LISA

LEPINGU TÜÜPTINGIMUSED

I JAGU

1. tingimus

Eesmärk ja kohaldamisala

a) Käesolevate lepingu tüüptingimuste eesmärk on tagada isikuandmete edastamisel kolmandasse riiki vastavus Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrusele (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) (1).

b) Pooled: i) I.A lisas loetletud andmeid edastav füüsiline või juriidiline isik, riigiasutus, amet või organ (edaspidi „üksus(ed)“) (edaspidi „andmeeksportija“), ja ii) kolmandas riigis asuv(ad) üksus(ed), kes võtab/võtavad andmeid andmeeksportijalt vastu kas otse või kaudselt sellise teise üksuse kaudu, kes järgib samuti neid tingimusi, nagu on loetletud I.A lisas (edaspidi „andmeimportija“) on kokku leppinud järgmistes lepingu tüüptingimustes (edaspidi „tingimused“).

c) Need tingimused kehtivad I.B lisas sätestatud isikuandmete edastamise kohta.

d) Liide, mis sisaldab selles osutatud lisasid, moodustab käesolevate tingimuste lahutamatu osa.

2. tingimus

Tingimuse toime ja muutumatus

a) Käesolevates tingimustes sätestatakse asjakohased kaitsemeetmed, sealhulgas kohtulikult kaitstavad andmesubjekti õigused ning tõhusad õiguskaitsevahendid vastavalt määruse (EL) 2016/679 artikli 46 lõikele 1 ja artikli 46 lõike 2 punktile c, ning seoses andmete edastamisega vastutavatelt töötlejatelt volitatud töötlejatele ja/või volitatud töötlejatelt volitatud töötlejatele määruse (EL) 2016/679 artikli 28 lõike 7 kohased lepingu tüüptingimused, tingimusel et neid ei ole muudetud, välja arvatud asjakohas(t)e mooduli(te) valimiseks või liites oleva teabe lisamiseks või ajakohastamiseks. See ei takista pooltel lisamast laiemasse lepingusse käesolevates tingimustes sätestatud lepingu tüüptingimusi ja/või lisamast muid tingimusi või täiendavaid kaitsemeetmeid, tingimusel et need ei lähe käesolevate tingimustega otseselt ega kaudselt vastuollu ega piira andmesubjektide põhiõigusi ega -vabadusi.

b) Käesolevate tingimustega ei piirata kohustusi, mida andmeeksportija suhtes vastavalt määrusele (EL) 2016/679 kohaldatakse.

3. tingimus

Soodustatud kolmandad isikud

a) Andmesubjektid võivad soodustatud kolmandate isikutena neid tingimusi andmeeksportija ja/või andmeimportija suhtes kasutada ja nende täitmist nõuda järgmiste eranditega: i) 1. tingimus, 2. tingimus, 3. tingimus, 6. tingimus, 7. tingimus; ii) 8. tingimus – esimene moodul: punkti 8.5 alapunkt e ja punkti 8.9 alapunkt b; teine moodul: punkti 8.1 alapunkt b, punkti 8.9 alapunktid a, c, d ja e; kolmas moodul: punkti 8.1 alapunktid a, c ja d ning punkti 8.9 alapunktid a, c, d, e, f ja g; neljas moodul: punkti 8.1 alapunkt b ja punkti 8.3 alapunkt b; iii) 9. tingimus – teine moodul: 9. tingimuse punktid a, c, d ja e; kolmas moodul: 9. tingimuse punktid a, c, d ja e; iv) 12. tingimus – esimene moodul: 12. tingimuse punktid a ja d; teine ja kolmas moodul: 12. tingimuse punktid a, d ja f; v) 13. tingimus; vi) punkti 15.1 alapunktid c, d ja e; vii) 16. tingimuse punkt e; viii) 18. tingimus – esimene, teine ja kolmas moodul: 18. tingimuse punktid a ja b; neljas moodul: 18. tingimus.

b) Punktiga a ei piirata määruse (EL) 2016/679 kohaseid andmesubjekti õigusi.

4. tingimus

Tõlgendamine

a) Kui käesolevates tingimustes kasutatakse mõisteid, mis on määratletud määruses (EL) 2016/679, on nendel mõistetel sama tähendus kui selles määruses.

b) Neid tingimusi loetakse ja tõlgendatakse määruse (EL) 2016/679 sätteid silmas pidades.

c) Neid tingimusi ei tõlgendata viisil, mis läheb vastuollu määruses (EL) 2016/679 sätestatud õiguste ja kohustustega.

5. tingimus

Hierarhia

Käesolevate tingimuste ja nende kokkuleppimise ajal poolte vahel kehtinud või hiljem sõlmitud seotud lepingute sätete vastuolu korral kohaldatakse käesolevaid tingimusi.

6. tingimus

Edastamis(t)e kirjeldus

Edastamis(t)e üksikasjad, eelkõige edastatavate isikuandmete liigid ning eesmärgid, mille jaoks neid edastatakse, on täpsustatud I.B lisas.

7. tingimus – vabatahtlik

Ühinemistingimus

a) Üksus, kes ei ole käesolevate tingimuste pool, võib kõigi poolte nõusolekul nende tingimustega igal ajal ühineda andmeeksportijana või andmeimportijana; selleks täidab ta liite ja allkirjastab I.A lisa.

b) Kui ta on liite täitnud ja I.A lisa allkirjastanud, saab ühinev üksus käesolevate tingimuste pooleks ning tal on andmeeksportija või andmeimportija õigused ja kohustused vastavalt tema tähistusele I.A lisas.

c) Ühinevale üksusele ei tulene pooleks saamise eelsel perioodil käesolevatest tingimustest õigusi ega kohustusi.

II JAGU. POOLTE KOHUSTUSED

8. tingimus

Andmekaitsemeetmed

Andmeeksportija garanteerib, et ta teeb mõistlikke jõupingutusi, veendumaks et andmeimportija suudab tänu asjakohaste tehniliste ja korralduslike meetmete rakendamisele täita käesolevate tingimuste kohaseid kohustusi.

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

8.1. Eesmärgikohasus

Andmeimportija töötleb isikuandmeid üksnes konkreetse(te)l edastamiseesmärgil (-eesmärkidel), nagu osutatud I.B lisas. Ta tohib töödelda isikuandmeid muul eesmärgil üksnes juhul, kui

i) ta on hankinud andmesubjekti eelneva nõusoleku;

ii) see on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks; või

iii) see on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

8.2. Läbipaistvus

a) Selleks et võimaldada andmesubjektidel oma õigusi vastavalt 10. tingimusele tõhusalt kasutada, teavitab andmeimportija neid otse või andmeeksportija kaudu järgmisest: i) töötleja nimi ja kontaktandmed; ii) töödeldavate isikuandmete liigid; iii) õigus saada endale nende tingimuste koopia; iv) kui ta kavatseb saata sellise vastuvõtja või vastuvõtjate kategooriate (nagu on asjakohane sisulise teabe andmiseks) isikuandmeid edasi mis tahes kolmanda(te)le isiku(te)le, sellise edasisaatmise eesmärk ja alus vastavalt punktile 8.7.

b) Punkti a ei kohaldata juhul, kui andmesubjektil on see teave juba olemas, sealhulgas kui andmeeksportija on seda teavet juba andnud, või kui teabe andmine osutub võimatuks või nõuaks andmeimportijalt ebaproportsionaalseid jõupingutusi. Viimasel juhul teeb andmeimportija teabe suurimas võimalikus ulatuses avalikult kättesaadavaks.

c) Taotluse korral teevad pooled käesolevate tingimuste, sealhulgas nende täidetud liite koopia andmesubjektile tasuta kättesaadavaks. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võivad pooled käesolevate tingimuste liite tekstiosi enne koopia jagamist redigeerida, kuid siis tuleb neil juhul, kui andmesubjekt ei saaks muidu sisust aru ja/või oma õigusi kasutada, esitada sisukas kokkuvõtte. Taotluse korral esitavad pooled andmesubjektile redigeerimise põhjendused, niivõrd kui see on redigeeritud teavet avaldamata võimalik.

d) Punktid a–c ei piira määruse (EL) 2016/679 artikli 13 ja 14 kohaseid andmeeksportija kohustusi.

8.3. Täpsus ja võimalikult väheste andmete kogumine

a) Iga pool tagab, et isikuandmed on täpsed ja vajaduse korral ajakohastatud. Andmeimportija võtab kõik põhjendatud meetmed tagamaks, et töötlemise eesmärki (eesmärke) arvesse võttes kustutatakse või parandatakse ebatäpsed isikuandmed viivitamata.

b) Kui üks pooltest saab teada, et edastatud või vastu võetud isikuandmed on ebatäpsed või aegunud, teavitab ta teist poolt põhjendamatu viivituseta.

c) Andmeimportija tagab, et isikuandmed on piisavad ja asjakohased ning piiratud sellega, mis on töötlemise eesmärgil (eesmärkidel) vajalik.

8.4. Säilitamise piirang

Andmeimportija säilitab isikuandmeid üksnes senikaua, kuni see on vajalik nende andmete töötlemise eesmärgil (eesmärkidel). Ta kehtestab asjakohased tehnilised või korralduslikud meetmed selle kohustuse täitmise tagamiseks, sealhulgas andmete ja kõigi varukoopiate kustutamise või anonüümimise (2) säilitusperioodi lõpus.

