LIITE

VAKIOSOPIMUSLAUSEKKEET

I JAKSO

1 lauseke

Tarkoitus ja soveltamisala

a) Näillä vakiosopimuslausekkeilla on tarkoitus varmistaa, että siirrettäessä henkilötietoja kolmanteen maahan noudatetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (1) vaatimuksia.

b) Osapuolet i) yksi tai useampi liitteessä I.A mainittu luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin, jäljempänä ’yksikkö’, joka siirtää henkilötietoja, kukin jäljempänä ’tietojen viejä’, ja ii) yksi tai useampi liitteessä I.A mainittu kolmannessa maassa oleva yksikkö, joka vastaanottaa henkilötietoja tietojen viejältä suoraan tai välillisesti sellaisen toisen yksikön kautta, joka myös on näiden lausekkeiden osapuoli, kukin jäljempänä ’tietojen tuoja’, ovat hyväksyneet nämä vakiosopimuslausekkeet, jäljempänä ’lausekkeet’.

c) Näitä lausekkeita sovelletaan liitteessä I.B tarkoitettuun henkilötietojen siirtoon.

d) Näiden lausekkeiden lisäys, joka sisältää mainitut liitteet, on erottamaton osa näitä lausekkeita.

2 lauseke

Lausekkeiden vaikutus ja muuttumattomuus

a) Näissä lausekkeissa vahvistetaan asianmukaiset suojatoimet, mukaan lukien asetuksen (EU) 2016/679 46 artiklan 1 kohdassa ja 2 kohdan c alakohdassa tarkoitetut täytäntöönpanokelpoiset rekisteröityjen oikeudet ja tehokkaat oikeussuojakeinot, ja rekisterinpitäjiltä henkilötietojen käsittelijöille ja/tai henkilötietojen käsittelijöiltä henkilötietojen käsittelijöille tehtävien siirtojen osalta asetuksen (EU) 2016/679 28 artiklan 7 kohdassa tarkoitetut vakiosopimuslausekkeet edellyttäen, että niitä ei muuteta muutoin kuin valitsemalla asianmukainen moduuli tai moduulit tai lisäämällä tai päivittämällä lisäykseen tietoja. Tämä ei estä osapuolia sisällyttämästä näissä lausekkeissa vahvistettuja vakiosopimuslausekkeita laajempaan sopimukseen ja/tai lisäämästä muita lausekkeita tai suojatoimia edellyttäen, että ne eivät ole suoraan tai välillisesti ristiriidassa näiden lausekkeiden kanssa eivätkä rajoita rekisteröityjen perusoikeuksia tai -vapauksia.

b) Nämä lausekkeet eivät vaikuta velvoitteisiin, joita tietojen viejään sovelletaan asetuksen (EU) 2016/679 nojalla.

3 lauseke

Edunsaajina olevat kolmannet osapuolet

a) Rekisteröidyt voivat edunsaajina olevina kolmansina osapuolina vedota näihin lausekkeisiin ja panna ne täytäntöön tietojen viejää ja/tai tietojen tuojaa vastaan seuraavin poikkeuksin: i) 1 lauseke, 2 lauseke, 3 lauseke, 6 lauseke ja 7 lauseke; ii) 8 lauseke – Moduuli 1: 8.5 lausekkeen e alakohta ja 8.9 lausekkeen b alakohta; Moduuli 2: 8.1 lausekkeen b alakohta, 8.9 lausekkeen a, c, d ja e alakohta; Moduuli 3: 8.1 lausekkeen a, c ja d alakohta ja 8.9 lausekkeen a, c, d, e, f ja g alakohta; Moduuli 4: 8.1 lausekkeen b alakohta ja 8.3 lausekkeen b alakohta; iii) 9 lauseke – Moduuli 2: 9 lausekkeen a, c, d ja e alakohta; Moduuli 3: 9 lausekkeen a, c, d ja e alakohta; iv) 12 lauseke – Moduuli 1: 12 lausekkeen a ja d alakohta; Moduulit 2 ja 3: 12 lausekkeen a, d ja f alakohta; v) 13 lauseke; vi) 15.1 lausekkeen c, d ja e alakohta; vii) 16 lausekkeen e alakohta; viii) 18 lauseke – Moduulit 1, 2 ja 3: 18 lausekkeen a ja b alakohta; Moduuli 4: 18 lauseke.

b) Edellä oleva a alakohta ei vaikuta oikeuksiin, joita rekisteröidyillä on asetuksen (EU) 2016/679 nojalla.

4 lauseke

Tulkinta

a) Jos näissä lausekkeissa käytetään asetuksessa (EU) 2016/679 määriteltyjä termejä, näillä termeillä tarkoitetaan samaa kuin kyseisessä asetuksessa.

b) Lausekkeita on luettava ja tulkittava asetuksen (EU) 2016/679 säännökset huomioon ottaen.

c) Lausekkeita ei saa tulkita tavalla, joka on ristiriidassa asetuksessa (EU) 2016/679 säädettyjen oikeuksien ja velvollisuuksien kanssa.

5 lauseke

Hierarkia

Jos nämä lausekkeet ja osapuolten välisten asiaan liittyvien sopimusten määräykset ovat ristiriidassa silloin, kun näistä lausekkeista sovitaan tai sen jälkeen, nämä lausekkeet ovat ensisijaisia.

6 lauseke

Siirron tai siirtojen kuvaus

Siirron tai siirtojen yksityiskohdat ja erityisesti siirrettävät henkilötietoryhmät sekä tarkoitus tai tarkoitukset, joita varten ne siirretään, esitetään liitteessä I.B.

7 lauseke – Vapaaehtoinen

Liittymistä koskeva lauseke

a) Yksikkö, joka ei ole näiden lausekkeiden osapuoli, voi osapuolten suostumuksella liittyä näihin lausekkeisiin milloin tahansa joko tietojen viejänä tai tietojen tuojana täyttämällä lisäyksen ja allekirjoittamalla liitteen I.A.

b) Kun liittyvä yksikkö on täyttänyt lisäyksen ja allekirjoittanut liitteen I.A, siitä tulee näiden lausekkeiden osapuoli ja sillä on tietojen viejän tai tietojen tuojan oikeudet ja velvollisuudet sen mukaan kuin se on liitteessä I.A ilmoittanut.

c) Liittyvällä yksiköllä ei ole näistä lausekkeista johtuvia oikeuksia tai velvollisuuksia ajalta ennen osapuoleksi liittymistä.

JAKSO II – OSAPUOLTEN VELVOLLISUUDET

8 lauseke

Tietosuojaa koskevat suojatoimet

Tietojen viejä vakuuttaa, että se on toteuttanut kohtuullisia toimenpiteitä selvittääkseen, pystyykö tietojen tuoja asianmukaisia teknisiä ja organisatorisia toimenpiteitä toteuttamalla täyttämään näiden lausekkeiden mukaiset velvollisuutensa.

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

8.1 Käyttötarkoituksen rajaaminen

Tietojen tuoja saa käsitellä henkilötietoja ainoastaan liitteessä I.B esitettyä siirtotarkoitusta tai -tarkoituksia varten. Se voi käsitellä henkilötietoja muuta tarkoitusta varten ainoastaan

i) jos se on saanut rekisteröidyltä ennakkosuostumuksen;

ii) jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä; tai

iii) jos se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi.

