), särskilt artikel 28.7,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (2), särskilt artikel 29.7, och

av följande skäl:

| (1) | Begreppen personuppgiftsansvarig och personuppgiftsbiträde har en central roll vid tillämpningen av förordning (EU) 2016/679 och förordning (EU) 2018/1725. Den personuppgiftsansvarige är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Vid tillämpning av förordning (EU) 2018/1725 avses med personuppgiftsansvarig den unionsinstitution eller det unionsorgan eller det generaldirektorat eller varje annan organisatorisk enhet som ensam(t) eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för denna behandling bestäms av en särskild unionsakt kan den personuppgiftsansvarige eller de särskilda kriterierna för utnämning av personuppgiftsansvarig föreskrivas i unionsrätten. Ett personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. |
| --- | --- |

(1)

Begreppen personuppgiftsansvarig och personuppgiftsbiträde har en central roll vid tillämpningen av förordning (EU) 2016/679 och förordning (EU) 2018/1725. Den personuppgiftsansvarige är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Vid tillämpning av förordning (EU) 2018/1725 avses med personuppgiftsansvarig den unionsinstitution eller det unionsorgan eller det generaldirektorat eller varje annan organisatorisk enhet som ensam(t) eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för denna behandling bestäms av en särskild unionsakt kan den personuppgiftsansvarige eller de särskilda kriterierna för utnämning av personuppgiftsansvarig föreskrivas i unionsrätten. Ett personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

| (2) | Samma uppsättning standardavtalsklausuler bör vara tillämpliga med avseende på förhållandet mellan personuppgiftsansvariga och personuppgiftsbiträden som omfattas av förordning (EU) 2016/679 och även när de omfattas av förordning (EU) 2018/1725. Detta beror på att bestämmelserna om skydd av personuppgifter i förordning (EU) 2016/679, som gäller för den offentliga sektorn i medlemsstaterna, och bestämmelserna om skydd av personuppgifter i förordning (EU) 2018/1725, som gäller för unionens institutioner, organ och byråer, så långt som möjligt har anpassats till varandra för att främja en konsekvent strategi för skyddet av personuppgifter i hela unionen och det fria flödet av personuppgifter inom unionen. |
| --- | --- |

(2)

Samma uppsättning standardavtalsklausuler bör vara tillämpliga med avseende på förhållandet mellan personuppgiftsansvariga och personuppgiftsbiträden som omfattas av förordning (EU) 2016/679 och även när de omfattas av förordning (EU) 2018/1725. Detta beror på att bestämmelserna om skydd av personuppgifter i förordning (EU) 2016/679, som gäller för den offentliga sektorn i medlemsstaterna, och bestämmelserna om skydd av personuppgifter i förordning (EU) 2018/1725, som gäller för unionens institutioner, organ och byråer, så långt som möjligt har anpassats till varandra för att främja en konsekvent strategi för skyddet av personuppgifter i hela unionen och det fria flödet av personuppgifter inom unionen.

| (3) | För att säkerställa att kraven i förordning (EU) 2016/679 och förordning (EU) 2018/1725 uppfylls, bör den personuppgiftsansvarige, när denne anförtror behandling åt ett personuppgiftsbiträde, endast använda personuppgiftsbiträden som ger tillräckliga garantier, i synnerhet i fråga om sakkunskap, tillförlitlighet och resurser, för att genomföra tekniska och organisatoriska åtgärder som uppfyller kraven i förordning (EU) 2016/679 och förordning (EU) 2018/1725, bl.a. vad gäller säkerhet i samband med behandlingen av uppgifter. |
| --- | --- |

(3)

För att säkerställa att kraven i förordning (EU) 2016/679 och förordning (EU) 2018/1725 uppfylls, bör den personuppgiftsansvarige, när denne anförtror behandling åt ett personuppgiftsbiträde, endast använda personuppgiftsbiträden som ger tillräckliga garantier, i synnerhet i fråga om sakkunskap, tillförlitlighet och resurser, för att genomföra tekniska och organisatoriska åtgärder som uppfyller kraven i förordning (EU) 2016/679 och förordning (EU) 2018/1725, bl.a. vad gäller säkerhet i samband med behandlingen av uppgifter.

| (4) | När uppgifter behandlas av ett personuppgiftsbiträde ska behandlingen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som innehåller de delar som förtecknas i artikel 28.3 och 28.4 i förordning (EU) 2016/679 eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725. Avtalet eller rättsakten bör upprättas skriftligen, inbegripet i ett elektroniskt format. |
| --- | --- |

(4)

När uppgifter behandlas av ett personuppgiftsbiträde ska behandlingen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som innehåller de delar som förtecknas i artikel 28.3 och 28.4 i förordning (EU) 2016/679 eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725. Avtalet eller rättsakten bör upprättas skriftligen, inbegripet i ett elektroniskt format.

| (5) | I enlighet med artikel 28.6 i förordning (EU) 2016/679 och artikel 29.6 i förordning (EU) 2018/1725 får den personuppgiftsansvarige och personuppgiftsbiträdet välja att förhandla fram ett enskilt avtal som innehåller de obligatoriska delar som anges i artikel 28.3 och 28.4 i förordning (EU) 2016/679 respektive artikel 29.3 och 29.4 i förordning (EU) 2018/1725, eller att helt eller delvis använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 28.7 i förordning (EU) 2016/679 och artikel 29.7 i förordning (EU) 2018/1725. |
| --- | --- |

(5)

I enlighet med artikel 28.6 i förordning (EU) 2016/679 och artikel 29.6 i förordning (EU) 2018/1725 får den personuppgiftsansvarige och personuppgiftsbiträdet välja att förhandla fram ett enskilt avtal som innehåller de obligatoriska delar som anges i artikel 28.3 och 28.4 i förordning (EU) 2016/679 respektive artikel 29.3 och 29.4 i förordning (EU) 2018/1725, eller att helt eller delvis använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 28.7 i förordning (EU) 2016/679 och artikel 29.7 i förordning (EU) 2018/1725.

| (6) | Det bör stå den personuppgiftsansvarige och personuppgiftsbiträdet fritt att inkludera standardavtalsklausulerna i detta beslut i ett mer omfattande avtal och att lägga till andra klausuler eller ytterligare skyddsåtgärder, förutsatt att de inte direkt eller indirekt strider mot standardavtalsklausulerna eller påverkar de registrerades grundläggande rättigheter och friheter. Användning av standardavtalsklausulerna påverkar inte eventuella avtalsförpliktelser som den personuppgiftsansvarige och/eller personuppgiftsbiträdet har för att säkerställa att tillämpliga privilegier och immuniteter iakttas. |
| --- | --- |

(6)

Det bör stå den personuppgiftsansvarige och personuppgiftsbiträdet fritt att inkludera standardavtalsklausulerna i detta beslut i ett mer omfattande avtal och att lägga till andra klausuler eller ytterligare skyddsåtgärder, förutsatt att de inte direkt eller indirekt strider mot standardavtalsklausulerna eller påverkar de registrerades grundläggande rättigheter och friheter. Användning av standardavtalsklausulerna påverkar inte eventuella avtalsförpliktelser som den personuppgiftsansvarige och/eller personuppgiftsbiträdet har för att säkerställa att tillämpliga privilegier och immuniteter iakttas.

| (7) | Standardavtalsklausulerna bör omfatta både materiella och processuella bestämmelser. I enlighet med artikel 28.3 i förordning (EU) 2016/679 och artikel 29.3 i förordning (EU) 2018/1725 bör det i standardavtalsklausulerna även krävas att den personuppgiftsansvarige och personuppgiftsbiträdet anger föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade och den personuppgiftsansvariges skyldigheter och rättigheter. |
| --- | --- |

(7)

Standardavtalsklausulerna bör omfatta både materiella och processuella bestämmelser. I enlighet med artikel 28.3 i förordning (EU) 2016/679 och artikel 29.3 i förordning (EU) 2018/1725 bör det i standardavtalsklausulerna även krävas att den personuppgiftsansvarige och personuppgiftsbiträdet anger föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade och den personuppgiftsansvariges skyldigheter och rättigheter.

| (8) | I enlighet med artikel 28.3 i förordning (EU) 2016/679 och artikel 29.3 i förordning (EU) 2018/1725 måste personuppgiftsbiträdet omedelbart informera den personuppgiftsansvarige om denne anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot andra av unionens eller medlemsstaternas dataskyddsbestämmelser. |
| --- | --- |

(8)

I enlighet med artikel 28.3 i förordning (EU) 2016/679 och artikel 29.3 i förordning (EU) 2018/1725 måste personuppgiftsbiträdet omedelbart informera den personuppgiftsansvarige om denne anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot andra av unionens eller medlemsstaternas dataskyddsbestämmelser.

| (9) | Om ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde för att utföra specifika uppgifter bör de särskilda krav som avses i artikel 28.2 och 28.4 i förordning (EU) 2016/679 eller artikel 29.2 och 29.4 i förordning (EU) 2018/1725 tillämpas. I synnerhet krävs ett särskilt eller allmänt skriftligt förhandstillstånd. Oberoende huruvida det är frågan om ett särskilt eller allmänt förhandstillstånd, bör det första personuppgiftsbiträdet hålla en förteckning över andra personuppgiftsbiträden uppdaterad. |
| --- | --- |

(9)

Om ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde för att utföra specifika uppgifter bör de särskilda krav som avses i artikel 28.2 och 28.4 i förordning (EU) 2016/679 eller artikel 29.2 och 29.4 i förordning (EU) 2018/1725 tillämpas. I synnerhet krävs ett särskilt eller allmänt skriftligt förhandstillstånd. Oberoende huruvida det är frågan om ett särskilt eller allmänt förhandstillstånd, bör det första personuppgiftsbiträdet hålla en förteckning över andra personuppgiftsbiträden uppdaterad.

| (10) | För att uppfylla kraven i artikel 46.1 i förordning (EU) 2016/679 har kommissionen antagit standardavtalsklausuler i enlighet med artikel 46.2 c i förordning (EU) 2016/679. Dessa klausuler uppfyller även kraven i artikel 28.3 och 28.4 i förordning (EU) 2016/679 för överföringar av uppgifter från personuppgiftsansvariga som omfattas av förordning (EU) 2016/679 till personuppgiftsbiträden utanför den förordningens territoriella tillämpningsområde eller från personuppgiftsbiträden som omfattas av förordning (EU) 2016/679 till underleverantörer utanför den förordningens territoriella tillämpningsområde. Dessa standardavtalsklausuler kan inte användas som standardavtalsklausuler i den mening som avses i kapitel V i förordning (EU) 2016/679. |
| --- | --- |

(10)

För att uppfylla kraven i artikel 46.1 i förordning (EU) 2016/679 har kommissionen antagit standardavtalsklausuler i enlighet med artikel 46.2 c i förordning (EU) 2016/679. Dessa klausuler uppfyller även kraven i artikel 28.3 och 28.4 i förordning (EU) 2016/679 för överföringar av uppgifter från personuppgiftsansvariga som omfattas av förordning (EU) 2016/679 till personuppgiftsbiträden utanför den förordningens territoriella tillämpningsområde eller från personuppgiftsbiträden som omfattas av förordning (EU) 2016/679 till underleverantörer utanför den förordningens territoriella tillämpningsområde. Dessa standardavtalsklausuler kan inte användas som standardavtalsklausuler i den mening som avses i kapitel V i förordning (EU) 2016/679.

| (11) | Tredje parter bör kunna bli parter i standardavtalsklausulerna under avtalets hela löptid. |
| --- | --- |

(11)

Tredje parter bör kunna bli parter i standardavtalsklausulerna under avtalets hela löptid.

| (12) | Standardavtalsklausulernas tillämpning bör utvärderas som en del av den regelbundna utvärderingen av förordning (EU) 2016/679 enligt artikel 97 i den förordningen. |
| --- | --- |

(12)

Standardavtalsklausulernas tillämpning bör utvärderas som en del av den regelbundna utvärderingen av förordning (EU) 2016/679 enligt artikel 97 i den förordningen.

| (13) | Europeiska datatillsynsmannen och Europeiska dataskyddsstyrelsen har hörts i enlighet med artikel 42.1 och 42.2 i förordning (EU) 2018/1725 och har avgett ett [gemensamt yttrande] den 14 januari 2021 (3), vilket har beaktats vid utarbetandet av detta beslut. |
| --- | --- |

(13)

Europeiska datatillsynsmannen och Europeiska dataskyddsstyrelsen har hörts i enlighet med artikel 42.1 och 42.2 i förordning (EU) 2018/1725 och har avgett ett [gemensamt yttrande] den 14 januari 2021 (3), vilket har beaktats vid utarbetandet av detta beslut.

| (14) | De åtgärder som föreskrivs i detta beslut följer yttrandet från den kommitté som inrättats enligt artikel 93 i förordning (EU) 2016/679 respektive artikel 96.2 i förordning (EU) 2018/1725. |
| --- | --- |

(14)

De åtgärder som föreskrivs i detta beslut följer yttrandet från den kommitté som inrättats enligt artikel 93 i förordning (EU) 2016/679 respektive artikel 96.2 i förordning (EU) 2018/1725.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Standardavtalsklausulerna i bilagan uppfyller kraven för avtal mellan personuppgiftsansvariga och personuppgiftsbiträden i artikel 28.3 och 28.4 i förordning (EU) 2016/679 och i artikel 29.3 och 29.4 i förordning (EU) 2018/1725.

Artikel 2

Standardavtalsklausulerna i bilagan får användas i avtal mellan en personuppgiftsansvarig och ett personuppgiftsbiträde som behandlar personuppgifter för den personuppgiftsansvariges räkning.

Artikel 3

Kommissionen ska utvärdera den praktiska tillämpningen av standardavtalsklausulerna i bilagan på grundval av all tillgänglig information som en del av den regelbundna utvärdering som föreskrivs i artikel 97 i förordning (EU) 2016/679.

Artikel 4

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 4 juni 2021.

På kommissionens vägnar

Ursula VON DER LEYEN

Ordförande

---

(1)  
  EUT L 119, 4.5.2016, s. 1.

1

(2)  
  EUT L 295, 21.11.2018, s. 39.

2

(3)  Gemensamt yttrande 1/2021 från Europeiska dataskyddsstyrelsen (EDPB) och Europeiska datatillsynsmannen (EDPS) om Europeiska kommissionens genomförandebeslut om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden för de frågor som avses i artikel 28.7 i förordning (EU) 2016/679 och artikel 29.7 i förordning (EU) 2018/1725.

3

---

BILAGA

STANDARDAVTALSKLAUSULER

AVSNITT I

Klausul 1

Syfte och tillämpningsområde

| a) | Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med [välj relevant alternativ: ALTERNATIV 1: artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter]/[ALTERNATIV 2: artikel 29.3 och 29.4 i Europaparlamentets och rådets förordning (EG) nr 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)]. |
| --- | --- |

a)

Syftet med dessa standardavtalsklausuler (klausulerna) är att säkerställa överensstämmelse med [välj relevant alternativ: ALTERNATIV 1: artikel 28.3 och 28.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter]/[ALTERNATIV 2: artikel 29.3 och 29.4 i Europaparlamentets och rådets förordning (EG) nr 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)].

| b) | De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725. |
| --- | --- |

b)

De personuppgiftsansvariga och de personuppgiftsbiträden som anges i bilaga I har kommit överens om att tillämpa dessa klausuler för att säkerställa efterlevnaden av artikel 28.3 och 28.4 i förordning (EU) 2016/679 och/eller artikel 29.3 och 29.4 i förordning (EU) 2018/1725.

| c) | Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II. |
| --- | --- |

c)

Dessa klausuler är tillämpliga på behandling av personuppgifter i enlighet med bilaga II.

| d) | Bilagorna I–IV utgör en integrerad del av klausulerna. |
| --- | --- |

d)

Bilagorna I–IV utgör en integrerad del av klausulerna.

| e) | Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. |
| --- | --- |

e)

Dessa klausuler påverkar inte de skyldigheter som den personuppgiftsansvarige har enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

| f) | Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs. |
| --- | --- |

f)

Genom dessa klausuler säkerställs inte i sig att skyldigheterna i samband med internationella överföringar i enlighet med kapitel V i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 fullgörs.

Klausul 2

Klausulernas oföränderlighet

| a) | Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem. |
| --- | --- |

a)

Parterna förbinder sig att inte ändra klausulerna, förutom för att lägga till information i bilagorna eller uppdatera informationen i dem.

| b) | Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter. |
| --- | --- |

b)

Detta hindrar inte parterna från att inkludera de standardavtalsklausuler som fastställs i dessa klausuler i ett mer omfattande avtal eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt strider mot klausulerna eller begränsar de registrerades grundläggande rättigheter eller friheter.

Klausul 3

Tolkning

| a) | Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen. |
| --- | --- |

a)

Om de begrepp som definieras i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 används i dessa klausuler ska dessa begrepp ha samma betydelse som i den förordningen.

| b) | Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725. |
| --- | --- |

b)

Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725.

| c) | Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter. |
| --- | --- |

c)

Dessa klausuler ska inte tolkas så att de strider mot de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679 respektive förordning (EU) 2018/1725 eller påverkar de registrerades grundläggande rättigheter eller friheter.

Klausul 4

Hierarki

Om dessa klausuler strider mot bestämmelser i tillhörande avtal mellan parterna som gäller vid den tidpunkt då dessa klausuler avtalas eller ingås därefter, ska dessa klausuler ha företräde.

Klausul 5 – Frivillig

Dockningsklausul

| a) | Varje enhet som inte är part i dessa klausuler får, med godkännande från samtliga parter, när som helst ansluta sig till dessa klausuler som personuppgiftsansvarig eller personuppgiftsbiträde genom att fylla i bilagorna och underteckna bilaga I. |
| --- | --- |

a)

Varje enhet som inte är part i dessa klausuler får, med godkännande från samtliga parter, när som helst ansluta sig till dessa klausuler som personuppgiftsansvarig eller personuppgiftsbiträde genom att fylla i bilagorna och underteckna bilaga I.

| b) | När de bilagor som avses i led a har fyllts i och undertecknats ska den anslutande enheten behandlas som part i dessa klausuler och ha de rättigheter och skyldigheter som gäller personuppgiftsansvariga eller personuppgiftsbiträden i överensstämmelse med dess intagande i bilaga I. |
| --- | --- |

b)

När de bilagor som avses i led a har fyllts i och undertecknats ska den anslutande enheten behandlas som part i dessa klausuler och ha de rättigheter och skyldigheter som gäller personuppgiftsansvariga eller personuppgiftsbiträden i överensstämmelse med dess intagande i bilaga I.

| c) | Den anslutande enheten ska inte ha några rättigheter eller skyldigheter som följer av dessa klausuler innan den blir part. |
| --- | --- |

c)

Den anslutande enheten ska inte ha några rättigheter eller skyldigheter som följer av dessa klausuler innan den blir part.

AVSNITT II

PARTERNAS SKYLDIGHETER

Klausul 6

Beskrivning av behandlingen

Närmare uppgifter om behandlingen, särskilt kategorierna av personuppgifter och de ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning, anges i bilaga II.

Klausul 7

Parternas skyldigheter

7.1   Instruktioner

| a) | Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras. |
| --- | --- |

a)

Personuppgiftsbiträdet får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av. I så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida detta inte är förbjudet med hänvisning till ett viktigt allmänintresse enligt denna rätt. Den personuppgiftsansvarige får även ge efterföljande instruktioner under hela den tid som personuppgifterna behandlas. Dessa instruktioner ska alltid dokumenteras.

| b) | Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser. |
| --- | --- |

b)

Personuppgiftsbiträdet ska omedelbart informera den personuppgiftsansvarige om personuppgiftsbiträdet anser att en instruktion från den personuppgiftsansvarige strider mot förordning (EU) 2016/679 eller förordning (EU) 2018/1725 eller mot unionens eller medlemsstaternas tillämpliga dataskyddsbestämmelser.

7.2   Ändamålsbegränsning

Personuppgiftsbiträdet får behandla personuppgifterna endast för det eller de specifika ändamål med behandlingen som anges i bilaga II, såvida det inte erhåller ytterligare instruktioner från den personuppgiftsansvarige.

7.3   Varaktigheten för behandlingen av personuppgifter

Behandling som utförs av personuppgiftsbiträdet får endast äga rum under den tid som anges i bilaga II.

7.4   Säkerhet i samband med behandlingen

| a) | Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade. |
| --- | --- |

a)

Personuppgiftsbiträdet ska åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga III för att säkerställa säkerheten för personuppgifterna. Detta omfattar att skydda uppgifterna mot säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömningen av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för de registrerade.

| b) | Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. |
| --- | --- |

b)

Personuppgiftsbiträdet ska bevilja sin personal tillgång till de personuppgifter som behandlas endast i den mån det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Personuppgiftsbiträdet ska säkerställa att personer med behörighet att behandla de erhållna personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

7.5   Känsliga uppgifter

Om behandlingen omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning eller uppgifter om fällande domar i brottmål och överträdelser (känsliga uppgifter), ska personuppgiftsbiträdet tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder.

7.6   Dokumentation och efterlevnad

| a) | Parterna ska kunna visa att dessa klausuler följs. |
| --- | --- |

a)

Parterna ska kunna visa att dessa klausuler följs.

| b) | Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler. |
| --- | --- |

b)

Personuppgiftsbiträdet ska skyndsamt och på lämpligt sätt hantera förfrågningar från den personuppgiftsansvarige om behandlingen av uppgifter i enlighet med dessa klausuler.

| c) | Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar. |
| --- | --- |

c)

Personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som behövs för att påvisa efterlevnad av de skyldigheter som fastställs i dessa klausuler och härrör direkt från förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet även tillåta och bidra till granskningar av den behandling som omfattas av dessa klausuler, med rimliga intervall eller om det finns tecken på bristande efterlevnad. Vid beslut om översyn eller granskning får den personuppgiftsansvarige ta hänsyn till relevanta certifieringar som personuppgiftsbiträdet innehar.

| d) | Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel. |
| --- | --- |

d)

Den personuppgiftsansvarige kan välja att själv utföra granskningen eller bemyndiga en oberoende revisor. Granskningar får även omfatta inspektioner i personuppgiftsbiträdets lokaler eller fysiska anläggningar och ska vid behov utföras med rimligt varsel.

| e) | Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna). |
| --- | --- |

e)

Parterna ska på begäran göra den information som avses i denna klausul, inklusive resultaten av eventuella granskningar, tillgänglig för den (de) behöriga tillsynsmyndigheten(-erna).

7.7   Användning av underleverantörer

| a) | ALTERNATIV 1: SÄRSKILT FÖRHANDSTILLSTÅND: Personuppgiftsbiträdet får inte utan särskilt föregående skriftligt tillstånd från den personuppgiftsansvarige lägga ut någon av de behandlingar som utförs för den personuppgiftsansvariges räkning i enlighet med dessa klausuler på en underleverantör. Personuppgiftsbiträdet ska överlämna begäran om särskilt tillstånd minst [SPECIFICERA TIDSPERIOD] innan den berörda underleverantören anlitas, tillsammans med den information som krävs för att den personuppgiftsansvarige ska kunna besluta om tillståndet. Förteckningen över de underleverantörer som den personuppgiftsansvarige har godkänt återfinns i bilaga IV. Parterna ska hålla bilaga IV uppdaterad.
  ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND: Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst [SPECIFICERA TIDSPERIOD] i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar. |
| --- | --- |

a)

ALTERNATIV 1: SÄRSKILT FÖRHANDSTILLSTÅND: Personuppgiftsbiträdet får inte utan särskilt föregående skriftligt tillstånd från den personuppgiftsansvarige lägga ut någon av de behandlingar som utförs för den personuppgiftsansvariges räkning i enlighet med dessa klausuler på en underleverantör. Personuppgiftsbiträdet ska överlämna begäran om särskilt tillstånd minst [SPECIFICERA TIDSPERIOD] innan den berörda underleverantören anlitas, tillsammans med den information som krävs för att den personuppgiftsansvarige ska kunna besluta om tillståndet. Förteckningen över de underleverantörer som den personuppgiftsansvarige har godkänt återfinns i bilaga IV. Parterna ska hålla bilaga IV uppdaterad.

ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND: Personuppgiftsbiträdet har erhållit ett allmänt tillstånd från den personuppgiftsansvarige att anlita underleverantörer från en överenskommen förteckning. Personuppgiftsbiträdet ska skriftligen informera den personuppgiftsansvarige om eventuella planerade ändringar av förteckningen genom att underleverantörer läggs till eller ersätts minst [SPECIFICERA TIDSPERIOD] i förväg, så att den personuppgiftsansvarige får tillräckligt med tid för att kunna invända mot sådana ändringar innan den eller de berörda underleverantörerna anlitas. Personuppgiftsbiträdet ska tillhandahålla den personuppgiftsansvarige den information som krävs för att denne ska kunna utöva sin rätt att göra invändningar.

| b) | Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. |
| --- | --- |

b)

Om personuppgiftsbiträdet anlitar en underleverantör för att utföra en specifik behandling (för den personuppgiftsansvariges räkning) ska personuppgiftsbiträdet göra detta genom ett avtal som i sak ålägger underleverantören samma skyldigheter i fråga om uppgiftsskydd som de som personuppgiftsbiträdet åläggs i enlighet med dessa klausuler. Personuppgiftsbiträdet ska se till att underleverantören uppfyller de skyldigheter som personuppgiftsbiträdet omfattas av enligt dessa klausuler och förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

| c) | På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas. |
| --- | --- |

c)

På den personuppgiftsansvariges begäran ska personuppgiftsbiträdet tillhandahålla den personuppgiftsansvarige en kopia av ett sådant underleverantörsavtal och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller annan konfidentiell information, inbegripet personuppgifter, får personuppgiftsbiträdet redigera avtalstexten innan kopian delas.

| d) | Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet. |
| --- | --- |

d)

Personuppgiftsbiträdet ska fortsatt vara fullt ut ansvarig gentemot den personuppgiftsansvarige för att underleverantören fullgör sina skyldigheter i enlighet med sitt avtal med personuppgiftsbiträdet. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige om underleverantören underlåter att uppfylla sina skyldigheter enligt avtalet.

| e) | Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige – om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna. |
| --- | --- |

e)

Personuppgiftsbiträdet och underleverantören ska avtala om en klausul om tredjepartsberättigande, enligt vilken den personuppgiftsansvarige – om personuppgiftsbiträdet har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp underleverantörsavtalet och instruera underleverantören att radera eller återlämna personuppgifterna.

7.8   Internationella överföringar

| a) | Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725. |
| --- | --- |

a)

Personuppgiftsbiträdet får endast överföra uppgifter till ett tredjeland eller en internationell organisation på grundval av dokumenterade instruktioner från den personuppgiftsansvarige eller för att uppfylla ett särskilt krav enligt unionsrätten eller en medlemsstats lagstiftning som personuppgiftsbiträdet omfattas av, och överföringen ska genomföras i enlighet med kapitel V i förordning (EU) 2016/679 eller förordning (EU) 2018/1725.

| b) | Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda. |
| --- | --- |

b)

Den personuppgiftsansvarige samtycker till att, om personuppgiftsbiträdet anlitar en underleverantör i enlighet med klausul 7.7 för att utföra specifik behandling (för den personuppgiftsansvariges räkning) och denna behandling omfattar en överföring av personuppgifter i den mening som avses i kapitel V i förordning (EU) 2016/679, personuppgiftsbiträdet och underleverantören kan säkerställa att kapitel V i förordning (EU) 2016/679 efterlevs genom att använda standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 i förordning (EU) 2016/679, förutsatt att villkoren för att använda dessa standardavtalsklausuler är uppfyllda.

Klausul 8

Stöd till den personuppgiftsansvarige

| a) | Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta. |
| --- | --- |

a)

Personuppgiftsbiträdet ska utan dröjsmål underrätta den personuppgiftsansvarige om varje begäran som erhållits från den registrerade. Personuppgiftsbiträdet ska inte själv besvara begäran, såvida inte den personuppgiftsansvarige har godkänt detta.

| b) | Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b. |
| --- | --- |

b)

Personuppgiftsbiträdet ska hjälpa den personuppgiftsansvarige att fullgöra sin skyldighet att besvara framställningar från registrerade för att utöva sina rättigheter, med hänsyn till behandlingens art. Personuppgiftsbiträdet ska följa den personuppgiftsansvariges instruktioner när det fullgör sina skyldigheter i enlighet med leden a och b.

| c) | Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:






  1) | Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. |
| --- | --- | --- |

c)

Utöver personuppgiftsbiträdets skyldighet att bistå den personuppgiftsansvarige enligt klausul 8 b ska personuppgiftsbiträdet dessutom bistå den personuppgiftsansvarige med att säkerställa att följande skyldigheter fullgörs, med beaktande av uppgiftsbehandlingens art och den information som personuppgiftsbiträdet har att tillgå:

1)

Skyldigheten att utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter (en konsekvensbedömning avseende dataskydd) om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

| 2) | Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken. |
| --- | --- |

2)

Skyldigheten att samråda med den (de) behöriga tillsynsmyndigheten(-erna) före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

| 3) | Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade. |
| --- | --- |

3)

Skyldigheten att säkerställa att personuppgifterna är korrekta och uppdaterade genom att utan dröjsmål informera den personuppgiftsansvarige om personuppgiftsbiträdet får kännedom om att de personuppgifter som behandlas är felaktiga eller har blivit föråldrade.

| 4) | Skyldigheterna i [ALTERNATIV 1] artikel 32 i förordning (EU) 2016/679/[ALTERNATIV 2] artikel 33 och artiklarna 36–38 i förordning (EU) 2018/1725. |
| --- | --- |

4)

Skyldigheterna i [ALTERNATIV 1] artikel 32 i förordning (EU) 2016/679/[ALTERNATIV 2] artikel 33 och artiklarna 36–38 i förordning (EU) 2018/1725.

| d) | Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs. |
| --- | --- |

d)

Parterna ska i bilaga III ange de lämpliga tekniska och organisatoriska åtgärder genom vilka personuppgiftsbiträdet ska bistå den personuppgiftsansvarige vid tillämpningen av denna klausul samt räckvidden och omfattningen av det bistånd som krävs.