8.5. Töötlemise turvalisus

a) Andmeimportija ja edastamise ajal ka andmeeksportija võtab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete turvalisus, sealhulgas kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad nad nõuetekohaselt arvesse tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektile kaasnevaid ohte. Pooled kaaluvad eelkõige krüpteerimist või pseudonüümimist, kui töötlemise eesmärki saab sel viisil täita.

b) Pooled on leppinud kokku II lisas sätestatud tehniliste ja korralduslike meetmete kogumi. Andmeimportija teeb korrapäraseid kontrolle, kindlustamaks et nende meetmetega tagatakse jätkuvalt vajalik turvalisuse tase.

c) Andmeimportija tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

d) Kui nende isikuandmete puhul, mida andmeimportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, võtab andmeimportija asjakohaseid meetmeid selle isikuandmetega seotud rikkumise lahendamiseks, sealhulgas meetmeid selle võimaliku kahjuliku mõju leevendamiseks.

e) Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab andmeimportija põhjendamatu viivituseta andmeeksportijat ja vastavalt 13. tingimusele ka pädevat järelevalveasutust. Selline teade sisaldab i) rikkumise laadi kirjeldust (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv), ii) selle tõenäolisi tagajärgi, iii) rikkumise lahendamiseks võetud või kavandatud meetmeid ja iv) lisateavet andva kontaktpunkti andmeid. Kui andmeimportijal ei ole võimalik kogu teavet korraga esitada, võib ta teabe esitada järk-järgult ilma põhjendamatu viivituseta.

f) Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab andmeimportija põhjendamatu viivituseta ka asjaomaseid andmesubjekte isikuandmetega seotud rikkumisest ja selle laadist, vajaduse korral koostöös andmeeksportijaga, koos punkti e alapunktides ii–iv osutatud teabega, välja arvatud juhul, kui andmeimportija on võtnud meetmeid, et märkimisväärselt vähendada ohtu füüsiliste isikute õigustele või vabadustele või kui teatamine nõuaks ebaproportsionaalseid jõupingutusi. Viimasel juhul avaldab andmeimportija selle asemel avaliku teadaande või võtab muu sarnase meetme, millega teavitab üldsust isikuandmetega seotud rikkumisest.

g) Andmeimportija dokumenteerib kõik asjaomased isikuandmetega seotud rikkumist puudutavad asjaolud, sealhulgas selle mõju ja mis tahes võetud parandusmeetmed, ning peab nende kohta registrit.

8.6. Tundlikud andmed

Kui edastamine hõlmab isikuandmeid, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumise, või geneetilisi andmeid või füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid inimese seksuaalelu ja seksuaalse sättumuse kohta või süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid (edaspidi „tundlikud andmed“), kohaldab andmeimportija eripiiranguid ja/või täiendavaid kaitsemeetmeid, mis on kohandatud andmete ja seonduvate ohtude konkreetsele laadile. See võib hõlmata isikuandmetele juurdepääsu saavate töötajate arvu piiramist, täiendavaid turvameetmeid (nagu pseudonüümimine) ja/või lisapiiranguid edasisel avalikustamisel.

8.7. Edasisaatmine

Andmeimportija ei avalikusta isikuandmeid väljaspool Euroopa Liitu asuvale kolmandale isikule (3) (andmeimportijaga samas riigis või mõnes muus kolmandas riigis, edaspidi „edasisaatmine“), välja arvatud juhul, kui see kolmas isik on seotud või nõustub end siduma asjakohase mooduli kohaste tingimustega. Muul juhul võib andmeimportija saata andmeid edasi üksnes juhul, kui:

i) need edastatakse riiki, mille kohta kehtib määruse (EL) 2016/679 artikli 45 kohane kaitse piisavuse otsus, mis hõlmab edasisaatmist;

ii) kolmas isik tagab kõnealuse töötlemise puhul määruse (EL) 2016/679 artiklitele 46 või 47 vastavad asjakohased kaitsemeetmed muul viisil;

iii) kolmas isik sõlmib andmeimportijaga siduva leppe, millega tagatakse käesolevate tingimustega samaväärne andmekaitsetase, ning andmeimportija esitab andmeeksportijale neid kaitsemeetmeid käsitleva dokumendi koopia;

iv) see on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks;

v) see on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks või

vi) kui neist ükski muu tingimus ei ole täidetud – andmeimportija on konkreetses olukorras andmete edasisaatmiseks saanud andmesubjektilt sõnaselge nõusoleku, pärast tema teavitamist edasisaatmise eesmärgist (eesmärkidest), vastuvõtja isikust ning sellise edastamise võimalikest ohtudest, mida talle põhjustab asjakohaste andmekaitsemeetmete puudumine. Sel juhul teavitab andmeimportija andmeeksportijat ning viimase taotlusel esitab talle koopia andmesubjektile esitatud teabest.

Mis tahes edasisaatmisel järgib andmeimportija kõiki käesolevate tingimuste kohaseid turvameetmeid, eelkõige eesmärgikohasust.

8.8. Töötlemine andmeimportija volituste alusel

Andmeimportija tagab, et tema volituste alusel tegutsev mis tahes isik, sealhulgas volitatud töötleja, töötleb andmeid üksnes tema antud juhiste alusel.

8.9. Dokumendid ja nõuetele vastavus

a) Iga pool suudab tõendada käesolevatest tingimustest tulenevate kohustuste täitmist. Eelkõige peab andmeimportija säilitama asjakohaseid dokumente oma vastutusalas tehtud töötlemistoimingute kohta.

b) Andmeimportija teeb sellised dokumendid vastava taotluse korral pädevale järelevalveasutusele kättesaadavaks.

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

8.1. Juhised

a) Andmeimportija töötleb isikuandmeid üksnes andmeeksportija dokumenteeritud juhiste alusel. Andmeeksportija võib selliseid juhiseid anda kogu lepingu kehtivuse aja jooksul.

b) Andmeimportija teavitab andmeeksportijat viivitamata, kui ta ei saa neid juhiseid järgida.

8.2. Eesmärgikohasus

Andmeimportija töötleb isikuandmeid üksnes konkreetse(te)l edastamiseesmärgil (-eesmärkidel), nagu on osutatud I.B lisas, välja arvatud juhul, kui andmeeksportija on andnud lisajuhiseid.

8.3. Läbipaistvus

Taotluse korral teeb andmeeksportija käesolevate tingimuste, sealhulgas poolte täidetud liite koopia andmesubjektile tasuta kättesaadavaks. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas II lisas kirjeldatud meetmete ja isikuandmete kaitsmiseks, võib andmeeksportija käesolevate tingimuste liite tekstiosi enne koopia jagamist redigeerida, kuid siis tuleb tal juhul, kui andmesubjekt ei saaks muidu sisust aru ja/või oma õigusi kasutada, esitada sisukas kokkuvõtte. Taotluse korral esitavad pooled andmesubjektile redigeerimise põhjendused, niivõrd kui see on redigeeritud teavet avaldamata võimalik. See tingimus ei piira määruse (EL) 2016/679 artikli 13 ja 14 kohaseid andmeeksportija kohustusi.

8.4. Täpsus

Kui andmeimportija saab teada, et laekunud isikuandmed on ebatäpsed või aegunud, teavitab ta sellest andmeeksportijat põhjendamatu viivituseta. Sel juhul teeb andmeimportija andmete kustutamiseks või parandamiseks koostööd andmeeksportijaga.

8.5. Töötlemise kestus ja andmete kustutamine või tagastamine

Andmeimportija töötleb andmeid üksnes I.B lisas osutatud aja jooksul. Pärast töötlemisteenuste osutamise lõpetamist kustutab andmeimportija andmeeksportija valikul kas kõik andmeeksportija nimel töödeldud isikuandmed ja esitab andmeeksportijale kustutamise kohta tunnistuse või tagastab andmeeksportijale kõik tema nimel töödeldud isikuandmed ja kustutab olemasolevad koopiad. Andmeimportija jätkab nendele tingimustele vastavuse tagamist seni, kuni andmed kustutatakse või tagastatakse. Kui andmeimportija suhtes kohaldatavate kohalike seadustega keelatakse isikuandmete tagastamine või kustutamine, garanteerib andmeimportija, et ta jätkab nendele tingimustele vastavuse tagamist ning töötleb andmeid üksnes sellise kohaliku õigusega nõutavas ulatuses ja ajavahemikus. See ei piira 14. tingimuse, eelkõige andmeimportija kohta kehtiva 14. tingimuse punkti e nõuet teavitada andmeeksportijat viivitamata lepingu kogu kestuse ajal, kui tal on põhjust arvata, et tema suhtes kohaldatakse või on hakatud kohaldama seadusi või tavasid, mis ei ole kooskõlas 14. tingimuse punkti a nõuetega.