8.2 Läpinäkyvyys

a) Jotta rekisteröidyt voivat tosiasiallisesti käyttää lausekkeesta 10 johtuvia oikeuksiaan, tietojen tuojan on ilmoitettava heille joko suoraan tai tietojen viejän välityksellä i) henkilöllisyytensä ja yhteystietonsa; ii) käsiteltävät henkilötietoryhmät; iii) oikeudesta saada jäljennös näistä lausekkeista; iv) aikoessaan siirtää henkilötiedot edelleen yhdelle tai useammalle kolmannelle osapuolelle vastaanottaja tai vastaanottajaryhmät (niin, että annettava tieto on merkityksellinen), tällaisen edelleen siirtämisen tarkoitus ja 8.7 lausekkeessa tarkoitettu siirtämisperuste.

b) Edellä olevaa a kohtaa ei sovelleta, jos rekisteröidyllä on jo kyseiset tiedot, myös siinä tapauksessa, että tietojen viejä on jo toimittanut tällaiset tiedot, tai jos kyseisten tietojen antaminen osoittautuu mahdottomaksi tai vaatisi tietojen tuojalta kohtuutonta vaivannäköä. Jälkimmäisessä tapauksessa tietojen tuojan on mahdollisuuksien mukaan asetettava tiedot julkisesti saataville.

c) Osapuolet antavat maksutta rekisteröidyn saataville tämän pyynnöstä jäljennöksen näistä lausekkeista ja täyttämästään lisäyksestä. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, osapuolet voivat poistaa osan lisäyksen tekstistä ennen jäljennöksen antamista. Niiden on kuitenkin toimitettava tarkoituksenmukainen yhteenveto tekstistä, jos rekisteröity ei muutoin pystyisi ymmärtämään sen sisältöä tai käyttämään oikeuksiaan. Osapuolten on pyynnöstä ilmoitettava rekisteröidylle tekstin poistamisen syyt siinä määrin kuin se on mahdollista paljastamatta poistettavia tietoja.

d) Edellä olevat a–c kohta eivät rajoita tietojen viejälle asetuksen (EU) 2016/679 13 ja 14 artiklan nojalla kuuluvia velvoitteita.

8.3 Tietojen paikkansapitävyys ja minimointi

a) Kummankin osapuolen on varmistettava, että henkilötiedot ovat paikkansapitäviä ja että ne saatetaan tarvittaessa ajan tasalle. Tietojen tuojan on toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä.

b) Jos osapuoli havaitsee, että sen siirtämät tai vastaanottamat henkilötiedot ovat virheellisiä tai vanhentuneita, sen on ilmoitettava asiasta toiselle osapuolelle ilman aiheetonta viivytystä.

c) Tietojen tuojan on varmistettava, että henkilötiedot ovat asianmukaisia ja olennaisia ja että ne rajoittuvat siihen, mikä on tarpeen käsittelyn tarkoituksen kannalta.

8.4 Säilytyksen rajoittaminen

Tietojen tuoja saa säilyttää henkilötietoja ainoastaan niin kauan kuin sen on tietojen käsittelyn tarkoituksia varten tarpeen. Sen on otettava käyttöön asianmukaiset tekniset tai organisatoriset toimenpiteet, joilla varmistetaan tämän velvoitteen noudattaminen, mukaan lukien tietojen ja kaikkien varmuuskopioiden poistaminen tai anonymisointi (2) säilytysajan päättyessä.

8.5 Käsittelyn turvallisuus

a) Tietojen tuojan ja siirron aikana myös tietojen viejän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa niiden on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidylle käsittelystä aiheutuvat riskit. Osapuolten on harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin.

b) Osapuolet ovat sopineet liitteessä II esitetyistä teknisistä ja organisatorisista toimenpiteistä. Tietojen tuojan on tehtävä säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet tarjoavat edelleen asianmukaisen turvallisuustason.

c) Tietojen tuojan on varmistettava, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

d) Jos henkilötietojen tietoturvaloukkaus koskee tietojen tuojan näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen tuojan on toteutettava asianmukaisia toimenpiteitä henkilötietojen tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet sen mahdollisten haittavaikutusten lieventämiseksi.

e) Jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille, tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava asiasta sekä tietojen viejälle että lausekkeessa 13 tarkoitetulle toimivaltaiselle valvontaviranomaiselle. Ilmoituksessa on oltava i) kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan myös asianomaiset rekisteröityjen ryhmät ja arvioitu rekisteröityjen ja henkilötietotietueiden lukumäärä), ii) tietoturvaloukkauksen todennäköiset seuraukset, iii) tietoturvaloukkauksen johdosta toteutetut tai ehdotetut toimenpiteet ja iv) tiedot yhteyspisteestä, josta voi saada lisätietoa. Jos tietojen tuoja ei pysty toimittamaan kaikkia tietoja samanaikaisesti, se voi toimittaa ne vaiheittain ilman aiheetonta viivytystä.

f) Jos kyseessä on henkilötietojen tietoturvaloukkaus, joka todennäköisesti aiheuttaa luonnollisten henkilöiden oikeuksien ja vapauksien kannalta korkean riskin, tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava henkilötietojen tietoturvaloukkauksesta ja sen luonteesta myös asianomaisille rekisteröidyille, tarvittaessa yhteistyössä tietojen viejän kanssa, ja ilmoitettava samalla e kohdan ii–iv alakohdassa tarkoitetut tiedot, paitsi jos tietojen tuoja on toteuttanut toimenpiteitä, joilla luonnollisten henkilöiden oikeuksiin tai vapauksiin kohdistuvaa riskiä pienennetään merkittävästi, tai jos ilmoittaminen vaatisi kohtuutonta vaivannäköä. Jälkimmäisessä tapauksessa tietojen tuojan on sen sijaan annettava julkinen tiedote tai toteutettava vastaava toimenpide, jolla henkilötietojen tietoturvaloukkauksesta tiedotetaan yleisölle.

g) Tietojen tuojan on dokumentoitava kaikki henkilötietojen tietoturvaloukkaukseen liittyvät merkitykselliset tosiseikat, mukaan lukien sen vaikutukset ja toteutetut korjaavat toimet, ja pidettävä niistä kirjaa.

8.6 Arkaluonteiset tiedot

Jos siirtoon sisältyy henkilötietoja, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, geneettistä tietoa, biometristä tietoa henkilön yksiselitteistä tunnistamista varten, terveyttä koskevia tietoja, luonnollisen henkilön seksuaalista käyttäytymistä tai suuntautumista koskevia tietoja taikka rikostuomioihin tai rikoksiin liittyviä tietoja, jäljempänä ’arkaluonteiset tiedot’, tietojen tuojan on sovellettava erityisiä rajoituksia ja/tai ylimääräisiä suojatoimia, jotka on mukautettu tietojen erityisluonteeseen ja riskeihin. Tähän voi sisältyä henkilötietoihin pääsevän henkilöstön rajoittaminen, ylimääräisiä turvallisuustoimia (kuten pseudonymisointi) ja/tai lisärajoituksia, jotka koskevat tietojen luovuttamista edelleen.

8.7 Tietojen siirtäminen edelleen

Tietojen tuoja ei saa luovuttaa henkilötietoja (tietojen tuojan kanssa samassa maassa tai muussa kolmannessa maassa) Euroopan unionin ulkopuolella (3) olevalle kolmannelle osapuolelle, jäljempänä ’edelleen siirtäminen’, paitsi jos nämä lausekkeet sitovat kyseistä kolmatta osapuolta tai se lupaa sitoutua niihin asianmukaisen moduulin mukaisesti. Muussa tapauksessa tietojen tuoja voi siirtää tietoja edelleen ainoastaan, jos

i) ne siirretään maahan, jonka hyväksi on tehty asetuksen (EU) 2016/679 45 artiklan nojalla tehty tietosuojan riittävyyttä koskeva päätös, joka kattaa edelleen siirtämisen;

ii) kolmas osapuoli muutoin varmistaa asetuksen (EU) 2016/679 46 tai 47 artiklassa tarkoitetut asianmukaiset suojatoimet kyseisen käsittelyn osalta;

iii) kolmas osapuoli sopii tietojen tuojan kanssa sitovasta välineestä, jolla varmistetaan sama tietosuojan taso kuin näissä lausekkeissa, ja tietojen tuoja toimittaa tietojen viejälle jäljennöksen näistä suojatoimista;

iv) se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä;

v) se on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; tai

vi) siinä tapauksessa, että mitään muuta edellytystä ei sovelleta, tietojen tuoja on saanut rekisteröidyn nimenomaisen suostumuksen tietojen edelleen siirtämiseen tietyssä tilanteessa ilmoitettuaan hänelle siirtämisen tarkoitukset, vastaanottajan henkilöllisyyden ja mahdolliset riskit, joita rekisteröidylle aiheutuu tällaisesta tietojen siirtämisestä asianmukaisten tietosuojaa koskevien suojatoimien puuttumisen vuoksi. Tässä tapauksessa tietojen tuojan on ilmoitettava asiasta tietojen viejälle ja tämän pyynnöstä toimitettava sille jäljennös rekisteröidylle annetuista tiedoista.