Klausul 9

Anmälan av personuppgiftsincidenter

Vid en personuppgiftsincident ska personuppgiftsbiträdet samarbeta med och bistå den personuppgiftsansvarige för att denne ska kunna fullgöra sina skyldigheter enligt artiklarna 33 och 34 i förordning (EU) 2016/679 eller artiklarna 34 och 35 i förordning (EU) 2018/1725, i tillämpliga fall, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

9.1   Personuppgiftsincidenter som rör uppgifter som behandlas av den personuppgiftsansvarige

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av den personuppgiftsansvarige ska personuppgiftsbiträdet bistå den personuppgiftsansvarige med att

| a) | anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall/(med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter), |
| --- | --- |

a)

anmäla personuppgiftsincidenten till den (de) behöriga tillsynsmyndigheten(-erna), utan onödigt dröjsmål efter det att den personuppgiftsansvarige har fått kännedom om den, i förekommande fall/(med undantag för om det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter),

| b) | erhålla följande information som, i enlighet med [ALTERNATIV 1] artikel 33.3 i förordning (EU) 2016/679/[ALTERNATIV 2] artikel 34.3 i förordning (EU) 2018/1725, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta






  1) | personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs, |
| --- | --- | --- |

b)

erhålla följande information som, i enlighet med [ALTERNATIV 1] artikel 33.3 i förordning (EU) 2016/679/[ALTERNATIV 2] artikel 34.3 i förordning (EU) 2018/1725, ska anges i den personuppgiftsansvariges anmälan, och åtminstone ska omfatta

1)

personuppgifternas art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,

| 2) | de sannolika konsekvenserna av personuppgiftsincidenten, |
| --- | --- |

2)

de sannolika konsekvenserna av personuppgiftsincidenten,

| 3) | de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter. |
| --- | --- |

3)

de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

| c) | uppfylla, i enlighet med [ALTERNATIV 1] artikel 34 i förordning (EU) 2016/679/[ALTERNATIV 2] artikel 35 i förordning (EU) 2018/1725, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter. |
| --- | --- |

c)

uppfylla, i enlighet med [ALTERNATIV 1] artikel 34 i förordning (EU) 2016/679/[ALTERNATIV 2] artikel 35 i förordning (EU) 2018/1725, skyldigheten att utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten, om den sannolikt kommer att medföra en hög risk för fysiska personers rättigheter och friheter.

9.2   Personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet

I händelse av en personuppgiftsincident som rör uppgifter som behandlas av personuppgiftsbiträdet ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter det att personuppgiftsbiträdet har fått kännedom om incidenten. En sådan anmäla ska åtminstone innehålla

| a) | en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs), |
| --- | --- |

a)

en beskrivning av incidentens art (inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade och uppgiftsposter som berörs),

| b) | uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas, |
| --- | --- |

b)

uppgifter från en kontaktpunkt där mer information om personuppgiftsincidenten kan erhållas,

| c) | de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter. |
| --- | --- |

c)

de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslagits för att åtgärda incidenten, inbegripet åtgärder för att mildra dess potentiella negativa effekter.

Om och i den mån det inte är möjligt att tillhandahålla all denna information samtidigt ska den ursprungliga anmälan innehålla den information som finns tillgänglig, och ytterligare information ska därefter, i den mån den blir tillgänglig, tillhandahållas utan onödigt dröjsmål.

Parterna ska i bilaga III ange alla andra uppgifter som personuppgiftsbiträdet ska tillhandahålla när denne bistår den personuppgiftsansvarige vid fullgörandet av den personuppgiftsansvariges skyldigheter enligt [ALTERNATIV 1] artiklarna 33 och 34 i förordning (EU) 2016/679/[ALTERNATIV 2] artiklarna 34 och 35 i förordning (EU) 2018/1725.

AVSNITT III

SLUTBESTÄMMELSER

Klausul 10

Bristande efterlevnad av klausulerna och uppsägning

| a) | Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler. |
| --- | --- |

a)

Utan att det påverkar tillämpningen av bestämmelserna i förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725 får den personuppgiftsansvarige, om personuppgiftsbiträdet inte fullgör sina skyldigheter enligt dessa klausuler, instruera personuppgiftsbiträdet att avbryta behandlingen av personuppgifter till dess att denne uppfyller dessa klausuler eller avtalet sägs upp. Personuppgiftsbiträdet ska omedelbart underrätta den personuppgiftsansvarige om denne av något skäl inte kan följa dessa klausuler.

| b) | Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om






  1) | personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits, |
| --- | --- | --- |

b)

Den personuppgiftsansvarige ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter i enlighet med dessa klausuler om

1)

personuppgiftsbiträdets behandling av personuppgifter har avbrutits av den personuppgiftsansvarige i enlighet med led a och om efterlevnaden av dessa klausuler inte återställs inom rimlig tid och i alla händelser inom en månad efter det att behandlingen avbrutits,

| 2) | personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725, |
| --- | --- |

2)

personuppgiftsbiträdet allvarligt eller ihållande åsidosätter dessa klausuler eller sina skyldigheter enligt förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725,

| 3) | personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725. |
| --- | --- |

3)

personuppgiftsbiträdet underlåter att följa ett bindande beslut från en behörig domstol eller den (de) behöriga tillsynsmyndigheten(-erna) som rör dennes skyldigheter i enlighet med dessa klausuler eller förordning (EU) 2016/679 och/eller förordning (EU) 2018/1725.

| c) | Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs. |
| --- | --- |

c)

Personuppgiftsbiträdet ska ha rätt att säga upp avtalet i den mån det avser behandling av personuppgifter enligt dessa klausuler, om den personuppgiftsansvarige, efter att ha informerats av personuppgiftsbiträdet om att dennes instruktioner strider mot tillämpliga rättsliga krav i enlighet med klausul 7.1 b, insisterar på att instruktionerna följs.

| d) | Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler. |
| --- | --- |

d)

Efter uppsägningen av avtalet ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter som behandlats för den personuppgiftsansvariges räkning och intyga för den personuppgiftsansvarige att detta är utfört, eller återlämna alla personuppgifter till den personuppgiftsansvarige och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Till dess att uppgifterna raderas eller återlämnas ska personuppgiftsbiträdet säkerställa efterlevnaden av dessa klausuler.

---

BILAGA I

Förteckning över parter

Personuppgiftsansvariga:
  [Identitet och kontaktuppgifter för den eller de berörda personuppgiftsansvariga, samt, i tillämpliga fall, för den personuppgiftsansvariges dataskyddsombud]

| 1. | Namn: ... |
| --- | --- |

1.

Namn: ...

| | Adress: ... |
| --- | --- |

Adress: ...

| | Kontaktpersonens namn, befattning och kontaktuppgifter: ... |
| --- | --- |

Kontaktpersonens namn, befattning och kontaktuppgifter: ...

| | Underskrift och anslutningsdatum: ... |
| --- | --- |

Underskrift och anslutningsdatum: ...

| 2. | |
| --- | --- |

2.

...

Personuppgiftsbiträden:
  [Identitet och kontaktuppgifter för den eller de berörda personuppgiftsbiträdena samt, i tillämpliga fall, för personuppgiftsbiträdets dataskyddsombud]

| 1. | Namn: ... |
| --- | --- |

1.

Namn: ...

| | Adress: ... |
| --- | --- |

Adress: ...

| | Kontaktpersonens namn, befattning och kontaktuppgifter: ... |
| --- | --- |

Kontaktpersonens namn, befattning och kontaktuppgifter: ...

| | Underskrift och anslutningsdatum: ... |
| --- | --- |

Underskrift och anslutningsdatum: ...

| 2. | |
| --- | --- |

2.

...

---

BILAGA II

Beskrivning av behandlingen

Kategorier av registrerade vars personuppgifter behandlas

...

Kategorier av personuppgifter

...

Känsliga uppgifter som behandlas (i tillämpliga fall) och tillämpade begränsningar eller skyddsåtgärder som fullt ut tar hänsyn till uppgifternas art och de risker som är förknippade med dem, t.ex. strikt ändamålsbegränsning, åtkomstbegränsningar (inbegripet åtkomst endast för personal som har gått en specialiserad utbildning), registrering av åtkomst till uppgifterna, begränsningar för vidareöverföring eller ytterligare säkerhetsåtgärder.

...

Behandlingens art

...

Ändamål för vilka personuppgifterna behandlas för den personuppgiftsansvariges räkning

...

Behandlingens varaktighet

...

...

För behandling som utförs av personuppgiftsbiträden (eller underleverantörer), ange även föremålet för behandlingen, behandlingens art och dess varaktighet

---

BILAGA III

Tekniska och organisatoriska åtgärder, inbegripet tekniska och organisatoriska åtgärder för att säkerställa datasäkerheten

FÖRKLARANDE ANMÄRKNING:

De tekniska och organisatoriska åtgärderna måste beskrivas konkret och inte på ett allmänt sätt.

En beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som den eller de berörda personuppgiftsbiträdena vidtagit (inbegripet eventuella relevanta certifieringar) för att säkerställa en lämplig säkerhetsnivå, med beaktande av behandlingens art, omfattning, sammanhang och syfte samt riskerna för fysiska personers rättigheter och friheter. Exempel på möjliga åtgärder omfattar följande:

| | Åtgärder för pseudonymisering och kryptering av personuppgifter. |
| --- | --- |

Åtgärder för pseudonymisering och kryptering av personuppgifter.

| | Åtgärder för att säkerställa fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna. |
| --- | --- |

Åtgärder för att säkerställa fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna.

| | Åtgärder för att säkerställa förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident. |
| --- | --- |

Åtgärder för att säkerställa förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident.

| | Förfaranden för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna för att säkerställa behandlingens säkerhet. |
| --- | --- |

Förfaranden för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna för att säkerställa behandlingens säkerhet.

| | Åtgärder för identifiering och godkännande av användare. |
| --- | --- |

Åtgärder för identifiering och godkännande av användare.

| | Åtgärder för skydd av uppgifter under överföring. |
| --- | --- |

Åtgärder för skydd av uppgifter under överföring.

| | Åtgärder för skydd av uppgifter under lagring. |
| --- | --- |

Åtgärder för skydd av uppgifter under lagring.

| | Åtgärder för att säkerställa fysisk säkerhet på platser där personuppgifter behandlas. |
| --- | --- |

Åtgärder för att säkerställa fysisk säkerhet på platser där personuppgifter behandlas.

| | Åtgärder för att säkerställa loggning av händelser. |
| --- | --- |

Åtgärder för att säkerställa loggning av händelser.

| | Åtgärder för att säkerställa systemkonfiguration, inklusive standardkonfiguration. |
| --- | --- |

Åtgärder för att säkerställa systemkonfiguration, inklusive standardkonfiguration.

| | Åtgärder för intern it och styrning och hantering av it-säkerhet. |
| --- | --- |

Åtgärder för intern it och styrning och hantering av it-säkerhet.

| | Åtgärder för certifiering/säkring av processer och produkter. |
| --- | --- |

Åtgärder för certifiering/säkring av processer och produkter.

| | Åtgärder för att säkerställa uppgiftsminimering. |
| --- | --- |

Åtgärder för att säkerställa uppgiftsminimering.

| | Åtgärder för att säkerställa datakvalitet. |
| --- | --- |

Åtgärder för att säkerställa datakvalitet.

| | Åtgärder för att säkerställa begränsad lagring av uppgifter. |
| --- | --- |

Åtgärder för att säkerställa begränsad lagring av uppgifter.

| | Åtgärder för att säkerställa ansvarsskyldighet. |
| --- | --- |

Åtgärder för att säkerställa ansvarsskyldighet.

| | Åtgärder för att möjliggöra dataportabilitet och säkerställa radering. |
| --- | --- |

Åtgärder för att möjliggöra dataportabilitet och säkerställa radering.

I fråga om överföringar till personuppgiftsbiträden (eller underleverantörer), beskriv även de specifika tekniska och organisatoriska åtgärder som personuppgiftsbiträdet (eller underleverantören) ska vidta för att kunna bistå den personuppgiftsansvarige.

Beskrivning av de specifika tekniska och organisatoriska åtgärder som personuppgiftsbiträdet ska vidta för att kunna bistå den personuppgiftsansvarige.

---

BILAGA IV

Förteckning över underleverantörer

FÖRKLARANDE ANMÄRKNING:

Denna bilaga måste fyllas i vid särskilt godkännande av underleverantörer (klausul 7.7 a, alternativ 1).

Den personuppgiftsansvarige har godkänt användningen av följande underleverantörer:

| 1. | Namn: ... |
| --- | --- |

1.

Namn: ...

| | Adress: ... |
| --- | --- |

Adress: ...

| | Kontaktpersonens namn, befattning och kontaktuppgifter: ... |
| --- | --- |

Kontaktpersonens namn, befattning och kontaktuppgifter: ...

| | Beskrivning av behandlingen (inklusive en tydlig ansvarsfördelning om flera underleverantörer har godkänts): ... |
| --- | --- |

Beskrivning av behandlingen (inklusive en tydlig ansvarsfördelning om flera underleverantörer har godkänts): ...

| 2. | ... |
| --- | --- |

2.

...

---

| 7.6.2021 | SV | Europeiska unionens officiella tidning | L 199/31 |
| --- | --- | --- | --- |

7.6.2021

SV

Europeiska unionens officiella tidning

L 199/31

---

KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2021/914

av den 4 juni 2021

om standardavtalsklausuler för överföring av personuppgifter till tredjeländer i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (1), särskilt artikel 28.7 och artikel 46.2 c, och

av följande skäl:

| (1) | Tekniska framsteg underlättar de gränsöverskridande dataflöden som är nödvändiga för att internationellt samarbete och internationell handel ska utvecklas. Samtidigt är det nödvändigt att säkerställa att den nivå av skydd som fysiska personer garanteras genom förordning (EU) 2016/679 inte undergrävs när personuppgifter överförs till tredjeländer, däribland i samband med vidare överföring (2). Syftet med bestämmelserna om överföring av personuppgifter i kapitel V i förordning (EU) 2016/679 är att säkerställa att den höga skyddsnivån upprätthålls när personuppgifter överförs till ett tredjeland (3). |
| --- | --- |

(1)

Tekniska framsteg underlättar de gränsöverskridande dataflöden som är nödvändiga för att internationellt samarbete och internationell handel ska utvecklas. Samtidigt är det nödvändigt att säkerställa att den nivå av skydd som fysiska personer garanteras genom förordning (EU) 2016/679 inte undergrävs när personuppgifter överförs till tredjeländer, däribland i samband med vidare överföring (2). Syftet med bestämmelserna om överföring av personuppgifter i kapitel V i förordning (EU) 2016/679 är att säkerställa att den höga skyddsnivån upprätthålls när personuppgifter överförs till ett tredjeland (3).

| (2) | I enlighet med artikel 46.1 i förordning (EU) 2016/679 får en personuppgiftsansvarig eller ett personuppgiftsbiträde, i avsaknad av ett beslut om adekvat skyddsnivå från kommissionen enligt artikel 45.3, endast överföra personuppgifter till ett tredjeland efter att ha vidtagit lämpliga skyddsåtgärder och på villkor att lagstadgade rättigheter och effektiva rättsmedel finns tillgängliga för de registrerade. Sådana skyddsåtgärder kan ta formen av standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 c. |
| --- | --- |

(2)

I enlighet med artikel 46.1 i förordning (EU) 2016/679 får en personuppgiftsansvarig eller ett personuppgiftsbiträde, i avsaknad av ett beslut om adekvat skyddsnivå från kommissionen enligt artikel 45.3, endast överföra personuppgifter till ett tredjeland efter att ha vidtagit lämpliga skyddsåtgärder och på villkor att lagstadgade rättigheter och effektiva rättsmedel finns tillgängliga för de registrerade. Sådana skyddsåtgärder kan ta formen av standardavtalsklausuler som antagits av kommissionen i enlighet med artikel 46.2 c.

| (3) | Användningen av standardavtalsklausuler är begränsad till att säkerställa lämpliga skyddsåtgärder för personuppgifter vid internationella överföringar. Den personuppgiftsansvarig eller det personuppgiftsbiträde som överför personuppgifterna till ett tredjeland (uppgiftsutföraren) och den personuppgiftsansvarig eller det personuppgiftsbiträde som tar emot personuppgifterna (uppgiftsinföraren) har därför friheten att införa dessa standardavtalsklausuler i ett mer övergripande avtal och att lägga till andra bestämmelser eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt står i strid med standardavtalsklausulerna eller påverkar de registrerades grundläggande rättigheter eller friheter. Personuppgiftsansvariga och personuppgiftsbiträden uppmuntras att tillhandahålla ytterligare skyddsåtgärder genom avtalsenliga åtaganden som kompletterar standardavtalsklausulerna (4). Användningen av standardavtalsklausulerna påverkar inte uppgiftsutförarens och/eller uppgiftsinförarens avtalsenliga skyldigheter att säkerställa respekten för tillämpliga privilegier och tillämplig immunitet. |
| --- | --- |

(3)

Användningen av standardavtalsklausuler är begränsad till att säkerställa lämpliga skyddsåtgärder för personuppgifter vid internationella överföringar. Den personuppgiftsansvarig eller det personuppgiftsbiträde som överför personuppgifterna till ett tredjeland (uppgiftsutföraren) och den personuppgiftsansvarig eller det personuppgiftsbiträde som tar emot personuppgifterna (uppgiftsinföraren) har därför friheten att införa dessa standardavtalsklausuler i ett mer övergripande avtal och att lägga till andra bestämmelser eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt står i strid med standardavtalsklausulerna eller påverkar de registrerades grundläggande rättigheter eller friheter. Personuppgiftsansvariga och personuppgiftsbiträden uppmuntras att tillhandahålla ytterligare skyddsåtgärder genom avtalsenliga åtaganden som kompletterar standardavtalsklausulerna (4). Användningen av standardavtalsklausulerna påverkar inte uppgiftsutförarens och/eller uppgiftsinförarens avtalsenliga skyldigheter att säkerställa respekten för tillämpliga privilegier och tillämplig immunitet.

| (4) | Även om uppgiftsutföraren använder standardavtalsklausuler för att tillhandahålla lämpliga skyddsåtgärder för överföringar i enlighet med artikel 46.1 i förordning (EU) 2016/679 måste han eller hon fullgöra sina allmänna skyldigheter i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde enligt förordning (EU) 2016/679. Detta omfattar den personuppgiftsansvariges skyldighet att informera de registrerade om avsikten att överföra deras personuppgifter till ett tredjeland enligt artikel 13.1 f och artikel 14.1 f i förordning (EU) 2016/679. Vid överföringar enligt artikel 46 i förordning (EU) 2016/679 måste denna information inbegripa en hänvisning till de lämpliga skyddsåtgärderna och hur en kopia av dem kan erhållas, eller information om var de har gjorts tillgängliga. |
| --- | --- |

(4)

Även om uppgiftsutföraren använder standardavtalsklausuler för att tillhandahålla lämpliga skyddsåtgärder för överföringar i enlighet med artikel 46.1 i förordning (EU) 2016/679 måste han eller hon fullgöra sina allmänna skyldigheter i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde enligt förordning (EU) 2016/679. Detta omfattar den personuppgiftsansvariges skyldighet att informera de registrerade om avsikten att överföra deras personuppgifter till ett tredjeland enligt artikel 13.1 f och artikel 14.1 f i förordning (EU) 2016/679. Vid överföringar enligt artikel 46 i förordning (EU) 2016/679 måste denna information inbegripa en hänvisning till de lämpliga skyddsåtgärderna och hur en kopia av dem kan erhållas, eller information om var de har gjorts tillgängliga.

| (5) | Kommissionens beslut 2001/497/EG (5) och 2010/87/EU (6) innehåller standardavtalsklausuler för att underlätta överföringen av personuppgifter från en personuppgiftsansvarig som är etablerad i unionen till en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad/etablerat i ett tredjeland som inte har en adekvat skyddsnivå. Dessa beslut fattades på grundval av Europaparlamentets och rådets direktiv 95/46/EG (7). |
| --- | --- |

(5)

Kommissionens beslut 2001/497/EG (5) och 2010/87/EU (6) innehåller standardavtalsklausuler för att underlätta överföringen av personuppgifter från en personuppgiftsansvarig som är etablerad i unionen till en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad/etablerat i ett tredjeland som inte har en adekvat skyddsnivå. Dessa beslut fattades på grundval av Europaparlamentets och rådets direktiv 95/46/EG (7).

| (6) | Enligt artikel 46.5 i förordning (EU) 2016/679 ska beslut 2001/497/EG och beslut 2010/87/EU förbli i kraft tills de, vid behov, ändras, ersätts eller upphävs av ett kommissionsbeslut som antagits i enlighet med artikel 46.2 i samma förordning. Standardavtalsklausulerna i besluten behövde uppdateras mot bakgrund av nya krav i förordning (EU) 2016/679. Sedan besluten antogs har den digitala ekonomin dessutom utvecklats avsevärt, med omfattande användning av nya och mer komplexa behandlingssteg som ofta inbegriper flera uppgiftsinförare och uppgiftsutförare, långa och komplexa behandlingskedjor och nya typer av affärsförbindelser. Detta innebär att standardavtalsklausulerna måste moderniseras så att de speglar den nya verkligheten på ett bättre sätt genom att omfatta fler behandlings- och överföringssituationer och möjliggöra ett mer flexibelt tillvägagångssätt, till exempel med avseende på antalet parter som kan ingå ett avtal. |
| --- | --- |

(6)

Enligt artikel 46.5 i förordning (EU) 2016/679 ska beslut 2001/497/EG och beslut 2010/87/EU förbli i kraft tills de, vid behov, ändras, ersätts eller upphävs av ett kommissionsbeslut som antagits i enlighet med artikel 46.2 i samma förordning. Standardavtalsklausulerna i besluten behövde uppdateras mot bakgrund av nya krav i förordning (EU) 2016/679. Sedan besluten antogs har den digitala ekonomin dessutom utvecklats avsevärt, med omfattande användning av nya och mer komplexa behandlingssteg som ofta inbegriper flera uppgiftsinförare och uppgiftsutförare, långa och komplexa behandlingskedjor och nya typer av affärsförbindelser. Detta innebär att standardavtalsklausulerna måste moderniseras så att de speglar den nya verkligheten på ett bättre sätt genom att omfatta fler behandlings- och överföringssituationer och möjliggöra ett mer flexibelt tillvägagångssätt, till exempel med avseende på antalet parter som kan ingå ett avtal.

| (7) | En personuppgiftsansvarig eller ett personuppgiftsbiträde får använda de standardavtalsklausuler som anges i bilagan till detta beslut för att tillhandahålla lämpliga skyddsåtgärder i den mening som avses i artikel 46.1 i förordning (EU) 2016/679 vid överföring av personuppgifter till ett personuppgiftsbiträde eller en personuppgiftsansvarig som är etablerat/etablerad i ett tredjeland, utan att det påverkar tolkningen av begreppet internationell överföring i förordning (EU) 2016/679. Standardavtalsklausulerna får endast användas vid sådana överföringar i den utsträckning som uppgiftsinförarens behandling inte omfattas av tillämpningsområdet för förordning (EU) 2016/679. Detta omfattar även överföring av personuppgifter av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad/etablerat i unionen, i den utsträckning som behandlingen omfattas av förordning (EU) 2016/679 (enligt artikel 3.2 i samma förordning), eftersom den gäller utbjudande av varor eller tjänster till registrerade i unionen eller övervakning av deras beteende när de befinner sig i unionen. |
| --- | --- |

(7)

En personuppgiftsansvarig eller ett personuppgiftsbiträde får använda de standardavtalsklausuler som anges i bilagan till detta beslut för att tillhandahålla lämpliga skyddsåtgärder i den mening som avses i artikel 46.1 i förordning (EU) 2016/679 vid överföring av personuppgifter till ett personuppgiftsbiträde eller en personuppgiftsansvarig som är etablerat/etablerad i ett tredjeland, utan att det påverkar tolkningen av begreppet internationell överföring i förordning (EU) 2016/679. Standardavtalsklausulerna får endast användas vid sådana överföringar i den utsträckning som uppgiftsinförarens behandling inte omfattas av tillämpningsområdet för förordning (EU) 2016/679. Detta omfattar även överföring av personuppgifter av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad/etablerat i unionen, i den utsträckning som behandlingen omfattas av förordning (EU) 2016/679 (enligt artikel 3.2 i samma förordning), eftersom den gäller utbjudande av varor eller tjänster till registrerade i unionen eller övervakning av deras beteende när de befinner sig i unionen.

| (8) | Mot bakgrund av att förordning (EU) 2016/679 och Europaparlamentets och rådets förordning (EU) 2018/1725 (8) generellt har samordnats bör det även vara möjligt att använda standardavtalsklausulerna inom ramen för ett avtal enligt artikel 29.4 i förordning (EU) 2018/1725 vid överföring av personuppgifter till en underentreprenör i ett tredjeland av ett personuppgiftsbiträde som inte är en unionsinstitution eller ett unionsorgan, men som omfattas av förordning (EU) 2016/679 och behandlar personuppgifter på uppdrag av en unionsinstitution eller ett unionsorgan i enlighet med artikel 29 i förordning (EU) 2018/1725. Under förutsättning att avtalet speglar samma skyldigheter avseende dataskydd som fastställs i avtalet eller någon annan rättsakt mellan den personuppgiftsansvarige och personuppgiftsbiträdet i enlighet med artikel 29.3 i förordning (EU) 2018/1725, i synnerhet genom att ge tillräckliga garantier för tekniska och organisatoriska åtgärder för att säkerställa att behandlingen uppfyller kraven i nämnda förordning, kommer efterlevnad av artikel 29.4 i förordning (EU) 2018/1725 att säkerställas. Detta kommer i synnerhet att vara fallet när den personuppgiftsansvarige och personuppgiftsbiträdet använder standardavtalsklausulerna i kommissionens genomförandebeslut om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i Europaparlamentets och rådets förordning (EU) 2016/679 och artikel 29.7 i Europaparlamentets och rådets förordning (EU) 2018/1725 (9). |
| --- | --- |

(8)

Mot bakgrund av att förordning (EU) 2016/679 och Europaparlamentets och rådets förordning (EU) 2018/1725 (8) generellt har samordnats bör det även vara möjligt att använda standardavtalsklausulerna inom ramen för ett avtal enligt artikel 29.4 i förordning (EU) 2018/1725 vid överföring av personuppgifter till en underentreprenör i ett tredjeland av ett personuppgiftsbiträde som inte är en unionsinstitution eller ett unionsorgan, men som omfattas av förordning (EU) 2016/679 och behandlar personuppgifter på uppdrag av en unionsinstitution eller ett unionsorgan i enlighet med artikel 29 i förordning (EU) 2018/1725. Under förutsättning att avtalet speglar samma skyldigheter avseende dataskydd som fastställs i avtalet eller någon annan rättsakt mellan den personuppgiftsansvarige och personuppgiftsbiträdet i enlighet med artikel 29.3 i förordning (EU) 2018/1725, i synnerhet genom att ge tillräckliga garantier för tekniska och organisatoriska åtgärder för att säkerställa att behandlingen uppfyller kraven i nämnda förordning, kommer efterlevnad av artikel 29.4 i förordning (EU) 2018/1725 att säkerställas. Detta kommer i synnerhet att vara fallet när den personuppgiftsansvarige och personuppgiftsbiträdet använder standardavtalsklausulerna i kommissionens genomförandebeslut om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden enligt artikel 28.7 i Europaparlamentets och rådets förordning (EU) 2016/679 och artikel 29.7 i Europaparlamentets och rådets förordning (EU) 2018/1725 (9).

| (9) | Om behandlingen inbegriper överföringar av personuppgifter från personuppgiftsansvariga som omfattas av förordning (EU) 2016/679 till personuppgiftsbiträden som inte omfattas av dess geografiska tillämpningsområde, eller från personuppgiftsbiträden som omfattas av förordning (EU) 2016/679 till underentreprenörer som inte omfattas av dess geografiska tillämpningsområde, bör de standardavtalsklausuler som anges i bilagan till detta beslut också göra det möjligt att uppfylla kraven i artikel 28.3 och 28.4 i förordning (EU) 2016/679. |
| --- | --- |

(9)