8.6. Töötlemise turvalisus

a) Andmeimportija ja edastamise ajal ka andmeeksportija võtab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete turvalisus, sealhulgas kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad pooled nõuetekohaselt arvesse praegust tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektidele kaasnevaid ohte. Pooled kaaluvad eelkõige krüpteerimist või pseudonüümimist, kui töötlemise eesmärki saab sel viisil täita. Pseudonüümimisel jääb isikuandmeid konkreetse andmesubjektiga seostada võimaldav lisateave võimaluse korral andmeeksportija ainukontrolli alla. Käesoleva lõigu kohaste kohustuse täitmiseks rakendab andmeimportija vähemalt II lisas osutatud tehnilised ja korralduslikud meetmed. Andmeimportija teeb korrapäraseid kontrolle, kindlustamaks et nende meetmetega tagatakse jätkuvalt vajalik turvalisuse tase.

b) Andmeimportija annab oma töötajatele juurdepääsu isikuandmetele üksnes ulatuses, mis on rangelt vajalik lepingu täitmiseks, haldamiseks ja järelevalveks. See tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

c) Kui nende isikuandmete puhul, mida andmeimportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, võtab andmeimportija asjakohaseid meetmeid selle rikkumise lahendamiseks, sealhulgas meetmeid selle kahjuliku mõju leevendamiseks. Pärast rikkumisest teada saamist teavitab andmeimportija põhjendamatu viivituseta ka andmeeksportijat. Selline teade sisaldab lisateavet andva kontaktpunkti andmeid, rikkumise laadi kirjeldust (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv), selle tõenäolisi tagajärgi, rikkumise lahendamiseks võetud või võtmiseks kavandatud meetmeid ja asjakohasel juhul meetmeid selle võimaliku kahjuliku mõju leevendamiseks. Juhul ja niivõrd, kui kogu teavet ei ole võimalik esitada korraga, sisaldab esialgne teade sel ajal kättesaadavat teavet ning täiendav teave esitatakse pärast selle saamist ja põhjendamatu viivituseta.

d) Andmeimportija teeb andmeeksportijaga koostööd ja abistab teda, et võimaldada andmeeksportijal täita talle määrusest (EL) 2016/679 tulenevaid kohustusi, eelkõige teavitada pädevat järelevalveasutust ja mõjutatud andmesubjekte, võttes arvesse töötlemise laadi ja andmeimportijale kättesaadavat teavet.

8.7. Tundlikud andmed

Kui edastamine hõlmab isikuandmeid, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumise, või geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid inimese seksuaalelu ja seksuaalse sättumuse kohta või süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid (edaspidi „tundlikud andmed“), kohaldab andmeimportija I.B lisas kirjeldatud eripiiranguid ja/või täiendavaid kaitsemeetmeid.

8.8. Edasisaatmine

Andmeimportija avalikustab isikuandmeid kolmandale isikule üksnes andmeeksportija dokumenteeritud juhiste alusel. Lisaks võib isikuandmeid avalikustada väljaspool Euroopa Liitu asuvale kolmandale isikule (4) (andmeimportijaga samas riigis või mõnes muus kolmandas riigis, edaspidi „edasisaatmine“), kui see kolmas isik on seotud või nõustub end siduma asjakohase mooduli kohaste tingimustega või kui

i) need saadetakse edasi riiki, mille kohta kehtib määruse (EL) 2016/679 artikli 45 kohane kaitse piisavuse otsus, mis hõlmab edasisaatmist;

ii) kolmas isik tagab kõnealuse töötlemise puhul määruse (EL) 2016/679 artiklitele 46 või 47 vastavad asjakohased kaitsemeetmed muul viisil;

iii) edasisaatmine on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või

iv) edasisaatmine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

Mis tahes edasisaatmisel järgib andmeimportija kõiki käesolevate tingimuste kohaseid turvameetmeid, eelkõige eesmärgikohasust.

8.9. Dokumendid ja nõuetele vastavus

a) Andmeimportija tegeleb viivitamata ja asjakohasel viisil andmeeksportija päringutega, mis on seotud käesolevate tingimuste kohase töötlemisega.

b) Pooled peavad suutma tõendada käesolevate tingimuste täitmist. Eelkõige peab andmeimportija säilitama andmeeksportija nimel tehtud töötlemistoimingute kohta asjakohaseid dokumente.

c) Andmeimportija teeb andmeeksportijale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevates tingimustes sätestatud kohustuste täitmist, ning andmeeksportija taotlusel võimaldab ta mõistlike ajavahemike järel või tingimustele mittevastavusele osutavate asjaolude ilmnemisel teha käesolevate tingimustega hõlmatud töötlemistoimingute auditeid ja aitab nende tegemisele kaasa. Läbivaatamise või auditi üle otsustamisel võib andmeeksportija võtta arvesse andmeimportija olemasolevaid asjakohaseid sertifikaate.

d) Andmeeksportija võib otsustada, et teeb auditi ise, või volitada selleks sõltumatu audiitori. Auditid võivad hõlmata kontrollkäike andmeimportija ruumidesse või füüsilistesse rajatistesse ning vajaduse korral tehakse neid mõistliku etteteatamisega.

e) Pooled teevad punktides b ja c osutatud teabe, sealhulgas mis tahes auditite tulemused, taotluse korral pädevale järelevalveasutusele kättesaadavaks.

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

8.1. Juhised

a) Andmeeksportija on andmeimportijat teavitanud, et ta tegutseb volitatud töötlejana vastavalt oma vastutava(te) töötleja(te) juhistele, mille andmeeksportija teeb volitatud töötlejale enne töötlemist kättesaadavaks.

b) Andmeimportija töötleb isikuandmeid üksnes vastutava töötleja juhiste alusel, mille andmeeksportija on andmeimportijale teatavaks teinud, ning andmeeksportijalt saadud mis tahes dokumenteeritud lisajuhiste alusel. Sellised lisajuhised ei tohi olla vastuolus vastutava töötleja juhistega. Vastutav töötleja või andmeeksportija võib kogu lepingu kestel esitada andmetöötluse kohta täiendavaid dokumenteeritud juhiseid.

c) Andmeimportija teavitab andmeeksportijat viivitamata, kui ta ei saa neid juhiseid järgida. Kui andmeimportija ei ole võimeline järgima vastutava töötleja juhiseid, teavitab andmeeksportija viivitamata vastutavat töötlejat.

d) Andmeeksportija garanteerib, et ta on kehtestanud andmeimportijale samad andmekaitsekohustused, mis on vastutava töötleja ja andmeeksportija vahel sätestatud lepinguga või muu liidu või liikmesriigi õiguse kohase õigusaktiga (5).

8.2. Eesmärgikohasus

Andmeimportija töötleb isikuandmeid üksnes teatava(te)l edastamiseesmärgil (-eesmärkidel), nagu osutatud I.B lisas, välja arvatud juhul, kui vastutav töötleja on andnud täiendavaid juhiseid, mille andmeeksportija on edastanud andmeimportijale, või kui andmeeksportija on andnud täiendavaid juhiseid.

8.3. Läbipaistvus

Taotluse korral teeb andmeeksportija käesolevate tingimuste, sealhulgas poolte täidetud liite koopia andmesubjektile tasuta kättesaadavaks. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võib andmeeksportija käesolevate tingimuste liite tekstiosi enne koopia jagamist redigeerida, kuid siis tuleb tal juhul, kui andmesubjekt ei saaks muidu sisust aru ja/või oma õigusi kasutada, esitada sisukas kokkuvõtte. Taotluse korral esitavad pooled andmesubjektile redigeerimise põhjendused, niivõrd kui see on redigeeritud teavet avaldamata võimalik.

8.4. Täpsus

Kui andmeimportija saab teada, et laekunud isikuandmed on ebatäpsed või aegunud, teavitab ta sellest andmeeksportijat põhjendamatu viivituseta. Sel juhul teeb andmeimportija andmete parandamiseks või kustutamiseks koostööd andmeeksportijaga.

8.5. Töötlemise kestus ja andmete kustutamine või tagastamine

Andmeimportija töötleb andmeid üksnes I.B lisas osutatud aja jooksul. Pärast töötlemisteenuste osutamise lõpetamist kustutab andmeimportija andmeeksportija valikul kas kõik vastutava töötleja nimel töödeldud isikuandmed ja esitab andmeeksportijale kustutamise kohta tunnistuse või tagastab andmeeksportijale kõik tema nimel töödeldud isikuandmed ja kustutab olemasolevad koopiad. Andmeimportija jätkab nendele tingimustele vastavuse tagamist seni, kuni andmed kustutatakse või tagastatakse. Kui andmeimportija suhtes kohaldatavate kohalike seadustega keelatakse isikuandmete tagastamine või kustutamine, garanteerib andmeimportija, et ta jätkab nendele tingimustele vastavuse tagamist ning töötleb andmeid üksnes sellise kohaliku õigusega nõutavas ulatuses ja ajavahemikus. See ei piira 14. tingimuse, eelkõige andmeimportija kohta kehtiva 14. tingimuse punkti e nõuet teavitada andmeeksportijat viivitamata lepingu kogu kestuse ajal, kui tal on põhjust arvata, et tema suhtes kohaldatakse või on hakatud kohaldama seadusi või tavasid, mis ei ole kooskõlas 14. tingimuse punkti a nõuetega.