Tietojen edelleen siirtäminen edellyttää, että tietojen tuoja noudattaa myös kaikkia muita näiden lausekkeiden mukaisia suojatoimia ja erityisesti käyttötarkoituksen rajaamista.

8.8 Tietojenkäsittely tietojen tuojan alaisuudessa

Tietojen tuojan on varmistettava, että sen alaisuudessa toimivat henkilöt, kuten henkilötietojen käsittelijä, käsittelevät tietoa ainoastaan sen ohjeiden mukaisesti.

8.9 Dokumentointi ja noudattaminen

a) Kunkin osapuolen on pystyttävä osoittamaan, että se on noudattanut näiden lausekkeiden mukaisia velvoitteitaan. Tietojen tuojan on muun muassa säilytettävä asianmukainen dokumentaatio vastuullaan suoritetuista käsittelytoimista.

b) Tietojen tuojan on pyynnöstä asetettava tällainen dokumentaatio toimivaltaisen valvontaviranomaisen saataville.

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

8.1 Ohjeet

a) Tietojen tuoja saa käsitellä henkilötietoja ainoastaan tietojen viejän antamien dokumentoitujen ohjeiden mukaisesti. Tietojen viejä voi antaa tällaisia ohjeita koko sopimuksen voimassaolon ajan.

b) Tietojen tuojan on välittömästi ilmoitettava tietojen viejälle, jos se ei pysty noudattamaan näitä ohjeita.

8.2 Käyttötarkoituksen rajaaminen

Tietojen tuoja saa käsitellä henkilötietoja ainoastaan liitteessä I.B esitettyä siirtotarkoitusta tai -tarkoituksia varten, ellei tietojen viejä ole antanut lisäohjeita.

8.3 Läpinäkyvyys

Tietojen viejän on annettava maksutta rekisteröidyn saataville tämän pyynnöstä jäljennös näistä lausekkeista ja osapuolten täyttämästä lisäyksestä. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten liitteessä II kuvattujen toimenpiteiden ja henkilötietojen, suojaamiseksi, tietojen viejä voi poistaa osan näiden lausekkeiden lisäyksen tekstistä ennen jäljennöksen antamista. Sen on kuitenkin toimitettava tarkoituksenmukainen yhteenveto tekstistä, jos rekisteröity ei muutoin pystyisi ymmärtämään sen sisältöä tai käyttämään oikeuksiaan. Osapuolten on pyynnöstä ilmoitettava rekisteröidylle tekstin poistamisen syyt siinä määrin kuin se on mahdollista paljastamatta poistettavia tietoja. Tämä lauseke ei rajoita tietojen viejälle asetuksen (EU) 2016/679 13 ja 14 artiklan nojalla kuuluvia velvoitteita.

8.4 Paikkansapitävyys

Jos tietojen tuoja havaitsee, että sen vastaanottamat henkilötiedot ovat virheellisiä tai vanhentuneita, sen on ilmoitettava asiasta tietojen viejälle ilman aiheetonta viivytystä. Tällöin tietojen tuojan on toimittava yhteistyössä tietojen viejän kanssa tietojen poistamiseksi tai oikaisemiseksi.

8.5 Tietojen käsittelyn kesto ja tietojen poistaminen tai palauttaminen

Tietojen tuoja saa käsitellä tietoja ainoastaan liitteessä I.B määritetyn ajan. Kun henkilötietojen käsittelypalvelujen tarjoaminen on päättynyt, tietojen tuojan on tietojen viejän valinnan mukaan poistettava kaikki tietojen viejän puolesta käsitellyt henkilötiedot ja todistettava tietojen viejälle, että se on tehnyt niin, tai palautettava tietojen viejälle kaikki sen puolesta käsitellyt henkilötiedot ja poistettava olemassa olevat kopiot. Tietojen tuojan on varmistettava, että näitä lausekkeita noudatetaan, kunnes tiedot poistetaan tai palautetaan. Jos tietojen tuojaan sovelletaan paikallista lainsäädäntöä, jossa kielletään henkilötietojen palauttaminen tai poistaminen, tietojen tuoja vakuuttaa varmistavansa edelleen näiden lausekkeiden noudattamisen ja käsittelevänsä niitä vain siinä määrin ja niin kauan kuin kyseisessä paikallisessa lainsäädännössä edellytetään. Tämä ei vaikuta lausekkeeseen 14 eikä etenkään siihen, että tietojen tuojan on lausekkeen 14 e kohdan mukaan ilmoitettava tietojen viejälle koko sopimuksen voimassaolon ajan, jos sillä on syytä uskoa, että siihen sovelletaan tai on alettu soveltaa lakeja tai käytäntöjä, jotka eivät ole 14 lausekkeen a kohdan vaatimusten mukaisia.

8.6 Käsittelyn turvallisuus

a) Tietojen tuojan ja siirron aikana myös tietojen viejän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy kyseisiin tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa osapuolten on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidyille käsittelystä aiheutuvat riskit. Osapuolten on harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin. Jos kyseessä on pseudonymisointi, lisätiedot, joiden perusteella henkilötiedot voidaan yhdistää tiettyyn rekisteröityyn, on mahdollisuuksien mukaan pidettävä tietojen viejän yksinomaisessa valvonnassa. Täyttäessään tämän kohdan mukaisia velvoitteitaan tietojen tuojan on toteutettava ainakin liitteessä II mainitut tekniset ja organisatoriset toimenpiteet. Tietojen tuojan on tehtävä säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet tarjoavat edelleen asianmukaisen turvallisuustason.

b) Tietojen tuoja saa antaa henkilöstönsä jäsenille pääsyn henkilötietoihin vain siinä laajuudessa kuin se on ehdottoman välttämätöntä sopimuksen täytäntöönpanoa, hallinnointia ja seurantaa varten. Sen on varmistettava, että henkilötietojen käsittelyluvan saaneet henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus.

c) Jos henkilötietojen tietoturvaloukkaus koskee tietojen tuojan näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen tuojan on toteutettava asianmukaisia toimenpiteitä tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet sen haittavaikutusten lieventämiseksi. Saatuaan tietoturvaloukkauksesta tiedon tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava siitä myös tietojen viejälle. Ilmoituksessa on oltava tiedot yhteyspisteestä, josta voi saada lisätietoja, kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan myös asianomaiset rekisteröityjen ryhmät ja arvioitu rekisteröityjen ja henkilötietotietueiden lukumäärä), tietoturvaloukkauksen todennäköisistä seurauksista ja sen johdosta toteutetuista tai ehdotetuista toimenpiteistä, ja tarvittaessa myös toimenpiteistä sen mahdollisten haittavaikutusten lieventämiseksi. Jos kaikkia tietoja ei ole mahdollista toimittaa samanaikaisesti, alkuperäisessä ilmoituksessa on oltava sillä hetkellä saatavilla olevat tiedot, ja lisätiedot on toimitettava myöhemmin ilman aiheetonta viivytystä, kun ne tulevat saataville.

d) Tietojen tuojan on tehtävä yhteistyötä tietojen viejän kanssa ja autettava sitä, jotta tietojen viejä voi täyttää asetuksen (EU) 2016/679 mukaiset velvoitteensa ja erityisesti ilmoittaa asiasta toimivaltaiselle valvontaviranomaiselle ja asianomaisille rekisteröidyille ottaen huomioon käsittelyn luonteen ja tietojen tuojan saatavilla olevat tiedot.

8.7 Arkaluonteiset tiedot

Jos siirtoon sisältyy henkilötietoja, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, geneettistä tietoa tai tietoa henkilön yksiselitteistä tunnistamista varten käytettävää biometristä tietoa, terveyttä koskevia tietoja, luonnollisen henkilön seksuaalista käyttäytymistä tai suuntautumista koskevia tietoja taikka rikostuomioihin ja rikoksiin liittyviä tietoja, jäljempänä ’arkaluonteiset tiedot’, tietojen tuojan on sovellettava liitteessä I.B kuvattuja erityisiä rajoituksia ja/tai ylimääräisiä suojatoimia.