Om behandlingen inbegriper överföringar av personuppgifter från personuppgiftsansvariga som omfattas av förordning (EU) 2016/679 till personuppgiftsbiträden som inte omfattas av dess geografiska tillämpningsområde, eller från personuppgiftsbiträden som omfattas av förordning (EU) 2016/679 till underentreprenörer som inte omfattas av dess geografiska tillämpningsområde, bör de standardavtalsklausuler som anges i bilagan till detta beslut också göra det möjligt att uppfylla kraven i artikel 28.3 och 28.4 i förordning (EU) 2016/679.

| (10) | I de standardavtalsklausuler som anges i bilagan till detta beslut kombineras allmänna klausuler med ett modulärt tillvägagångssätt för att ta hänsyn till olika överföringsscenarier och komplexiteten i de moderna behandlingskedjorna. Vid sidan av de allmänna klausulerna bör personuppgiftsansvariga och personuppgiftsbiträden välja den modul som är tillämplig i deras situation för att skräddarsy sina skyldigheter enligt standardavtalsklausulerna i förhållande till sina roller och ansvarsområden i samband med databehandlingen i fråga. Det bör vara möjligt för fler än två parter att följa standardavtalsklausulerna. Dessutom bör ytterligare personuppgiftsansvariga och personuppgiftsbiträden ha möjlighet att ansluta sig till standardavtalsklausulerna som uppgiftsutförare eller uppgiftsinförare under hela giltighetstiden för det avtal som de är en del av. |
| --- | --- |

(10)

I de standardavtalsklausuler som anges i bilagan till detta beslut kombineras allmänna klausuler med ett modulärt tillvägagångssätt för att ta hänsyn till olika överföringsscenarier och komplexiteten i de moderna behandlingskedjorna. Vid sidan av de allmänna klausulerna bör personuppgiftsansvariga och personuppgiftsbiträden välja den modul som är tillämplig i deras situation för att skräddarsy sina skyldigheter enligt standardavtalsklausulerna i förhållande till sina roller och ansvarsområden i samband med databehandlingen i fråga. Det bör vara möjligt för fler än två parter att följa standardavtalsklausulerna. Dessutom bör ytterligare personuppgiftsansvariga och personuppgiftsbiträden ha möjlighet att ansluta sig till standardavtalsklausulerna som uppgiftsutförare eller uppgiftsinförare under hela giltighetstiden för det avtal som de är en del av.

| (11) | För att tillhandahålla lämpliga skyddsåtgärder bör standardavtalsklausulerna säkerställa att de personuppgifter som överförs på denna grund har en skyddsnivå som väsentligen är likvärdig med den skyddsnivå som garanteras inom unionen (10). I syfte att säkerställa insyn i behandlingen bör de registrerade få en kopia av standardavtalsklausulerna och, i synnerhet, information om de kategorier av personuppgifter som behandlas, rätten att erhålla en kopia av standardavtalsklausulerna och all eventuell vidare överföring. Uppgiftsinföraren bör endast ha rätt att överföra uppgifterna vidare till en tredje part i ett annat tredjeland om den tredje parten har anslutit sig till standardavtalsklausulerna, om ett fortsatt skydd säkerställs på annat sätt eller i särskilda situationer, däribland om den registrerade har gett sitt uttryckliga och informerade medgivande. |
| --- | --- |

(11)

För att tillhandahålla lämpliga skyddsåtgärder bör standardavtalsklausulerna säkerställa att de personuppgifter som överförs på denna grund har en skyddsnivå som väsentligen är likvärdig med den skyddsnivå som garanteras inom unionen (10). I syfte att säkerställa insyn i behandlingen bör de registrerade få en kopia av standardavtalsklausulerna och, i synnerhet, information om de kategorier av personuppgifter som behandlas, rätten att erhålla en kopia av standardavtalsklausulerna och all eventuell vidare överföring. Uppgiftsinföraren bör endast ha rätt att överföra uppgifterna vidare till en tredje part i ett annat tredjeland om den tredje parten har anslutit sig till standardavtalsklausulerna, om ett fortsatt skydd säkerställs på annat sätt eller i särskilda situationer, däribland om den registrerade har gett sitt uttryckliga och informerade medgivande.

| (12) | Med några undantag, främst vad gäller vissa skyldigheter som endast avser relationen mellan uppgiftsutföraren och uppgiftsinföraren, bör de registrerade som berättigade tredje parter kunna åberopa och vid behov verkställa standardavtalsklausulerna. Även om parterna bör ha möjlighet att välja lagstiftningen i en av medlemsstaterna som grund för standardavtalsklausulerna måste lagstiftningen därför tillgodose rättigheterna för en berättigad tredje part. För att underlätta tillgången till domstolsprövning bör standardavtalsklausulerna innehålla krav på att uppgiftsinföraren ska ge de registrerade information om en kontaktpunkt och skyndsamt hantera eventuella klagomål eller förfrågningar. Om en tvist uppstår mellan uppgiftsinföraren och en registrerad som åberopar sin rätt som berättigad tredje part bör den registrerade ha möjlighet att inge ett klagomål till den behöriga tillsynsmyndigheten eller hänskjuta tvisten till de behöriga domstolarna i EU. |
| --- | --- |

(12)

Med några undantag, främst vad gäller vissa skyldigheter som endast avser relationen mellan uppgiftsutföraren och uppgiftsinföraren, bör de registrerade som berättigade tredje parter kunna åberopa och vid behov verkställa standardavtalsklausulerna. Även om parterna bör ha möjlighet att välja lagstiftningen i en av medlemsstaterna som grund för standardavtalsklausulerna måste lagstiftningen därför tillgodose rättigheterna för en berättigad tredje part. För att underlätta tillgången till domstolsprövning bör standardavtalsklausulerna innehålla krav på att uppgiftsinföraren ska ge de registrerade information om en kontaktpunkt och skyndsamt hantera eventuella klagomål eller förfrågningar. Om en tvist uppstår mellan uppgiftsinföraren och en registrerad som åberopar sin rätt som berättigad tredje part bör den registrerade ha möjlighet att inge ett klagomål till den behöriga tillsynsmyndigheten eller hänskjuta tvisten till de behöriga domstolarna i EU.

| (13) | För att säkerställa ett effektivt verkställande bör uppgiftsinföraren vara skyldig att godta myndighetens och domstolarnas behörighet och åta sig att följa eventuella bindande beslut enligt medlemsstatens tillämpliga lagstiftning. I synnerhet bör uppgiftsinföraren samtycka till att svara på förfrågningar, gå med på revisioner och iaktta de åtgärder som antagits av tillsynsmyndigheten, däribland korrigerande och kompenserade åtgärder. Uppgiftsinföraren bör dessutom kunna ge de registrerade möjlighet att begära prövning inför ett oberoende tvistlösningsorgan utan kostnad. I linje med artikel 80.1 i förordning (EU) 2016/679 bör de registrerade ha rätt att företrädas av sammanslutningar eller andra organ i tvister med uppgiftsinföraren om de så önskar. |
| --- | --- |

(13)

För att säkerställa ett effektivt verkställande bör uppgiftsinföraren vara skyldig att godta myndighetens och domstolarnas behörighet och åta sig att följa eventuella bindande beslut enligt medlemsstatens tillämpliga lagstiftning. I synnerhet bör uppgiftsinföraren samtycka till att svara på förfrågningar, gå med på revisioner och iaktta de åtgärder som antagits av tillsynsmyndigheten, däribland korrigerande och kompenserade åtgärder. Uppgiftsinföraren bör dessutom kunna ge de registrerade möjlighet att begära prövning inför ett oberoende tvistlösningsorgan utan kostnad. I linje med artikel 80.1 i förordning (EU) 2016/679 bör de registrerade ha rätt att företrädas av sammanslutningar eller andra organ i tvister med uppgiftsinföraren om de så önskar.

| (14) | Standardavtalsklausulerna bör innehålla regler om ansvarsförhållandena mellan parterna och med avseende på de registrerade samt regler om ersättningsskyldighet mellan parterna. Om den registrerade lider materiell eller immateriell skada till följd av en överträdelse av rättigheterna för en berättigad tredje part enligt standardavtalsklausulerna bör han eller hon ha rätt till ersättning. Detta bör inte påverka ansvarsskyldighet enligt förordning (EU) 2016/679. |
| --- | --- |

(14)

Standardavtalsklausulerna bör innehålla regler om ansvarsförhållandena mellan parterna och med avseende på de registrerade samt regler om ersättningsskyldighet mellan parterna. Om den registrerade lider materiell eller immateriell skada till följd av en överträdelse av rättigheterna för en berättigad tredje part enligt standardavtalsklausulerna bör han eller hon ha rätt till ersättning. Detta bör inte påverka ansvarsskyldighet enligt förordning (EU) 2016/679.

| (15) | Vid överföring till en uppgiftsinförare som agerar i egenskap av personuppgiftsbiträde eller underentreprenör bör särskilda krav gälla i enlighet med artikel 28.3 i förordning (EU) 2016/679. Standardavtalsklausulerna bör innehålla krav på att uppgiftsinföraren ska lämna ut all information som behövs för att visa att de skyldigheter som fastställs i klausulerna har fullgjorts och ska gå med på och bidra till uppgiftsutförarens revisioner av dennes behandling av personuppgifter. Om uppgiftsinföraren anlitar en underentreprenör, i linje med artikel 28.2 och 28.4 i förordning (EU) 2016/679, bör standardavtalsklausulerna särskilt omfatta ett förfarande för ett allmänt eller särskilt tillstånd från uppgiftsutföraren och ett krav på ett skriftligt avtal med underentreprenören för att säkerställa samma nivå av skydd som enligt klausulerna. |
| --- | --- |

(15)

Vid överföring till en uppgiftsinförare som agerar i egenskap av personuppgiftsbiträde eller underentreprenör bör särskilda krav gälla i enlighet med artikel 28.3 i förordning (EU) 2016/679. Standardavtalsklausulerna bör innehålla krav på att uppgiftsinföraren ska lämna ut all information som behövs för att visa att de skyldigheter som fastställs i klausulerna har fullgjorts och ska gå med på och bidra till uppgiftsutförarens revisioner av dennes behandling av personuppgifter. Om uppgiftsinföraren anlitar en underentreprenör, i linje med artikel 28.2 och 28.4 i förordning (EU) 2016/679, bör standardavtalsklausulerna särskilt omfatta ett förfarande för ett allmänt eller särskilt tillstånd från uppgiftsutföraren och ett krav på ett skriftligt avtal med underentreprenören för att säkerställa samma nivå av skydd som enligt klausulerna.

| (16) | Det är lämpligt att föreskriva andra skyddsåtgärder i de standardavtalsklausuler som omfattar den särskilda situation då ett personuppgiftsbiträde i unionen överför personuppgifter till sin personuppgiftsansvarige i ett tredjeland och som speglar de begränsade fristående skyldigheterna för personuppgiftsbiträden enligt förordning (EU) 2016/679. Standardavtalsklausulerna bör i synnerhet innehålla krav på att personuppgiftsbiträdet ska informera den personuppgiftsansvarige om han eller hon inte kan följa sina instruktioner, däribland om instruktionerna bryter mot unionens dataskyddslagstiftning, och att den personuppgiftsansvarige ska avstå från varje åtgärd som skulle hindra personuppgiftsbiträdet att fullgöra sina skyldigheter enligt förordning (EU) 2016/679. Det bör även finnas krav på att parterna ska bistå varandra med att svara på förfrågningar och begäranden från registrerade enligt den lokala lagstiftning som är tillämplig för uppgiftsinföraren eller, vid databehandling inom unionen, enligt förordning (EU) 2016/679. Ytterligare krav för att hantera eventuella konsekvenser av lagstiftningen i det mottagande tredjelandet för den personuppgiftsansvariges efterlevnad av klausulerna, i synnerhet när det gäller hanteringen av bindande begäranden från offentliga myndigheter i tredjelandet om utlämnande av de överförda personuppgifterna, bör gälla i de fall då personuppgiftsbiträdet i unionen kombinerar de personuppgifter som tagits emot från den personuppgiftsansvarige i tredjelandet med personuppgifter som samlats in av personuppgiftsbiträdet i unionen. Omvänt är inga sådana krav motiverade om utkontrakteringen endast inbegriper behandling och återlämning av personuppgifter som tagits emot från den personuppgiftsansvarige och som under alla omständigheter har varit och kommer att förbli föremål för det berörda tredjelandets jurisdiktion. |
| --- | --- |

(16)

Det är lämpligt att föreskriva andra skyddsåtgärder i de standardavtalsklausuler som omfattar den särskilda situation då ett personuppgiftsbiträde i unionen överför personuppgifter till sin personuppgiftsansvarige i ett tredjeland och som speglar de begränsade fristående skyldigheterna för personuppgiftsbiträden enligt förordning (EU) 2016/679. Standardavtalsklausulerna bör i synnerhet innehålla krav på att personuppgiftsbiträdet ska informera den personuppgiftsansvarige om han eller hon inte kan följa sina instruktioner, däribland om instruktionerna bryter mot unionens dataskyddslagstiftning, och att den personuppgiftsansvarige ska avstå från varje åtgärd som skulle hindra personuppgiftsbiträdet att fullgöra sina skyldigheter enligt förordning (EU) 2016/679. Det bör även finnas krav på att parterna ska bistå varandra med att svara på förfrågningar och begäranden från registrerade enligt den lokala lagstiftning som är tillämplig för uppgiftsinföraren eller, vid databehandling inom unionen, enligt förordning (EU) 2016/679. Ytterligare krav för att hantera eventuella konsekvenser av lagstiftningen i det mottagande tredjelandet för den personuppgiftsansvariges efterlevnad av klausulerna, i synnerhet när det gäller hanteringen av bindande begäranden från offentliga myndigheter i tredjelandet om utlämnande av de överförda personuppgifterna, bör gälla i de fall då personuppgiftsbiträdet i unionen kombinerar de personuppgifter som tagits emot från den personuppgiftsansvarige i tredjelandet med personuppgifter som samlats in av personuppgiftsbiträdet i unionen. Omvänt är inga sådana krav motiverade om utkontrakteringen endast inbegriper behandling och återlämning av personuppgifter som tagits emot från den personuppgiftsansvarige och som under alla omständigheter har varit och kommer att förbli föremål för det berörda tredjelandets jurisdiktion.

| (17) | Parterna bör kunna visa att de uppfyller kraven i standardavtalsklausulerna. I synnerhet bör uppgiftsinföraren vara skyldig att dokumentera den behandling som ingår i hans eller hennes ansvarsområde på ett lämpligt sätt, och att skyndsamt informera uppgiftsutföraren om han eller hon inte kan uppfylla kraven i klausulerna, oavsett orsak. I sin tur bör uppgiftsutföraren avbryta överföringen och, i särskilt allvarliga fall, ha rätt att säga upp avtalet, i den mån det gäller behandlingen av personuppgifter enligt standardavtalsklausuler, om uppgiftsinföraren bryter mot klausulerna eller inte kan uppfylla dem. Särskilda regler bör gälla om den lokala lagstiftningen påverkar efterlevnaden av klausulerna. Personuppgifter som har överförts innan avtalet sades upp, och eventuella kopior av dessa, bör efter uppgiftsutförarens eget val skickas tillbaka till uppgiftsutföraren eller förstöras i sin helhet. |
| --- | --- |

(17)

Parterna bör kunna visa att de uppfyller kraven i standardavtalsklausulerna. I synnerhet bör uppgiftsinföraren vara skyldig att dokumentera den behandling som ingår i hans eller hennes ansvarsområde på ett lämpligt sätt, och att skyndsamt informera uppgiftsutföraren om han eller hon inte kan uppfylla kraven i klausulerna, oavsett orsak. I sin tur bör uppgiftsutföraren avbryta överföringen och, i särskilt allvarliga fall, ha rätt att säga upp avtalet, i den mån det gäller behandlingen av personuppgifter enligt standardavtalsklausuler, om uppgiftsinföraren bryter mot klausulerna eller inte kan uppfylla dem. Särskilda regler bör gälla om den lokala lagstiftningen påverkar efterlevnaden av klausulerna. Personuppgifter som har överförts innan avtalet sades upp, och eventuella kopior av dessa, bör efter uppgiftsutförarens eget val skickas tillbaka till uppgiftsutföraren eller förstöras i sin helhet.

| (18) | Standardavtalsklausulerna bör innehålla särskilda skyddsåtgärder, framför allt mot bakgrund av domstolens rättspraxis (11), för att hantera eventuella konsekvenser av det mottagande tredjelandets lagstiftning för uppgiftsinförarens efterlevnad av klausulerna, särskilt när det gäller hanteringen av bindande begäranden från offentliga myndigheter i det berörda landet om utlämnande av de överförda personuppgifterna. |
| --- | --- |

(18)

Standardavtalsklausulerna bör innehålla särskilda skyddsåtgärder, framför allt mot bakgrund av domstolens rättspraxis (11), för att hantera eventuella konsekvenser av det mottagande tredjelandets lagstiftning för uppgiftsinförarens efterlevnad av klausulerna, särskilt när det gäller hanteringen av bindande begäranden från offentliga myndigheter i det berörda landet om utlämnande av de överförda personuppgifterna.

| (19) | Överföring och behandling av personuppgifter enligt standardavtalsklausuler bör inte äga rum om lagstiftningen och förfarandena i det mottagande tredjelandet hindrar uppgiftsinföraren från att uppfylla kraven i klausulerna. I detta sammanhang bör lagar och förfaranden som är förenliga med andemeningen i de grundläggande rättigheterna och friheterna, och som inte går utöver vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda de ändamål som anges i artikel 23.1 i förordning (EU) 2016/679, inte anses vara i strid med standardavtalsklausulerna. När parterna kommer överens om standardavtalsklausulerna bör de garantera att de inte har någon anledning att misstänka att de lagar och förfaranden som är tillämpliga för uppgiftsinföraren inte stämmer överens med dessa krav. |
| --- | --- |

(19)

Överföring och behandling av personuppgifter enligt standardavtalsklausuler bör inte äga rum om lagstiftningen och förfarandena i det mottagande tredjelandet hindrar uppgiftsinföraren från att uppfylla kraven i klausulerna. I detta sammanhang bör lagar och förfaranden som är förenliga med andemeningen i de grundläggande rättigheterna och friheterna, och som inte går utöver vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda de ändamål som anges i artikel 23.1 i förordning (EU) 2016/679, inte anses vara i strid med standardavtalsklausulerna. När parterna kommer överens om standardavtalsklausulerna bör de garantera att de inte har någon anledning att misstänka att de lagar och förfaranden som är tillämpliga för uppgiftsinföraren inte stämmer överens med dessa krav.

| (20) | Parterna bör framför allt ta hänsyn till de särskilda omständigheterna kring överföringen (däribland avtalets innehåll och varaktighet, karaktären hos de uppgifter som ska överföras, typen av mottagare, ändamålet med behandlingen), de lagar och förfaranden i det mottagande tredjelandet som är relevanta mot bakgrund av omständigheterna kring överföringen samt eventuella skyddsåtgärder som införts för att komplettera de som ingår i standardavtalsklausulerna (däribland relevanta avtalsenliga, tekniska och organisatoriska åtgärder som avser överföringen av personuppgifter och deras behandling i det mottagande tredjelandet). När det gäller konsekvenserna av sådana lagar och förfaranden för efterlevnaden av standardavtalsklausulerna kan olika aspekter betraktas som delar av en övergripande bedömning, däribland tillförlitlig information om lagstiftningens tillämpning i praktiken (såsom rättspraxis och rapporter från oberoende tillsynsorgan), förekomst eller frånvaro av begäranden i samma sektor och, under stränga villkor, dokumentation av uppgiftsutförarens och/eller uppgiftsinförarens praktiska erfarenhet. |
| --- | --- |

(20)

Parterna bör framför allt ta hänsyn till de särskilda omständigheterna kring överföringen (däribland avtalets innehåll och varaktighet, karaktären hos de uppgifter som ska överföras, typen av mottagare, ändamålet med behandlingen), de lagar och förfaranden i det mottagande tredjelandet som är relevanta mot bakgrund av omständigheterna kring överföringen samt eventuella skyddsåtgärder som införts för att komplettera de som ingår i standardavtalsklausulerna (däribland relevanta avtalsenliga, tekniska och organisatoriska åtgärder som avser överföringen av personuppgifter och deras behandling i det mottagande tredjelandet). När det gäller konsekvenserna av sådana lagar och förfaranden för efterlevnaden av standardavtalsklausulerna kan olika aspekter betraktas som delar av en övergripande bedömning, däribland tillförlitlig information om lagstiftningens tillämpning i praktiken (såsom rättspraxis och rapporter från oberoende tillsynsorgan), förekomst eller frånvaro av begäranden i samma sektor och, under stränga villkor, dokumentation av uppgiftsutförarens och/eller uppgiftsinförarens praktiska erfarenhet.

| (21) | Uppgiftsinföraren bör meddela uppgiftsutföraren om han eller hon, efter att ha godtagit standardavtalsklausulerna, har anledning att tro att han eller hon inte kommer att kunna uppfylla kraven i standardavtalsklausulerna. Om uppgiftsutföraren får ett sådant meddelande eller på annat sätt får kännedom om att uppgiftsinföraren inte längre kan uppfylla kraven i standardavtalsklausulerna bör han eller hon fastställa lämpliga åtgärder för att hantera situationen, vid behov i samråd med behörig tillsynsmyndighet. Sådana åtgärder kan omfatta kompletterande åtgärder som vidtas av uppgiftsutföraren och/eller uppgiftsinföraren, däribland tekniska eller organisatoriska åtgärder för att garantera säkerhet och konfidentialitet. Uppgiftsutföraren bör vara skyldig att avbryta överföringen om han eller hon anser att lämpliga skyddsåtgärder inte kan säkerställas, eller om den behöriga tillsynsmyndigheten ger instruktioner om detta. |
| --- | --- |

(21)

Uppgiftsinföraren bör meddela uppgiftsutföraren om han eller hon, efter att ha godtagit standardavtalsklausulerna, har anledning att tro att han eller hon inte kommer att kunna uppfylla kraven i standardavtalsklausulerna. Om uppgiftsutföraren får ett sådant meddelande eller på annat sätt får kännedom om att uppgiftsinföraren inte längre kan uppfylla kraven i standardavtalsklausulerna bör han eller hon fastställa lämpliga åtgärder för att hantera situationen, vid behov i samråd med behörig tillsynsmyndighet. Sådana åtgärder kan omfatta kompletterande åtgärder som vidtas av uppgiftsutföraren och/eller uppgiftsinföraren, däribland tekniska eller organisatoriska åtgärder för att garantera säkerhet och konfidentialitet. Uppgiftsutföraren bör vara skyldig att avbryta överföringen om han eller hon anser att lämpliga skyddsåtgärder inte kan säkerställas, eller om den behöriga tillsynsmyndigheten ger instruktioner om detta.

| (22) | Om möjligt bör uppgiftsinföraren informera uppgiftsutföraren och den registrerade om han eller hon får en rättsligt bindande begäran från en offentlig (inbegripet rättslig) myndighet enligt det mottagande landets lagstiftning om att de personuppgifter som överförts enligt standardavtalsklausulerna ska lämnas ut. Likaså bör uppgiftsinföraren meddela uppgiftsutföraren och den registrerade om han eller hon får kännedom om att offentliga myndigheter har haft direkt tillgång till personuppgifterna, i enlighet med det mottagande tredjelandets lagstiftning. Om uppgiftsinföraren, efter att ha gjort sitt yttersta, inte har möjlighet att informera uppgiftsutföraren och/eller den registrerade om specifika begäranden om utlämnande av uppgifter bör han eller hon ge uppgiftsutföraren så mycket relevant information som möjligt om begärandena. Dessutom bör uppgiftsinföraren ge uppgiftsutföraren sammanställd information med jämna mellanrum. Uppgiftsinföraren bör även vara skyldig att dokumentera alla begäranden om utlämnande som tagits emot och vilka svar som lämnats, och samtidigt på begäran göra denna information tillgänglig för uppgiftsutföraren eller den behöriga tillsynsmyndigheten, eller båda. Om uppgiftsinföraren, efter en granskning av lagligheten i en sådan begäran enligt det mottagande landets lagstiftning, drar slutsatsen att det finns rimliga skäl att betrakta begäran som olaglig enligt det mottagande tredjelandets lagstiftning bör han eller hon bestrida den, däribland genom att, i tillämpliga fall, använda alla tillgängliga möjligheter att överklaga. Under alla omständigheter bör uppgiftsinföraren, om han eller hon inte längre kan uppfylla kraven i standardavtalsklausulerna, informera uppgiftsutföraren om detta och uppge om det beror på en begäran om utlämnande. |
| --- | --- |

(22)

Om möjligt bör uppgiftsinföraren informera uppgiftsutföraren och den registrerade om han eller hon får en rättsligt bindande begäran från en offentlig (inbegripet rättslig) myndighet enligt det mottagande landets lagstiftning om att de personuppgifter som överförts enligt standardavtalsklausulerna ska lämnas ut. Likaså bör uppgiftsinföraren meddela uppgiftsutföraren och den registrerade om han eller hon får kännedom om att offentliga myndigheter har haft direkt tillgång till personuppgifterna, i enlighet med det mottagande tredjelandets lagstiftning. Om uppgiftsinföraren, efter att ha gjort sitt yttersta, inte har möjlighet att informera uppgiftsutföraren och/eller den registrerade om specifika begäranden om utlämnande av uppgifter bör han eller hon ge uppgiftsutföraren så mycket relevant information som möjligt om begärandena. Dessutom bör uppgiftsinföraren ge uppgiftsutföraren sammanställd information med jämna mellanrum. Uppgiftsinföraren bör även vara skyldig att dokumentera alla begäranden om utlämnande som tagits emot och vilka svar som lämnats, och samtidigt på begäran göra denna information tillgänglig för uppgiftsutföraren eller den behöriga tillsynsmyndigheten, eller båda. Om uppgiftsinföraren, efter en granskning av lagligheten i en sådan begäran enligt det mottagande landets lagstiftning, drar slutsatsen att det finns rimliga skäl att betrakta begäran som olaglig enligt det mottagande tredjelandets lagstiftning bör han eller hon bestrida den, däribland genom att, i tillämpliga fall, använda alla tillgängliga möjligheter att överklaga. Under alla omständigheter bör uppgiftsinföraren, om han eller hon inte längre kan uppfylla kraven i standardavtalsklausulerna, informera uppgiftsutföraren om detta och uppge om det beror på en begäran om utlämnande.

| (23) | Eftersom intressenternas behov, tekniker och behandlingar kan förändras bör kommissionen utvärdera användningen av standardavtalsklausulerna mot bakgrund av erfarenheterna, som en del av den regelbundna utvärdering av förordning (EU) 2016/679 som aves i artikel 97 i den förordningen. |
| --- | --- |

(23)

Eftersom intressenternas behov, tekniker och behandlingar kan förändras bör kommissionen utvärdera användningen av standardavtalsklausulerna mot bakgrund av erfarenheterna, som en del av den regelbundna utvärdering av förordning (EU) 2016/679 som aves i artikel 97 i den förordningen.

| (24) | Beslut 2001/497/EG och beslut 2010/87/EU bör upphävas tre månader efter att detta beslut har trätt i kraft. Under denna period bör uppgiftsutförare och uppgiftsinförare, vid tillämpning av artikel 46.1 i förordning (EU) 2016/679, fortfarande kunna använda de standardavtalsklausuler som anges i besluten 2001/497/EG och 2010/87/EU. Under ytterligare en period på 15 månader bör uppgiftsutförare och uppgiftsinförare, vid tillämpning av artikel 46.1 i förordning (EU) 2016/679, kunna fortsätta att använda de standardavtalsklausuler som anges i besluten 2001/497/EG och 2010/87/EU för att fullgöra avtal som ingåtts mellan dem före det datum då dessa beslut upphävs, under förutsättning att de behandlingar som är föremål för avtalet förblir oförändrade och att användningen av klausulerna säkerställer att överföringen av personuppgifter omfattas av lämpliga skyddsåtgärder i den mening som avses i artikel 46.1 i förordning (EU) 2016/679. Om relevanta ändringar görs i avtalet bör uppgiftsutföraren vara skyldig att använda en ny grund för överföringar av personuppgifter inom ramen för avtalet, i synnerhet genom att ersätta de befintliga standardavtalsklausulerna med de standardavtalsklausuler som anges i bilagan till detta beslut. Detsamma bör gälla vid utkontraktering av den behandling som omfattas av avtalet till ett personuppgiftsbiträde/en underentreprenör. |
| --- | --- |

(24)

Beslut 2001/497/EG och beslut 2010/87/EU bör upphävas tre månader efter att detta beslut har trätt i kraft. Under denna period bör uppgiftsutförare och uppgiftsinförare, vid tillämpning av artikel 46.1 i förordning (EU) 2016/679, fortfarande kunna använda de standardavtalsklausuler som anges i besluten 2001/497/EG och 2010/87/EU. Under ytterligare en period på 15 månader bör uppgiftsutförare och uppgiftsinförare, vid tillämpning av artikel 46.1 i förordning (EU) 2016/679, kunna fortsätta att använda de standardavtalsklausuler som anges i besluten 2001/497/EG och 2010/87/EU för att fullgöra avtal som ingåtts mellan dem före det datum då dessa beslut upphävs, under förutsättning att de behandlingar som är föremål för avtalet förblir oförändrade och att användningen av klausulerna säkerställer att överföringen av personuppgifter omfattas av lämpliga skyddsåtgärder i den mening som avses i artikel 46.1 i förordning (EU) 2016/679. Om relevanta ändringar görs i avtalet bör uppgiftsutföraren vara skyldig att använda en ny grund för överföringar av personuppgifter inom ramen för avtalet, i synnerhet genom att ersätta de befintliga standardavtalsklausulerna med de standardavtalsklausuler som anges i bilagan till detta beslut. Detsamma bör gälla vid utkontraktering av den behandling som omfattas av avtalet till ett personuppgiftsbiträde/en underentreprenör.

| (25) | Samråd har skett med Europeiska datatillsynsmannen och Europeiska dataskyddsstyrelsen i enlighet med artikel 42.1 och 42.2 i förordning (EU) 2018/1725, vilka avgav ett gemensamt yttrande den 14 januari 2021 (12), vilket har beaktats under utarbetandet av detta beslut. |
| --- | --- |

(25)

Samråd har skett med Europeiska datatillsynsmannen och Europeiska dataskyddsstyrelsen i enlighet med artikel 42.1 och 42.2 i förordning (EU) 2018/1725, vilka avgav ett gemensamt yttrande den 14 januari 2021 (12), vilket har beaktats under utarbetandet av detta beslut.

| (26) | De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 93 i förordning (EU) 2016/679. |
| --- | --- |

(26)

De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 93 i förordning (EU) 2016/679.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

1.   De standardavtalsklausuler som anges i bilagan anses garantera lämpliga skyddsåtgärder i den mening som avses i artikel 46.1 och 46.2 c i förordning (EU) 2016/679 i samband med att en personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) överför personuppgifter som behandlas enligt den förordningen till en personuppgiftsansvarig eller ett personuppgiftsbiträde/en underentreprenör, vars behandling av uppgifterna inte omfattas av den förordningen (uppgiftsinförare).