8.6. Töötlemise turvalisus

a) Andmeimportija ja edastamise ajal ka andmeeksportija võtab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete turvalisus, sealhulgas kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad nad nõuetekohaselt arvesse tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektile kaasnevaid ohte. Pooled kaaluvad eelkõige krüpteerimist või pseudonüümimist, kui töötlemise eesmärki saab sel viisil täita. Pseudonüümimisel jääb isikuandmeid konkreetse andmesubjektiga seostada võimaldav lisateave võimaluse korral andmeeksportija või vastutava töötleja ainukontrolli alla. Käesoleva lõigu kohaste kohustuse täitmiseks rakendab andmeimportija vähemalt II lisas osutatud tehnilised ja korralduslikud meetmed. Andmeimportija teeb korrapäraseid kontrolle, kindlustamaks et nende meetmetega tagatakse jätkuvalt vajalik turvalisuse tase.

b) Andmeimportija annab oma töötajatele juurdepääsu andmetele üksnes ulatuses, mis on rangelt vajalik lepingu täitmiseks, haldamiseks ja järelevalveks. See tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

c) Kui nende isikuandmete puhul, mida andmeimportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, võtab andmeimportija asjakohaseid meetmeid selle rikkumise lahendamiseks, sealhulgas meetmeid selle kahjuliku mõju leevendamiseks. Pärast sellisest rikkumisest teadasaamist teavitab andmeimportija põhjendamatu viivituseta ka andmeeksportijat, ning kui see on asjakohane ja teostatav, vastutavat töötlejat. Selline teade sisaldab lisateavet andva kontaktpunkti andmeid, rikkumise laadi kirjeldust (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv), selle tõenäolisi tagajärgi, andmetega seotud rikkumise lahendamiseks võetud või võtmiseks kavandatud meetmeid, sealhulgas meetmeid selle võimaliku kahjuliku mõju leevendamiseks. Juhul ja niivõrd, kui kogu teavet ei ole võimalik esitada korraga, sisaldab esialgne teade sel ajal kättesaadavat teavet ning täiendav teave esitatakse pärast selle saamist ja põhjendamatu viivituseta.

d) Andmeimportija teeb andmeeksportijaga koostööd ja abistab teda, et võimaldada andmeeksportijal täita talle määrusest (EL) 2016/679 tulenevaid kohustusi, eelkõige teavitada oma vastutavat töötlejat, et see saaks omakorda teavitada pädevat järelevalveasutust ja mõjutatud andmesubjekte, võttes arvesse töötlemise laadi ja andmeimportijale saadaolevat teavet.

8.7. Tundlikud andmed

Kui edastamine hõlmab isikuandmeid, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumise, või geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid inimese seksuaalelu ja seksuaalse sättumuse kohta või süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid (edaspidi „tundlikud andmed“), kohaldab andmeimportija I.B lisas sätestatud eripiiranguid ja/või täiendavaid kaitsemeetmeid.

8.8. Edasisaatmine

Andmeimportija avalikustab isikuandmeid kolmandale isikule üksnes vastutava töötleja dokumenteeritud juhiste alusel, mille andmeeksportija on andmeimportijale andnud. Lisaks võib isikuandmeid avalikustada väljaspool Euroopa Liitu asuvale kolmandale isikule (6) (andmeimportijaga samas riigis või mõnes muus kolmandas riigis, edaspidi „edasisaatmine“), kui see kolmas isik on seotud või nõustub end siduma asjakohase mooduli kohaste tingimustega või kui

i) need saadetakse edasi riiki, mille kohta kehtib määruse (EL) 2016/679 artikli 45 kohane kaitse piisavuse otsus, mis hõlmab edasisaatmist;

ii) kolmas isik tagab määruse (EL) 2016/679 artiklitele 46 või 47 vastavad asjakohased kaitsemeetmed muul viisil;

iii) edasisaatmine on vajalik teatavates haldus-, regulatiiv- või kohtumenetlustes õigusnõuete koostamiseks, esitamiseks või kaitsmiseks või

iv) edasisaatmine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks.

Mis tahes edasisaatmisel järgib andmeimportija kõiki käesolevate tingimuste kohaseid turvameetmeid, eelkõige eesmärgikohasust.

8.9. Dokumendid ja nõuetele vastavus

a) Andmeimportija tegeleb viivitamata ja asjakohasel viisil andmeeksportija või vastutava töötleja päringutega, mis on seotud käesolevate tingimuste kohase töötlemisega.

b) Pooled peavad suutma tõendada käesolevate tingimuste täitmist. Eelkõige peab andmeimportija säilitama vastutava töötleja nimel tehtava töötlemistoimingute kohta asjakohaseid dokumente.

c) Andmeimportija teeb andmeeksportijale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevates tingimustes sätestatud kohustuste täitmist, ning andmeeksportija esitab selle vastutavale töötlejale.

d) Andmeimportija võimaldab andmeeksportijal mõistlike ajavahemike järel või tingimustele mittevastavusele osutavate asjaolude ilmnemisel teha käesolevate tingimuste alla kuuluvate töötlemistoimingute auditeid ja aitab nende tegemisele kaasa. Sama kehtib siis, kui andmeeksportija taotleb vastutava töötleja juhiste kohaselt auditit. Auditi üle otsustamisel võib andmeeksportija võtta arvesse andmeimportija olemasolevaid asjakohaseid sertifikaate.

e) Kui audit tehakse vastutava töötleja juhiste kohaselt, teeb andmeeksportija tulemused vastutavale töötlejale kättesaadavaks.

f) Andmeeksportija võib otsustada, et teeb auditi ise, või volitada selleks sõltumatu audiitori. Auditid võivad hõlmata kontrollkäike andmeimportija ruumidesse või füüsilistesse rajatistesse ning vajaduse korral tehakse neid mõistliku etteteatamisega.

g) Pooled teevad punktides b ja c osutatud teabe, sealhulgas mis tahes auditite tulemused, taotluse korral pädevale järelevalveasutusele kättesaadavaks.

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale

8.1. Juhised

a) Andmeeksportija töötleb isikuandmeid üksnes tema vastutava töötlejana tegutseva andmeimportija antud dokumenteeritud juhiste alusel.

b) Andmeeksportija teavitab andmeimportijat viivitamata, kui ta ei ole võimeline neid juhiseid järgima, sealhulgas juhul, kui need juhised lähevad vastuollu määrusega (EL) 2016/679 või muude liidu või liikmesriigi andmekaitsealaste õigusaktidega.

c) Andmeimportija hoidub mis tahes toimingust, mis takistaks andmeeksportijal täitmast määruse (EL) 2016/679 kohaseid kohustusi, sealhulgas alamtöötlemise puhul või pädevate järelevalveasutustega tehtava koostöö asjus.

d) Pärast töötlemisteenuste osutamise lõpetamist kustutab andmeeksportija andmeimportija valikul kas kõik andmeimportija nimel töödeldud isikuandmed ja esitab andmeimportijale kustutamise kohta tunnistuse või tagastab andmeimportijale kõik tema nimel töödeldud isikuandmed ja kustutab olemasolevad koopiad.

8.2. Töötlemise turvalisus

a) Pooled võtavad asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada andmete turvalisus ka edastamise ajal, ning kaitse sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (edaspidi „isikuandmetega seotud rikkumine“). Vajaliku turvalisuse taseme hindamisel võtavad nad nõuetekohaselt arvesse tehnika taset, rakenduskulusid, isikuandmete laadi, (7) töötlemise laadi, ulatust, konteksti ja eesmärki (eesmärke) ning töötlemisega andmesubjektidele kaasnevaid ohte, ja eelkõige kaaluvad krüpteerimist või pseudonüümimist, sealhulgas edastamise ajal, kui töötlemise eesmärki saab sel viisil täita.

b) Andmeeksportija aitab andmeimportijal tagada andmete asjakohase turvalisuse kooskõlas punktiga a. Kui nende isikuandmete puhul, mida andmeeksportija käesolevate tingimuste alusel töötleb, ilmneb isikuandmetega seotud rikkumine, teavitab andmeeksportija sellest teada saades viivitamata andmeimportijat ning aitab andmeimportijal rikkumist lahendada.

c) Andmeeksportija tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

8.3. Dokumendid ja nõuetele vastavus

a) Pooled peavad suutma tõendada käesolevate tingimuste täitmist.

b) Andmeeksportija teeb andmeimportijale kättesaadavaks kogu teabe, mis on vajalik, et tõendada käesolevate tingimuste kohaste kohustuste täitmist, ning võimaldab teha auditeid ja aitab nende tegemisele kaasa.

9. tingimus

Alamtöötlejate kasutamine

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

a) 1. VARIANT: EELNEV ERILUBA – andmeimportija ei kasuta käesolevate tingimuste kohaste töötlemistoimingute andmeeksportija nimel tegemiseks alltöövõttu alamtöötlejat, kui andmeeksportija ei ole eelnevalt andnud kirjalikku luba. Andmeimportija esitab eriloa taotluse vähemalt [märkida ajavahemik] enne alamtöötleja kaasamist koos teabega, mis on vajalik, et andmeeksportija saaks loa kohta otsuse teha. Andmeeksportijalt juba loa saanud alamtöötlejate loetelu on esitatud III lisas. Pooled hoiavad III lisa ajakohasena. 2. VARIANT: ÜLDINE KIRJALIK LUBA – andmeimportijal on andmeeksportija üldine luba kaasata kokkulepitud loendisse kuuluv(ad) alamtöötleja(d). Andmeimportija teavitab andmeeksportijat eraldi kirjalikult selle loetelu mis tahes kavandatud muudatustest, st alamtöötlejate lisamisest või asendamisest vähemalt [märkida ajavahemik] ette, andes andmeeksportijale enne alamtöötleja(te) kaasamist seega piisavalt aega esitada sellistele muudatustele vastuväiteid. Andmeimportija annab andmeeksportijale teavet, mis on vajalik, et võimaldada andmeeksportijal kasutada õigust esitada vastuväiteid.

b) Kui andmeimportija kaasab teatavate töötlemistoimingute tegemiseks (andmeeksportija nimel) alamtöötleja, teeb ta seda kirjaliku lepinguga, milles nähakse ette sisuliselt samad andmekaitsekohustused kui need, mis on andmeimportijale käesolevate tingimuste kohaselt siduvad, sealhulgas seoses andmesubjektide kui soodustatud kolmandate isikute õigustega (8). Pooled nõustuvad, et käesoleva tingimuse järgimisega täidab andmeimportija punkti 8.8 kohased kohustused. Andmeimportija tagab, et alamtöötleja täidab käesolevate tingimustega andmeimportijale kehtestatud kohustused.

c) Andmeimportija esitab andmeeksportija taotlusel andmeeksportijale alamtöötlejaga sõlmitud lepingu koopia ja selle mis tahes edasised muudatused. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võib andmeimportija lepingu teksti enne koopia jagamist redigeerida.

d) Andmeimportija jääb andmeeksportija ees täielikult vastutavaks andmeimportija ja alamtöötleja lepingu kohaste alamtöötleja kohustuste täitmise eest. Andmeimportija teavitab andmeeksportijat alamtöötleja mis tahes suutmatusest täita selle lepingu kohaseid kohustusi.

e) Andmeimportija lepib alamtöötlejaga kokku soodustatud kolmanda isiku tingimuses, mille kohaselt on andmeeksportijal juhul, kui andmeimportija on teadaolevalt kadunud, oma seadusjärgse tegevuse lõpetanud või maksejõuetuks muutunud, õigus alamtöötleja leping lõpetada ning anda alamtöötlejale korraldus isikuandmed kustutada või tagastada.