8.8 Tietojen siirtäminen edelleen

Tietojen tuoja saa luovuttaa henkilötietoja kolmannelle osapuolelle ainoastaan tietojen viejän antamia dokumentoituja ohjeita noudattaen. Tietoja saa luovuttaa (tietojen tuojan kanssa samassa maassa tai muussa kolmannessa maassa) Euroopan unionin ulkopuolella (4) olevalle kolmannelle osapuolelle, jäljempänä ’edelleen siirtäminen’, ainoastaan jos nämä lausekkeet sitovat kyseistä kolmatta osapuolta tai se lupaa sitoutua niihin asianmukaisen moduulin mukaisesti.

i) tietoja siirretään edelleen maahan, jonka hyväksi on tehty asetuksen (EU) 2016/679 45 artiklan nojalla tietosuojan riittävyyttä koskeva päätös, joka kattaa edelleen siirtämisen;

ii) kolmas osapuoli muutoin varmistaa asetuksen (EU) 2016/679 46 tai 47 artiklassa tarkoitetut asianmukaiset suojatoimet kyseisen käsittelyn osalta;

iii) edelleen siirtäminen on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä; tai

iv) edelleen siirtäminen on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi.

Tietojen edelleen siirtäminen edellyttää, että tietojen tuoja noudattaa myös kaikkia muita näiden lausekkeiden mukaisia suojatoimia ja erityisesti käyttötarkoituksen rajaamista.

8.9 Dokumentointi ja noudattaminen

a) Tietojen tuojan on käsiteltävä nopeasti ja asianmukaisesti tietojen viejän tiedustelut, jotka liittyvät näiden lausekkeiden mukaiseen henkilötietojen käsittelyyn.

b) Osapuolten on pystyttävä osoittamaan, että näitä lausekkeita on noudatettu. Tietojen tuojan on muun muassa säilytettävä asianmukainen dokumentaatio tietojen viejän puolesta suoritetuista käsittelytoimista.

c) Tietojen tuojan on asetettava tietojen viejän saataville kaikki tarvittavat tiedot, joilla voidaan osoittaa, että näissä lausekkeissa asetettuja velvoitteita on noudatettu, ja sallittava tietojen viejän pyynnöstä kohtuullisin väliajoin tai tilanteessa, jossa on viitteitä siitä, että vaatimuksia ei ole noudatettu, näiden lausekkeiden piiriin kuuluvien käsittelytoimien auditointeja ja osallistuttava niihin. Päättäessään tarkastelusta tai auditoinnista tietojen viejä voi ottaa huomioon tietojen tuojalle myönnetyt asiaankuuluvat sertifioinnit.

d) Tietojen viejä voi päättää suorittaa auditoinnin itse tai valtuuttaa riippumattoman auditoijan. Auditoinnit voivat sisältää tietojen tuojan tiloihin tai fyysisiin rakenteisiin kohdistuvia tarkastuksia, jotka on tehtävä kohtuullisen ajan kuluessa.

e) Osapuolten on annettava b ja c kohdassa tarkoitetut tiedot, mukaan lukien mahdollisten auditointien tulokset, toimivaltaisen valvontaviranomaisen saataville tämän pyynnöstä.

MODUULI 3: Siirto käsittelijältä käsittelijälle

8.1 Ohjeet

a) Tietojen viejä on ilmoittanut tietojen tuojalle toimivansa henkilötietojen käsittelijänä noudattaen rekisterinpitäjänsä tai rekisterinpitäjiensä ohjeita, jotka tietojen viejän on asetettava tietojen tuojan saataville ennen tietojen käsittelyä.

b) Tietojen tuoja saa käsitellä henkilötietoja ainoastaan noudattaen rekisterinpitäjän antamia dokumentoituja ohjeita, jotka tietojen viejä on toimittanut tietojen tuojalle, ja mahdollisia tietojen viejän antamia dokumentoituja lisäohjeita. Tällaiset lisäohjeet eivät saa olla ristiriidassa rekisterinpitäjän antamien ohjeiden kanssa. Rekisterinpitäjä tai tietojen viejä voi antaa dokumentoituja lisäohjeita tietojen käsittelystä koko sopimuksen voimassaolon ajan.

c) Tietojen tuojan on välittömästi ilmoitettava tietojen viejälle, jos se ei pysty noudattamaan näitä ohjeita. Jos tietojen tuoja ei pysty noudattamaan rekisterinpitäjän antamia ohjeita, tietojen viejän on ilmoitettava siitä välittömästi rekisterinpitäjälle.

d) Tietojen viejä vakuuttaa, että se on asettanut tietojen tuojalle samat tietosuojavelvoitteet kuin rekisterinpitäjän ja tietojen viejän välisessä sopimuksessa tai unionin oikeuden tai jäsenvaltion lainsäädännön mukaisessa muussa oikeudellisessa asiakirjassa (5).

8.2 Käyttötarkoituksen rajaaminen

Tietojen tuoja saa käsitellä henkilötietoja ainoastaan liitteessä I.B esitettyä siirtotarkoitusta tai -tarkoituksia varten, paitsi jos se on saanut rekisterinpitäjältä lisäohjeita, jotka tietojen viejä on toimittanut tietojen tuojalle, tai jos tietojen viejä on antanut lisäohjeita.

8.3 Läpinäkyvyys

Tietojen viejän on annettava rekisteröidyn pyynnöstä tämän saataville maksutta jäljennös näistä lausekkeista ja osapuolten täyttämästä lisäyksestä. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, tietojen viejä voi poistaa osan lisäyksen tekstistä ennen jäljennöksen antamista. Sen on kuitenkin toimitettava tarkoituksenmukainen yhteenveto tekstistä, jos rekisteröity ei muutoin pystyisi ymmärtämään sen sisältöä tai käyttämään oikeuksiaan. Osapuolten on pyynnöstä ilmoitettava rekisteröidylle tekstin poistamisen syyt siinä määrin kuin se on mahdollista paljastamatta poistettavia tietoja.

8.4 Paikkansapitävyys

Jos tietojen tuoja havaitsee, että sen vastaanottamat henkilötiedot ovat virheellisiä tai vanhentuneita, sen on ilmoitettava asiasta tietojen viejälle ilman aiheetonta viivytystä. Tällöin tietojen tuojan on toimittava yhteistyössä tietojen viejän kanssa tietojen oikaisemiseksi tai poistamiseksi.

8.5 Tietojen käsittelyn kesto ja tietojen poistaminen tai palauttaminen

Tietojen tuoja saa käsitellä tietoja ainoastaan liitteessä I.B määritetyn ajan. Kun henkilötietojen käsittelypalvelujen tarjoaminen on päättynyt, tietojen tuojan on tietojen viejän valinnan mukaan poistettava kaikki rekisterinpitäjän puolesta käsitellyt henkilötiedot ja todistettava tietojen viejälle, että se on tehnyt niin, tai palautettava tietojen viejälle kaikki sen puolesta käsitellyt henkilötiedot ja poistettava olemassa olevat kopiot. Tietojen tuojan on varmistettava, että näitä lausekkeita noudatetaan, kunnes tiedot poistetaan tai palautetaan. Jos tietojen tuojaan sovelletaan paikallista lainsäädäntöä, jossa kielletään henkilötietojen palauttaminen tai poistaminen, tietojen tuoja vakuuttaa varmistavansa edelleen näiden lausekkeiden noudattamisen ja käsittelevänsä niitä vain siinä määrin ja niin kauan kuin kyseisessä paikallisessa lainsäädännössä edellytetään. Tämä ei vaikuta lausekkeeseen 14 eikä etenkään siihen, että tietojen tuojan on lausekkeen 14 e kohdan mukaan ilmoitettava tietojen viejälle koko sopimuksen voimassaolon ajan, jos sillä on syytä uskoa, että siihen sovelletaan tai on alettu soveltaa lakeja tai käytäntöjä, jotka eivät ole 14 lausekkeen a kohdan vaatimusten mukaisia.