2.   I standardavtalsklausulerna fastställs även den personuppgiftsansvariges och personuppgiftsbiträdets rättigheter och skyldigheter med avseende på de frågor som avses i artikel 28.3 och 28.4 i förordning (EU) 2016/679 vad gäller överföring av personuppgifter från en personuppgiftsansvarig till ett personuppgiftsbiträde, eller från ett personuppgiftsbiträde till en underentreprenör.

Artikel 2

Om de behöriga myndigheterna i medlemsstaterna utövar korrigerande befogenheter i enlighet med artikel 58 i förordning (EU) 2016/679, på grund av att uppgiftsinföraren är eller kommer att bli föremål för lagar eller förfaranden i det mottagande tredjelandet som hindrar honom eller henne att uppfylla kraven i de standardavtalsklausuler som anges i bilagan, vilket leder till att överföringarna av personuppgifter till tredjelandet avbryts eller förbjuds, ska den berörda medlemsstaten, utan dröjsmål, meddela kommissionen, som kommer att vidarebefordra informationen till övriga medlemsstater.

Artikel 3

Kommissionen ska utvärdera den praktiska tillämpningen av de standardavtalsklausuler som anges i bilagan på grundval av all tillgänglig information och som en del av den regelbundna utvärdering som krävs enligt artikel 97 i förordning (EU) 2016/679.

Artikel 4

1.   Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

2.   Beslut 2001/497/EG ska upphöra att gälla med verkan från den 27 september 2021.

3.   Beslut 2010/87/EU ska upphöra att gälla med verkan från den 27 september 2021.

4.   Avtal som ingåtts före den 27 september 2021 på grundval av beslut 2001/497/EG eller beslut 2010/87/EU ska anses garantera lämpliga skyddsåtgärder i den mening som avses i artikel 46.1 i förordning (EU) 2016/679 fram till den 27 december 2022, under förutsättning att de behandlingar som är föremål för avtalet förblir oförändrade och att användningen av dessa klausuler säkerställer att överföringen av personuppgifter omfattas av lämpliga skyddsåtgärder.

Utfärdat i Bryssel den 4 juni 2021.

På kommissionens vägnar

Ursula VON DER LEYEN

Ordförande

---

(1)  
  EUT L 119, 4.5.2016, s. 1.

1

(2)  Artikel 44 i förordning (EU) 2016/679.

2

(3)  Se även domstolens dom av den 16 juli 2020 i mål C-311/18, Data Protection Commissioner mot Facebook Ireland Ltd och Maximillian Schrems (”Schrems II”), ECLI:EU:C:2020:559, punkt 93.

3

(4)  Skäl 109 i förordning (EU) 2016/679.

4

(5)  Kommissionens beslut 2001/497/EG av den 15 juni 2001 om standardavtalsklausuler för överföring av personuppgifter till tredje land enligt direktiv 95/46/EG (EGT L 181, 4.7.2001, s. 19).

5

(6)  Kommissionens beslut 2010/87/EU av den 5 februari 2010 om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland i enlighet med Europaparlamentets och rådets direktiv 95/46/EG (EUT L 39, 12.2.2010, s. 5).

6

(7)  Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).

7

(8)  Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39), se skäl 5.

8

(9)  C(2021) 3701.

9

(10)  Schrems II, punkterna 96 och 103. Se även förordning (EU) 2016/679, skälen 108 och 114.

10

(11)  Schrems II.

11

(12)  EDPB:s och EDPS:s gemensamma yttrande 2/2021 om Europeiska kommissionens genomförandebeslut om standardavtalsklausuler för överföring av personuppgifter till tredjeländer för de frågor som avses i artikel 46.2 c i förordning (EU) 2016/679.

12

---

BILAGA

STANDARDAVTALSKLAUSULER

AVSNITT I

Klausul 1

Syfte och tillämpningsområde

| a) | Syftet med dessa standardavtalsklausuler är att säkerställa överensstämmelse med kraven i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän dataskyddsförordning) (1) vid överföring av personuppgifter till ett tredjeland. |
| --- | --- |

a)

Syftet med dessa standardavtalsklausuler är att säkerställa överensstämmelse med kraven i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän dataskyddsförordning) (1) vid överföring av personuppgifter till ett tredjeland.

| b) | Parterna:






  i) | den eller de fysiska eller juridiska personer, den eller de offentliga myndigheter, den eller de byråer eller andra organ (enheterna) som överför personuppgifter enligt förteckningen i bilaga I.A. (uppgiftsutföraren), och |
| --- | --- | --- |

b)

Parterna:

i)

den eller de fysiska eller juridiska personer, den eller de offentliga myndigheter, den eller de byråer eller andra organ (enheterna) som överför personuppgifter enligt förteckningen i bilaga I.A. (uppgiftsutföraren), och

| ii) | den eller de enheter i ett tredjeland som tar emot personuppgifter från uppgiftsutföraren, direkt eller indirekt via en annan enhet som också är part i dessa klausuler, enligt förteckningen i bilaga I.A. (uppgiftsinföraren) |
| --- | --- |

ii)

den eller de enheter i ett tredjeland som tar emot personuppgifter från uppgiftsutföraren, direkt eller indirekt via en annan enhet som också är part i dessa klausuler, enligt förteckningen i bilaga I.A. (uppgiftsinföraren)

har kommit överens om dessa standardavtalsklausuler (klausulerna).

| c) | Dessa klausuler är tillämpliga med avseende på överföring av personuppgifter enligt vad som anges i bilaga I.B. |
| --- | --- |

c)

Dessa klausuler är tillämpliga med avseende på överföring av personuppgifter enligt vad som anges i bilaga I.B.

| d) | Det tillägg till dessa klausuler som innehåller de bilagor som det hänvisas till utgör en integrerad del av dessa klausuler. |
| --- | --- |

d)

Det tillägg till dessa klausuler som innehåller de bilagor som det hänvisas till utgör en integrerad del av dessa klausuler.

Klausul 2

Klausulernas verkan och beständighet

| a) | Genom dessa klausuler fastställs lämpliga skyddsåtgärder, däribland verkställbara rättigheter och effektiva rättsmedel för de registrerade enligt artikel 46.1 och artikel 46.2 c i förordning (EU) 2016/679 och, när det gäller överföring av personuppgifter från personuppgiftsansvariga till personuppgiftsbiträden och/eller från personuppgiftsbiträden till personuppgiftsbiträden, standardavtalsklausuler enligt artikel 28.7 i förordning (EU) 2016/679, under förutsättning att de inte ändras, förutom för att välja en eller flera lämpliga moduler eller lägga till eller uppdatera informationen i tillägget. Detta hindrar inte parterna från att inbegripa de standardavtalsklausuler som fastställs i dessa klausuler i ett mer övergripande avtal och/eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt står i strid med dessa klausuler eller påverkar de registrerades grundläggande rättigheter eller friheter. |
| --- | --- |

a)

Genom dessa klausuler fastställs lämpliga skyddsåtgärder, däribland verkställbara rättigheter och effektiva rättsmedel för de registrerade enligt artikel 46.1 och artikel 46.2 c i förordning (EU) 2016/679 och, när det gäller överföring av personuppgifter från personuppgiftsansvariga till personuppgiftsbiträden och/eller från personuppgiftsbiträden till personuppgiftsbiträden, standardavtalsklausuler enligt artikel 28.7 i förordning (EU) 2016/679, under förutsättning att de inte ändras, förutom för att välja en eller flera lämpliga moduler eller lägga till eller uppdatera informationen i tillägget. Detta hindrar inte parterna från att inbegripa de standardavtalsklausuler som fastställs i dessa klausuler i ett mer övergripande avtal och/eller att lägga till andra klausuler eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt står i strid med dessa klausuler eller påverkar de registrerades grundläggande rättigheter eller friheter.

| b) | Dessa klausuler påverkar inte de skyldigheter som uppgiftsutföraren omfattas av med stöd av förordning (EU) 2016/679. |
| --- | --- |

b)

Dessa klausuler påverkar inte de skyldigheter som uppgiftsutföraren omfattas av med stöd av förordning (EU) 2016/679.

Klausul 3

Berättigade tredje parter

| a) | Registrerade personer får åberopa och verkställa dessa klausuler, i egenskap av berättigade tredje parter, gentemot uppgiftsutföraren och/eller uppgiftsinföraren, med följande undantag:






  i) | Klausul 1, klausul 2, klausul 3, klausul 6, klausul 7. |
| --- | --- | --- |

a)

Registrerade personer får åberopa och verkställa dessa klausuler, i egenskap av berättigade tredje parter, gentemot uppgiftsutföraren och/eller uppgiftsinföraren, med följande undantag:

i)

Klausul 1, klausul 2, klausul 3, klausul 6, klausul 7.

| ii) | Klausul 8 – modul ett: klausul 8.5 e och klausul 8.9 b; modul två: klausul 8.1 b, 8.9 a, c, d och e; modul tre: klausul 8.1 a, c och d och klausul 8.9 a, c, d, e, f och g; modul fyra: klausul 8.1 b och klausul 8.3 b. |
| --- | --- |

ii)

Klausul 8 – modul ett: klausul 8.5 e och klausul 8.9 b; modul två: klausul 8.1 b, 8.9 a, c, d och e; modul tre: klausul 8.1 a, c och d och klausul 8.9 a, c, d, e, f och g; modul fyra: klausul 8.1 b och klausul 8.3 b.

| iii) | Klausul 9 – modul två: klausul 9 a, c, d och e; modul tre: klausul 9 a, c, d och e. |
| --- | --- |

iii)

Klausul 9 – modul två: klausul 9 a, c, d och e; modul tre: klausul 9 a, c, d och e.

| iv) | Klausul 12 – modul ett: klausul 12 a och d; modulerna två och tre: klausul 12 a, d och f. |
| --- | --- |

iv)

Klausul 12 – modul ett: klausul 12 a och d; modulerna två och tre: klausul 12 a, d och f.

| v) | Klausul 13. |
| --- | --- |

v)

Klausul 13.

| vi) | Klausul 15.1 c, d och e. |
| --- | --- |

vi)

Klausul 15.1 c, d och e.

| vii) | Klausul 16 e. |
| --- | --- |

vii)

Klausul 16 e.

| viii) | Klausul 18 – modulerna ett, två och tre: klausul 18 a och b; modul fyra: klausul 18. |
| --- | --- |

viii)

Klausul 18 – modulerna ett, två och tre: klausul 18 a och b; modul fyra: klausul 18.

| b) | Led a påverkar inte de registrerades rättigheter enligt förordning (EU) 2016/679. |
| --- | --- |

b)

Led a påverkar inte de registrerades rättigheter enligt förordning (EU) 2016/679.

Klausul 4

Tolkning

| a) | Om begrepp som definieras i förordning (EU) 2016/679 används i dessa klausuler ska begreppen ha samma betydelse som i den förordningen. |
| --- | --- |

a)

Om begrepp som definieras i förordning (EU) 2016/679 används i dessa klausuler ska begreppen ha samma betydelse som i den förordningen.

| b) | Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679. |
| --- | --- |

b)

Dessa klausuler ska läsas och tolkas mot bakgrund av bestämmelserna i förordning (EU) 2016/679.

| c) | Dessa klausuler ska inte tolkas på ett sätt som står i strid med de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679. |
| --- | --- |

c)

Dessa klausuler ska inte tolkas på ett sätt som står i strid med de rättigheter och skyldigheter som föreskrivs i förordning (EU) 2016/679.

Klausul 5

Hierarki

Om en konflikt uppstår mellan dessa klausuler och bestämmelserna i de överenskommelser mellan parterna som gäller vid den tidpunkt då dessa klausuler överenskoms eller därefter träder i kraft, ska dessa klausuler ha företräde.

Klausul 6

Beskrivning av överföringen eller överföringarna

Närmare uppgifter om överföringen eller överföringarna, och i synnerhet de kategorier av personuppgifter som överförs och det eller de ändamål för vilka de överförs, anges i bilaga I.B.

Klausul 7 – Valfri

Dockningsklausul

| a) | En enhet som inte är part i dessa klausuler får, efter överenskommelse med parterna, när som helst ansluta sig till dessa klausuler, antingen som uppgiftsutförare eller uppgiftsinförare, genom att fylla i tillägget och underteckna bilaga I.A. |
| --- | --- |

a)

En enhet som inte är part i dessa klausuler får, efter överenskommelse med parterna, när som helst ansluta sig till dessa klausuler, antingen som uppgiftsutförare eller uppgiftsinförare, genom att fylla i tillägget och underteckna bilaga I.A.

| b) | När den anslutande enheten har fyllt i tillägget och undertecknat bilaga I.A ska den bli en part i dessa klausuler och ha samma rättigheter och skyldigheter som en uppgiftsutförare eller uppgiftsinförare i enlighet med dess beteckning i bilaga I.A. |
| --- | --- |

b)

När den anslutande enheten har fyllt i tillägget och undertecknat bilaga I.A ska den bli en part i dessa klausuler och ha samma rättigheter och skyldigheter som en uppgiftsutförare eller uppgiftsinförare i enlighet med dess beteckning i bilaga I.A.

| c) | Den anslutande enheten ska inte ha några rättigheter eller skyldigheter enligt dessa klausuler från perioden innan enheten blev en part. |
| --- | --- |

c)

Den anslutande enheten ska inte ha några rättigheter eller skyldigheter enligt dessa klausuler från perioden innan enheten blev en part.

AVSNITT II – PARTERNAS SKYLDIGHETER

Klausul 8

Skyddsåtgärder för uppgifter

Uppgiftsutföraren garanterar att han eller hon har gjort rimliga ansträngningar för att se till att uppgiftsinföraren, genom genomförandet av lämpliga tekniska och organisatoriska åtgärder, kan fullgöra sina skyldigheter enligt dessa klausuler.

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

8.1   Ändamålsbegränsning

Uppgiftsinföraren ska endast behandla personuppgifterna för det eller de specifika ändamålen med överföringen, enligt vad som fastställs i bilaga I.B. Uppgiftsinföraren får endast behandla personuppgifterna för något annat ändamål

| i) | om han eller hon har fått den registrerades förhandssamtycke, |
| --- | --- |

i)

om han eller hon har fått den registrerades förhandssamtycke,

| ii) | om det är nödvändigt för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, eller |
| --- | --- |

ii)

om det är nödvändigt för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, eller

| iii) | om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. |
| --- | --- |

iii)

om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

8.2   Öppenhet

| a) | För att se till att de registrerade har möjlighet att utöva sina rättigheter enligt klausul 10 ska uppgiftsinföraren informera dem, antingen direkt eller genom uppgiftsutföraren,






  i) | om sin identitet och sina kontaktuppgifter, |
| --- | --- | --- |

a)

För att se till att de registrerade har möjlighet att utöva sina rättigheter enligt klausul 10 ska uppgiftsinföraren informera dem, antingen direkt eller genom uppgiftsutföraren,

i)

om sin identitet och sina kontaktuppgifter,

| ii) | om de kategorier av personuppgifter som behandlas, |
| --- | --- |

ii)

om de kategorier av personuppgifter som behandlas,

| iii) | om rätten att erhålla en kopia av dessa klausuler, och |
| --- | --- |

iii)

om rätten att erhålla en kopia av dessa klausuler, och

| iv) | i de fall uppgiftsinföraren har för avsikt att överföra personuppgifterna vidare till en eller flera tredje parter, om mottagaren eller kategorierna av mottagare (enligt vad som är lämpligt för att tillhandahålla meningsfull information), ändamålet med den vidare överföringen och grunden till överföringen enligt klausul 8.7. |
| --- | --- |

iv)

i de fall uppgiftsinföraren har för avsikt att överföra personuppgifterna vidare till en eller flera tredje parter, om mottagaren eller kategorierna av mottagare (enligt vad som är lämpligt för att tillhandahålla meningsfull information), ändamålet med den vidare överföringen och grunden till överföringen enligt klausul 8.7.

| b) | Led a är inte tillämpligt om den registrerade redan har tillgång till denna information, till exempel om informationen redan har tillhandahållits av uppgiftsutföraren, eller om det visar sig vara omöjligt att tillhandahålla informationen eller om det medför en oproportionerlig börda för uppgiftsinföraren. I det sistnämnda fallet ska uppgiftsinföraren, i största möjliga utsträckning, göra informationen allmänt tillgänglig. |
| --- | --- |

b)

Led a är inte tillämpligt om den registrerade redan har tillgång till denna information, till exempel om informationen redan har tillhandahållits av uppgiftsutföraren, eller om det visar sig vara omöjligt att tillhandahålla informationen eller om det medför en oproportionerlig börda för uppgiftsinföraren. I det sistnämnda fallet ska uppgiftsinföraren, i största möjliga utsträckning, göra informationen allmänt tillgänglig.

| c) | På begäran ska parterna tillhandahålla en kopia av dessa klausuler, inklusive tillägget när det har fyllts i av dem, till den registrerade utan kostnad. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får parterna redigera delar av texten i tillägget innan en kopia tillhandahålls, men de måste bifoga en meningsfull sammanfattning om den registrerade annars inte skulle kunna förstå dess innehåll eller utöva sina rättigheter. På begäran ska parterna tillhandahålla skälen till redigeringen till den registrerade, i möjligaste mån utan att avslöja de redigerade uppgifterna. |
| --- | --- |

c)

På begäran ska parterna tillhandahålla en kopia av dessa klausuler, inklusive tillägget när det har fyllts i av dem, till den registrerade utan kostnad. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får parterna redigera delar av texten i tillägget innan en kopia tillhandahålls, men de måste bifoga en meningsfull sammanfattning om den registrerade annars inte skulle kunna förstå dess innehåll eller utöva sina rättigheter. På begäran ska parterna tillhandahålla skälen till redigeringen till den registrerade, i möjligaste mån utan att avslöja de redigerade uppgifterna.

| d) | Leden a–c påverkar inte uppgiftsutförarens skyldigheter enligt artiklarna 13 och 14 i förordning (EU) 2016/679. |
| --- | --- |

d)

Leden a–c påverkar inte uppgiftsutförarens skyldigheter enligt artiklarna 13 och 14 i förordning (EU) 2016/679.

8.3   Korrekthet och uppgiftsminimering

| a) | Varje part ska säkerställa att personuppgifterna är korrekta och, vid behov, uppdaterade. Uppgiftsinföraren ska vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga, med hänsyn till behandlingens ändamål, raderas eller rättas utan dröjsmål. |
| --- | --- |

a)

Varje part ska säkerställa att personuppgifterna är korrekta och, vid behov, uppdaterade. Uppgiftsinföraren ska vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga, med hänsyn till behandlingens ändamål, raderas eller rättas utan dröjsmål.

| b) | Om en av parterna får kännedom om att de personuppgifter som den har överfört eller tagit emot är felaktiga, eller har blivit inaktuella, ska den informera den andra parten utan onödigt dröjsmål. |
| --- | --- |

b)

Om en av parterna får kännedom om att de personuppgifter som den har överfört eller tagit emot är felaktiga, eller har blivit inaktuella, ska den informera den andra parten utan onödigt dröjsmål.

| c) | Uppgiftsinföraren ska säkerställa att personuppgifterna är adekvata, relevanta och begränsade till vad som är nödvändigt med tanke på behandlingens ändamål. |
| --- | --- |

c)

Uppgiftsinföraren ska säkerställa att personuppgifterna är adekvata, relevanta och begränsade till vad som är nödvändigt med tanke på behandlingens ändamål.

8.4   Begränsad lagring

Uppgiftsinföraren ska inte lagra personuppgifterna under längre tid än vad som är nödvändigt för det eller de ändamål för vilka de behandlas. Uppgiftsinföraren ska införa lämpliga tekniska eller organisatoriska åtgärder för att säkerställa fullgörande av denna skyldighet, däribland att radera eller anonymisera (2) uppgifterna och alla säkerhetskopior i slutet av lagringsperioden.

8.5   Säkerhet vid behandling

| a) | Uppgiftsinföraren, och under överföring även uppgiftsutföraren, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa personuppgifternas säkerhet, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för den registrerade i samband med behandlingen. Parterna ska i synnerhet överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt. |
| --- | --- |

a)

Uppgiftsinföraren, och under överföring även uppgiftsutföraren, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa personuppgifternas säkerhet, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för den registrerade i samband med behandlingen. Parterna ska i synnerhet överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt.

| b) | Parterna har kommit överens om de tekniska och organisatoriska åtgärder som fastställs i bilaga II. Uppgiftsinföraren ska göra regelbundna kontroller för att säkerställa att dessa åtgärder även fortsättningsvis ger en lämplig säkerhetsnivå. |
| --- | --- |

b)

Parterna har kommit överens om de tekniska och organisatoriska åtgärder som fastställs i bilaga II. Uppgiftsinföraren ska göra regelbundna kontroller för att säkerställa att dessa åtgärder även fortsättningsvis ger en lämplig säkerhetsnivå.

| c) | Uppgiftsinföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. |
| --- | --- |

c)

Uppgiftsinföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

| d) | I händelse av en personuppgiftsincident som gäller uppgifter som har behandlats av uppgiftsinföraren enligt dessa klausuler ska uppgiftsinföraren vidta lämpliga åtgärder för att hantera personuppgiftsincidenten, däribland åtgärder för att mildra dess möjliga negativa konsekvenser. |
| --- | --- |

d)

I händelse av en personuppgiftsincident som gäller uppgifter som har behandlats av uppgiftsinföraren enligt dessa klausuler ska uppgiftsinföraren vidta lämpliga åtgärder för att hantera personuppgiftsincidenten, däribland åtgärder för att mildra dess möjliga negativa konsekvenser.

| e) | I händelse av en personuppgiftsincident som sannolikt kommer att leda till risker för fysiska personers rättigheter och friheter ska uppgiftsinföraren utan onödigt dröjsmål meddela både uppgiftsutföraren och den behöriga tillsynsmyndigheten enligt klausul 13. Meddelandet ska innehålla i) en beskrivning av incidentens karaktär (inbegripet, om möjligt, vilka kategorier och det ungefärliga antalet registrerade och personuppgiftsregister som berörs), ii) dess sannolika konsekvenser, iii) vilka åtgärder som har vidtagits eller föreslagits för att hantera incidenten och iv) uppgifter om en kontaktpunkt som kan lämna mer information. Om det inte är möjligt för uppgiftsinföraren att tillhandahålla all information vid samma tillfälle kan han eller hon göra detta i omgångar utan onödigt dröjsmål. |
| --- | --- |

e)

I händelse av en personuppgiftsincident som sannolikt kommer att leda till risker för fysiska personers rättigheter och friheter ska uppgiftsinföraren utan onödigt dröjsmål meddela både uppgiftsutföraren och den behöriga tillsynsmyndigheten enligt klausul 13. Meddelandet ska innehålla i) en beskrivning av incidentens karaktär (inbegripet, om möjligt, vilka kategorier och det ungefärliga antalet registrerade och personuppgiftsregister som berörs), ii) dess sannolika konsekvenser, iii) vilka åtgärder som har vidtagits eller föreslagits för att hantera incidenten och iv) uppgifter om en kontaktpunkt som kan lämna mer information. Om det inte är möjligt för uppgiftsinföraren att tillhandahålla all information vid samma tillfälle kan han eller hon göra detta i omgångar utan onödigt dröjsmål.

| f) | I händelse av en personuppgiftsincident som sannolikt kommer att leda till stora risker för fysiska personers rättigheter och friheter ska uppgiftsinföraren även, utan onödigt dröjsmål, informera de berörda registrerade om personuppgiftsincidenten och dess karaktär, vid behov i samarbete med uppgiftsutföraren, tillsammans med den information som avses i led e ii–iv, såvida inte uppgiftsinföraren har genomfört åtgärder för att avsevärt minska riskerna för fysiska personers rättigheter eller friheter, eller om detta skulle medföra oproportionerliga ansträngningar. I det sistnämnda fallet ska uppgiftsinföraren i stället utfärda ett offentligt tillkännagivande eller vidta en liknande åtgärd för att informera allmänheten om personuppgiftsincidenten. |
| --- | --- |

f)

I händelse av en personuppgiftsincident som sannolikt kommer att leda till stora risker för fysiska personers rättigheter och friheter ska uppgiftsinföraren även, utan onödigt dröjsmål, informera de berörda registrerade om personuppgiftsincidenten och dess karaktär, vid behov i samarbete med uppgiftsutföraren, tillsammans med den information som avses i led e ii–iv, såvida inte uppgiftsinföraren har genomfört åtgärder för att avsevärt minska riskerna för fysiska personers rättigheter eller friheter, eller om detta skulle medföra oproportionerliga ansträngningar. I det sistnämnda fallet ska uppgiftsinföraren i stället utfärda ett offentligt tillkännagivande eller vidta en liknande åtgärd för att informera allmänheten om personuppgiftsincidenten.

| g) | Uppgiftsinföraren ska dokumentera alla relevanta omständigheter kring personuppgiftsincidenten, däribland dess konsekvenser och eventuella korrigerande åtgärder som vidtagits, och föra ett register över dokumentationen. |
| --- | --- |

g)

Uppgiftsinföraren ska dokumentera alla relevanta omständigheter kring personuppgiftsincidenten, däribland dess konsekvenser och eventuella korrigerande åtgärder som vidtagits, och föra ett register över dokumentationen.

8.6   Känsliga uppgifter

Om överföringen inbegriper personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska eller biometriska uppgifter för unik identifiering av en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning, eller uppgifter om brottmålsdomar eller lagöverträdelser (känsliga uppgifter) ska uppgiftsinföraren tillämpa särskilda begränsningar och/eller ytterligare skyddsåtgärder som är anpassade till uppgifternas specifika karaktär och de medföljande riskerna. Detta kan omfatta begränsningar av den personal som har tillgång till personuppgifterna, ytterligare säkerhetsåtgärder (såsom pseudonymisering) och/eller ytterligare begränsningar när det gäller vidare utlämning av uppgifter.

8.7   Vidare överföringar

Uppgiftsinföraren får inte lämna ut personuppgifter till en tredje part utanför Europeiska unionen (3) (i samma land som uppgiftsinföraren eller i ett annat tredjeland, nedan kallat vidare överföring), såvida inte den tredje parten är eller samtycker till att vara bunden av dessa klausuler i motsvarande modul. I annat fall får uppgiftsinföraren endast genomföra en vidare överföring

| i) | om den sker till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som täcker den vidare överföringen, |
| --- | --- |

i)

om den sker till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som täcker den vidare överföringen,

| ii) | om den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder enligt artikel 46 eller 47 i förordning (EU) 2016/679 med avseende på behandlingen i fråga, |
| --- | --- |

ii)

om den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder enligt artikel 46 eller 47 i förordning (EU) 2016/679 med avseende på behandlingen i fråga,

| iii) | om den tredje parten ingår ett bindande instrument med uppgiftsinföraren som säkerställer samma nivå av skydd som dessa klausuler, och om uppgiftsinföraren förser uppgiftsutföraren med en kopia av dessa skyddsåtgärder, |
| --- | --- |

iii)

om den tredje parten ingår ett bindande instrument med uppgiftsinföraren som säkerställer samma nivå av skydd som dessa klausuler, och om uppgiftsinföraren förser uppgiftsutföraren med en kopia av dessa skyddsåtgärder,

| iv) | om det är nödvändigt för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, |
| --- | --- |

iv)

om det är nödvändigt för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden,

| v) | om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, eller |
| --- | --- |

v)

om det är nödvändigt för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, eller

| vi) | om inget av de andra villkoren är tillämpligt, om uppgiftsinföraren har fått den registrerades uttryckliga samtycke för vidare överföring i en särskild situation, efter att ha informerat honom/henne om överföringens ändamål, mottagarens identitet och de möjliga riskerna för honom/henne vid en sådan överföring på grund av bristen på lämpliga skyddsåtgärder för personuppgifter. I sådana fall ska uppgiftsinföraren informera uppgiftsutföraren och, på begäran av denne, tillhandahålla en kopia av den information som lämnats till den registrerade. |
| --- | --- |

vi)

om inget av de andra villkoren är tillämpligt, om uppgiftsinföraren har fått den registrerades uttryckliga samtycke för vidare överföring i en särskild situation, efter att ha informerat honom/henne om överföringens ändamål, mottagarens identitet och de möjliga riskerna för honom/henne vid en sådan överföring på grund av bristen på lämpliga skyddsåtgärder för personuppgifter. I sådana fall ska uppgiftsinföraren informera uppgiftsutföraren och, på begäran av denne, tillhandahålla en kopia av den information som lämnats till den registrerade.