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

a) 1. VARIANT: EELNEV ERILUBA – andmeimportija ei kasuta käesolevate tingimuste kohaste töötlemistoimingute andmeeksportija nimel tegemiseks alltöövõttu alamtöötlejat, kui vastutav töötleja ei ole eelnevalt andnud kirjalikku luba. Andmeimportija esitab eriloa saamiseks taotluse vähemalt [märkida ajavahemik] enne alamtöötleja kaasamist koos teabega, mis on vajalik, et vastutav töötleja saaks loa üle otsustada. Ta teavitab sellest kaasamisest andmeeksportijat. Vastutavalt töötlejalt juba loa saanud alamtöötlejate loetelu on esitatud III lisas. Pooled hoiavad III lisa ajakohasena. 2. VARIANT: ÜLDINE KIRJALIK LUBA – andmeimportijal on vastutava töötleja üldine luba kaasata kokkulepitud loendisse kuuluv(ad) alamtöötleja(d). Andmeimportija teavitab vastutavat töötlejat eraldi kirjalikult selle loetelu mis tahes kavandatud muudatustest, st alamtöötlejate lisamisest või asendamisest vähemalt [märkida ajavahemik] ette, andes vastutavale töötlejale enne alamtöötleja(te) kaasamist seega piisavalt aega esitada sellistele muudatustele vastuväiteid. Andmeimportija annab vastutavale töötlejale teavet, mis on vajalik, et võimaldada vastutaval töötlejal kasutada õigust esitada vastuväiteid. Andmeimportija teavitab alamtöötleja(te) kaasamisest andmeeksportijat.

b) Kui andmeimportija kaasab teatavate töötlemistoimingute tegemiseks (vastutava töötleja nimel) alamtöötleja, teeb ta seda kirjaliku lepinguga, milles nähakse sisuliselt ette samad andmekaitsekohustused kui need, mis on andmeimportijale käesolevate tingimuste kohaselt siduvad, sealhulgas seoses andmesubjektide kui soodustatud kolmandate isikute õigustega (9). Pooled nõustuvad, et käesoleva tingimuse järgimisega täidab andmeimportija punkti 8.8 kohased kohustused. Andmeimportija tagab, et alamtöötleja täidab käesolevate tingimustega andmeimportijale kehtestatud kohustused.

c) Andmeimportija esitab andmeeksportija või vastutava töötleja taotlusel alamtöötlejaga sõlmitud kõnealuse lepingu ja selle mis tahes edasised muudatused. Ulatuses, milles see on vajalik ärisaladuse või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitsmiseks, võib andmeimportija lepingu teksti enne koopia jagamist redigeerida.

d) Andmeimportija jääb andmeeksportija ees täielikult vastutavaks andmeimportija ja alamtöötleja lepingu kohaste alamtöötleja kohustuste täitmise eest. Andmeimportija teavitab andmeeksportijat alamtöötleja mis tahes suutmatusest täita selle lepingu kohaseid kohustusi.

e) Andmeimportija lepib alamtöötlejaga kokku soodustatud kolmanda isiku tingimuses, mille kohaselt on andmeeksportijal juhul, kui andmeimportija on teadaolevalt kadunud, oma seadusjärgse tegevuse lõpetanud või maksejõuetuks muutunud, õigus alamtöötleja leping lõpetada ning anda alamtöötlejale korraldus isikuandmed kustutada või tagastada.

10. tingimus

Andmesubjektide õigused

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

a) Andmeimportija tegeleb – asjakohasel juhul andmeeksportija abiga – mis tahes päringute ja taotlustega, mis talle andmesubjektilt saabuvad seoses andmesubjekti isikuandmete töötlemisega ja käesolevate tingimuste kohaste õiguste kasutamisega, viivitamata ja hiljemalt ühe kuu jooksul alates sellise päringu või taotluse saamisest (10). Andmeimportija võtab asjakohaseid meetmeid selliste päringute, taotluste ja andmesubjekti õiguste kasutamise hõlbustamiseks. Kogu andmesubjektile antav teave esitatakse arusaadavas ja kergesti juurdepääsetavas vormis ning selges ja lihtsas sõnastuses.

b) Eelkõige teeb andmeimportija andmesubjekti taotlusel tasuta järgmist: i) annab andmesubjektile teavet selle kohta, kas tema isikuandmeid töödeldakse, ja kui see on nii, siis esitab temaga seotud andmete ning I lisas nimetatud teabe koopia; kui isikuandmeid on edasi saadetud või kavatsetakse edasi saata, annab teavet vastuvõtja või vastuvõtjate kategooriate kohta (olenevalt sellest, mis on sisulise teabe andmiseks asjakohane), kellele isikuandmeid on edasi saadetud või kavatsetakse edasi saata, selliste edasisaatmiste eesmärgi ja aluse kohta vastavalt punktile 8.7; ning annab teavet õiguse kohta esitada järelevalveasutusele 12. tingimuse punkti c alapunkti i kohaselt kaebus; ii) parandab andmesubjekti puudutavad ebatäpsed või ebatäielikud andmed; iii) kustutab andmesubjekti puudutavad andmed, kui neid andmeid töödeldi vastuolus mõne sellise käesoleva tingimusega, millega tagatakse soodustatud kolmandate isikute õigused, või kui andmesubjekt võtab tagasi töötlemise aluseks olnud nõusoleku.

c) Kui andmeimportija töötleb isikuandmeid otseturunduse eesmärkidel, lõpetab ta neil eesmärkidel töötlemise, kui andmesubjekt esitab selle suhtes vastuväite.

d) Andmeimportija ei tee otsust üksnes edastatud isikuandmete automaatse töötlemise põhjal (edaspidi „automaatne otsus“), mis põhjustaks andmesubjektile õiguslikke tagajärgi või mõjutaks teda sarnasel viisil märkimisväärselt, välja arvatud juhul, kui selleks on andmesubjekti sõnaselge nõusolek või kui selline teguviis on sihtriigi seadustega lubatud, tingimusel et selliste seadustega on sätestatud sobivad meetmed andmesubjekti õiguste ning õigustatud huvide kaitsmiseks. Sel juhul teeb andmeimportija vajaduse korral koostöös andmeeksportijaga järgmist: i) teavitab andmesubjekti kavandatavast automatiseeritud otsusest, ettenähtavatest tagajärgedest ja seonduvast arutluskäigust ning ii) rakendab sobivaid kaitsemeetmeid, vähemalt võimaldades andmesubjektil vaidlustada otsus, väljendada selle kohta oma arvamust ja lasta see inimesel läbi vaadata.

e) Kui andmesubjekti taotlused on ülemäärased, eelkõige oma korduva iseloomu tõttu, võib andmeimportija nõuda taotluse rahuldamise halduskulusid arvesse võttes mõistlikku tasu või keelduda taotlust menetlemast.

f) Andmeimportija võib keelduda andmesubjekti taotlusest, kui sihtriigi õiguses on selline keeldumine lubatud ning see on demokraatlikus ühiskonnas vajalik ja proportsionaalne mõne määruse (EL) 2016/679 artikli 23 lõikes 1 loetletud eesmärgi kaitsmiseks.

g) Kui andmeimportija kavatseb andmesubjekti taotlusest keelduda, teavitab ta andmesubjekti keeldumise põhjustest ja võimalusest esitada pädevale järelevalveasutusele kaebus ja/või pöörduda kohtusse.

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

a) Andmeimportija teavitab andmeeksportijat viivitamata mis tahes taotlusest, mille ta on andmesubjektilt saanud. Ta ei vasta sellele taotlusele ise, välja arvatud juhul, kui andmeeksportija on volitanud teda seda tegema.

b) Andmeimportija aitab andmeeksportijal täita tolle kohustusi vastata andmesubjektide taotlustele kasutada määruse (EL) 2016/679 kohaseid õigusi. Sellega seoses sätestavad pooled II lisas asjakohased tehnilised ja korralduslikud meetmed, võttes arvesse, millist laadi töötlemisega abi antakse, ning ka vajaliku abi ulatust ja määra.

c) Punktide a ja b kohaste kohustuste täitmisel järgib andmeimportija andmeeksportijalt saadud juhiseid.

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

a) Andmeimportija teavitab andmeeksportijat ja asjakohasel juhul vastutavat töötlejat viivitamata mis tahes taotlusest, mille ta on andmesubjektilt saanud, vastamata sellele taotlusele, välja arvatud juhul, kui vastutav töötleja on volitanud teda seda tegema.

b) Asjakohasel juhul aitab andmeimportija koostöös andmeeksportijaga vastutaval töötlejal täita tolle kohustust vastata andmesubjektide taotlustele kasutada vastavalt kas määruse (EL) 2016/679 või määruse (EL) 2018/1725 kohaseid õigusi. Sellega seoses sätestavad pooled II lisas asjakohased tehnilised ja korralduslikud meetmed, võttes arvesse, millist laadi töötlemisega abi antakse, ning ka vajaliku abi ulatust ja määra.

c) Punktide a ja b kohaste kohustuste täitmisel järgib andmeimportija vastutava töötleja juhiseid, mille andmeeksportija on talle edastanud.