8.6 Käsittelyn turvallisuus

a) Tietojen tuojan ja siirron aikana myös tietojen viejän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, mukaan lukien suojaaminen tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy kyseisiin tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa niiden on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidylle käsittelystä aiheutuvat riskit. Osapuolten on harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin. Jos kyseessä on pseudonymisointi, lisätiedot, joiden perusteella henkilötiedot voidaan yhdistää tiettyyn rekisteröityyn, on mahdollisuuksien mukaan pidettävä tietojen viejän tai rekisterinpitäjän yksinomaisessa valvonnassa. Täyttäessään tämän kohdan mukaisia velvoitteitaan tietojen tuojan on toteutettava ainakin liitteessä II mainitut tekniset ja organisatoriset toimenpiteet. Tietojen tuojan on tehtävä säännöllisiä tarkastuksia varmistaakseen, että nämä toimenpiteet tarjoavat edelleen asianmukaisen turvallisuustason.

b) Tietojen tuoja saa antaa henkilöstönsä jäsenille pääsyn tietoihin vain siinä laajuudessa kuin se on ehdottoman välttämätöntä sopimuksen täytäntöönpanoa, hallinnointia ja seurantaa varten. Sen on varmistettava, että henkilötietojen käsittelyluvan saaneet henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus.

c) Jos henkilötietojen tietoturvaloukkaus koskee tietojen tuojan näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen tuojan on toteutettava asianmukaisia toimenpiteitä tietoturvaloukkauksen johdosta, mukaan lukien toimenpiteet sen haittavaikutusten lieventämiseksi. Saatuaan tietoturvaloukkauksesta tiedon tietojen tuojan on ilman aiheetonta viivytystä ilmoitettava siitä myös tietojen viejälle ja, jos se on tarkoituksenmukaista ja mahdollista, rekisterinpitäjälle. Ilmoituksessa on oltava tiedot yhteyspisteestä, josta voi saada lisätietoja, kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan myös asianomaiset rekisteröityjen ryhmät ja arvioitu rekisteröityjen ja henkilötietotietueiden lukumäärä), tietoturvaloukkauksen todennäköisistä seurauksista ja sen johdosta toteutetuista tai ehdotetuista toimenpiteistä sekä toimenpiteistä sen mahdollisten haittavaikutusten lieventämiseksi. Jos kaikkia tietoja ei ole mahdollista toimittaa samanaikaisesti, alkuperäisessä ilmoituksessa on oltava sillä hetkellä saatavilla olevat tiedot, ja lisätiedot on toimitettava myöhemmin ilman aiheetonta viivytystä, kun ne tulevat saataville.

d) Tietojen tuojan on tehtävä yhteistyötä tietojen viejän kanssa ja autettava sitä, jotta tietojen viejä voi täyttää asetuksen (EU) 2016/679 mukaiset velvoitteensa ja erityisesti ilmoittaa asiasta rekisterinpitäjälleen, jotta tämä voi puolestaan ilmoittaa asiasta toimivaltaiselle valvontaviranomaiselle ja asianomaisille rekisteröidyille ottaen huomioon käsittelyn luonteen ja tietojen tuojan saatavilla olevat tiedot.

8.7 Arkaluonteiset tiedot

Jos siirtoon sisältyy henkilötietoja, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, geneettistä tietoa tai henkilön yksiselitteistä tunnistamista varten käytettävää biometristä tietoa, terveyttä koskevia tietoja, luonnollisen henkilön seksuaalista käyttäytymistä tai suuntautumista koskevia tietoja taikka rikostuomioihin ja rikoksiin liittyviä tietoja, jäljempänä ’arkaluonteiset tiedot’, tietojen tuojan on sovellettava liitteessä I.B kuvattuja erityisiä rajoituksia ja/tai ylimääräisiä suojatoimia.

8.8 Tietojen siirtäminen edelleen

Tietojen tuoja saa luovuttaa henkilötietoja kolmannelle osapuolelle ainoastaan noudattaen rekisterinpitäjän dokumentoituja ohjeita, jotka tietojen viejä on toimittanut tietojen tuojalle. Tietoja saa luovuttaa (tietojen tuojan kanssa samassa maassa tai muussa kolmannessa maassa) Euroopan unionin ulkopuolella (6) olevalle kolmannelle osapuolelle, jäljempänä ’edelleen siirtäminen’, ainoastaan jos nämä lausekkeet sitovat kyseistä kolmatta osapuolta tai se lupaa sitoutua niihin asianmukaisen moduulin mukaisesti.

i) tietoja siirretään edelleen maahan, jonka hyväksi on tehty asetuksen (EU) 2016/679 45 artiklan nojalla tietosuojan riittävyyttä koskeva päätös, joka kattaa edelleen siirtämisen;

ii) kolmas osapuoli muutoin varmistaa asetuksen (EU) 2016/679 46 tai 47 artiklassa tarkoitetut asianmukaiset suojatoimet;

iii) edelleen siirtäminen on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi hallinto-, sääntely- tai oikeudenkäyntimenettelyn yhteydessä; tai

iv) edelleen siirtäminen on tarpeen rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi.

Tietojen edelleen siirtäminen edellyttää, että tietojen tuoja noudattaa myös kaikkia muita näiden lausekkeiden mukaisia suojatoimia ja erityisesti käyttötarkoituksen rajaamista.

8.9 Dokumentointi ja noudattaminen

a) Tietojen tuojan on käsiteltävä nopeasti ja asianmukaisesti tietojen viejän tai rekisterinpitäjän tiedustelut, jotka liittyvät näiden lausekkeiden mukaiseen henkilötietojen käsittelyyn.

b) Osapuolten on pystyttävä osoittamaan, että näitä lausekkeita on noudatettu. Tietojen tuojan on muun muassa säilytettävä asianmukainen dokumentaatio rekisterinpitäjän puolesta suoritetuista käsittelytoimista.

c) Tietojen tuojan on asetettava tietojen viejän saataville kaikki tarvittavat tiedot, joilla voidaan osoittaa, että näissä lausekkeissa asetettuja velvoitteita on noudatettu. Tietojen viejän on toimitettava ne rekisterinpitäjälle.

d) Tietojen tuojan on annettava tietojen viejän auditoida näiden lausekkeiden piiriin kuuluvat käsittelytoimet kohtuullisin väliajoin tai tilanteessa, jossa on viitteitä siitä, että vaatimuksia ei ole noudatettu, ja osallistuttava auditointeihin. Sama pätee silloin, kun tietojen viejä pyytää auditointia rekisterinpitäjän ohjeistamana. Päättäessään auditoinnista tietojen viejä voi ottaa huomioon tietojen tuojalle myönnetyt asiaankuuluvat sertifioinnit.

e) Jos auditointi tehdään rekisterinpitäjän ohjeistamana, tietojen viejän on asetettava tulokset rekisterinpitäjän saataville.

f) Tietojen viejä voi päättää suorittaa auditoinnin itse tai valtuuttaa riippumattoman auditoijan. Auditoinnit voivat sisältää tietojen tuojan tiloihin tai fyysisiin rakenteisiin kohdistuvia tarkastuksia, jotka on tehtävä kohtuullisen ajan kuluessa.

g) Osapuolten on annettava b ja c kohdassa tarkoitetut tiedot, mukaan lukien mahdollisten auditointien tulokset, toimivaltaisen valvontaviranomaisen saataville tämän pyynnöstä.

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle.

8.1 Ohjeet

a) Tietojen viejä saa käsitellä henkilötietoja ainoastaan rekisterinpitäjänä toimivan tietojen tuojan antamien dokumentoitujen ohjeiden mukaisesti.

b) Tietojen viejän on välittömästi ilmoitettava tietojen tuojalle, jos se ei pysty noudattamaan kyseisiä ohjeita, myös siinä tapauksessa, että ohjeet rikkovat asetusta (EU) 2016/679 tai muuta unionin tai jäsenvaltion tietosuojalainsäädäntöä.

c) Tietojen tuojan on pidättäydyttävä kaikista toimista, jotka estäisivät tietojen viejää täyttämästä asetuksen (EU) 2016/679 mukaisia velvoitteitaan, myös siinä tapauksessa, että henkilötietoja käsitellään alihankintana, tai toimivaltaisten valvontaviranomaisten kanssa tehtävän yhteistyön osalta.

d) Kun käsittelypalvelujen tarjoaminen on päättynyt, tietojen viejän on tietojen tuojan valinnan mukaan poistettava kaikki tietojen tuojan puolesta käsitellyt henkilötiedot ja todistettava tietojen tuojalle, että se on tehnyt niin, tai palautettava tietojen tuojalle kaikki sen puolesta käsitellyt henkilötiedot ja poistettava olemassa olevat kopiot.