Vid varje vidare överföring måste uppgiftsinföraren uppfylla kraven för alla andra skyddsåtgärder i dessa klausuler, i synnerhet ändamålsbegränsning.

8.8   Behandling under överinseende av uppgiftsinföraren

Uppgiftsinföraren ska säkerställa att varje person som agerar under dess överinseende, inbegripet personuppgiftsbiträden, endast behandlar uppgifterna enligt dennes instruktioner.

8.9   Dokumentation och efterlevnad

| a) | Varje part ska kunna visa att de fullgör sina skyldigheter enligt dessa klausuler. Framför allt ska uppgiftsinföraren föra lämplig dokumentation över den behandling som utförs inom hans eller hennes ansvarsområde. |
| --- | --- |

a)

Varje part ska kunna visa att de fullgör sina skyldigheter enligt dessa klausuler. Framför allt ska uppgiftsinföraren föra lämplig dokumentation över den behandling som utförs inom hans eller hennes ansvarsområde.

| b) | Uppgiftsinföraren ska göra denna dokumentation tillgänglig för den behöriga tillsynsmyndigheten på begäran. |
| --- | --- |

b)

Uppgiftsinföraren ska göra denna dokumentation tillgänglig för den behöriga tillsynsmyndigheten på begäran.

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

8.1   Instruktioner

| a) | Uppgiftsinföraren ska endast behandla personuppgifterna enligt dokumenterade instruktioner från uppgiftsutföraren. Uppgiftsutföraren får ge sådana instruktioner under hela avtalets giltighetstid. |
| --- | --- |

a)

Uppgiftsinföraren ska endast behandla personuppgifterna enligt dokumenterade instruktioner från uppgiftsutföraren. Uppgiftsutföraren får ge sådana instruktioner under hela avtalets giltighetstid.

| b) | Uppgiftsinföraren ska omedelbart informera uppgiftsutföraren om han eller hon inte kan följa dessa instruktioner. |
| --- | --- |

b)

Uppgiftsinföraren ska omedelbart informera uppgiftsutföraren om han eller hon inte kan följa dessa instruktioner.

8.2   Ändamålsbegränsning

Uppgiftsinföraren ska endast behandla personuppgifterna för det eller de specifika ändamålen med överföringen, enligt vad som fastställs i bilaga I.B, såvida inte uppgiftsutföraren har gett andra instruktioner.

8.3   Öppenhet

På begäran ska uppgiftsutföraren tillhandahålla en kopia av dessa klausuler, inklusive tillägget när det har fyllts i av parterna, till den registrerade utan kostnad. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive de åtgärder som beskrivs i bilaga II och personuppgifter, får uppgiftsutföraren redigera delar av texten i tillägget till dessa klausuler innan en kopia tillhandahålls, men han eller hon måste bifoga en meningsfull sammanfattning om den registrerade annars inte skulle kunna förstå dess innehåll eller utöva sina rättigheter. På begäran ska parterna tillhandahålla skälen till redigeringen till den registrerade, i möjligaste mån utan att avslöja de redigerade uppgifterna. Denna klausul påverkar inte uppgiftsutförarens skyldigheter enligt artiklarna 13 och 14 i förordning (EU) 2016/679.

8.4   Korrekthet

Om uppgiftsinföraren får kännedom om att de personuppgifter som han eller hon har tagit emot är felaktiga, eller har blivit inaktuella, ska han eller hon informera uppgiftsutföraren utan onödigt dröjsmål. I sådana fall ska uppgiftsinföraren samarbeta med uppgiftsutföraren för att radera eller rätta uppgifterna.

8.5   Behandlingens varaktighet och radering eller återlämnande av uppgifter

Uppgiftsinförarens behandling ska endast äga rum under den period som anges i bilaga I.B. När tillhandahållandet av behandlingstjänsterna har avslutats ska uppgiftsinföraren, enligt uppgiftsutförarens val, radera alla personuppgifter som behandlats på uppdrag av uppgiftsutföraren och intyga för uppgiftsutföraren att detta har skett, eller till uppgiftsutföraren återlämna alla personuppgifter som har behandlats på uppdrag av uppgiftsutföraren och radera befintliga kopior. Till dess att uppgifterna raderats eller återlämnats ska uppgiftsinföraren fortsätta att se till att dessa klausuler följs. Om återlämnande eller radering av personuppgifterna är förbjudet enligt lokal lagstiftning som är tillämplig för uppgiftsinföraren ska uppgiftsinföraren garantera att han eller hon kommer att fortsätta att uppfylla kraven i dessa klausuler och endast kommer att behandla personuppgifterna i den utsträckning och under den tid som krävs enligt den lokala lagstiftningen. Detta påverkar inte klausul 14, i synnerhet kravet enligt klausul 14 e att uppgiftsinföraren under hela avtalets giltighetstid ska meddela uppgiftsutföraren om han eller hon har anledning att misstänka att han eller hon är eller har blivit föremål för lagar eller förfaranden som inte stämmer överens med kraven i klausul 14 a.

8.6   Säkerhet vid behandling

| a) | Uppgiftsinföraren, och under överföring även uppgiftsutföraren, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för de registrerade i samband med behandlingen. Parterna ska i synnerhet överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt. Vid användning av pseudonymisering ska uppgiftsutföraren om möjligt behålla sin fullständiga kontroll över den ytterligare information som krävs för att knyta personuppgifterna till en viss registrerad. För att fullgöra sina skyldigheter enligt denna punkt ska uppgiftsinföraren åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga II. Uppgiftsinföraren ska göra regelbundna kontroller för att säkerställa att dessa åtgärder även fortsättningsvis ger en lämplig säkerhetsnivå. |
| --- | --- |

a)

Uppgiftsinföraren, och under överföring även uppgiftsutföraren, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska parterna ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för de registrerade i samband med behandlingen. Parterna ska i synnerhet överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt. Vid användning av pseudonymisering ska uppgiftsutföraren om möjligt behålla sin fullständiga kontroll över den ytterligare information som krävs för att knyta personuppgifterna till en viss registrerad. För att fullgöra sina skyldigheter enligt denna punkt ska uppgiftsinföraren åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga II. Uppgiftsinföraren ska göra regelbundna kontroller för att säkerställa att dessa åtgärder även fortsättningsvis ger en lämplig säkerhetsnivå.

| b) | Uppgiftsinföraren ska endast ge sin personal tillgång till personuppgifterna i den utsträckning det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Uppgiftsinföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. |
| --- | --- |

b)

Uppgiftsinföraren ska endast ge sin personal tillgång till personuppgifterna i den utsträckning det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Uppgiftsinföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

| c) | I händelse av en personuppgiftsincident som gäller uppgifter som har behandlats av uppgiftsinföraren enligt dessa klausuler ska uppgiftsinföraren vidta lämpliga åtgärder för att hantera incidenten, däribland åtgärder för att mildra dess negativa konsekvenser. Uppgiftsinföraren ska även meddela uppgiftsutföraren utan onödigt dröjsmål efter att ha fått kännedom om incidenten. Meddelandet ska innehålla uppgifter om en kontaktpunkt som kan lämna mer information, en beskrivning av incidentens karaktär (inbegripet, om möjligt, vilka kategorier och det ungefärliga antalet registrerade och personuppgiftsregister som berörs), dess sannolika konsekvenser samt vilka åtgärder som har vidtagits eller föreslagits för att hantera incidenten, däribland, i tillämpliga fall, åtgärder för att mildra dess möjliga negativa konsekvenser. Om, och i den mån, det inte är möjligt att tillhandahålla all information vid samma tillfälle ska det inledande meddelandet innehålla den information som då finns tillgänglig, varefter ytterligare information ska tillhandahållas utan onödigt dröjsmål efterhand som den blir tillgänglig. |
| --- | --- |

c)

I händelse av en personuppgiftsincident som gäller uppgifter som har behandlats av uppgiftsinföraren enligt dessa klausuler ska uppgiftsinföraren vidta lämpliga åtgärder för att hantera incidenten, däribland åtgärder för att mildra dess negativa konsekvenser. Uppgiftsinföraren ska även meddela uppgiftsutföraren utan onödigt dröjsmål efter att ha fått kännedom om incidenten. Meddelandet ska innehålla uppgifter om en kontaktpunkt som kan lämna mer information, en beskrivning av incidentens karaktär (inbegripet, om möjligt, vilka kategorier och det ungefärliga antalet registrerade och personuppgiftsregister som berörs), dess sannolika konsekvenser samt vilka åtgärder som har vidtagits eller föreslagits för att hantera incidenten, däribland, i tillämpliga fall, åtgärder för att mildra dess möjliga negativa konsekvenser. Om, och i den mån, det inte är möjligt att tillhandahålla all information vid samma tillfälle ska det inledande meddelandet innehålla den information som då finns tillgänglig, varefter ytterligare information ska tillhandahållas utan onödigt dröjsmål efterhand som den blir tillgänglig.

| d) | Uppgiftsinföraren ska samarbeta med och bistå uppgiftsutföraren så att uppgiftsutföraren kan fullgöra sina skyldigheter enligt förordning (EU) 2016/679, framför allt att meddela den behöriga tillsynsmyndigheten och de berörda registrerade, med beaktande av behandlingens karaktär och den information som finns tillgänglig för uppgiftsinföraren. |
| --- | --- |

d)

Uppgiftsinföraren ska samarbeta med och bistå uppgiftsutföraren så att uppgiftsutföraren kan fullgöra sina skyldigheter enligt förordning (EU) 2016/679, framför allt att meddela den behöriga tillsynsmyndigheten och de berörda registrerade, med beaktande av behandlingens karaktär och den information som finns tillgänglig för uppgiftsinföraren.

8.7   Känsliga uppgifter

Om överföringen inbegriper personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska eller biometriska uppgifter för unik identifiering av en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning, eller uppgifter om brottmålsdomar och lagöverträdelser (känsliga uppgifter) ska uppgiftsinföraren tillämpa de särskilda begränsningar och/eller de ytterligare skyddsåtgärder som beskrivs i bilaga I.B.

8.8   Vidare överföringar

Uppgiftsinföraren ska endast lämna ut personuppgifter till en tredje part enligt dokumenterade instruktioner från uppgiftsutföraren. Dessutom får uppgifterna endast lämnas ut till en tredje part utanför Europeiska unionen (4) (i samma land som uppgiftsinföraren eller i ett annat tredjeland, nedan kallat vidare överföring), om den tredje parten är eller samtycker till att vara bunden av dessa klausuler i motsvarande modul, eller

| i) | om den vidare överföringen sker till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som täcker den vidare överföringen, |
| --- | --- |

i)

om den vidare överföringen sker till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som täcker den vidare överföringen,

| ii) | om den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder enligt artikel 46 eller 47 i förordning (EU) 2016/679 med avseende på behandlingen i fråga, |
| --- | --- |

ii)

om den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder enligt artikel 46 eller 47 i förordning (EU) 2016/679 med avseende på behandlingen i fråga,

| iii) | om den vidare överföringen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, eller |
| --- | --- |

iii)

om den vidare överföringen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, eller

| iv) | om den vidare överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. |
| --- | --- |

iv)

om den vidare överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

Vid varje vidare överföring måste uppgiftsinföraren uppfylla kraven för alla andra skyddsåtgärder i dessa klausuler, i synnerhet ändamålsbegränsning.

8.9   Dokumentation och efterlevnad

| a) | Uppgiftsinföraren ska skyndsamt och på ett lämpligt sätt hantera förfrågningar från uppgiftsutföraren angående behandlingen enligt dessa klausuler. |
| --- | --- |

a)

Uppgiftsinföraren ska skyndsamt och på ett lämpligt sätt hantera förfrågningar från uppgiftsutföraren angående behandlingen enligt dessa klausuler.

| b) | Parterna ska kunna visa att de uppfyller kraven i dessa klausuler. Framför allt ska uppgiftsinföraren föra lämplig dokumentation över den behandling som utförts på uppdrag av uppgiftsutföraren. |
| --- | --- |

b)

Parterna ska kunna visa att de uppfyller kraven i dessa klausuler. Framför allt ska uppgiftsinföraren föra lämplig dokumentation över den behandling som utförts på uppdrag av uppgiftsutföraren.

| c) | Uppgiftsinföraren ska se till att uppgiftsutföraren har tillgång till all information som behövs för att visa att de skyldigheter som fastställs i dessa klausuler har fullgjorts och, på uppgiftsutförarens begäran, möjliggöra och bidra till revisioner av den behandling som omfattas av dessa klausuler med rimliga mellanrum eller om det finns indikationer på bristande efterlevnad. När beslut fattas om en granskning eller revision får uppgiftsutföraren ta hänsyn till relevanta intyg som innehas av uppgiftsinföraren. |
| --- | --- |

c)

Uppgiftsinföraren ska se till att uppgiftsutföraren har tillgång till all information som behövs för att visa att de skyldigheter som fastställs i dessa klausuler har fullgjorts och, på uppgiftsutförarens begäran, möjliggöra och bidra till revisioner av den behandling som omfattas av dessa klausuler med rimliga mellanrum eller om det finns indikationer på bristande efterlevnad. När beslut fattas om en granskning eller revision får uppgiftsutföraren ta hänsyn till relevanta intyg som innehas av uppgiftsinföraren.

| d) | Uppgiftsutföraren får välja att utföra revisionen själv eller anlita en oberoende revisor. Revisionerna får omfatta inspektioner i uppgiftsinförarens lokaler eller fysiska anläggningar och ska, om så är lämpligt, utföras med rimligt varsel. |
| --- | --- |

d)

Uppgiftsutföraren får välja att utföra revisionen själv eller anlita en oberoende revisor. Revisionerna får omfatta inspektioner i uppgiftsinförarens lokaler eller fysiska anläggningar och ska, om så är lämpligt, utföras med rimligt varsel.

| e) | Parterna ska se till att den information som avses i leden b och c, inklusive resultaten av eventuella revisioner, finns tillgänglig för den behöriga tillsynsmyndigheten på begäran. |
| --- | --- |

e)

Parterna ska se till att den information som avses i leden b och c, inklusive resultaten av eventuella revisioner, finns tillgänglig för den behöriga tillsynsmyndigheten på begäran.

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

8.1   Instruktioner

| a) | Uppgiftsutföraren har informerat uppgiftsinföraren om att han eller hon agerar i egenskap av personuppgiftsbiträde enligt den eller de personuppgiftsansvarigas instruktioner, vilka uppgiftsutföraren ska göra tillgängliga för uppgiftsinföraren före behandlingen. |
| --- | --- |

a)

Uppgiftsutföraren har informerat uppgiftsinföraren om att han eller hon agerar i egenskap av personuppgiftsbiträde enligt den eller de personuppgiftsansvarigas instruktioner, vilka uppgiftsutföraren ska göra tillgängliga för uppgiftsinföraren före behandlingen.

| b) | Uppgiftsinföraren ska endast behandla personuppgifter enligt dokumenterade instruktioner från den personuppgiftsansvarige, vilka uppgiftsutföraren ska tillhandahålla uppgiftsinföraren, och eventuella ytterligare dokumenterade instruktioner från uppgiftsutföraren. Sådana ytterligare instruktioner får inte stå i strid med den personuppgiftsansvariges instruktioner. Den personuppgiftsansvarige eller uppgiftsutföraren får ge ytterligare dokumenterade instruktioner avseende behandlingen av personuppgifter under hela avtalets giltighetstid. |
| --- | --- |

b)

Uppgiftsinföraren ska endast behandla personuppgifter enligt dokumenterade instruktioner från den personuppgiftsansvarige, vilka uppgiftsutföraren ska tillhandahålla uppgiftsinföraren, och eventuella ytterligare dokumenterade instruktioner från uppgiftsutföraren. Sådana ytterligare instruktioner får inte stå i strid med den personuppgiftsansvariges instruktioner. Den personuppgiftsansvarige eller uppgiftsutföraren får ge ytterligare dokumenterade instruktioner avseende behandlingen av personuppgifter under hela avtalets giltighetstid.

| c) | Uppgiftsinföraren ska omedelbart informera uppgiftsutföraren vid eventuell oförmåga att följa dessa instruktioner. Om uppgiftsinföraren inte kan följa den personuppgiftsansvariges instruktioner ska uppgiftsutföraren omedelbart informera den personuppgiftsansvarige. |
| --- | --- |

c)

Uppgiftsinföraren ska omedelbart informera uppgiftsutföraren vid eventuell oförmåga att följa dessa instruktioner. Om uppgiftsinföraren inte kan följa den personuppgiftsansvariges instruktioner ska uppgiftsutföraren omedelbart informera den personuppgiftsansvarige.

| d) | Uppgiftsutföraren garanterar att han eller hon har ålagt uppgiftsinföraren samma skyldigheter i fråga om uppgiftsskydd som fastställs i avtalet eller annan rättsakt enligt unionens eller medlemsstaternas lagstiftning mellan den personuppgiftsansvarige och uppgiftsutföraren (5). |
| --- | --- |

d)

Uppgiftsutföraren garanterar att han eller hon har ålagt uppgiftsinföraren samma skyldigheter i fråga om uppgiftsskydd som fastställs i avtalet eller annan rättsakt enligt unionens eller medlemsstaternas lagstiftning mellan den personuppgiftsansvarige och uppgiftsutföraren (5).

8.2   Ändamålsbegränsning

Uppgiftsinföraren ska endast behandla personuppgifter för det eller de specifika ändamålen med överföringen, enligt vad som fastställs i bilaga I.B, såvida inte andra instruktioner har lämnats av den personuppgiftsansvarige, enligt information från uppgiftsutföraren till uppgiftsinföraren, eller av uppgiftsutföraren.

8.3   Öppenhet

På begäran ska uppgiftsutföraren tillhandahålla en kopia av dessa klausuler, inklusive tillägget när det har fyllts i av parterna, till den registrerade utan kostnad. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får uppgiftsutföraren redigera delar av texten i tillägget innan en kopia tillhandahålls, men han eller hon måste bifoga en meningsfull sammanfattning om den registrerade annars inte skulle kunna förstå dess innehåll eller utöva sina rättigheter. På begäran ska parterna tillhandahålla skälen till redigeringen till den registrerade, i möjligaste mån utan att avslöja de redigerade uppgifterna.

8.4   Korrekthet

Om uppgiftsinföraren får kännedom om att de personuppgifter som han eller hon har tagit emot är felaktiga, eller har blivit inaktuella, ska han eller hon informera uppgiftsutföraren utan onödigt dröjsmål. I sådana fall ska uppgiftsinföraren samarbeta med uppgiftsutföraren för att rätta eller radera uppgifterna.

8.5   Behandlingens varaktighet och radering eller återlämnande av uppgifter

Uppgiftsinförarens behandling ska endast äga rum under den period som anges i bilaga I.B. När tillhandahållandet av behandlingstjänsterna har avslutats ska uppgiftsinföraren, enligt uppgiftsutförarens val, radera alla personuppgifter som behandlats på uppdrag av den personuppgiftsansvarige och intyga för uppgiftsutföraren att detta har skett, eller till uppgiftsutföraren återlämna alla personuppgifter som har behandlats på uppdrag av uppgiftsutföraren och radera befintliga kopior. Till dess att uppgifterna raderats eller återlämnats ska uppgiftsinföraren fortsätta att se till att dessa klausuler följs. Om återlämnande eller radering av personuppgifterna är förbjudet enligt lokal lagstiftning som är tillämplig för uppgiftsinföraren ska uppgiftsinföraren garantera att han eller hon kommer att fortsätta att uppfylla kraven i dessa klausuler och endast kommer att behandla personuppgifterna i den utsträckning och under den tid som krävs enligt den lokala lagstiftningen. Detta påverkar inte klausul 14, i synnerhet kravet enligt klausul 14 e att uppgiftsinföraren under hela avtalets giltighetstid ska meddela uppgiftsutföraren om han eller hon har anledning att misstänka att han eller hon är eller har blivit föremål för lagar eller förfaranden som inte stämmer överens med kraven i klausul 14 a.

8.6   Säkerhet vid behandling

| a) | Uppgiftsinföraren, och under överföring även uppgiftsutföraren, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för den registrerade i samband med behandlingen. Parterna ska i synnerhet överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt. Vid användning av pseudonymisering ska uppgiftsutföraren eller den personuppgiftsansvarige om möjligt behålla sin fullständiga kontroll över den ytterligare information som krävs för att knyta personuppgifterna till en viss registrerad. För att fullgöra sina skyldigheter enligt denna punkt ska uppgiftsinföraren åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga II. Uppgiftsinföraren ska göra regelbundna kontroller för att säkerställa att dessa åtgärder även fortsättningsvis ger en lämplig säkerhetsnivå. |
| --- | --- |

a)

Uppgiftsinföraren, och under överföring även uppgiftsutföraren, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst till uppgifterna (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för den registrerade i samband med behandlingen. Parterna ska i synnerhet överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt. Vid användning av pseudonymisering ska uppgiftsutföraren eller den personuppgiftsansvarige om möjligt behålla sin fullständiga kontroll över den ytterligare information som krävs för att knyta personuppgifterna till en viss registrerad. För att fullgöra sina skyldigheter enligt denna punkt ska uppgiftsinföraren åtminstone genomföra de tekniska och organisatoriska åtgärder som anges i bilaga II. Uppgiftsinföraren ska göra regelbundna kontroller för att säkerställa att dessa åtgärder även fortsättningsvis ger en lämplig säkerhetsnivå.

| b) | Uppgiftsinföraren ska endast ge sin personal tillgång till uppgifterna i den utsträckning det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Uppgiftsinföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. |
| --- | --- |

b)

Uppgiftsinföraren ska endast ge sin personal tillgång till uppgifterna i den utsträckning det är absolut nödvändigt för att genomföra, förvalta och övervaka avtalet. Uppgiftsinföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

| c) | I händelse av en personuppgiftsincident som gäller uppgifter som har behandlats av uppgiftsinföraren enligt dessa klausuler ska uppgiftsinföraren vidta lämpliga åtgärder för att hantera incidenten, däribland åtgärder för att mildra dess negativa konsekvenser. Uppgiftsinföraren ska även, utan onödigt dröjsmål, meddela uppgiftsutföraren och, om det är lämpligt och genomförbart, den personuppgiftsansvarige efter att ha fått kännedom om incidenten. Meddelandet ska innehålla uppgifter om en kontaktpunkt som kan lämna mer information, en beskrivning av incidentens karaktär (inbegripet, om möjligt, vilka kategorier och det ungefärliga antalet registrerade och personuppgiftsregister som berörs), dess sannolika konsekvenser samt vilka åtgärder som har vidtagits eller föreslagits för att hantera incidenten, däribland åtgärder för att mildra dess möjliga negativa konsekvenser. Om, och i den mån, det inte är möjligt att tillhandahålla all information vid samma tillfälle ska det inledande meddelandet innehålla den information som då finns tillgänglig, varefter ytterligare information ska tillhandahållas utan onödigt dröjsmål efterhand som den blir tillgänglig. |
| --- | --- |

c)

I händelse av en personuppgiftsincident som gäller uppgifter som har behandlats av uppgiftsinföraren enligt dessa klausuler ska uppgiftsinföraren vidta lämpliga åtgärder för att hantera incidenten, däribland åtgärder för att mildra dess negativa konsekvenser. Uppgiftsinföraren ska även, utan onödigt dröjsmål, meddela uppgiftsutföraren och, om det är lämpligt och genomförbart, den personuppgiftsansvarige efter att ha fått kännedom om incidenten. Meddelandet ska innehålla uppgifter om en kontaktpunkt som kan lämna mer information, en beskrivning av incidentens karaktär (inbegripet, om möjligt, vilka kategorier och det ungefärliga antalet registrerade och personuppgiftsregister som berörs), dess sannolika konsekvenser samt vilka åtgärder som har vidtagits eller föreslagits för att hantera incidenten, däribland åtgärder för att mildra dess möjliga negativa konsekvenser. Om, och i den mån, det inte är möjligt att tillhandahålla all information vid samma tillfälle ska det inledande meddelandet innehålla den information som då finns tillgänglig, varefter ytterligare information ska tillhandahållas utan onödigt dröjsmål efterhand som den blir tillgänglig.

| d) | Uppgiftsinföraren ska samarbeta med och bistå uppgiftsutföraren så att uppgiftsutföraren kan fullgöra sina skyldigheter enligt förordning (EU) 2016/679, framför allt att meddela den personuppgiftsansvarige så att denne i sin tur kan meddela den behöriga tillsynsmyndigheten och de berörda registrerade, med beaktande av behandlingens karaktär och den information som finns tillgänglig för uppgiftsinföraren. |
| --- | --- |

d)

Uppgiftsinföraren ska samarbeta med och bistå uppgiftsutföraren så att uppgiftsutföraren kan fullgöra sina skyldigheter enligt förordning (EU) 2016/679, framför allt att meddela den personuppgiftsansvarige så att denne i sin tur kan meddela den behöriga tillsynsmyndigheten och de berörda registrerade, med beaktande av behandlingens karaktär och den information som finns tillgänglig för uppgiftsinföraren.

8.7   Känsliga uppgifter

Om överföringen inbegriper personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska eller biometriska uppgifter för unik identifiering av en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning, eller uppgifter om brottmålsdomar och lagöverträdelser (känsliga uppgifter) ska uppgiftsinföraren tillämpa de särskilda begränsningar och/eller de ytterligare skyddsåtgärder som beskrivs i bilaga I.B.

8.8   Vidare överföringar

Uppgiftsinföraren ska endast lämna ut personuppgifterna till en tredje part efter dokumenterade instruktioner från den personuppgiftsansvarige, enligt den information som uppgiftsinföraren har fått av uppgiftsutföraren. Dessutom får uppgifterna endast lämnas ut till en tredje part utanför Europeiska unionen (6) (i samma land som uppgiftsinföraren eller i ett annat tredjeland, nedan kallat vidare överföring), om den tredje parten är eller samtycker till att vara bunden av dessa klausuler i motsvarande modul, eller

| i) | om den vidare överföringen sker till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som täcker den vidare överföringen, |
| --- | --- |

i)

om den vidare överföringen sker till ett land som omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 i förordning (EU) 2016/679 som täcker den vidare överföringen,

| ii) | om den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder enligt artikel 46 eller 47 i förordning (EU) 2016/679, |
| --- | --- |

ii)

om den tredje parten på annat sätt säkerställer lämpliga skyddsåtgärder enligt artikel 46 eller 47 i förordning (EU) 2016/679,

| iii) | om den vidare överföringen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, eller |
| --- | --- |

iii)

om den vidare överföringen är nödvändig för att fastställa, göra gällande eller försvara ett rättsligt anspråk i samband med särskilda administrativa, tillsynsrelaterade eller rättsliga förfaranden, eller

| iv) | om den vidare överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. |
| --- | --- |

iv)

om den vidare överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

Vid varje vidare överföring måste uppgiftsinföraren uppfylla kraven för alla andra skyddsåtgärder i dessa klausuler, i synnerhet ändamålsbegränsning.