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale

Pooled aitavad üksteist, kui on vaja vastata andmeimportija suhtes kohaldatava kohaliku õiguse või ELis andmeid töötleva andmeeksportija puhul määruse (EL) 2016/679 kohastele andmesubjekti päringutele ja taotlustele.

11. tingimus

Õiguskaitse

a) Andmeimportija teeb andmesubjektidele arusaadavas ja hõlpsasti juurdepääsetavas vormis individuaalse teatisega või oma veebisaidi kaudu teatavaks kaebustega tegelemiseks volitatud kontaktpunkti. Ta võtab talle andmesubjektilt saabunud kaebused viivitamata töösse. [VARIANT: andmeimportija nõustub, et andmesubjektid võivad kaebuse esitada ka sõltumatule vaidluste lahendamise organile (11) ning see on andmesubjektile tasuta. Ta teavitab andmesubjekte punktis a osutatud viisil sellest õiguskaitsemehhanismist ning sellest, et nad ei pea seda kasutama ega pea õiguskaitse saamiseks astuma samme kindlas järjekorras.]

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

b) Kui andmesubjekti ja ühe poole vahel tekib käesolevatele tingimustele vastavuse üle vaidlus, teeb see pool kõik endast oleneva, et probleem aegsasti kompromissiga lahendada. Pooled teavitavad pidevalt üksteist sellistest vaidlustest ning asjakohasel juhul teevad nende lahendamiseks koostööd.

c) Kui andmesubjekt tugineb soodustatud kolmanda isiku õigustele vastavalt 3. tingimusele, aktsepteerib andmeimportija andmesubjekti otsust i) esitada kaebus oma elu- või töökohaliikmesriigi pädevale järelevalveasutusele või 13. tingimuse kohasele pädevale järelevalveasutusele; ii) pöörduda vaidlusega pädevatesse kohtutesse 18. tingimuse tähenduses.

d) Pooled nõustuvad, et andmesubjekti võib vastavalt määruse (EL) 2016/679 artikli 80 lõikes 1 sätestatud tingimustele esindada mittetulunduslik asutus, organisatsioon või ühendus.

e) Andmeimportija järgib otsust, mis on kohaldatava ELi või liikmesriigi õiguse kohaselt talle siduv.

f) Andmeimportija nõustub, et andmesubjekti tehtud valik ei piira tema materiaal- ja menetlusõigusi kohaldatavate seaduste kohaselt kohtusse pöördumisel.

12. tingimus

Vastutus

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale

a) Iga pool vastutab teis(t)e pool(t)e ees mis tahes kahjude eest, mida ta teis(t)ele pool(t)ele käesolevate tingimuste rikkumisega põhjustab.

b) Iga pool vastutab andmesubjekti ees ning andmesubjektil on õigus saada hüvitist mis tahes varalise või mittevaralise kahju eest, mida pool on andmesubjektile põhjustanud käesolevate tingimuste kohaste soodustatud kolmandate isikute õiguste rikkumisega. See ei piira määruse (EL) 2016/679 artikli kohast andmeeksportija vastutust.

c) Kui käesolevate tingimuste rikkumisega on andmesubjektile kahju põhjustanud rohkem kui üks pool, vastutavad kõik asjaomased pooled solidaarselt ning andmesubjektil on õigus pöörduda iga sellise poole vastu kohtusse.

d) Pooled nõustuvad, et kui üks pool on punkti c kohaselt vastutav, on tal õigus nõuda teis(t)elt pool(t)elt tagasi see osa hüvitisest, mis vastab tema/nende vastutusele kahju eest.

e) Andmeimportija ei tohi enda vastutuse vältimiseks tugineda volitatud töötleja või alamtöötleja tegevusele.

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

a) Iga pool vastutab teis(t)e pool(t)e ees mis tahes kahjude eest, mida ta teis(t)ele pool(t)ele käesolevate tingimuste rikkumisega põhjustab.

b) Andmeimportija vastutab andmesubjekti ees ning andmesubjektil on õigus saada hüvitist mis tahes varalise või mittevaralise kahju eest, mida andmeimportija või tema alamtöötleja on andmesubjektile põhjustanud käesolevate tingimuste kohaste soodustatud kolmandate isikute õiguste rikkumisega.

c) Olenemata punktist b vastutab andmeeksportija andmesubjekti ees ning andmesubjektil on õigus saada hüvitist mis tahes varalise või mittevaralise kahju eest, mida andmeeksportija või andmeimportija (või tema alamtöötleja) on andmesubjektile põhjustanud käesolevate tingimuste kohaste soodustatud kolmandate isikute õiguste rikkumisega. See ei piira määruse (EL) 2016/679 või asjakohasel juhul määruse (EL) 2018/1725 kohast andmeeksportija vastutust, ja kui andmeeksportija on vastutava töötleja nimel tegutsev volitatud töötleja, siis selle määruse kohast vastutava töötleja vastutust.

d) Pooled nõustuvad, et kui andmeeksportija on punkti c kohaselt vastutav andmeimportija (või tema alamtöötleja) põhjustatud kahju eest, on tal õigus nõuda andmeimportijalt tagasi see osa hüvitisest, mis vastab andmeimportija vastutusele kahju eest.

e) Kui käesolevate tingimuste rikkumisega on andmesubjektile kahju põhjustanud rohkem kui üks pool, vastutavad kõik asjaomased pooled solidaarselt ning andmesubjektil on õigus pöörduda iga sellise poole vastu kohtusse.

f) Pooled nõustuvad, et kui üks pool on punkti e kohaselt vastutav, on tal õigus nõuda teis(t)elt pool(t)elt tagasi see osa hüvitisest, mis vastab tema/nende vastutusele kahju eest.

g) Andmeimportija ei tohi enda vastutuse vältimiseks tugineda alamtöötleja käitumisele.

13. tingimus

Järelevalve

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

a) [Kui andmeeksportija asub ELi liikmesriigis:] Järelevalveasutus, kes vastutab andmeeksportija vastavuse tagamise eest määruse (EL) 2016/679 kohaselt seoses andmete edastamisega, nagu on osutatud I.C lisas, tegutseb pädeva järelevalveasutusena. [Kui andmeeksportija ei asu ELi liikmesriigis, kuid kuulub määruse (EL) 2016/679 artikli 3 lõike 2 kohaselt selle määruse territoriaalsesse kohaldamisalasse ja on määranud esindaja vastavalt määruse (EL) 2016/679 artikli 27 lõikele 1:] Selle liikmesriigi järelevalveasutus, kus esindaja – määruse (EL) 2016/679 artikli 27 lõike 1 tähenduses – asub, nagu on osutatud I.C lisas, tegutseb pädeva järelevalveasutusena. [Kui andmeeksportija ei asu ELi liikmesriigis, kuid kuulub määruse (EL) 2016/679 artikli 3 lõike 2 kohaselt selle määruse territoriaalsesse kohaldamisalasse ja ei ole seejuures määranud esindajat vastavalt määruse (EL) 2016/679 artikli 27 lõikele 2:] Pädeva järelevalveasutusena tegutseb järelevalveasutus, mille asukoht on ühes liikmesriikidest, kus asuvad – nagu on osutatud I.C lisas – andmesubjektid, kelle isikuandmeid käesolevate tingimuste kohaselt neile kaupade või teenuste pakkumiseks edastatakse või kelle käitumist jälgitakse.

b) Andmeimportija nõustub sellele pädevale järelevalveasutusele alluma ning tegema temaga koostööd mis tahes menetlustes, mille eesmärk on tagada vastavus käesolevatele tingimustele. Eelkõige nõustub andmeimportija vastama päringutele, võimaldama enda juures auditeid ning järgima järelevalveasutuse võetud meetmeid, sealhulgas parandus- ja hüvitusmeetmeid. Ta esitab järelevalveasutusele kirjaliku kinnituse, et vajalikud meetmed on võetud.