8.2 Käsittelyn turvallisuus

a) Osapuolten on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen turvallisuuden varmistamiseksi, myös siirron aikana, ja niiden suojaamiseksi tietoturvaloukkaukselta, jonka seurauksena on vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin, jäljempänä ’henkilötietojen tietoturvaloukkaus’. Arvioidessaan asianmukaista turvallisuustasoa niiden on otettava asianmukaisesti huomioon uusin teknologia, toteuttamiskustannukset, henkilötietojen luonne (7), käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä rekisteröidyille käsittelystä aiheutuvat riskit ja harkittava erityisesti turvautumista salaamiseen tai pseudonymisointiin, myös siirron aikana, jos käsittelyn tarkoitus voidaan täyttää tällä tavoin.

b) Tietojen viejän on avustettava tietojen tuojaa a kohdassa tarkoitetussa tietojen asianmukaisen turvallisuuden varmistamisessa. Jos tapahtuu henkilötietojen tietoturvaloukkaus, joka koskee tietojen viejän näiden lausekkeiden nojalla käsittelemiä henkilötietoja, tietojen viejän on ilmoitettava asiasta tietojen tuojalle ilman aiheetonta viivytystä saatuaan siitä tiedon ja avustettava tietojen tuojaa toteuttamaan toimenpiteitä tietoturvaloukkauksen johdosta.

c) Tietojen viejän on varmistettava, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

8.3 Dokumentointi ja noudattaminen

a) Osapuolten on pystyttävä osoittamaan, että näitä lausekkeita on noudatettu.

b) Tietojen viejän on asetettava tietojen tuojan saataville kaikki tarvittavat tiedot, joilla voidaan osoittaa, että se on noudattanut näissä lausekkeissa asetettuja velvoitteitaan, sekä sallittava auditoinnit ja osallistuttava niihin.

9 lauseke

Henkilötietojen käsittely alihankintana

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

a) VAIHTOEHTO 1: ERITYINEN ENNAKKOLUPA Tietojen tuoja ei saa antaa tietojen viejän puolesta näiden lausekkeiden mukaisesti suorittamiaan henkilötietojen käsittelytoimia alihankkijalle ilman tietojen viejän etukäteen antamaa erityistä kirjallista lupaa. Tietojen tuojan on pyydettävä lupaa vähintään [mainitaan aika] ennen alihankkijan palvelusten käyttämistä ja toimitettava siinä yhteydessä tiedot, jotka tietojen viejä tarvitsee voidakseen päättää luvasta. Luettelo tietojen tuojan jo valtuuttamista henkilötietojen alikäsittelijöistä on liitteessä III. Osapuolten on pidettävä liite III ajan tasalla. VAIHTOEHTO 2: YLEINEN KIRJALLINEN ENNAKKOLUPA Tietojen tuojalla on tietojen viejän yleinen lupa, joka koskee yhden tai useamman sovitussa luettelossa olevan henkilötietojen käsittelijän käyttämistä alihankkijana. Jos tietojen tuoja aikoo muuttaa kyseistä luetteloa lisäämällä tai korvaamalla alihankkijana toimivia henkilötietojen käsittelijöitä, sen on ilmoitettava tästä tietojen viejälle erikseen kirjallisesti vähintään [mainitaan aika] etukäteen, jotta tietojen viejällä on riittävästi aikaa vastustaa muutoksia ennen kyseisten alihankkijoiden palvelusten käyttöä. Tietojen tuojan on toimitettava tietojen viejälle tiedot, jotka tämä tarvitsee voidakseen käyttää oikeuttaan vastustaa luettelon muuttamista.

b) Jos tietojen tuoja käyttää alihankkijaa tiettyjen käsittelytoimien suorittamiseen (tietojen viejän puolesta), sen on tehtävä asiasta kirjallinen sopimus, jossa määrätään olennaisilta osiltaan samoista tietosuojavelvoitteista, jotka näiden lausekkeiden nojalla sitovat tietojen tuojaa, mukaan lukien rekisteröityjen oikeudet edunsaajina olevina kolmansina osapuolina (8). Osapuolet sopivat, että noudattamalla tätä lauseketta tietojen tuoja täyttää 8.8 lausekkeen mukaiset velvoitteensa. Tietojen tuojan on varmistettava, että alihankkijana toimiva henkilötietojen käsittelijä noudattaa velvoitteita, joita tietojen tuojaan näiden lausekkeiden nojalla sovelletaan.

c) Tietojen tuojan on toimitettava tietojen viejälle tämän pyynnöstä jäljennös tällaisesta alihankkijan kanssa tehdystä sopimuksesta ja sen mahdollisista myöhemmistä muutoksista. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, tietojen tuoja voi poistaa osan sopimuksen tekstistä ennen jäljennöksen antamista.

d) Tietojen tuojalla on edelleen tietojen viejään nähden täysi vastuu siitä, että alihankkijana toimiva henkilötietojen käsittelijä täyttää velvoitteensa tietojen tuojan kanssa tekemänsä sopimuksen nojalla. Tietojen tuojan on ilmoitettava tietojen viejälle, jos alihankkijana toimiva henkilötietojen käsittelijä ei täytä kyseisen sopimuksen mukaisia velvoitteitaan.

e) Tietojen tuojan on sovittava alihankkijana toimivan henkilötietojen käsittelijän kanssa edunsaajina olevia kolmansia osapuolia koskevasta lausekkeesta, jonka mukaan tietojen viejällä on oikeus irtisanoa alihankkijana toimivan henkilötietojen käsittelijän sopimus ja ohjeistaa tätä poistamaan tai palauttamaan henkilötiedot, jos tietojen tuoja on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta tai siitä on tullut maksukyvytön.

MODUULI 3: Siirto käsittelijältä käsittelijälle

a) VAIHTOEHTO 1: ERITYINEN ENNAKKOLUPA Tietojen tuoja ei saa antaa tietojen viejän puolesta näiden lausekkeiden mukaisesti suorittamiaan henkilötietojen käsittelytoimia alihankkijalle ilman rekisterinpitäjän etukäteen antamaa erityistä kirjallista lupaa. Tietojen tuojan on pyydettävä lupaa vähintään [mainitaan aika] ennen alihankkijan palvelusten käyttämistä ja toimitettava siinä yhteydessä tiedot, jotka rekisterinpitäjä tarvitsee voidakseen päättää luvasta. Sen on ilmoitettava tietojen viejälle tällaisesta palvelusten käyttämisestä. Luettelo rekisterinpitäjän jo valtuuttamista henkilötietojen alikäsittelijöistä on liitteessä III. Osapuolten on pidettävä liite III ajan tasalla. VAIHTOEHTO 2: YLEINEN KIRJALLINEN ENNAKKOLUPA Tietojen tuojalla on rekisterinpitäjän yleinen lupa, joka koskee yhden tai useamman sovitussa luettelossa olevan henkilötietojen käsittelijän käyttämistä alihankkijana. Jos tietojen tuoja aikoo muuttaa kyseistä luetteloa lisäämällä tai korvaamalla alihankkijana toimivia henkilötietojen käsittelijöitä, sen on ilmoitettava tästä rekisterinpitäjälle erikseen kirjallisesti vähintään [mainitaan aika] etukäteen, jotta rekisterinpitäjällä on riittävästi aikaa vastustaa muutoksia ennen kyseisten alihankkijoiden palvelusten käyttöä. Tietojen tuojan on toimitettava rekisterinpitäjälle tiedot, jotka tämä tarvitsee voidakseen käyttää oikeuttaan vastustaa luettelon muuttamista. Tietojen tuojan on ilmoitettava tietojen viejälle asianomaisten alihankkijana toimivien henkilötietojen käsittelijöiden palvelusten käyttämisestä.