8.9   Dokumentation och efterlevnad

| a) | Uppgiftsinföraren ska skyndsamt och på lämpligt sätt hantera förfrågningar från uppgiftsutföraren eller den personuppgiftsansvarige angående behandlingen enligt dessa klausuler. |
| --- | --- |

a)

Uppgiftsinföraren ska skyndsamt och på lämpligt sätt hantera förfrågningar från uppgiftsutföraren eller den personuppgiftsansvarige angående behandlingen enligt dessa klausuler.

| b) | Parterna ska kunna visa att de uppfyller kraven i dessa klausuler. Framför allt ska uppgiftsinföraren föra lämplig dokumentation över den behandling som utförts på uppdrag av den personuppgiftsansvarige. |
| --- | --- |

b)

Parterna ska kunna visa att de uppfyller kraven i dessa klausuler. Framför allt ska uppgiftsinföraren föra lämplig dokumentation över den behandling som utförts på uppdrag av den personuppgiftsansvarige.

| c) | Uppgiftsinföraren ska se till att uppgiftsutföraren får tillgång till all information som behövs för att visa att de skyldigheter som fastställs i dessa klausuler har fullgjorts; uppgiftsutföraren ska sedan vidarebefordra denna information till den personuppgiftsansvarige. |
| --- | --- |

c)

Uppgiftsinföraren ska se till att uppgiftsutföraren får tillgång till all information som behövs för att visa att de skyldigheter som fastställs i dessa klausuler har fullgjorts; uppgiftsutföraren ska sedan vidarebefordra denna information till den personuppgiftsansvarige.

| d) | Uppgiftsinföraren ska möjliggöra och bidra till uppgiftsutförarens revisioner av den behandling som omfattas av dessa klausuler, med rimliga mellanrum eller om det finns indikationer på bristande efterlevnad. Detsamma ska gälla om uppgiftsutföraren begär en revision enligt instruktioner från den personuppgiftsansvarige. När beslut fattas om en revision får uppgiftsutföraren ta hänsyn till relevanta intyg som innehas av uppgiftsinföraren. |
| --- | --- |

d)

Uppgiftsinföraren ska möjliggöra och bidra till uppgiftsutförarens revisioner av den behandling som omfattas av dessa klausuler, med rimliga mellanrum eller om det finns indikationer på bristande efterlevnad. Detsamma ska gälla om uppgiftsutföraren begär en revision enligt instruktioner från den personuppgiftsansvarige. När beslut fattas om en revision får uppgiftsutföraren ta hänsyn till relevanta intyg som innehas av uppgiftsinföraren.

| e) | Om revisionen utförs efter den personuppgiftsansvariges instruktioner ska uppgiftsutföraren göra resultaten tillgängliga för den personuppgiftsansvarige. |
| --- | --- |

e)

Om revisionen utförs efter den personuppgiftsansvariges instruktioner ska uppgiftsutföraren göra resultaten tillgängliga för den personuppgiftsansvarige.

| f) | Uppgiftsutföraren får välja att utföra revisionen själv eller anlita en oberoende revisor. Revisionerna får omfatta inspektioner i uppgiftsinförarens lokaler eller fysiska anläggningar och ska, om så är lämpligt, utföras med rimligt varsel. |
| --- | --- |

f)

Uppgiftsutföraren får välja att utföra revisionen själv eller anlita en oberoende revisor. Revisionerna får omfatta inspektioner i uppgiftsinförarens lokaler eller fysiska anläggningar och ska, om så är lämpligt, utföras med rimligt varsel.

| g) | Parterna ska se till att den information som avses i leden b och c, inklusive resultaten av eventuella revisioner, finns tillgänglig för den behöriga tillsynsmyndigheten på begäran. |
| --- | --- |

g)

Parterna ska se till att den information som avses i leden b och c, inklusive resultaten av eventuella revisioner, finns tillgänglig för den behöriga tillsynsmyndigheten på begäran.

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

8.1   Instruktioner

| a) | Uppgiftsutföraren ska endast behandla personuppgifterna enligt dokumenterade instruktioner från den uppgiftsinförare som agerar som dess personuppgiftsansvarige. |
| --- | --- |

a)

Uppgiftsutföraren ska endast behandla personuppgifterna enligt dokumenterade instruktioner från den uppgiftsinförare som agerar som dess personuppgiftsansvarige.

| b) | Uppgiftsutföraren ska omedelbart informera uppgiftsinföraren om han eller hon inte kan följa dessa instruktioner, däribland om instruktionerna bryter mot förordning (EU) 2016/679 eller någon annan dataskyddslagstiftning i unionen eller medlemsstaterna. |
| --- | --- |

b)

Uppgiftsutföraren ska omedelbart informera uppgiftsinföraren om han eller hon inte kan följa dessa instruktioner, däribland om instruktionerna bryter mot förordning (EU) 2016/679 eller någon annan dataskyddslagstiftning i unionen eller medlemsstaterna.

| c) | Uppgiftsinföraren ska avstå från varje åtgärd som skulle hindra uppgiftsutföraren från att fullgöra sina skyldigheter enligt förordning (EU) 2016/679, däribland vid anlitande av en underentreprenör eller när det gäller samarbete med de behöriga tillsynsmyndigheterna. |
| --- | --- |

c)

Uppgiftsinföraren ska avstå från varje åtgärd som skulle hindra uppgiftsutföraren från att fullgöra sina skyldigheter enligt förordning (EU) 2016/679, däribland vid anlitande av en underentreprenör eller när det gäller samarbete med de behöriga tillsynsmyndigheterna.

| d) | När tillhandahållandet av behandlingstjänsterna har avslutats ska uppgiftsutföraren, enligt uppgiftsinförarens val, radera alla personuppgifter som behandlats på uppdrag av uppgiftsinföraren och intyga för uppgiftsinföraren att detta har skett, eller till uppgiftsinföraren återlämna alla personuppgifter som har behandlats på uppdrag av uppgiftsinföraren och radera befintliga kopior. |
| --- | --- |

d)

När tillhandahållandet av behandlingstjänsterna har avslutats ska uppgiftsutföraren, enligt uppgiftsinförarens val, radera alla personuppgifter som behandlats på uppdrag av uppgiftsinföraren och intyga för uppgiftsinföraren att detta har skett, eller till uppgiftsinföraren återlämna alla personuppgifter som har behandlats på uppdrag av uppgiftsinföraren och radera befintliga kopior.

8.2   Säkerhet vid behandling

| a) | Parterna ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, även under överföring, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, personuppgifternas karaktär (7), behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för de registrerade i samband med behandlingen, och särskilt överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt. |
| --- | --- |

a)

Parterna ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa uppgifternas säkerhet, även under överföring, däribland genom skydd mot säkerhetsbrott som skulle leda till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst (personuppgiftsincident). Vid bedömning av lämplig säkerhetsnivå ska de ta vederbörlig hänsyn till de senaste rönen, kostnaderna för genomförandet, personuppgifternas karaktär (7), behandlingens karaktär, omfattning, sammanhang och ändamål samt riskerna för de registrerade i samband med behandlingen, och särskilt överväga att använda kryptering eller pseudonymisering, även under överföringen, om ändamålet med behandlingen kan uppfyllas på detta sätt.

| b) | Uppgiftsutföraren ska bistå uppgiftsinföraren med att säkerställa en lämplig säkerhetsnivå för uppgifterna i enlighet med led a. I händelse av en personuppgiftsincident som gäller personuppgifter som har behandlats av uppgiftsutföraren enligt dessa klausuler ska uppgiftsutföraren utan onödigt dröjsmål meddela uppgiftsinföraren efter att ha fått kännedom om incidenten och bistå uppgiftsinföraren i hanteringen av densamma. |
| --- | --- |

b)

Uppgiftsutföraren ska bistå uppgiftsinföraren med att säkerställa en lämplig säkerhetsnivå för uppgifterna i enlighet med led a. I händelse av en personuppgiftsincident som gäller personuppgifter som har behandlats av uppgiftsutföraren enligt dessa klausuler ska uppgiftsutföraren utan onödigt dröjsmål meddela uppgiftsinföraren efter att ha fått kännedom om incidenten och bistå uppgiftsinföraren i hanteringen av densamma.

| c) | Uppgiftsutföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. |
| --- | --- |

c)

Uppgiftsutföraren ska säkerställa att personer som har tillstånd att behandla personuppgifterna har förbundit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.

8.3   Dokumentation och efterlevnad

| a) | Parterna ska kunna visa att de uppfyller kraven i dessa klausuler. |
| --- | --- |

a)

Parterna ska kunna visa att de uppfyller kraven i dessa klausuler.

| b) | Uppgiftsutföraren ska se till att uppgiftsinföraren får tillgång till all information som behövs för att visa att skyldigheterna enligt dessa klausuler har fullgjorts och för att möjliggöra och bidra till revisioner. |
| --- | --- |

b)

Uppgiftsutföraren ska se till att uppgiftsinföraren får tillgång till all information som behövs för att visa att skyldigheterna enligt dessa klausuler har fullgjorts och för att möjliggöra och bidra till revisioner.

Klausul 9

Användning av underentreprenörer

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

| a) | ALTERNATIV 1: SÄRSKILT FÖRHANDSTILLSTÅND Uppgiftsinföraren får inte utkontraktera någon av sina behandlingar som utförs på uppdrag av uppgiftsutföraren enligt dessa klausuler till en underentreprenör utan ett särskilt skriftligt förhandstillstånd från uppgiftsutföraren. Uppgiftsinföraren ska lämna in en ansökan om ett särskilt förhandstillstånd minst [ange tidsperiod] före anlitandet av underentreprenören, tillsammans med den information som krävs för att uppgiftsutföraren ska kunna fatta ett beslut om tillståndet. Förteckningen över underentreprenörer som redan godkänts av uppgiftsutföraren finns i bilaga III. Parterna ska se till att bilaga III är uppdaterad.
  ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND Uppgiftsinföraren har uppgiftsutförarens allmänna tillstånd att anlita en eller flera underentreprenörer i en överenskommen förteckning. Uppgiftsinföraren ska informera uppgiftsutföraren skriftligen om alla planerade ändringar av förteckningen genom tillägg eller ersättning av underentreprenörer minst [ange tidsperiod] i förväg, så att uppgiftsutföraren har tillräckligt med tid för att invända mot sådana ändringar före anlitandet av underentreprenören(-erna). Uppgiftsinföraren ska ge uppgiftsutföraren all information som behövs för att uppgiftsutföraren ska kunna utöva sin rätt att göra invändningar. |
| --- | --- |

a)

ALTERNATIV 1: SÄRSKILT FÖRHANDSTILLSTÅND Uppgiftsinföraren får inte utkontraktera någon av sina behandlingar som utförs på uppdrag av uppgiftsutföraren enligt dessa klausuler till en underentreprenör utan ett särskilt skriftligt förhandstillstånd från uppgiftsutföraren. Uppgiftsinföraren ska lämna in en ansökan om ett särskilt förhandstillstånd minst [ange tidsperiod] före anlitandet av underentreprenören, tillsammans med den information som krävs för att uppgiftsutföraren ska kunna fatta ett beslut om tillståndet. Förteckningen över underentreprenörer som redan godkänts av uppgiftsutföraren finns i bilaga III. Parterna ska se till att bilaga III är uppdaterad.

ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND Uppgiftsinföraren har uppgiftsutförarens allmänna tillstånd att anlita en eller flera underentreprenörer i en överenskommen förteckning. Uppgiftsinföraren ska informera uppgiftsutföraren skriftligen om alla planerade ändringar av förteckningen genom tillägg eller ersättning av underentreprenörer minst [ange tidsperiod] i förväg, så att uppgiftsutföraren har tillräckligt med tid för att invända mot sådana ändringar före anlitandet av underentreprenören(-erna). Uppgiftsinföraren ska ge uppgiftsutföraren all information som behövs för att uppgiftsutföraren ska kunna utöva sin rätt att göra invändningar.

| b) | Om uppgiftsinföraren anlitar en underentreprenör för att utföra särskilda behandlingar (på uppdrag av uppgiftsutföraren) ska han eller hon göra detta genom ett skriftligt avtal som, i sak, innehåller samma skyldigheter i fråga om dataskydd som de avtal som är bindande för uppgiftsinföraren enligt dessa klausuler, däribland vad gäller de registrerades rättigheter som berättigade tredje parter (8). Parterna är överens om att uppgiftsinföraren, genom att uppfylla kraven i denna klausul, fullgör sina skyldigheter enligt klausul 8.8. Uppgiftsinföraren ska säkerställa att underentreprenören fullgör de skyldigheter som uppgiftsinföraren omfattas av enligt dessa klausuler. |
| --- | --- |

b)

Om uppgiftsinföraren anlitar en underentreprenör för att utföra särskilda behandlingar (på uppdrag av uppgiftsutföraren) ska han eller hon göra detta genom ett skriftligt avtal som, i sak, innehåller samma skyldigheter i fråga om dataskydd som de avtal som är bindande för uppgiftsinföraren enligt dessa klausuler, däribland vad gäller de registrerades rättigheter som berättigade tredje parter (8). Parterna är överens om att uppgiftsinföraren, genom att uppfylla kraven i denna klausul, fullgör sina skyldigheter enligt klausul 8.8. Uppgiftsinföraren ska säkerställa att underentreprenören fullgör de skyldigheter som uppgiftsinföraren omfattas av enligt dessa klausuler.

| c) | Uppgiftsinföraren ska, på uppgiftsutförarens begäran, tillhandahålla en kopia av avtalet med underentreprenören och eventuella senare ändringar till uppgiftsutföraren. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får uppgiftsinföraren redigera texten i avtalet innan en kopia tillhandahålls. |
| --- | --- |

c)

Uppgiftsinföraren ska, på uppgiftsutförarens begäran, tillhandahålla en kopia av avtalet med underentreprenören och eventuella senare ändringar till uppgiftsutföraren. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får uppgiftsinföraren redigera texten i avtalet innan en kopia tillhandahålls.

| d) | Uppgiftsinföraren ska fortsatt vara fullt ansvarig inför uppgiftsutföraren för fullgörandet av underentreprenörens skyldigheter inom ramen för dennes avtal med uppgiftsinföraren. Uppgiftsinföraren ska meddela uppgiftsutföraren om underentreprenören underlåter att fullgöra sina skyldigheter inom ramen för avtalet. |
| --- | --- |

d)

Uppgiftsinföraren ska fortsatt vara fullt ansvarig inför uppgiftsutföraren för fullgörandet av underentreprenörens skyldigheter inom ramen för dennes avtal med uppgiftsinföraren. Uppgiftsinföraren ska meddela uppgiftsutföraren om underentreprenören underlåter att fullgöra sina skyldigheter inom ramen för avtalet.

| e) | Uppgiftsinföraren ska komma överens om en klausul om tredjepartsberättigande med underentreprenören, varigenom uppgiftsutföraren – om uppgiftsinföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp avtalet med underentreprenören och beordra underentreprenören att radera eller återlämna personuppgifterna. |
| --- | --- |

e)

Uppgiftsinföraren ska komma överens om en klausul om tredjepartsberättigande med underentreprenören, varigenom uppgiftsutföraren – om uppgiftsinföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp avtalet med underentreprenören och beordra underentreprenören att radera eller återlämna personuppgifterna.

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

| a) | ALTERNATIV 1: SÄRSKILT FÖRHANDSTILLSTÅND Uppgiftsinföraren får inte utkontraktera någon av sina behandlingar som utförs på uppdrag av uppgiftsutföraren enligt dessa klausuler till en underentreprenör utan ett särskilt skriftligt förhandstillstånd från den personuppgiftsansvarige. Uppgiftsinföraren ska lämna in en ansökan om ett särskilt förhandstillstånd minst [ange tidsperiod] före anlitandet av underentreprenören, tillsammans med den information som behövs för att den personuppgiftsansvarige ska kunna fatta ett beslut om tillståndet. Uppgiftsinföraren ska informera uppgiftsutföraren om anlitandet. Förteckningen över underentreprenörer som redan godkänts av den personuppgiftsansvarige finns i bilaga III. Parterna ska se till att bilaga III är uppdaterad.
  ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND Uppgiftsinföraren har den personuppgiftsansvariges allmänna tillstånd att anlita en eller flera underentreprenörer i en överenskommen förteckning. Uppgiftsinföraren ska informera den personuppgiftsansvarige skriftligen om alla planerade ändringar av förteckningen genom tillägg eller ersättning av underentreprenörer minst [ange tidsperiod] i förväg, så att den personuppgiftsansvarige har tillräckligt med tid för att invända mot sådana ändringar före anlitandet av underentreprenören(-erna). Uppgiftsinföraren ska ge den personuppgiftsansvarige all information som behövs för att den personuppgiftsansvarige ska kunna utöva sin rätt att göra invändningar. Uppgiftsinföraren ska informera uppgiftsutföraren om anlitandet av underentreprenören(-erna). |
| --- | --- |

a)

ALTERNATIV 1: SÄRSKILT FÖRHANDSTILLSTÅND Uppgiftsinföraren får inte utkontraktera någon av sina behandlingar som utförs på uppdrag av uppgiftsutföraren enligt dessa klausuler till en underentreprenör utan ett särskilt skriftligt förhandstillstånd från den personuppgiftsansvarige. Uppgiftsinföraren ska lämna in en ansökan om ett särskilt förhandstillstånd minst [ange tidsperiod] före anlitandet av underentreprenören, tillsammans med den information som behövs för att den personuppgiftsansvarige ska kunna fatta ett beslut om tillståndet. Uppgiftsinföraren ska informera uppgiftsutföraren om anlitandet. Förteckningen över underentreprenörer som redan godkänts av den personuppgiftsansvarige finns i bilaga III. Parterna ska se till att bilaga III är uppdaterad.

ALTERNATIV 2: ALLMÄNT SKRIFTLIGT TILLSTÅND Uppgiftsinföraren har den personuppgiftsansvariges allmänna tillstånd att anlita en eller flera underentreprenörer i en överenskommen förteckning. Uppgiftsinföraren ska informera den personuppgiftsansvarige skriftligen om alla planerade ändringar av förteckningen genom tillägg eller ersättning av underentreprenörer minst [ange tidsperiod] i förväg, så att den personuppgiftsansvarige har tillräckligt med tid för att invända mot sådana ändringar före anlitandet av underentreprenören(-erna). Uppgiftsinföraren ska ge den personuppgiftsansvarige all information som behövs för att den personuppgiftsansvarige ska kunna utöva sin rätt att göra invändningar. Uppgiftsinföraren ska informera uppgiftsutföraren om anlitandet av underentreprenören(-erna).

| b) | Om uppgiftsinföraren anlitar en underentreprenör för att utföra särskilda behandlingar (på uppdrag av den personuppgiftsansvarige) ska han eller hon göra detta genom ett skriftligt avtal som, i sak, innehåller samma skyldigheter i fråga om dataskydd som de avtal som är bindande för uppgiftsinföraren enligt dessa klausuler, däribland vad gäller de registrerades rättigheter som berättigade tredje parter (9). Parterna är överens om att uppgiftsinföraren, genom att uppfylla kraven i denna klausul, fullgör sina skyldigheter enligt klausul 8.8. Uppgiftsinföraren ska säkerställa att underentreprenören fullgör de skyldigheter som uppgiftsinföraren omfattas av enligt dessa klausuler. |
| --- | --- |

b)

Om uppgiftsinföraren anlitar en underentreprenör för att utföra särskilda behandlingar (på uppdrag av den personuppgiftsansvarige) ska han eller hon göra detta genom ett skriftligt avtal som, i sak, innehåller samma skyldigheter i fråga om dataskydd som de avtal som är bindande för uppgiftsinföraren enligt dessa klausuler, däribland vad gäller de registrerades rättigheter som berättigade tredje parter (9). Parterna är överens om att uppgiftsinföraren, genom att uppfylla kraven i denna klausul, fullgör sina skyldigheter enligt klausul 8.8. Uppgiftsinföraren ska säkerställa att underentreprenören fullgör de skyldigheter som uppgiftsinföraren omfattas av enligt dessa klausuler.

| c) | Uppgiftsinföraren ska, på uppgiftsutförarens eller den personuppgiftsansvariges begäran, tillhandahålla en kopia av avtalet med underentreprenören och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får uppgiftsinföraren redigera texten i avtalet innan en kopia tillhandahålls. |
| --- | --- |

c)

Uppgiftsinföraren ska, på uppgiftsutförarens eller den personuppgiftsansvariges begäran, tillhandahålla en kopia av avtalet med underentreprenören och eventuella senare ändringar. I den mån det är nödvändigt för att skydda affärshemligheter eller andra konfidentiella uppgifter, inklusive personuppgifter, får uppgiftsinföraren redigera texten i avtalet innan en kopia tillhandahålls.

| d) | Uppgiftsinföraren ska fortsatt vara fullt ansvarig inför uppgiftsutföraren för fullgörandet av underentreprenörens skyldigheter inom ramen för dennes avtal med uppgiftsinföraren. Uppgiftsinföraren ska meddela uppgiftsutföraren om underentreprenören underlåter att fullgöra sina skyldigheter inom ramen för avtalet. |
| --- | --- |

d)

Uppgiftsinföraren ska fortsatt vara fullt ansvarig inför uppgiftsutföraren för fullgörandet av underentreprenörens skyldigheter inom ramen för dennes avtal med uppgiftsinföraren. Uppgiftsinföraren ska meddela uppgiftsutföraren om underentreprenören underlåter att fullgöra sina skyldigheter inom ramen för avtalet.

| e) | Uppgiftsinföraren ska komma överens om en klausul om tredjepartsberättigande med underentreprenören, varigenom uppgiftsutföraren – om uppgiftsinföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp avtalet med underentreprenören och beordra underentreprenören att radera eller återlämna personuppgifterna. |
| --- | --- |

e)

Uppgiftsinföraren ska komma överens om en klausul om tredjepartsberättigande med underentreprenören, varigenom uppgiftsutföraren – om uppgiftsinföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd – ska ha rätt att säga upp avtalet med underentreprenören och beordra underentreprenören att radera eller återlämna personuppgifterna.

Klausul 10

De registrerades rättigheter

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

| a) | Uppgiftsinföraren ska, i relevanta fall med bistånd från uppgiftsutföraren, hantera eventuella förfrågningar och begäranden från en registrerad avseende behandlingen av hans/hennes personuppgifter och utövandet av hans/hennes rättigheter enligt dessa klausuler utan onödigt dröjsmål och senast inom en månad efter mottagandet av förfrågningen eller begäran. (10) Uppgiftsinföraren ska vidta lämpliga åtgärder för att underlätta sådana förfrågningar och begäranden och utövandet av den registrerades rättigheter. All information till den registrerade ska tillhandahållas i ett begripligt och lättillgängligt format, med ett tydligt och enkelt språk. |
| --- | --- |

a)

Uppgiftsinföraren ska, i relevanta fall med bistånd från uppgiftsutföraren, hantera eventuella förfrågningar och begäranden från en registrerad avseende behandlingen av hans/hennes personuppgifter och utövandet av hans/hennes rättigheter enligt dessa klausuler utan onödigt dröjsmål och senast inom en månad efter mottagandet av förfrågningen eller begäran. (10) Uppgiftsinföraren ska vidta lämpliga åtgärder för att underlätta sådana förfrågningar och begäranden och utövandet av den registrerades rättigheter. All information till den registrerade ska tillhandahållas i ett begripligt och lättillgängligt format, med ett tydligt och enkelt språk.

| b) | Uppgiftsinföraren ska i synnerhet, på begäran av den registrerade, utan kostnad






  i) | bekräfta för den registrerade huruvida personuppgifter som rör honom eller henne behandlas och, om så är fallet, tillhandahålla en kopia av de uppgifter som rör honom eller henne och den information som anges i bilaga I, om personuppgifter har överförts eller kommer att överföras vidare, tillhandahålla uppgifter om mottagare eller kategorier av mottagare (enligt vad som är lämpligt för att tillhandahålla meningsfull information) till vilka personuppgifterna har överförts eller kommer att överföras vidare, ändamålet med dessa vidare överföringar och deras grund i enlighet med klausul 8.7, samt tillhandahålla information om rätten att inge ett klagomål till en tillsynsmyndighet i enlighet med klausul 12 c i, |
| --- | --- | --- |

b)

Uppgiftsinföraren ska i synnerhet, på begäran av den registrerade, utan kostnad

i)

bekräfta för den registrerade huruvida personuppgifter som rör honom eller henne behandlas och, om så är fallet, tillhandahålla en kopia av de uppgifter som rör honom eller henne och den information som anges i bilaga I, om personuppgifter har överförts eller kommer att överföras vidare, tillhandahålla uppgifter om mottagare eller kategorier av mottagare (enligt vad som är lämpligt för att tillhandahålla meningsfull information) till vilka personuppgifterna har överförts eller kommer att överföras vidare, ändamålet med dessa vidare överföringar och deras grund i enlighet med klausul 8.7, samt tillhandahålla information om rätten att inge ett klagomål till en tillsynsmyndighet i enlighet med klausul 12 c i,

| ii) | rätta felaktiga eller ofullständiga uppgifter som rör den registrerade, |
| --- | --- |

ii)

rätta felaktiga eller ofullständiga uppgifter som rör den registrerade,

| iii) | radera personuppgifter som rör den registrerade om uppgifterna behandlas eller har behandlats i strid med någon av dessa klausuler som säkerställer rättigheterna för en berättigad tredje part, eller om den registrerade drar tillbaka det samtycke som ligger till grund för behandlingen. |
| --- | --- |

iii)

radera personuppgifter som rör den registrerade om uppgifterna behandlas eller har behandlats i strid med någon av dessa klausuler som säkerställer rättigheterna för en berättigad tredje part, eller om den registrerade drar tillbaka det samtycke som ligger till grund för behandlingen.

| c) | Om uppgiftsinföraren behandlar personuppgifterna för direkt marknadsföring ska han eller hon upphöra med behandlingen för sådana ändamål om den registrerade motsätter sig det. |
| --- | --- |

c)

Om uppgiftsinföraren behandlar personuppgifterna för direkt marknadsföring ska han eller hon upphöra med behandlingen för sådana ändamål om den registrerade motsätter sig det.

| d) | Uppgiftsinföraren får inte fatta beslut som endast baseras på automatisk behandling av de överförda personuppgifterna (databehandlat beslut), vilket skulle medföra rättsverkningar för den registrerade eller på liknande sätt avsevärt påverka honom/henne, såvida inte den registrerade har gett sitt uttryckliga samtycke eller om uppgiftsinföraren har tillstånd att göra detta enligt det mottagande landets lagar, förutsatt att de föreskriver lämpliga åtgärder för att skydda den registrerades rättigheter och berättigade intressen. I sådana fall ska uppgiftsinföraren, vid behov i samarbete med uppgiftsutföraren,






  i) | informera den registrerade om det planerade databehandlade beslutet, dess konsekvenser och den logik som används, och |
| --- | --- | --- |

d)

Uppgiftsinföraren får inte fatta beslut som endast baseras på automatisk behandling av de överförda personuppgifterna (databehandlat beslut), vilket skulle medföra rättsverkningar för den registrerade eller på liknande sätt avsevärt påverka honom/henne, såvida inte den registrerade har gett sitt uttryckliga samtycke eller om uppgiftsinföraren har tillstånd att göra detta enligt det mottagande landets lagar, förutsatt att de föreskriver lämpliga åtgärder för att skydda den registrerades rättigheter och berättigade intressen. I sådana fall ska uppgiftsinföraren, vid behov i samarbete med uppgiftsutföraren,

i)

informera den registrerade om det planerade databehandlade beslutet, dess konsekvenser och den logik som används, och

| ii) | genomföra lämpliga skyddsåtgärder, åtminstone genom att ge den registrerade möjlighet att bestrida beslutet, uttrycka sin åsikt och erhålla en mänsklig granskning. |
| --- | --- |

ii)

genomföra lämpliga skyddsåtgärder, åtminstone genom att ge den registrerade möjlighet att bestrida beslutet, uttrycka sin åsikt och erhålla en mänsklig granskning.

| e) | Om en registrerad person lämnar in ett överdrivet antal begäranden, i synnerhet om de har en repetitiv karaktär, får uppgiftsinföraren antingen ta ut en rimlig avgift med beaktande av de administrativa kostnaderna för beviljandet av begäran eller vägra att hantera begäran. |
| --- | --- |

e)

Om en registrerad person lämnar in ett överdrivet antal begäranden, i synnerhet om de har en repetitiv karaktär, får uppgiftsinföraren antingen ta ut en rimlig avgift med beaktande av de administrativa kostnaderna för beviljandet av begäran eller vägra att hantera begäran.

| f) | Uppgiftsinföraren får avvisa en begäran från en registrerad person om avvisandet är tillåtet enligt det mottagande landets lagstiftning, och om det är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda ett av de mål som anges i artikel 23.1 i förordning (EU) 2016/679. |
| --- | --- |

f)

Uppgiftsinföraren får avvisa en begäran från en registrerad person om avvisandet är tillåtet enligt det mottagande landets lagstiftning, och om det är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda ett av de mål som anges i artikel 23.1 i förordning (EU) 2016/679.

| g) | Om uppgiftsinföraren har för avsikt att avvisa en begäran från en registrerad ska han eller hon informera den registrerade om skälen till avvisandet och om möjligheten att inge ett klagomål till den behöriga tillsynsmyndigheten och/eller begära rättslig prövning. |
| --- | --- |

g)

Om uppgiftsinföraren har för avsikt att avvisa en begäran från en registrerad ska han eller hon informera den registrerade om skälen till avvisandet och om möjligheten att inge ett klagomål till den behöriga tillsynsmyndigheten och/eller begära rättslig prövning.

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

| a) | Uppgiftsinföraren ska skyndsamt meddela uppgiftsutföraren om varje begäran från en registrerad. Uppgiftsinföraren ska inte själv besvara begäran, såvida inte han eller hon har fått tillstånd att göra detta av uppgiftsutföraren. |
| --- | --- |

a)

Uppgiftsinföraren ska skyndsamt meddela uppgiftsutföraren om varje begäran från en registrerad. Uppgiftsinföraren ska inte själv besvara begäran, såvida inte han eller hon har fått tillstånd att göra detta av uppgiftsutföraren.

| b) | Uppgiftsinföraren ska bistå uppgiftsutföraren med att fullgöra dennes skyldigheter att tillgodose de registrerades begäranden om att utöva sina rättigheter enligt förordning (EU) 2016/679. I detta avseende ska parterna fastställa lämpliga tekniska och organisatoriska åtgärder i bilaga II, med beaktande av behandlingens karaktär, genom vilka biståndet ska tillhandahållas, såväl som tillämpningsområdet för och omfattningen av det bistånd som begärs. |
| --- | --- |

b)

Uppgiftsinföraren ska bistå uppgiftsutföraren med att fullgöra dennes skyldigheter att tillgodose de registrerades begäranden om att utöva sina rättigheter enligt förordning (EU) 2016/679. I detta avseende ska parterna fastställa lämpliga tekniska och organisatoriska åtgärder i bilaga II, med beaktande av behandlingens karaktär, genom vilka biståndet ska tillhandahållas, såväl som tillämpningsområdet för och omfattningen av det bistånd som begärs.

| c) | När uppgiftsinföraren fullgör sina skyldigheter enligt leden a och b ska han eller hon följa uppgiftsutförarens instruktioner. |
| --- | --- |

c)

När uppgiftsinföraren fullgör sina skyldigheter enligt leden a och b ska han eller hon följa uppgiftsutförarens instruktioner.