III JAGU. KOHALIKUD SEADUSED JA KOHUSTUSED AVALIKU SEKTORI ASUTUSTE JUURDEPÄÄSU KORRAL

14. tingimus

Tingimustele vastavust mõjutavad kohalikud seadused ja tavad

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale (kui ELi volitatud töötleja ühendab kolmanda riigi vastutavalt töötlejalt saadud isikuandmeid isikuandmetega, mida volitatud töötleja on kogunud ELis)

a) Pooled garanteerivad, et neil ei ole põhjust arvata, nagu takistaksid andmeimportija poolse isikuandmete töötlemisele suhtes kohaldatavad kolmanda sihtriigi seadused ja tavad, sealhulgas mis tahes nõuded avalikustada isikuandmed, või meetmed, millega lubatakse avaliku sektori asutustele juurdepääs, andmeimportijal käesolevate tingimuste kohaste kohustuste täitmist. See põhineb arusaamisel, et kohalikud seadused ja tavad, mis järgivad põhiõiguste ja -vabaduste olemust ega lähe kaugemale sellest, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne, et kaitsta mõnd määruse (EL) 2016/679 artikli 23 lõikes 1 loetletud eesmärkidest, ei ole käesolevate tingimustega vastuolus.

b) Pooled kinnitavad, et punktis a osutatud garantii andmisega on nad võtnud nõuetekohaselt arvesse eeskätt järgmisi elemente: i) teatavad edastamise asjaolud, sealhulgas töötlemisahela pikkus, kaasatud osalejate arv ning kasutatud edastamiskanalid; kavandatud edasisaatmised; vastuvõtja liik; töötlemise eesmärk; edastatavate isikuandmete liigid ja vorming; majandussektor, kus edastamine toimub; edastatud andmete säilitamise asukoht; ii) kolmanda sihtriigi seadused ja tavad – sealhulgas need, millega nõutakse andmete avalikustamist avaliku sektori asutustele või antakse avaliku sektori asutustele neile juurdepääs –, mis on teatavaid edastamise asjaolusid arvesse võttes olulised, ning kohaldatavad piirangud ja kaitsemeetmed; (12) iii) mis tahes lepingulised, tehnilised või korralduslikud kaitsemeetmed, mis on kehtestatud lisaks käesolevate tingimuste kohastele kaitsemeetmetele, sealhulgas meetmed, mida kohaldati isikuandmete edastamise ajal ning töötlemisel sihtriigis.

c) Andmeimportija garanteerib, et ta on punkti b kohasel hindamisel teinud kõik endast oleneva, et anda andmeeksportijale asjakohast teavet, ning nõustub, et ta jätkab koostööd andmeeksportijaga käesolevate tingimuste täitmise tagamisel.

d) Pooled nõustuvad punkti b kohast hindamist dokumenteerima ja tegema selle pädevale järelevalveasutusele taotluse korral kättesaadavaks.

e) Andmeimportija nõustub andmeeksportijat viivitamata teavitama, kui tal on käesolevate tingimuste kokkuleppimise järel ja lepingu kestuse ajal põhjust arvata, et tema suhtes kohaldatakse või on hakatud kohaldama seadusi või tavasid, mis ei ole kooskõlas punkti a nõuetega, sealhulgas pärast kolmanda riigi seaduste või meetme (näiteks avalikustamisnõue) muutmist, mis osutab sellele, et nende seaduste praktiline kohaldamine ei vasta punkti a nõuetele. [Kolmanda mooduli puhul: andmeeksportija edastab teate vastutavale töötlejale.]

f) Pärast punkti e kohast teavitamist või kui andmeeksportijal on muul põhjusel alust arvata, et andmeimportija ei suuda käesolevate tingimuste kohaseid kohustusi enam täita, selgitab andmeeksportija viivitamata välja asjakohased meetmed (näiteks tehnilised või korralduslikud meetmed turvalisuse ja konfidentsiaalsuse tagamiseks), mida andmeeksportija ja/või andmeimportija peab olukorra lahendamiseks võtma, [kolmanda mooduli puhul: asjakohasel juhul vastutava töötlejaga konsulteerides]. Andmeeksportija peatab andmete edastamise, kui ta arvab, et sellise edastamise puhul ei saa tagada asjakohaseid kaitsemeetmeid, või kui [kolmanda mooduli puhul: vastutav töötleja või] pädev järelevalveasutus on andnud juhise seda teha. Sel juhul on andmeeksportijal õigus leping lõpetada, kuivõrd see puudutab käesolevate tingimuste kohast isikuandmete töötlemist. Kui lepinguga on hõlmatud üle kahe poole, võib andmeeksportija kasutada seda lõpetamisõigust üksnes seoses asjaomase poolega, välja arvatud juhul, kui pooled on kokku leppinud teisiti. Kui leping lõpetatakse selle tingimuse kohaselt, kohaldatakse 16. tingimuse punkte d ja e.

15. tingimus

Andmeimportija kohustused avaliku sektori asutuste juurdepääsu korral

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale (kui ELi volitatud töötleja ühendab kolmanda riigi vastutavalt töötlejalt saadud isikuandmeid isikuandmetega, mida volitatud töötleja on kogunud ELis)

15.1. Teavitamine

a) Andmeimportija nõustub teavitama andmeeksportijat ja võimaluse korral andmesubjekti (kui vajalik, siis andmeeksportija abiga) viivitamata, kui: i) ta saab riigiasutuselt, sealhulgas õigusasutustelt, sihtriigi seaduste kohaselt õiguslikult siduva taotluse avalikustada käesolevate tingimuste kohaselt edastatud isikuandmeid; selline teade sisaldab teavet taotletud isikuandmete, taotleva asutuse, taotluse õigusliku aluse ning antud vastuse kohta või ii) ta saab teada avaliku sektori asutuste mis tahes otsesest juurdepääsust käesolevate tingimuste kohaselt edastatud isikuandmetele kooskõlas sihtriigi seadustega; selline teade sisaldab kogu teavet, mis on importijale kättesaadav. [Kolmanda mooduli puhul: andmeeksportija edastab teate vastutavale töötlejale.]

b) Kui andmeimportijal on sihtriigi seaduste kohaselt keelatud teavitada andmeeksportijat ja/või andmesubjekti, nõustub andmeimportija tegema kõik endast oleneva, et saavutada sellest keelust loobumine, eesmärgiga edastada võimalikult kiiresti võimalikult palju teavet. Andmeimportija nõustub dokumenteerima kõik ette võetud jõupingutused, et taotluse korral neid andmeeksportijale tõendada.

c) Kui see on sihtriigi seadustega lubatud, nõustub andmeimportija esitama andmeeksportijale lepingu kestuse ajal korrapäraste ajavahemike järel võimalikult palju asjakohast teavet saadud taotluste kohta (eelkõige taotluste arv, taotletud andmete liik, taotlev(ad) asutus(ed), kas taotlusi on vaidlustatud ja selliste vaidlustuste tulemus jne). [Kolmanda mooduli puhul: andmeeksportija edastab teabe vastutavale töötlejale.]

d) Andmeimportija nõustub säilitama teavet lepingu kestuse ajal vastavalt punktidele a–c ning tegema selle pädevale järelevalveasutusele taotluse korral kättesaadavaks.

e) Punktid a–c ei piira 14. tingimuse punkti e ja 16. tingimuse kohast andmeimportija kohustust viivitamata teavitada andmeeksportijat oma suutmatusest käesolevaid tingimusi järgida.

15.2. Seaduslikkuse ja võimalikult väheste andmete kogumise kontroll

a) Andmeimportija nõustub vaatama läbi avalikustamistaotluse seaduslikkuse, eelkõige kas see kuulub taotlevale avaliku sektori asutusele antud volituste piiresse, ning seda vaidlustama, kui ta pärast hoolikat hindamist järeldab, et sihtriigi seaduste, rahvusvahelise õiguse kohaste kohustuste ning rahvusvahelise viisakuse põhimõtete kohaselt on põhjendatult alust pidada taotlust ebaseaduslikuks. Andmeimportija kasutab samadel tingimustel kaebuse esitamise võimalusi. Taotluse vaidlustamisel püüab andmeimportija võtta ajutisi meetmeid, eesmärgiga peatada taotluse mõju, kuni pädev järelevalveasutus on taotluse põhjendatuse kohta otsuse teinud. Ta ei avalikusta taotletud isikuandmeid enne, kui seda temalt nõutakse kohaldatavate menetlusnormide kohaselt. Need nõuded ei piira 14. tingimuse punkti e kohaseid andmeimportija kohustusi.

b) Andmeimportija nõustub dokumenteerima oma õiguslikku hinnangut ning avalikustamistaotluse mis tahes vaidlustust ja tegema sellised dokumendid andmeeksportijale sihtriigi seadustega lubatavas ulatuses kättesaadavaks. Samuti teeb ta sellised dokumendid vastava taotluse korral kättesaadavaks pädevale järelevalveasutusele. [Kolmanda mooduli puhul: andmeeksportija teeb hinnangu vastutavale töötlejale kättesaadavaks.]

c) Andmeimportija nõustub avalikustamistaotlusele vastates andma lubatud minimaalsel hulgal teavet, tuginedes taotluse põhjendatud tõlgendusele.

IV JAGU. LÕPPSÄTTED

16. tingimus

Mittevastavus tingimustele ja lepingu lõpetamine

a) Andmeimportija teavitab andmeeksportijat viivitamata, kui ta ei saa mis tahes põhjusel neid tingimusi järgida.

b) Juhul kui andmeimportija rikub käesolevaid tingimusi või ei suuda neid järgida, peatab andmeeksportija isikuandmete edastamise andmeimportijale, kuni vastavus on jälle tagatud või leping lõpetatud. See ei piira 14. tingimuse punkti f kohaldamist.

c) Andmeeksportijal on õigus leping lõpetada, kuivõrd see puudutab käesolevate tingimuste kohast isikuandmete töötlemist, juhul kui: i) andmeeksportija on punkti b kohaselt peatanud isikuandmete edastamise andmeimportijale ning käesolevatele tingimustele vastavust ei ole taastatud mõistliku aja jooksul ning igal juhul ühe kuu jooksul pärast peatamist; ii) andmeimportija on käesolevaid tingimusi oluliselt või jätkuvalt rikkunud või iii) andmeimportija ei järgi pädeva kohtu või järelevalveasutuse siduvat otsust tema käesolevate tingimuste kohaste kohustuste kohta. Sellistel juhtudel teavitab ta pädevat järelevalveasutust [kolmanda mooduli puhul: ja vastutavat töötlejat] sellisest mittevastavusest. Kui lepinguga on hõlmatud üle kahe poole, võib andmeeksportija kasutada seda lõpetamisõigust üksnes seoses asjaomase poolega, välja arvatud juhul, kui pooled on kokku leppinud teisiti.