b) Jos tietojen tuoja käyttää alihankkijaa tiettyjen käsittelytoimien suorittamiseen (rekisterinpitäjän puolesta), sen on tehtävä asiasta kirjallinen sopimus, jossa määrätään olennaisilta osiltaan samoista tietosuojavelvoitteista, jotka näiden lausekkeiden nojalla sitovat tietojen tuojaa, mukaan lukien rekisteröityjen oikeudet edunsaajina olevina kolmansina osapuolina (9). Osapuolet sopivat, että noudattamalla tätä lauseketta tietojen tuoja täyttää 8.8 lausekkeen mukaiset velvoitteensa. Tietojen tuojan on varmistettava, että alihankkijana toimiva henkilötietojen käsittelijä noudattaa velvoitteita, joita tietojen tuojaan näiden lausekkeiden nojalla sovelletaan.

c) Tietojen tuojan on toimitettava tietojen viejän tai rekisterinpitäjän pyynnöstä jäljennös tällaisesta alihankkijan kanssa tehdystä sopimuksesta ja sen mahdollisista myöhemmistä muutoksista. Sikäli kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, kuten henkilötietojen, suojaamiseksi, tietojen tuoja voi poistaa osan sopimuksen tekstistä ennen jäljennöksen antamista.

d) Tietojen tuojalla on edelleen tietojen viejään nähden täysi vastuu siitä, että alihankkijana toimiva henkilötietojen käsittelijä täyttää velvoitteensa tietojen tuojan kanssa tekemänsä sopimuksen nojalla. Tietojen tuojan on ilmoitettava tietojen viejälle, jos alihankkijana toimiva henkilötietojen käsittelijä ei täytä kyseisen sopimuksen mukaisia velvoitteitaan.

e) Tietojen tuojan on sovittava alihankkijana toimivan henkilötietojen käsittelijän kanssa edunsaajina olevia kolmansia osapuolia koskevasta lausekkeesta, jonka mukaan tietojen viejällä on oikeus irtisanoa alihankkijana toimivan henkilötietojen käsittelijän sopimus ja ohjeistaa tätä poistamaan tai palauttamaan henkilötiedot, jos tietojen tuoja on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta tai siitä on tullut maksukyvytön.

10 lauseke

Rekisteröityjen oikeudet

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

a) Tietojen tuojan on, tarvittaessa tietojen viejän avustuksella, käsiteltävä kaikki rekisteröidyltä saamansa tiedustelut ja pyynnöt, jotka koskevat rekisteröidyn henkilötietojen käsittelyä ja näiden lausekkeiden mukaisten oikeuksien käyttämistä, ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa tiedustelun tai pyynnön vastaanottamisesta (10). Tietojen tuojan on toteutettava asianmukaiset toimenpiteet tällaisten tiedustelujen, pyyntöjen ja rekisteröidyn oikeuksien käyttämisen helpottamiseksi. Rekisteröidylle annettavien tietojen on oltava helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa ja ne on esitettävä selkeällä ja yksinkertaisella kielellä.

b) Tietojen tuojan on rekisteröidyn pyynnöstä maksua veloittamatta i) annettava rekisteröidylle vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos niitä käsitellään, jäljennös rekisteröityä koskevista tiedoista ja liitteessä I olevat tiedot; jos henkilötietoja on siirretty tai tullaan siirtämään edelleen, toimitettava tiedot vastaanottajista tai vastaanottajaryhmistä (niin, että annettava tieto on merkityksellinen), joille henkilötietoja on edelleen siirretty tai aiotaan edelleen siirtää, tällaisen edelleen siirtämisen tarkoitus ja 8.7 lausekkeessa tarkoitettu siirtämisperuste; ja toimitettava tiedot oikeudesta tehdä 12 lausekkeen c kohdan i alakohdassa tarkoitettu kantelu valvontaviranomaiselle; ii) oikaistava rekisteröityä koskevat virheelliset tai puutteelliset tiedot; iii) poistettava rekisteröityä koskevat henkilötiedot, jos niitä käsitellään tai on käsitelty näiden, edunsaajina olevien kolmansien osapuolien oikeudet varmistavien lausekkeiden vastaisesti tai jos rekisteröity peruuttaa suostumuksen, johon käsittely perustuu.

c) Jos tietojen tuoja käsittelee henkilötietoja suoramarkkinointia varten, sen on lopetettava käsittely tällaisiin tarkoituksiin, jos rekisteröity vastustaa sitä.

d) Tietojen tuoja ei saa pelkästään siirrettyjen henkilötietojen automaattisen käsittelyn perusteella tehdä päätöstä, jäljempänä ’automaattinen päätös’, jolla olisi rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaisi rekisteröityyn vastaavalla tavalla merkittävästi, paitsi jos rekisteröity on antanut nimenomaisen suostumuksensa tai jos se on määrämaan lainsäädännön nojalla sallittua, edellyttäen että kyseisessä lainsäädännössä vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja oikeutettujen etujen suojaamiseksi. Tällöin tietojen tuojan on tarvittaessa yhteistyössä tietojen viejän kanssa i) ilmoitettava rekisteröidylle suunnitellusta automaattisesta päätöksestä, sen mahdollisista seurauksista ja asiaan liittyvästä logiikasta; ja ii) toteutettava asianmukaiset suojatoimet vähintäänkin antamalla rekisteröidylle mahdollisuus riitauttaa automaattinen päätös, esittää kantansa ja vaatia ihmisen tekemää uudelleentarkastelua.

e) Jos rekisteröidyn pyynnöt ovat kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, tietojen tuoja voi joko periä niistä pyynnön täyttämisestä aiheutuvat hallinnolliset kustannukset huomioon ottaen kohtuullisen maksun tai kieltäytyä täyttämästä pyyntöä.

f) Tietojen tuoja voi evätä rekisteröidyn pyynnön, jos se on sallittua määrämaan lainsäädännön nojalla sekä tarpeen ja oikeasuhteista demokraattisessa yhteiskunnassa jonkin asetuksen (EU) 2016/679 23 artiklan 1 kohdassa luetellun tavoitteen turvaamiseksi.

g) Jos tietojen tuoja aikoo evätä rekisteröidyn pyynnön, sen on ilmoitettava rekisteröidylle epäämisen syyt ja kerrottava mahdollisuudesta tehdä kantelu valvontaviranomaiselle ja/tai käyttää muita oikeussuojakeinoja.

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

a) Tietojen tuojan on nopeasti ilmoitettava tietojen viejälle rekisteröidyltä saamastaan pyynnöstä. Tietojen tuoja ei saa itse vastata tähän pyyntöön, paitsi jos tietojen viejä on antanut siihen luvan.

b) Tietojen tuojan on autettava tietojen viejää täyttämään velvollisuutensa vastata rekisteröityjen pyyntöihin, jotka koskevat rekisteröityjen oikeuksien käyttämistä asetuksen (EU) 2016/679 nojalla. Tältä osin osapuolten on liitteessä II vahvistettava asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon, millaista se käsittely, jonka avulla apua annetaan, on luonteeltaan, sekä tarvittavan avun soveltamisala ja laajuus.

c) Täyttäessään a ja b kohdassa tarkoitettuja velvoitteitaan tietojen tuojan on noudatettava tietojen viejän antamia ohjeita.

MODUULI 3: Siirto käsittelijältä käsittelijälle

a) Tietojen tuojan on nopeasti ilmoitettava tietojen viejälle ja tarvittaessa rekisterinpitäjälle rekisteröidyltä saamastaan pyynnöstä. Se ei saa vastata tähän pyyntöön, paitsi jos rekisterinpitäjä on antanut siihen luvan.

b) Tietojen tuojan on tarvittaessa yhteistyössä tietojen viejän kanssa autettava rekisterinpitäjää täyttämään velvollisuutensa vastata rekisteröityjen pyyntöihin, jotka koskevat rekisteröityjen oikeuksien käyttämistä asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 nojalla. Tältä osin osapuolten on liitteessä II vahvistettava asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon, millaista se käsittely, jonka avulla apua annetaan, on luonteeltaan, sekä tarvittavan avun soveltamisala ja laajuus.

c) Täyttäessään a ja b kohdassa tarkoitettuja velvoitteitaan tietojen tuojan on noudatettava rekisterinpitäjän antamia ohjeita, jotka tietojen viejä on toimittanut.