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

| a) | Uppgiftsinföraren ska skyndsamt meddela uppgiftsutföraren och, om så är lämpligt, den personuppgiftsansvarige om varje begäran som tas emot från en registrerad, utan att besvara begäran såvida inte han eller hon har den personuppgiftsansvariges tillstånd att göra detta. |
| --- | --- |

a)

Uppgiftsinföraren ska skyndsamt meddela uppgiftsutföraren och, om så är lämpligt, den personuppgiftsansvarige om varje begäran som tas emot från en registrerad, utan att besvara begäran såvida inte han eller hon har den personuppgiftsansvariges tillstånd att göra detta.

| b) | Uppgiftsinföraren ska bistå den personuppgiftsansvarige, i tillämpliga fall i samarbete med uppgiftsutföraren, med att fullgöra dennes skyldigheter att tillgodose de registrerades begäranden om att utöva sina rättigheter enligt förordning (EU) 2016/679 eller förordning (EU) 2018/1725, enligt vad som är tillämpligt. I detta avseende ska parterna fastställa lämpliga tekniska och organisatoriska åtgärder i bilaga II, med beaktande av behandlingens karaktär, genom vilka biståndet ska tillhandahållas, såväl som tillämpningsområdet för och omfattningen av det bistånd som begärs. |
| --- | --- |

b)

Uppgiftsinföraren ska bistå den personuppgiftsansvarige, i tillämpliga fall i samarbete med uppgiftsutföraren, med att fullgöra dennes skyldigheter att tillgodose de registrerades begäranden om att utöva sina rättigheter enligt förordning (EU) 2016/679 eller förordning (EU) 2018/1725, enligt vad som är tillämpligt. I detta avseende ska parterna fastställa lämpliga tekniska och organisatoriska åtgärder i bilaga II, med beaktande av behandlingens karaktär, genom vilka biståndet ska tillhandahållas, såväl som tillämpningsområdet för och omfattningen av det bistånd som begärs.

| c) | När uppgiftsinföraren fullgör sina skyldigheter enligt leden a och b ska han eller hon följa den personuppgiftsansvariges instruktioner, vilka meddelas av uppgiftsutföraren. |
| --- | --- |

c)

När uppgiftsinföraren fullgör sina skyldigheter enligt leden a och b ska han eller hon följa den personuppgiftsansvariges instruktioner, vilka meddelas av uppgiftsutföraren.

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

Parterna ska bistå varandra med att svara på förfrågningar och begäranden från registrerade enligt den lokala lagstiftning som är tillämplig på uppgiftsinföraren eller, vid databehandling av uppgiftsutföraren inom EU, enligt förordning (EU) 2016/679.

Klausul 11

Tillgång till prövning

| a) | Uppgiftsinföraren ska informera de registrerade i ett öppet och lättillgängligt format, genom enskilda meddelanden eller på sin webbplats, om en kontaktpunkt som har tillstånd att hantera klagomål. Uppgiftsinföraren ska skyndsamt hantera varje klagomål som tas emot från en registrerad.
  [ALTERNATIV: Uppgiftsinföraren samtycker till att registrerade även får inge klagomål till ett oberoende tvistlösningsorgan (11) utan kostnad för den registrerade. Uppgiftsinföraren ska informera de registrerade, på det sätt som anges i led a, om denna mekanism för prövning och om att de inte måste använda den eller följa en viss ordning när de begär prövning.] |
| --- | --- |

a)

Uppgiftsinföraren ska informera de registrerade i ett öppet och lättillgängligt format, genom enskilda meddelanden eller på sin webbplats, om en kontaktpunkt som har tillstånd att hantera klagomål. Uppgiftsinföraren ska skyndsamt hantera varje klagomål som tas emot från en registrerad.

[ALTERNATIV: Uppgiftsinföraren samtycker till att registrerade även får inge klagomål till ett oberoende tvistlösningsorgan (11) utan kostnad för den registrerade. Uppgiftsinföraren ska informera de registrerade, på det sätt som anges i led a, om denna mekanism för prövning och om att de inte måste använda den eller följa en viss ordning när de begär prövning.]

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

| b) | Om en tvist uppstår mellan en registrerad och en av parterna när det gäller efterlevnaden av dessa klausuler ska den parten göra sitt yttersta för att lösa tvisten i godo på ett skyndsamt sätt. Parterna ska informera varandra om sådana tvister och, i tillämpliga fall, samarbeta för att lösa dem. |
| --- | --- |

b)

Om en tvist uppstår mellan en registrerad och en av parterna när det gäller efterlevnaden av dessa klausuler ska den parten göra sitt yttersta för att lösa tvisten i godo på ett skyndsamt sätt. Parterna ska informera varandra om sådana tvister och, i tillämpliga fall, samarbeta för att lösa dem.

| c) | Om den registrerade åberopar en rättighet som berättigad tredje part enligt klausul 3 ska uppgiftsinföraren godta den registrerades beslut att






  i) | inge ett klagomål till tillsynsmyndigheten i den medlemsstat där han/hon är stadigvarande bosatt eller har sin arbetsplats, eller till den behöriga tillsynsmyndigheten enligt klausul 13, |
| --- | --- | --- |

c)

Om den registrerade åberopar en rättighet som berättigad tredje part enligt klausul 3 ska uppgiftsinföraren godta den registrerades beslut att

i)

inge ett klagomål till tillsynsmyndigheten i den medlemsstat där han/hon är stadigvarande bosatt eller har sin arbetsplats, eller till den behöriga tillsynsmyndigheten enligt klausul 13,

| ii) | hänskjuta tvisten till de behöriga domstolarna i den mening som avses i klausul 18. |
| --- | --- |

ii)

hänskjuta tvisten till de behöriga domstolarna i den mening som avses i klausul 18.

| d) | Parterna godtar att den registrerade får företrädas av ett organ, en organisation eller sammanslutning utan vinstsyfte enligt de villkor som fastställs i artikel 80.1 i förordning (EU) 2016/679. |
| --- | --- |

d)

Parterna godtar att den registrerade får företrädas av ett organ, en organisation eller sammanslutning utan vinstsyfte enligt de villkor som fastställs i artikel 80.1 i förordning (EU) 2016/679.

| e) | Uppgiftsinföraren ska följa ett beslut som är bindande enligt tillämplig lagstiftning i EU eller medlemsstaterna. |
| --- | --- |

e)

Uppgiftsinföraren ska följa ett beslut som är bindande enligt tillämplig lagstiftning i EU eller medlemsstaterna.

| f) | Uppgiftsinföraren är införstådd med att det val som gjorts av den registrerade inte kommer att påverka hans/hennes materiella och processuella rättigheter att begära prövning i enlighet med tillämplig lagstiftning. |
| --- | --- |

f)

Uppgiftsinföraren är införstådd med att det val som gjorts av den registrerade inte kommer att påverka hans/hennes materiella och processuella rättigheter att begära prövning i enlighet med tillämplig lagstiftning.

Klausul 12

Ansvarsskyldighet

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

| a) | Varje part ska vara ansvarig inför den andra parten eller de andra parterna för eventuella skador den orsakar den andra parten eller de andra parterna genom överträdelse av dessa klausuler. |
| --- | --- |

a)

Varje part ska vara ansvarig inför den andra parten eller de andra parterna för eventuella skador den orsakar den andra parten eller de andra parterna genom överträdelse av dessa klausuler.

| b) | Varje part ska vara ansvarig inför den registrerade, och den registrerade ska ha rätt till ersättning, för varje materiell eller immateriell skada som parten orsakar den registrerade genom att kränka rättigheterna för en berättigad tredje part enligt dessa klausuler. Detta påverkar inte uppgiftsutförarens ansvarsskyldighet enligt förordning (EU) 2016/679. |
| --- | --- |

b)

Varje part ska vara ansvarig inför den registrerade, och den registrerade ska ha rätt till ersättning, för varje materiell eller immateriell skada som parten orsakar den registrerade genom att kränka rättigheterna för en berättigad tredje part enligt dessa klausuler. Detta påverkar inte uppgiftsutförarens ansvarsskyldighet enligt förordning (EU) 2016/679.

| c) | Om fler än en part är ansvariga för eventuell skada som orsakats den registrerade till följd av en överträdelse av dessa klausuler ska alla ansvarsskyldiga parter vara solidariskt ansvariga, och den registrerade ska ha rätt att väcka talan i domstol mot var och en av dessa parter. |
| --- | --- |

c)

Om fler än en part är ansvariga för eventuell skada som orsakats den registrerade till följd av en överträdelse av dessa klausuler ska alla ansvarsskyldiga parter vara solidariskt ansvariga, och den registrerade ska ha rätt att väcka talan i domstol mot var och en av dessa parter.

| d) | Parterna är överens om att en part som hålls ansvarig enligt led c ska ha rätt att återkräva från den andra parten eller de andra parterna den del av ersättningen som motsvarar dess/deras ansvarsskyldighet för skadan. |
| --- | --- |

d)

Parterna är överens om att en part som hålls ansvarig enligt led c ska ha rätt att återkräva från den andra parten eller de andra parterna den del av ersättningen som motsvarar dess/deras ansvarsskyldighet för skadan.

| e) | Uppgiftsinföraren får inte åberopa ett personuppgiftsbiträdes eller en underentreprenörs uppförande för att undvika sitt eget ansvar. |
| --- | --- |

e)

Uppgiftsinföraren får inte åberopa ett personuppgiftsbiträdes eller en underentreprenörs uppförande för att undvika sitt eget ansvar.

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

| a) | Varje part ska vara ansvarig inför den andra parten eller de andra parterna för eventuella skador den orsakar den andra parten eller de andra parterna genom överträdelse av dessa klausuler. |
| --- | --- |

a)

Varje part ska vara ansvarig inför den andra parten eller de andra parterna för eventuella skador den orsakar den andra parten eller de andra parterna genom överträdelse av dessa klausuler.

| b) | Uppgiftsinföraren ska vara ansvarig inför den registrerade, och den registrerade ska ha rätt till ersättning, för varje materiell eller immateriell skada som uppgiftsinföraren eller dess underentreprenör orsakar den registrerade genom att kränka rättigheterna för en berättigad tredje part enligt dessa klausuler. |
| --- | --- |

b)

Uppgiftsinföraren ska vara ansvarig inför den registrerade, och den registrerade ska ha rätt till ersättning, för varje materiell eller immateriell skada som uppgiftsinföraren eller dess underentreprenör orsakar den registrerade genom att kränka rättigheterna för en berättigad tredje part enligt dessa klausuler.

| c) | Utan att det påverkar led b ska uppgiftsutföraren vara ansvarig inför den registrerade, och den registrerade ska ha rätt till ersättning, för varje materiell eller immateriell skada som uppgiftsutföraren eller uppgiftsinföraren (eller dess underentreprenör) orsakar den registrerade genom att kränka rättigheterna för en berättigad tredje part enligt dessa klausuler. Detta påverkar inte uppgiftsutförarens ansvarsskyldighet eller, om uppgiftsutföraren är ett personuppgiftsbiträde som agerar på uppdrag av en personuppgiftsansvarig, den personuppgiftsansvariges ansvarsskyldighet enligt förordning (EU) 2016/679 eller förordning (EU) 2018/1725, enligt vad som är tillämpligt. |
| --- | --- |

c)

Utan att det påverkar led b ska uppgiftsutföraren vara ansvarig inför den registrerade, och den registrerade ska ha rätt till ersättning, för varje materiell eller immateriell skada som uppgiftsutföraren eller uppgiftsinföraren (eller dess underentreprenör) orsakar den registrerade genom att kränka rättigheterna för en berättigad tredje part enligt dessa klausuler. Detta påverkar inte uppgiftsutförarens ansvarsskyldighet eller, om uppgiftsutföraren är ett personuppgiftsbiträde som agerar på uppdrag av en personuppgiftsansvarig, den personuppgiftsansvariges ansvarsskyldighet enligt förordning (EU) 2016/679 eller förordning (EU) 2018/1725, enligt vad som är tillämpligt.

| d) | Parterna är överens om att en uppgiftsutförare som enligt led c hålls ansvarig för skada som orsakats av uppgiftsinföraren (eller dess underentreprenör) ska ha rätt att återkräva den del av ersättningen från uppgiftsinföraren som motsvarar dennes ansvarsskyldighet för skadan. |
| --- | --- |

d)

Parterna är överens om att en uppgiftsutförare som enligt led c hålls ansvarig för skada som orsakats av uppgiftsinföraren (eller dess underentreprenör) ska ha rätt att återkräva den del av ersättningen från uppgiftsinföraren som motsvarar dennes ansvarsskyldighet för skadan.

| e) | Om fler än en part är ansvariga för eventuell skada som orsakats den registrerade till följd av en överträdelse av dessa klausuler ska alla ansvarsskyldiga parter vara solidariskt ansvariga, och den registrerade ska ha rätt att väcka talan i domstol mot var och en av dessa parter. |
| --- | --- |

e)

Om fler än en part är ansvariga för eventuell skada som orsakats den registrerade till följd av en överträdelse av dessa klausuler ska alla ansvarsskyldiga parter vara solidariskt ansvariga, och den registrerade ska ha rätt att väcka talan i domstol mot var och en av dessa parter.

| f) | Parterna är överens om att en part som hålls ansvarig enligt led e ska ha rätt att återkräva från den andra parten eller de andra parterna den del av ersättningen som motsvarar dess/deras ansvarsskyldighet för skadan. |
| --- | --- |

f)

Parterna är överens om att en part som hålls ansvarig enligt led e ska ha rätt att återkräva från den andra parten eller de andra parterna den del av ersättningen som motsvarar dess/deras ansvarsskyldighet för skadan.

| g) | Uppgiftsinföraren får inte åberopa en underentreprenörs uppförande för att undvika sitt eget ansvar. |
| --- | --- |

g)

Uppgiftsinföraren får inte åberopa en underentreprenörs uppförande för att undvika sitt eget ansvar.

Klausul 13

Tillsyn

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

| a) | [Om uppgiftsutföraren är etablerad i en av EU:s medlemsstater:] Den tillsynsmyndighet som har ansvar för att säkerställa uppgiftsutförarens efterlevnad av förordning (EU) 2016/679 när det gäller överföring av uppgifter, enligt vad som anges i bilaga I.C, ska fungera som behörig tillsynsmyndighet.
  [Om uppgiftsutföraren inte är etablerad i en av EU:s medlemsstater, men omfattas av det territoriella tillämpningsområdet för förordning (EU) 2016/679 i enlighet med artikel 3.2 i den förordningen, och har utsett en företrädare enligt artikel 27.1 i förordning (EU) 2016/679:] Tillsynsmyndigheten i den medlemsstat i vilken företrädaren i den mening som avses i artikel 27.1 i förordning (EU) 2016/679 är etablerad, enligt vad som anges i bilaga I.C, ska fungera som behörig tillsynsmyndighet.
  [Om uppgiftsutföraren inte är etablerad i en av EU:s medlemsstater, men omfattas av det territoriella tillämpningsområdet för förordning (EU) 2016/679 i enlighet med artikel 3.2 i den förordningen, dock utan att vara skyldig att utse en företrädare enligt artikel 27.2 i förordning (EU) 2016/679:] Tillsynsmyndigheten i en av de medlemsstater i vilken de registrerade vars personuppgifter överförs enligt dessa klausuler befinner sig i samband med utbjudandet av varor eller tjänster till dem, eller i samband med att deras beteende övervakas, enligt vad som anges i bilaga I.C, ska fungera som behörig tillsynsmyndighet. |
| --- | --- |

a)

[Om uppgiftsutföraren är etablerad i en av EU:s medlemsstater:] Den tillsynsmyndighet som har ansvar för att säkerställa uppgiftsutförarens efterlevnad av förordning (EU) 2016/679 när det gäller överföring av uppgifter, enligt vad som anges i bilaga I.C, ska fungera som behörig tillsynsmyndighet.

[Om uppgiftsutföraren inte är etablerad i en av EU:s medlemsstater, men omfattas av det territoriella tillämpningsområdet för förordning (EU) 2016/679 i enlighet med artikel 3.2 i den förordningen, och har utsett en företrädare enligt artikel 27.1 i förordning (EU) 2016/679:] Tillsynsmyndigheten i den medlemsstat i vilken företrädaren i den mening som avses i artikel 27.1 i förordning (EU) 2016/679 är etablerad, enligt vad som anges i bilaga I.C, ska fungera som behörig tillsynsmyndighet.

[Om uppgiftsutföraren inte är etablerad i en av EU:s medlemsstater, men omfattas av det territoriella tillämpningsområdet för förordning (EU) 2016/679 i enlighet med artikel 3.2 i den förordningen, dock utan att vara skyldig att utse en företrädare enligt artikel 27.2 i förordning (EU) 2016/679:] Tillsynsmyndigheten i en av de medlemsstater i vilken de registrerade vars personuppgifter överförs enligt dessa klausuler befinner sig i samband med utbjudandet av varor eller tjänster till dem, eller i samband med att deras beteende övervakas, enligt vad som anges i bilaga I.C, ska fungera som behörig tillsynsmyndighet.

| b) | Uppgiftsinföraren samtycker till att godta den behöriga tillsynsmyndighetens behörighet och samarbeta med den i varje förfarande som syftar till att säkerställa efterlevnaden av dessa klausuler. Uppgiftsinföraren samtycker i synnerhet till att svara på förfrågningar, gå med på revisioner och iaktta de åtgärder som antagits av tillsynsmyndigheten, inbegripet korrigerande och kompenserade åtgärder. Uppgiftsinföraren ska ge tillsynsmyndigheten en skriftlig bekräftelse på att nödvändiga åtgärder har vidtagits. |
| --- | --- |

b)

Uppgiftsinföraren samtycker till att godta den behöriga tillsynsmyndighetens behörighet och samarbeta med den i varje förfarande som syftar till att säkerställa efterlevnaden av dessa klausuler. Uppgiftsinföraren samtycker i synnerhet till att svara på förfrågningar, gå med på revisioner och iaktta de åtgärder som antagits av tillsynsmyndigheten, inbegripet korrigerande och kompenserade åtgärder. Uppgiftsinföraren ska ge tillsynsmyndigheten en skriftlig bekräftelse på att nödvändiga åtgärder har vidtagits.

AVSNITT III – LOKALA LAGAR OCH SKYLDIGHETER VID ÅTKOMST AV OFFENTLIGA MYNDIGHETER

Klausul 14

Lokala lagar och förfaranden som påverkar efterlevnaden av klausulerna

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig
  (om personuppgiftsbiträdet i EU kombinerar de personuppgifter som tagits emot från den personuppgiftsansvarige i tredjelandet med personuppgifter som samlats in av personuppgiftsbiträdet i EU)

| a) | Parterna garanterar att de inte har någon anledning att misstänka att de lagar och förfaranden i det mottagande tredjelandet som är tillämpliga på uppgiftsinförarens behandling av personuppgifter, däribland eventuella krav på att lämna ut personuppgifter eller åtgärder för att bevilja åtkomst för offentliga myndigheter, hindrar uppgiftsinföraren från att fullgöra sina skyldigheter enligt dessa klausuler. Detta bygger på förutsättningen att lagar och förfaranden som är förenliga med andemeningen i de grundläggande rättigheterna och friheterna, och som inte går utöver vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda de ändamål som anges i artikel 23.1 i förordning (EU) 2016/679, inte strider mot dessa klausuler. |
| --- | --- |

a)

Parterna garanterar att de inte har någon anledning att misstänka att de lagar och förfaranden i det mottagande tredjelandet som är tillämpliga på uppgiftsinförarens behandling av personuppgifter, däribland eventuella krav på att lämna ut personuppgifter eller åtgärder för att bevilja åtkomst för offentliga myndigheter, hindrar uppgiftsinföraren från att fullgöra sina skyldigheter enligt dessa klausuler. Detta bygger på förutsättningen att lagar och förfaranden som är förenliga med andemeningen i de grundläggande rättigheterna och friheterna, och som inte går utöver vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle för att skydda de ändamål som anges i artikel 23.1 i förordning (EU) 2016/679, inte strider mot dessa klausuler.

| b) | Genom att tillhandahålla den garanti som avses i led a intygar parterna att de har tagit vederbörlig hänsyn till särskilt följande aspekter:






  i) | De särskilda omständigheterna kring överföringen, däribland behandlingskedjans längd, antalet inblandade aktörer och vilka överföringskanaler som använts; planerade vidare överföringar; typen av mottagare; ändamålet med behandlingen; de överförda personuppgifternas kategorier och format; den ekonomiska sektor inom vilken överföringen äger rum; platsen för lagring av de överförda uppgifterna. |
| --- | --- | --- |

b)

Genom att tillhandahålla den garanti som avses i led a intygar parterna att de har tagit vederbörlig hänsyn till särskilt följande aspekter:

i)

De särskilda omständigheterna kring överföringen, däribland behandlingskedjans längd, antalet inblandade aktörer och vilka överföringskanaler som använts; planerade vidare överföringar; typen av mottagare; ändamålet med behandlingen; de överförda personuppgifternas kategorier och format; den ekonomiska sektor inom vilken överföringen äger rum; platsen för lagring av de överförda uppgifterna.

| ii) | De lagar och förfaranden i det mottagande tredjelandet – inbegripet krav på att lämna ut uppgifterna till offentliga myndigheter eller att ge sådana myndigheter åtkomst till uppgifterna – som är relevanta mot bakgrund av överföringens särskilda omständigheter samt tillämpliga begränsningar och skyddsåtgärder (12). |
| --- | --- |

ii)

De lagar och förfaranden i det mottagande tredjelandet – inbegripet krav på att lämna ut uppgifterna till offentliga myndigheter eller att ge sådana myndigheter åtkomst till uppgifterna – som är relevanta mot bakgrund av överföringens särskilda omständigheter samt tillämpliga begränsningar och skyddsåtgärder (12).

| iii) | Alla relevanta avtalsenliga, tekniska eller organisatoriska skyddsåtgärder som införts för att komplettera skyddsåtgärderna enligt dessa klausuler, inbegripet åtgärder som tillämpats under överföringen och vid behandlingen av personuppgifterna i det mottagande tredjelandet. |
| --- | --- |

iii)

Alla relevanta avtalsenliga, tekniska eller organisatoriska skyddsåtgärder som införts för att komplettera skyddsåtgärderna enligt dessa klausuler, inbegripet åtgärder som tillämpats under överföringen och vid behandlingen av personuppgifterna i det mottagande tredjelandet.

| c) | Uppgiftsinföraren garanterar att han eller hon, i samband med den bedömning som avses i led b, har gjort sitt yttersta för att ge uppgiftsutföraren relevant information, och samtycker till att fortsätta att samarbeta med uppgiftsutföraren för att säkerställa efterlevnaden av dessa klausuler. |
| --- | --- |

c)

Uppgiftsinföraren garanterar att han eller hon, i samband med den bedömning som avses i led b, har gjort sitt yttersta för att ge uppgiftsutföraren relevant information, och samtycker till att fortsätta att samarbeta med uppgiftsutföraren för att säkerställa efterlevnaden av dessa klausuler.

| d) | Parterna är överens om att dokumentera den bedömning som avses i led b och att på begäran göra den tillgänglig för den behöriga tillsynsmyndigheten. |
| --- | --- |

d)

Parterna är överens om att dokumentera den bedömning som avses i led b och att på begäran göra den tillgänglig för den behöriga tillsynsmyndigheten.

| e) | Uppgiftsinföraren samtycker till att skyndsamt meddela uppgiftsutföraren om han eller hon, efter att ha godkänt dessa klausuler och under hela avtalets giltighetstid, har anledning att misstänka att han eller hon är eller har blivit föremål för lagar eller förfaranden som inte stämmer överens med kraven i led a, däribland efter en ändring i lagarna i tredjelandet eller en åtgärd (såsom en begäran om utlämnande av uppgifter) som antyder att en tillämpning av sådana lagar i praktiken inte stämmer överens med kraven i led a. [För modul tre: Uppgiftsutföraren ska vidarebefordra meddelandet till den personuppgiftsansvarige.] |
| --- | --- |

e)

Uppgiftsinföraren samtycker till att skyndsamt meddela uppgiftsutföraren om han eller hon, efter att ha godkänt dessa klausuler och under hela avtalets giltighetstid, har anledning att misstänka att han eller hon är eller har blivit föremål för lagar eller förfaranden som inte stämmer överens med kraven i led a, däribland efter en ändring i lagarna i tredjelandet eller en åtgärd (såsom en begäran om utlämnande av uppgifter) som antyder att en tillämpning av sådana lagar i praktiken inte stämmer överens med kraven i led a. [För modul tre: Uppgiftsutföraren ska vidarebefordra meddelandet till den personuppgiftsansvarige.]

| f) | Efter att ha tagit emot ett meddelande i enlighet med led e, eller om uppgiftsutföraren har andra anledningar att misstänka att uppgiftsinföraren inte längre kan fullgöra sina skyldigheter enligt dessa klausuler, ska uppgiftsutföraren skyndsamt fastställa lämpliga åtgärder (t.ex. tekniska eller organisatoriska åtgärder för att säkerställa säkerhet och konfidentialitet) som ska antas av uppgiftsutföraren och/eller uppgiftsinföraren för att hantera situationen [för modul tre:, i tillämpliga fall efter samråd med den personuppgiftsansvarige]. Uppgiftsutföraren ska avbryta överföringen av uppgifter om han eller hon anser att inga lämpliga skyddsåtgärder kan säkerställas för överföringen, eller efter att ha fått instruktioner från [för modul tre: den personuppgiftsansvarige eller] den behöriga tillsynsmyndigheten att göra det. I sådana fall ska uppgiftsutföraren ha rätt att säga upp avtalet i den mån det gäller behandling av personuppgifter enligt dessa klausuler. Om avtalet omfattar fler än två parter får uppgiftsutföraren utöva denna rätt att säga upp avtalet med endast den berörda parten, såvida inte parterna har kommit överens om annat. Om avtalet sägs upp enligt denna klausul ska klausul 16 d och e tillämpas. |
| --- | --- |

f)

Efter att ha tagit emot ett meddelande i enlighet med led e, eller om uppgiftsutföraren har andra anledningar att misstänka att uppgiftsinföraren inte längre kan fullgöra sina skyldigheter enligt dessa klausuler, ska uppgiftsutföraren skyndsamt fastställa lämpliga åtgärder (t.ex. tekniska eller organisatoriska åtgärder för att säkerställa säkerhet och konfidentialitet) som ska antas av uppgiftsutföraren och/eller uppgiftsinföraren för att hantera situationen [för modul tre:, i tillämpliga fall efter samråd med den personuppgiftsansvarige]. Uppgiftsutföraren ska avbryta överföringen av uppgifter om han eller hon anser att inga lämpliga skyddsåtgärder kan säkerställas för överföringen, eller efter att ha fått instruktioner från [för modul tre: den personuppgiftsansvarige eller] den behöriga tillsynsmyndigheten att göra det. I sådana fall ska uppgiftsutföraren ha rätt att säga upp avtalet i den mån det gäller behandling av personuppgifter enligt dessa klausuler. Om avtalet omfattar fler än två parter får uppgiftsutföraren utöva denna rätt att säga upp avtalet med endast den berörda parten, såvida inte parterna har kommit överens om annat. Om avtalet sägs upp enligt denna klausul ska klausul 16 d och e tillämpas.

Klausul 15

Uppgiftsinförarens skyldigheter vid åtkomst av offentliga myndigheter

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig
  (om personuppgiftsbiträdet i EU kombinerar de personuppgifter som tagits emot från den personuppgiftsansvarige i tredjelandet med personuppgifter som samlats in av personuppgiftsbiträdet i EU)

15.1   Meddelanden

| a) | Uppgiftsinföraren samtycker till att skyndsamt meddela uppgiftsutföraren och, om så är möjligt, den registrerade (vid behov med hjälp av uppgiftsutföraren) om han eller hon






  i) | får en rättsligt bindande begäran från en offentlig myndighet, inbegripet en rättslig myndighet, i enlighet med det mottagande landets lagstiftning om att personuppgifter som överförts enligt dessa klausuler ska lämnas ut; meddelandet ska innehålla information om de begärda personuppgifterna, den begärande myndigheten, den rättsliga grunden för begäran och det svar som lämnats, eller |
| --- | --- | --- |

a)

Uppgiftsinföraren samtycker till att skyndsamt meddela uppgiftsutföraren och, om så är möjligt, den registrerade (vid behov med hjälp av uppgiftsutföraren) om han eller hon

i)

får en rättsligt bindande begäran från en offentlig myndighet, inbegripet en rättslig myndighet, i enlighet med det mottagande landets lagstiftning om att personuppgifter som överförts enligt dessa klausuler ska lämnas ut; meddelandet ska innehålla information om de begärda personuppgifterna, den begärande myndigheten, den rättsliga grunden för begäran och det svar som lämnats, eller

| ii) | får kännedom om att offentliga myndigheter har haft direkt tillgång till enligt dessa klausuler överförda personuppgifter i enlighet med det mottagande landets lagstiftning; meddelandet ska innehålla all information som uppgiftsinföraren har tillgång till. |
| --- | --- |

ii)

får kännedom om att offentliga myndigheter har haft direkt tillgång till enligt dessa klausuler överförda personuppgifter i enlighet med det mottagande landets lagstiftning; meddelandet ska innehålla all information som uppgiftsinföraren har tillgång till.