d) [Esimese, teise ja kolmanda mooduli puhul: isikuandmed, mis on vastavalt punktile c enne lepingu lõpetamist edastatud, kas tagastatakse andmeeksportija valikul viivitamata andmeeksportijale või kustutatakse täielikult. Sama kehtib andmete mis tahes koopiate kohta.] [Neljanda mooduli puhul: isikuandmed, mida andmeeksportija on ELis kogunud ja mis on edastatud enne punkti c kohast lepingu lõpetamist, kustutatakse viivitamata täielikult, sealhulgas ka nende andmete kõik koopiad.] Andmeimportija tõendab andmeeksportijale andmete kustutamist. Andmeimportija jätkab nendele tingimustele vastavuse tagamist seni, kuni andmed kustutatakse või tagastatakse. Kui andmeimportija suhtes kohaldatavate kohalike seadustega keelatakse edastatud isikuandmete tagastamine või kustutamine, garanteerib andmeimportija, et ta jätkab nendele tingimustele vastavuse tagamist ning töötleb andmeid üksnes selle kohaliku õigusega nõutavas ulatuses ja ajavahemikus.

e) Kumbki pool võib tühistada kokkuleppe, et käesolevad tingimused on talle siduvad, kui i) Euroopa Komisjon võtab määruse (EL) 2016/679 artikli 45 lõike 3 kohaselt vastu otsuse, mis hõlmab selliste isikuandmete edastamist, mille suhtes kohaldatakse käesolevaid tingimusi; või ii) määrus (EL) 2016/679 muutub osaks selle riigi õigusraamistikust, kuhu isikuandmeid edastatakse. See ei piira muid kohustusi, mida kõnealuse töötlemise suhtes vastavalt määrusele (EL) 2016/679 kohaldatakse.

17. tingimus

Kohaldatav õigus

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

[1. VARIANT: tingimuste suhtes kohaldatakse mõne ELi liikmesriigi õigust, tingimusel et selle õigusega nähakse ette soodustatud kolmandate isikute õigused. Pooled nõustuvad, et see on _______ (märkida liikmesriik) õigus.]

[2. VARIANT (teise ja kolmanda mooduli puhul): tingimuste suhtes kohaldatakse selle ELi liikmesriigi õigust, kus andmeeksportija asub. Kui selle õigusega ei nähta ette soodustatud kolmandate isikute õigusi, kohaldatakse nende suhtes mõne muu ELi liikmesriigi õigust, milles nähakse ette soodustatud kolmandate isikute õigused. Pooled nõustuvad, et see on _______ (märkida liikmesriik) õigus.]

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale

Käesolevate tingimuste suhtes kohaldatakse selle riigi õigust, kus nähakse ette soodustatud kolmandate isikute õigused. Pooled nõustuvad, et see on _______ (märkida riik) õigus

18. tingimus

Vaidluste lahendamise organi ja kohtualluvuse valimine

ESIMENE MOODUL: edastamine vastutavalt töötlejalt vastutavale töötlejale

TEINE MOODUL: edastamine vastutavalt töötlejalt volitatud töötlejale

KOLMAS MOODUL: edastamine volitatud töötlejalt volitatud töötlejale

a) Käesolevatest tingimustest tulenev mis tahes vaidlus lahendatakse ELi liikmesriigi kohtutes.

b) Pooled nõustuvad, et need on _____ (märkida liikmesriik) kohtud.

c) Andmesubjekt võib algatada ka kohtumenetluse andmeeksportija ja/või andmeimportija vastu selle liikmesriigi kohtutes, kus on andmesubjekti alaline elukoht.

d) Pooled nõustuvad nendele kohtutele alluma.

NELJAS MOODUL: edastamine volitatud töötlejalt vastutavale töötlejale

Käesolevatest tingimustest tulenev mis tahes vaidlus lahendatakse _____ (märkida riik) kohtutes.

(1) Kui andmeeksportija on volitatud töötleja, kelle suhtes kohaldatakse määrust (EL) 2016/679 ja kes tegutseb vastutava töötlejana liidu institutsiooni või organi nimel, võimaldab nende tingimuste kasutamine juhul, kui kaasatakse volitatud töötleja (alamtöötlemine), kelle suhtes ei kohaldata määrust (EL) 2016/679, tagada ka vastavuse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määruse (EL) 2018/1725 (mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT L 295, 21.11.2018, lk 39)) artikli 29 lõikele 4, kuivõrd need tingimused ja määruse (EL) 2018/1725 artikli 29 lõike 3 kohases lepingus või muus õigusaktis vastutava töötleja ja volitatud töötleja vahel sätestatud andmekaitsekohustused on kooskõlas. See kehtib eelkõige siis, kui vastutav töötleja ja volitatud töötleja tuginevad otsuses 2021/915 sätestatud lepingu tüüptingimustele.

(2) See nõuab andmete anonüümimist sellisel viisil, et isikut ei saaks kooskõlas määruse (EL) 2016/679 põhjendusega 26 enam mitte keegi tuvastada, ning et see protsess oleks pöördumatu.

(3) Euroopa Majanduspiirkonna lepingus (edaspidi „EMP leping“) on ette nähtud Euroopa Liidu siseturu laiendamine kolmele EMP liikmesriigile – Islandile, Liechtensteinile ja Norrale. Andmekaitset käsitlevad liidu õigusaktid, sealhulgas määrus (EL) 2016/679, on hõlmatud EMP lepinguga ja inkorporeeritud selle XI lisasse. Seetõttu ei kvalifitseeru andmeimportija poolne andmete avalikustamine EMPs asuvale kolmandale isikule käesolevate tingimuste tähenduses edasisaatmiseks.

(4) Euroopa Majanduspiirkonna lepingus (edaspidi „EMP leping“) on ette nähtud Euroopa Liidu siseturu laiendamine kolmele EMP liikmesriigile – Islandile, Liechtensteinile ja Norrale. Andmekaitset käsitlevad liidu õigusaktid, sealhulgas määrus (EL) 2016/679, on hõlmatud EMP lepinguga ja inkorporeeritud selle XI lisasse. Seetõttu ei kvalifitseeru andmeimportija poolne andmete avalikustamine EMPs asuvale kolmandale isikule käesolevate tingimuste tähenduses edasisaatmiseks.

(5) Vt määruse (EL) 2016/679 artikli 28 lõige 4 ning kui vastutav töötleja on ELi asutus või organ, siis määruse (EL) 2018/1725 artikli 29 lõige 4.

(6) Euroopa Majanduspiirkonna lepingus (edaspidi „EMP leping“) on ette nähtud Euroopa Liidu siseturu laiendamine kolmele EMP liikmesriigile – Islandile, Liechtensteinile ja Norrale. Andmekaitset käsitlevad liidu õigusaktid, sealhulgas määrus (EL) 2016/679, on hõlmatud EMP lepinguga ja inkorporeeritud selle XI lisasse. Seetõttu ei kvalifitseeru andmete andmeimportija poolne avalikustamine EMPs asuvale kolmandale isikule käesolevate tingimuste mõttes edasisaatmiseks.

(7) Siia kuulub olukord, kui edastamine ja täiendav töötlemine hõlmab isikuandmeid, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumise, või geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid inimese seksuaalelu ja seksuaalse sättumuse kohta või süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid.

(8) Selle nõude võib täita nii, et alamtöötleja ühineb nende tingimustega asjakohases moodulis vastavalt 7. tingimusele.

(9) Selle nõude võib täita nii, et alamtöötleja ühineb nende tingimustega asjakohases moodulis vastavalt 7. tingimusele.

(10) Seda ajavahemikku võib vajaduse korral pikendada kõige rohkem veel kahe kuu võrra, võttes arvesse taotluste keerukust ja hulka. Andmeimportija teavitab andmesubjekti sellisest pikendamisest nõuetekohaselt ja viivitamata.

(11) Andmeimportija võib pakkuda sõltumatut vaidluste lahendamist vahekohtu kaudu üksnes juhul, kui see asub riigis, mis on ratifitseerinud New Yorgi konventsiooni vahekohtu otsuste täitmise kohta.

(12) Mis puudutab nende seaduste ja tavade mõju käesolevate tingimuste järgimisele, siis üldhinnangu osana võib kaaluda erinevaid elemente. Need elemendid võivad hõlmata piisavalt representatiivse ajavahemiku kohta asjakohaseid ja dokumenteeritud praktilisi kogemusi avaliku sektori asutuste varasemate avalikustamistaotlustega või selliste taotluste puudumisega. See tähendab eeskätt ettevõttesiseseid registreid või muid dokumente, mis on koostatud järjepideval viisil nõuetekohase hoolsuse kohaselt ning kinnitatud tippjuhtkonna tasandil, eeldusel et seda teavet saab kolmandate isikutega seaduslikult jagada. Kui sellele praktilisele kogemusele tuginedes järeldatakse, et andmeimportijat ei takistata käesolevate tingimuste täitmisel, tuleb seda toetada muude asjakohaste objektiivsete elementidega ning pooled peavad hoolikalt kaaluma, kas need elemendid koos on usaldusväärsuse ja esindavuse poolest piisavalt kaalukad, et seda järeldust toetada. Eelkõige peavad pooled võtma arvesse, kas üldsusele kättesaadav või muul viisil juurdepääsetav usaldusväärne teave selliste taotluste olemasolu või puudumise kohta samas tegevusvaldkonnas ja/või seaduse praktiline kohaldamine, näiteks kohtupraktika või sõltumatute järelevalveorganite aruanded, näitavad sama, mis nende praktilised kogemused ega ei ole nendega vastuolus.