[För modul tre: Uppgiftsutföraren ska vidarebefordra meddelandet till den personuppgiftsansvarige.]

| b) | Om uppgiftsinföraren är förbjuden att meddela uppgiftsutföraren och/eller den registrerade enligt det mottagande landets lagstiftning samtycker uppgiftsinföraren till att göra sitt yttersta för att få till stånd ett undantag från förbudet, för att kunna tillhandahålla så mycket information som möjligt inom kortast möjliga tid. Uppgiftsinföraren samtycker till att dokumentera sina ansträngningar för att kunna bekräfta dem på begäran av uppgiftsutföraren. |
| --- | --- |

b)

Om uppgiftsinföraren är förbjuden att meddela uppgiftsutföraren och/eller den registrerade enligt det mottagande landets lagstiftning samtycker uppgiftsinföraren till att göra sitt yttersta för att få till stånd ett undantag från förbudet, för att kunna tillhandahålla så mycket information som möjligt inom kortast möjliga tid. Uppgiftsinföraren samtycker till att dokumentera sina ansträngningar för att kunna bekräfta dem på begäran av uppgiftsutföraren.

| c) | Om det är tillåtet enligt det mottagande landets lagstiftning samtycker uppgiftsinföraren till att, med jämna mellanrum under hela avtalets giltighetstid, ge uppgiftsutföraren så mycket relevant information som möjligt om de begäranden som tagits emot (i synnerhet antalet begäranden, vilken typ av uppgifter som begärts, den eller de begärande myndigheterna, om begärandena har bestridits och resultaten av bestridandena etc.). [För modul tre: Uppgiftsutföraren ska vidarebefordra informationen till den personuppgiftsansvarige.] |
| --- | --- |

c)

Om det är tillåtet enligt det mottagande landets lagstiftning samtycker uppgiftsinföraren till att, med jämna mellanrum under hela avtalets giltighetstid, ge uppgiftsutföraren så mycket relevant information som möjligt om de begäranden som tagits emot (i synnerhet antalet begäranden, vilken typ av uppgifter som begärts, den eller de begärande myndigheterna, om begärandena har bestridits och resultaten av bestridandena etc.). [För modul tre: Uppgiftsutföraren ska vidarebefordra informationen till den personuppgiftsansvarige.]

| d) | Uppgiftsinföraren samtycker till att lagra den information som avses i leden a–c under hela avtalets giltighetstid och göra den tillgänglig för den behöriga tillsynsmyndigheten på begäran. |
| --- | --- |

d)

Uppgiftsinföraren samtycker till att lagra den information som avses i leden a–c under hela avtalets giltighetstid och göra den tillgänglig för den behöriga tillsynsmyndigheten på begäran.

| e) | Leden a–c påverkar inte uppgiftsinförarens skyldighet enligt klausul 14 e och klausul 16 att skyndsamt informera uppgiftsutföraren om han eller hon inte kan uppfylla kraven i dessa klausuler. |
| --- | --- |

e)

Leden a–c påverkar inte uppgiftsinförarens skyldighet enligt klausul 14 e och klausul 16 att skyndsamt informera uppgiftsutföraren om han eller hon inte kan uppfylla kraven i dessa klausuler.

15.2   Granskning av laglighet och uppgiftsminimering

| a) | Uppgiftsinföraren samtycker till att granska lagligheten i begäran om utlämnande av uppgifter, särskilt om begäran omfattas av de befogenheter som har beviljats den begärande offentliga myndigheten, och att bestrida begäran om han eller hon, efter noggrann bedömning, drar slutsatsen att det finns rimliga skäl att betrakta begäran som olaglig enligt det mottagande landets lagstiftning, tillämpliga skyldigheter enligt internationell rätt och principen om internationell hövlighet. Uppgiftsinföraren ska, enligt samma villkor, fullfölja möjligheterna att överklaga. Om uppgiftsinföraren bestrider en begäran ska han eller hon vidta provisoriska åtgärder för att upphäva konsekvenserna av begäran tills den behöriga rättsliga myndigheten har fattat beslut i frågan. Uppgiftsinföraren får inte lämna ut de begärda personuppgifterna förrän han eller hon är skyldig att göra detta enligt tillämpliga förfaranderegler. Dessa krav påverkar inte uppgiftsinförarens skyldigheter enligt klausul 14 e. |
| --- | --- |

a)

Uppgiftsinföraren samtycker till att granska lagligheten i begäran om utlämnande av uppgifter, särskilt om begäran omfattas av de befogenheter som har beviljats den begärande offentliga myndigheten, och att bestrida begäran om han eller hon, efter noggrann bedömning, drar slutsatsen att det finns rimliga skäl att betrakta begäran som olaglig enligt det mottagande landets lagstiftning, tillämpliga skyldigheter enligt internationell rätt och principen om internationell hövlighet. Uppgiftsinföraren ska, enligt samma villkor, fullfölja möjligheterna att överklaga. Om uppgiftsinföraren bestrider en begäran ska han eller hon vidta provisoriska åtgärder för att upphäva konsekvenserna av begäran tills den behöriga rättsliga myndigheten har fattat beslut i frågan. Uppgiftsinföraren får inte lämna ut de begärda personuppgifterna förrän han eller hon är skyldig att göra detta enligt tillämpliga förfaranderegler. Dessa krav påverkar inte uppgiftsinförarens skyldigheter enligt klausul 14 e.

| b) | Uppgiftsinföraren samtycker till att dokumentera sin rättsliga bedömning och varje bestridande av begäran om utlämnande av uppgifter och, i den mån det är tillåtet enligt det mottagande landets lagstiftning, göra dokumentationen tillgänglig för uppgiftsutföraren. Uppgiftsinföraren ska även göra dokumentationen tillgänglig för den behöriga tillsynsmyndigheten på begäran. [För modul tre: Uppgiftsutföraren ska se till att den personuppgiftsansvarige får tillgång till bedömningen.] |
| --- | --- |

b)

Uppgiftsinföraren samtycker till att dokumentera sin rättsliga bedömning och varje bestridande av begäran om utlämnande av uppgifter och, i den mån det är tillåtet enligt det mottagande landets lagstiftning, göra dokumentationen tillgänglig för uppgiftsutföraren. Uppgiftsinföraren ska även göra dokumentationen tillgänglig för den behöriga tillsynsmyndigheten på begäran. [För modul tre: Uppgiftsutföraren ska se till att den personuppgiftsansvarige får tillgång till bedömningen.]

| c) | Uppgiftsinföraren samtycker till att tillhandahålla den minsta tillåtna mängden information när han eller hon besvarar en begäran om utlämnande av uppgifter, baserat på en rimlig tolkning av begäran. |
| --- | --- |

c)

Uppgiftsinföraren samtycker till att tillhandahålla den minsta tillåtna mängden information när han eller hon besvarar en begäran om utlämnande av uppgifter, baserat på en rimlig tolkning av begäran.

AVSNITT IV – SLUTBESTÄMMELSER

Klausul 16

Bristande efterlevnad av klausulerna och avtalets uppsägning

| a) | Uppgiftsinföraren ska skyndsamt informera uppgiftsutföraren om han eller hon inte kan uppfylla kraven i dessa klausuler, oavsett orsak. |
| --- | --- |

a)

Uppgiftsinföraren ska skyndsamt informera uppgiftsutföraren om han eller hon inte kan uppfylla kraven i dessa klausuler, oavsett orsak.

| b) | Om uppgiftsinföraren bryter mot dessa klausuler eller inte kan uppfylla kraven i dessa klausuler ska uppgiftsutföraren avbryta överföringen av personuppgifter till uppgiftsinföraren tills efterlevnaden åter har säkerställts eller avtalet har sagts upp. Detta påverkar inte tillämpningen av klausul 14 f. |
| --- | --- |

b)

Om uppgiftsinföraren bryter mot dessa klausuler eller inte kan uppfylla kraven i dessa klausuler ska uppgiftsutföraren avbryta överföringen av personuppgifter till uppgiftsinföraren tills efterlevnaden åter har säkerställts eller avtalet har sagts upp. Detta påverkar inte tillämpningen av klausul 14 f.

| c) | Uppgiftsutföraren ska ha rätt att säga upp avtalet i den mån det gäller behandlingen av personuppgifter enligt dessa klausuler om






  i) | uppgiftsutföraren har avbrutit överföringen av personuppgifter till uppgiftsinföraren enligt led b och om efterlevnaden av dessa klausuler inte har återupprättats inom en rimlig tidsperiod, under alla omständigheter inom en månad efter avbrytandet, |
| --- | --- | --- |

c)

Uppgiftsutföraren ska ha rätt att säga upp avtalet i den mån det gäller behandlingen av personuppgifter enligt dessa klausuler om

i)

uppgiftsutföraren har avbrutit överföringen av personuppgifter till uppgiftsinföraren enligt led b och om efterlevnaden av dessa klausuler inte har återupprättats inom en rimlig tidsperiod, under alla omständigheter inom en månad efter avbrytandet,

| ii) | uppgiftsinföraren gör sig skyldig till allvarliga eller upprepade överträdelser av dessa klausuler, eller |
| --- | --- |

ii)

uppgiftsinföraren gör sig skyldig till allvarliga eller upprepade överträdelser av dessa klausuler, eller

| iii) | uppgiftsinföraren inte följer ett bindande beslut av en behörig domstol eller tillsynsmyndighet angående hans eller hennes skyldigheter enligt dessa klausuler. |
| --- | --- |

iii)

uppgiftsinföraren inte följer ett bindande beslut av en behörig domstol eller tillsynsmyndighet angående hans eller hennes skyldigheter enligt dessa klausuler.

I sådana fall ska uppgiftsutföraren informera den behöriga tillsynsmyndigheten [för modul tre: och den personuppgiftsansvarige] om denna bristande efterlevnad. Om avtalet omfattar fler än två parter får uppgiftsutföraren utöva denna rätt att säga upp avtalet med endast den berörda parten, såvida inte parterna har kommit överens om annat.

| d) | [För modulerna ett, två och tre: Personuppgifter som överförts före uppsägningen av avtalet i enlighet med led c ska efter uppgiftsutförarens eget val omedelbart återlämnas till uppgiftsutföraren eller raderas i sin helhet. Detsamma ska gälla för eventuella kopior av uppgifterna.] [För modul fyra: Personuppgifter som samlats in av uppgiftsutföraren i EU och som överförts före uppsägningen av avtalet enligt led c ska omedelbart raderas i sin helhet, inklusive eventuella kopior.] Uppgiftsinföraren ska intyga för uppgiftsutföraren att uppgifterna har raderats. Till dess att uppgifterna raderats eller återlämnats ska uppgiftsinföraren fortsätta att se till att dessa klausuler följs. Om återlämnande eller radering av de överförda personuppgifterna är förbjudet enligt lokal lagstiftning som är tillämplig för uppgiftsinföraren ska uppgiftsinföraren garantera att han eller hon kommer att fortsätta att uppfylla kraven i dessa klausuler och endast kommer att behandla personuppgifterna i den utsträckning och under den tid som krävs enligt den lokala lagstiftningen. |
| --- | --- |

d)

[För modulerna ett, två och tre: Personuppgifter som överförts före uppsägningen av avtalet i enlighet med led c ska efter uppgiftsutförarens eget val omedelbart återlämnas till uppgiftsutföraren eller raderas i sin helhet. Detsamma ska gälla för eventuella kopior av uppgifterna.] [För modul fyra: Personuppgifter som samlats in av uppgiftsutföraren i EU och som överförts före uppsägningen av avtalet enligt led c ska omedelbart raderas i sin helhet, inklusive eventuella kopior.] Uppgiftsinföraren ska intyga för uppgiftsutföraren att uppgifterna har raderats. Till dess att uppgifterna raderats eller återlämnats ska uppgiftsinföraren fortsätta att se till att dessa klausuler följs. Om återlämnande eller radering av de överförda personuppgifterna är förbjudet enligt lokal lagstiftning som är tillämplig för uppgiftsinföraren ska uppgiftsinföraren garantera att han eller hon kommer att fortsätta att uppfylla kraven i dessa klausuler och endast kommer att behandla personuppgifterna i den utsträckning och under den tid som krävs enligt den lokala lagstiftningen.

| e) | Endera parten får återkalla sin överenskommelse om att vara bunden av dessa klausuler om i) Europeiska kommissionen antar ett beslut i enlighet med artikel 45.3 i förordning (EU) 2016/679 som omfattar den överföring av personuppgifter som dessa klausuler gäller för, eller ii) förordning (EU) 2016/679 blir en del av den rättsliga ramen i det land till vilket personuppgifterna överförs. Detta påverkar inte övriga skyldigheter som är tillämpliga på behandlingen i fråga enligt förordning (EU) 2016/679. |
| --- | --- |

e)

Endera parten får återkalla sin överenskommelse om att vara bunden av dessa klausuler om i) Europeiska kommissionen antar ett beslut i enlighet med artikel 45.3 i förordning (EU) 2016/679 som omfattar den överföring av personuppgifter som dessa klausuler gäller för, eller ii) förordning (EU) 2016/679 blir en del av den rättsliga ramen i det land till vilket personuppgifterna överförs. Detta påverkar inte övriga skyldigheter som är tillämpliga på behandlingen i fråga enligt förordning (EU) 2016/679.

Klausul 17

Tillämplig lag

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

[ALTERNATIV 1: Dessa klausuler ska regleras genom lagstiftningen i en av EU:s medlemsstater, under förutsättning att lagstiftningen omfattar rättigheter för berättigade tredje parter. Parterna är överens om att detta ska vara lagstiftningen i _______ (ange medlemsstat).]

[ALTERNATIV 2 (för modulerna två och tre): Dessa klausuler ska regleras genom lagstiftningen i den medlemsstat i EU i vilken uppgiftsutföraren är etablerad. Om lagstiftningen inte omfattar rättigheter för berättigade tredje parter ska klausulerna regleras genom lagstiftningen i en annan medlemsstat i EU som omfattar rättigheter för berättigade tredje parter. Parterna är överens om att detta ska vara lagstiftningen i _______ (ange medlemsstat).]

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

Dessa klausuler ska regleras genom lagstiftningen i ett land som omfattar rättigheter för berättigade tredje parter. Parterna är överens om att detta ska vara lagstiftningen i _______ (ange land).

Klausul 18

Val av forum och jurisdiktion

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

| a) | Varje tvist som uppstår på grund av dessa klausuler ska lösas av domstolarna i en medlemsstat i EU. |
| --- | --- |

a)

Varje tvist som uppstår på grund av dessa klausuler ska lösas av domstolarna i en medlemsstat i EU.

| b) | Parterna är överens om att dessa ska vara domstolarna i _______ (ange medlemsstat). |
| --- | --- |

b)

Parterna är överens om att dessa ska vara domstolarna i _______ (ange medlemsstat).

| c) | En registrerad får även inleda rättsliga förfaranden mot uppgiftsutföraren och/eller uppgiftsinföraren vid domstolarna i den medlemsstat där han/hon har sin stadigvarande vistelseort. |
| --- | --- |

c)

En registrerad får även inleda rättsliga förfaranden mot uppgiftsutföraren och/eller uppgiftsinföraren vid domstolarna i den medlemsstat där han/hon har sin stadigvarande vistelseort.

| d) | Parterna är överens om att underkasta sig sådana domstolars jurisdiktion. |
| --- | --- |

d)

Parterna är överens om att underkasta sig sådana domstolars jurisdiktion.

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

| | Varje tvist som uppstår på grund av dessa klausuler ska lösas av domstolarna i _____ (ange land). |
| --- | --- |

Varje tvist som uppstår på grund av dessa klausuler ska lösas av domstolarna i _____ (ange land).

---

(1)  Om uppgiftsutföraren är ett personuppgiftsbiträde som omfattas av förordning (EU) 2016/679 och som agerar på uppdrag av en unionsinstitution eller ett unionsorgan som personuppgiftsansvarig, säkerställer användningen av dessa klausuler vid anlitande av ett annat personuppgiftsbiträde (som underentreprenör) som inte omfattas av förordning (EU) 2016/679 även överensstämmelse med artikel 29.4 i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39), i den utsträckning som dessa klausuler och de skyldigheter i fråga om uppgiftsskydd som fastställs i avtalet eller en annan rättsakt mellan den personuppgiftsansvarige och personuppgiftsbiträdet i enlighet med artikel 29.3 i förordning (EU) 2018/1725 har samordnats. Detta kommer särskilt att vara fallet om den personuppgiftsansvarige och personuppgiftsbiträdet använder de standardavtalsklausuler som ingår i beslut 2021/915.

(2)  Detta kräver att uppgifterna görs anonyma på ett sätt som gör att den enskilda individen inte längre kan identifieras av någon annan, i linje med skäl 26 i förordning (EU) 2016/679, och att denna process är oåterkallelig.

(3)  Enligt avtalet om Europeiska ekonomiska samarbetsområdet (EES-avtalet) ska EU:s inre marknad utvidgas till att omfatta de tre EES-staterna Island, Liechtenstein och Norge. Unionens dataskyddslagstiftning, inbegripet förordning (EU) 2016/679, omfattas av EES-avtalet och har införlivats i bilaga XI till avtalet. Om uppgiftsinföraren lämnar ut uppgifter till en tredje part inom EES ska detta därmed inte betraktas som en vidare överföring vid tillämpning av dessa klausuler.

(4)  Enligt avtalet om Europeiska ekonomiska samarbetsområdet (EES-avtalet) ska EU:s inre marknad utvidgas till att omfatta de tre EES-staterna Island, Liechtenstein och Norge. Unionens dataskyddslagstiftning, inbegripet förordning (EU) 2016/679, omfattas av EES-avtalet och har införlivats i bilaga XI till avtalet. Om uppgiftsinföraren lämnar ut uppgifter till en tredje part inom EES ska detta därmed inte betraktas som en vidare överföring vid tillämpning av dessa klausuler.

(5)  Se artikel 28.4 i förordning (EU) 2016/679 och, om den personuppgiftsansvarige är en EU-institution eller ett EU-organ, artikel 29.4 i förordning (EU) 2018/1725.

(6)  Enligt avtalet om Europeiska ekonomiska samarbetsområdet (EES-avtalet) ska EU:s inre marknad utvidgas till att omfatta de tre EES-staterna Island, Liechtenstein och Norge. Unionens dataskyddslagstiftning, inbegripet förordning (EU) 2016/679, omfattas av EES-avtalet och har införlivats i bilaga XI till avtalet. Om uppgiftsinföraren lämnar ut uppgifter till en tredje part inom EES ska detta därmed inte betraktas som en vidare överföring vid tillämpning av dessa klausuler.

(7)  Detta omfattar huruvida överföringen och den efterföljande behandlingen inbegriper personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska eller biometriska uppgifter för unik identifiering av en fysisk person, uppgifter om hälsa eller en persons sexualliv eller sexuella läggning, eller uppgifter om brottmålsdomar eller lagöverträdelser.

(8)  Detta krav får uppfyllas av den underentreprenör som anslutit sig till dessa klausuler inom ramen för den tillämpliga modulen i enlighet med klausul 7.

(9)  Detta krav får uppfyllas av den underentreprenör som anslutit sig till dessa klausuler inom ramen för den tillämpliga modulen i enlighet med klausul 7.

(10)  Denna period får förlängas med högst två ytterligare månader i den mån det är nödvändigt med beaktande av begärandenas komplexitet och antal. Uppgiftsinföraren ska skyndsamt och på vederbörligt sätt informera den registrerade om sådana förlängningar.

(11)  Uppgiftsinföraren får endast erbjuda oberoende tvistlösning genom en skiljedomstol om han eller hon är etablerad i ett land som har ratificerat New York-konventionen om verkställighet av skiljedomar.

(12)  När det gäller konsekvenserna av sådana lagar och förfaranden för efterlevnaden av dessa klausuler kan olika aspekter anses utgöra en del av den övergripande bedömningen. Sådana aspekter kan omfatta relevant och dokumenterad praktisk erfarenhet av tidigare begäranden om utlämning av uppgifter från offentliga myndigheter, eller avsaknad av sådana begäranden, som täcker en tillräckligt representativ tidsram. Detta gäller särskilt interna register eller annan dokumentation som upprättats kontinuerligt i enlighet med tillbörlig aktsamhet och som godkänts på ledningsnivå, under förutsättning att denna information kan delas med tredje parter på ett lagligt sätt. Om denna praktiska erfarenhet används som grund för slutsatsen att uppgiftsinföraren inte kommer att hindras från att uppfylla kraven i dessa klausuler måste den stödjas av andra relevanta, objektiva aspekter, och parterna måste noggrant överväga huruvida dessa aspekter tillsammans har tillräckligt stor vikt, vad gäller deras tillförlitlighet och representativitet, för att underbygga denna slutsats. Parterna måste i synnerhet ta hänsyn till huruvida deras praktiska erfarenhet bekräftas och inte motsägs av offentligt tillgänglig eller på annat sätt åtkomlig och tillförlitlig information om förekomst eller avsaknad av begäranden inom samma sektor och/eller av tillämpningen av lagstiftningen i praktiken, t.ex. rättspraxis och rapporter från oberoende tillsynsorgan.

---

TILLÄGG

FÖRKLARANDE ANMÄRKNINGAR:

Det måste vara möjligt att tydligt urskilja den information som är tillämplig på varje överföring eller kategori av överföringar och, i detta avseende, fastställa parternas respektive roller som uppgiftsutförare och/eller uppgiftsinförare. Detta innebär inte nödvändigtvis att separata tillägg måste fyllas i och undertecknas för varje överföring/kategori av överföringar och/eller avtalsförhållande, om denna öppenhet kan uppnås genom ett tillägg. Separata tillägg bör emellertid användas om det är nödvändigt för att säkerställa tillräcklig klarhet.

---

BILAGA I

A.   FÖRTECKNING ÖVER PARTER

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

Uppgiftsutförare: [Uppgiftsutförarens/uppgiftsutförarnas identitet och kontaktuppgifter och, i tillämpliga fall, uppgifter om hans/hennes eller deras dataskyddsombud och/eller företrädare i Europeiska unionen]

| 1. | Namn: ...
  Adress: ...
  Kontaktpersonens namn, befattning och kontaktuppgifter: ...
  Verksamheter som är relevanta för de uppgifter som överförs enligt dessa klausuler: ...
  Underskrift och datum: ...
  Roll (personuppgiftsansvarig/personuppgiftsbiträde): ... |
| --- | --- |

1.

Adress: ...

Kontaktpersonens namn, befattning och kontaktuppgifter: ...

Verksamheter som är relevanta för de uppgifter som överförs enligt dessa klausuler: ...

Underskrift och datum: ...

Roll (personuppgiftsansvarig/personuppgiftsbiträde): ...

| 2. | ... |
| --- | --- |

2.

Uppgiftsinförare: [Uppgiftsinförarens/uppgiftsinförarnas identitet och kontaktuppgifter, inklusive eventuella kontaktpersoner med ansvar för dataskydd]

| 1. | Namn: ...
  Adress: ...
  Kontaktpersonens namn, befattning och kontaktuppgifter: ...
  Verksamheter som är relevanta för de uppgifter som överförs enligt dessa klausuler: ...
  Underskrift och datum: ...
  Roll (personuppgiftsansvarig/personuppgiftsbiträde): ... |
| --- | --- |

1.

Adress: ...

Kontaktpersonens namn, befattning och kontaktuppgifter: ...

Verksamheter som är relevanta för de uppgifter som överförs enligt dessa klausuler: ...

Underskrift och datum: ...

Roll (personuppgiftsansvarig/personuppgiftsbiträde): ...

| 2. | ... |
| --- | --- |

2.

B.   BESKRIVNING AV ÖVERFÖRINGEN

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

MODUL FYRA: Överföring från personuppgiftsbiträde till personuppgiftsansvarig

Kategorier av registrerade vars personuppgifter överförs

...

Kategorier av personuppgifter som överförs

...

Känsliga uppgifter som överförs (i tillämpliga fall) och tillämpade begränsningar eller skyddsåtgärder där full hänsyn tas till uppgifternas karaktär och de medföljande riskerna, till exempel strikt ändamålsbegränsning, åtkomstbegränsningar (däribland åtkomst endast för personal som har specialutbildning), registrering av åtkomst till uppgifterna, begränsningar av vidare överföringar eller ytterligare säkerhetsåtgärder.

...

Frekvens för överföringen (t.ex. om uppgifterna överförs vid ett engångstillfälle eller kontinuerligt).

...

Behandlingens karaktär

...

Ändamålet/ändamålen med överföringen av uppgifter och den efterföljande behandlingen

...

Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period

...

Vid överföringar till personuppgiftsbiträden/underentreprenörer, ange även föremålet för behandlingen liksom dess karaktär och varaktighet

...

C.   BEHÖRIG TILLSYNSMYNDIGHET

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

Ange den eller de behöriga tillsynsmyndigheterna i enlighet med klausul 13

...

---

BILAGA II

TEKNISKA OCH ORGANISATORISKA ÅTGÄRDER, INKLUSIVE TEKNISKA OCH ORGANISATORISKA ÅTGÄRDER FÖR ATT SÄKERSTÄLLA UPPGIFTERNAS SÄKERHET

MODUL ETT: Överföring från personuppgiftsansvarig till personuppgiftsansvarig

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

FÖRKLARANDE ANMÄRKNINGAR:

De tekniska och organisatoriska åtgärderna måste beskrivas i specifika (och inte allmänna) ordalag. Se även den allmänna kommentaren på den första sidan av tillägget, i synnerhet om behovet av att tydligt ange vilka åtgärder som är tillämpliga på varje överföring/uppsättning av överföringar.

Beskrivning av de tekniska och organisatoriska åtgärder som genomförts av uppgiftsinföraren/uppgiftsinförarna (inklusive relevanta tillstånd) för att säkerställa en lämplig säkerhetsnivå, med hänsyn till behandlingens karaktär, omfattning, sammanhang och ändamål, och riskerna för fysiska personers rättigheter och friheter.

[Exempel på möjliga åtgärder:

Åtgärder avseende pseudonymisering och kryptering av personuppgifter

Åtgärder för att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystem och behandlingstjänster

Åtgärder för att säkerställa förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident

Förfaranden för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärderna för att säkerställa behandlingens säkerhet

Åtgärder för identifiering och auktorisering av användare

Åtgärder för att skydda uppgifterna under överföring

Åtgärder för att skydda uppgifterna under lagring

Åtgärder för att säkerställa den fysiska säkerheten på de platser där personuppgifter behandlas

Åtgärder för att säkerställa loggning av händelser

Åtgärder för att säkerställa systemets konfiguration, inbegripet dess standardkonfiguration

Åtgärder för intern styrning och förvaltning av it-system och it-säkerhet

Åtgärder för certifiering/säkring av processer och produkter

Åtgärder för att säkerställa uppgiftsminimering

Åtgärder för att säkerställa uppgifternas kvalitet

Åtgärder för att säkerställa begränsad lagring av uppgifterna

Åtgärder för att säkerställa ansvarsskyldighet

Åtgärder för att möjliggöra uppgifternas portabilitet och säkerställa radering]

Vid överföringar till personuppgiftsbiträden/underentreprenörer, beskriv även de särskilda tekniska och organisatoriska åtgärder som ska vidtas av personuppgiftsbiträdet/underentreprenören för att kunna bistå den personuppgiftsansvarige och, vid överföringar från ett personuppgiftsbiträde till en underentreprenör, uppgiftsutföraren

---

BILAGA III

FÖRTECKNING ÖVER UNDERENTREPRENÖRER

MODUL TVÅ: Överföring från personuppgiftsansvarig till personuppgiftsbiträde

MODUL TRE: Överföring från personuppgiftsbiträde till personuppgiftsbiträde

FÖRKLARANDE ANMÄRKNINGAR:

Denna bilaga måste fyllas i för modulerna två och tre i samband med utfärdandet av ett särskilt tillstånd för underentreprenörer (klausul 9 a, alternativ 1).

Den personuppgiftsansvarige har gett tillstånd att använda följande underentreprenörer:

| 1. | Namn: ...
  Adress: ...
  Kontaktpersonens namn, befattning och kontaktuppgifter: ...
  Beskrivning av behandlingen (inklusive en tydlig avgränsning av ansvarsområden om flera underentreprenörer har fått tillstånd): ... |
| --- | --- |

1.

Adress: ...

Kontaktpersonens namn, befattning och kontaktuppgifter: ...

Beskrivning av behandlingen (inklusive en tydlig avgränsning av ansvarsområden om flera underentreprenörer har fått tillstånd): ...

| 2. | ... |
| --- | --- |

2.

---