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle.

Osapuolten on autettava toisiaan vastaamaan rekisteröityjen tiedusteluihin ja pyyntöihin tietojen tuojaan sovellettavaa paikallista lainsäädäntöä tai, jos on kyse henkilötietojen käsittelystä EU:ssa, asetusta (EU) 2016/679 noudattaen.

11 lauseke

Oikeussuojakeinot

a) Tietojen tuojan on ilmoitettava rekisteröidyille selkeässä ja helposti saatavilla olevassa muodossa, yksilöllisellä ilmoituksella tai verkkosivustollaan, yhteyspisteestä, jolla on valtuudet käsitellä kanteluja. Sen on käsiteltävä rekisteröidyiltä saamansa kantelut nopeasti. [VAIHTOEHTO: Tietojen tuoja hyväksyy sen, että rekisteröidyt voivat tehdä kantelun myös riippumattomalle riidanratkaisuelimelle (11) ilman rekisteröidylle aiheutuvia kustannuksia. Sen on ilmoitettava rekisteröidyille a kohdassa säädetyllä tavalla tällaisesta oikeussuojamekanismista ja siitä, että rekisteröityjen ei ole pakko käyttää sitä tai noudattaa oikeussuojakeinojen käytössä tiettyä järjestystä.]

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

b) Jos rekisteröidyn ja osapuolen välillä syntyy riita näiden lausekkeiden noudattamisesta, osapuolen on parhaansa mukaan pyrittävä ratkaisemaan asia sopimalla ja hyvissä ajoin. Osapuolten on ilmoitettava toisilleen tällaisista riidoista ja tehtävä tarvittaessa yhteistyötä niiden ratkaisemiseksi.

c) Jos rekisteröity vetoaa 3 lausekkeen nojalla edunsaajana olevan kolmannen osapuolen oikeuteen, tietojen tuojan on hyväksyttävä rekisteröidyn päätös i) tehdä kantelu valvontaviranomaiselle siinä jäsenvaltiossa, jossa rekisteröidyn vakinainen asuinpaikka tai työpaikka on, tai valvontaviranomaiselle, joka on toimivaltainen 13 lausekkeen nojalla; ii) siirtää riita-asia 18 lausekkeessa tarkoitettujen toimivaltaisten tuomioistuinten ratkaistavaksi.

d) Osapuolet hyväksyvät, että rekisteröityä voi edustaa voittoa tavoittelematon elin, järjestö tai yhdistys asetuksen (EU) 2016/679 80 artiklan 1 kohdassa säädetyin edellytyksin.

e) Tietojen tuojan on noudatettava päätöstä, joka on sovellettavan EU:n tai jäsenvaltion lainsäädännön nojalla sitova.

f) Tietojen tuoja hyväksyy sen, että rekisteröidyn tekemä valinta ei vaikuta rekisteröidyn aineellisiin ja menettelyllisiin oikeuksiin käyttää sovellettavan lainsäädännön mukaisia oikeussuojakeinoja.

12 lauseke

Vastuu vahingoista

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle.

a) Kukin osapuoli on vastuussa toiselle osapuolelle tai toisille osapuolille vahingoista, joita se aiheuttaa toiselle osapuolelle tai toisille osapuolille rikkomalla näitä lausekkeita.

b) Kukin osapuoli on vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvausta kaikista aineellisista tai aineettomista vahingoista, joita osapuoli aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia edunsaajana olevan kolmannen osapuolen oikeuksia. Tämä ei rajoita tietojen viejälle asetuksen (EU) 2016/679 nojalla kuuluvaa vastuuta.

c) Jos useampi kuin yksi osapuoli aiheuttaa rekisteröidylle näitä lausekkeita rikkomalla vahinkoa, kaikki vahinkoa aiheuttaneet osapuolet ovat yhteisvastuussa, ja rekisteröidyllä on oikeus nostaa kanne mitä tahansa näistä osapuolista vastaan.

d) Osapuolet sopivat, että jos yksi osapuoli vedetään c kohdan nojalla vastuuseen, sillä on oikeus vaatia toista osapuolta tai toisia osapuolia maksamaan takaisin se osa korvauksesta, joka vastaa sen/niiden vastuuta vahingosta.

e) Tietojen tuoja ei voi vedota henkilötietojen käsittelijän tai alihankkijana toimivan henkilötietojen käsittelijän toimintaan oman vastuunsa välttämiseksi.

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

a) Kukin osapuoli on vastuussa toiselle osapuolelle tai toisille osapuolille vahingoista, joita se aiheuttaa toiselle osapuolelle tai toisille osapuolille rikkomalla näitä lausekkeita.

b) Tietojen tuoja on vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvausta kaikista aineellisista tai aineettomista vahingoista, joita tietojen tuoja tai sen alihankkijana toimiva henkilötietojen käsittelijä aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia edunsaajana olevan kolmannen osapuolen oikeuksia.

c) Tietojen viejä on vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvausta kaikista aineellisista tai aineettomista vahingoista, joita tietojen viejä tai tietojen tuoja (tai sen alihankkijana toimiva henkilötietojen käsittelijä) aiheuttaa rekisteröidylle rikkomalla näiden lausekkeiden mukaisia edunsaajana olevan kolmannen osapuolen oikeuksia, sanotun kuitenkaan rajoittamatta b kohdan soveltamista. Tämä ei rajoita tietojen viejälle ja, jos tietojen viejä on rekisterinpitäjän puolesta toimiva henkilötietojen käsittelijä, rekisterinpitäjälle asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 nojalla kuuluvaa vastuuta.

d) Osapuolet sopivat, että jos tietojen viejä vedetään c kohdan nojalla vastuuseen tietojen tuojan (tai sen alihankkijana toimivan henkilötietojen käsittelijän) aiheuttamista vahingoista, sillä on oikeus vaatia tietojen tuojaa maksamaan takaisin se osa korvauksesta, joka vastaa tietojen tuojan vastuuta vahingosta.

e) Jos useampi kuin yksi osapuoli aiheuttaa rekisteröidylle näitä lausekkeita rikkomalla vahinkoa, kaikki vahinkoa aiheuttaneet osapuolet ovat yhteisvastuussa, ja rekisteröidyllä on oikeus nostaa kanne mitä tahansa näistä osapuolista vastaan.

f) Osapuolet sopivat, että jos yksi osapuoli vedetään e kohdan nojalla vastuuseen, sillä on oikeus vaatia toista osapuolta tai toisia osapuolia maksamaan takaisin se osa korvauksesta, joka vastaa sen/niiden vastuuta vahingosta.

g) Tietojen tuoja ei voi vedota alihankkijana toimivan henkilötietojen käsittelijän toimintaan oman vastuunsa välttämiseksi.

13 lauseke

Valvonta

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

a) [Jos tietojen viejä on sijoittautunut EU:n jäsenvaltioon:] Toimivaltainen valvontaviranomainen on liitteessä I.C mainittu valvontaviranomainen, jonka tehtävänä on varmistaa, että tietojen viejä noudattaa asetusta (EU) 2016/679 tietojen siirtämisessä. [Jos tietojen viejä ei ole sijoittautunut EU:n jäsenvaltioon mutta se kuuluu asetuksen (EU) 2016/679 alueelliseen soveltamisalaan asetuksen 3 artiklan 2 kohdan nojalla ja se on nimennyt edustajan asetuksen (EU) 2016/679 27 artiklan 1 kohdan nojalla:] Toimivaltainen valvontaviranomainen on liitteessä I.C mainittu sen jäsenvaltion valvontaviranomainen, johon asetuksen (EU) 2016/679 27 artiklan 1 kohdassa tarkoitettu edustaja on sijoittautunut. [Jos tietojen viejä ei ole sijoittautunut EU:n jäsenvaltioon mutta se kuuluu asetuksen (EU) 2016/679 alueelliseen soveltamisalaan asetuksen 3 artiklan 2 kohdan nojalla ilman, että sen pitäisi nimetä edustaja asetuksen (EU) 2016/679 27 artiklan 2 kohdan nojalla:] Toimivaltainen valvontaviranomainen on liitteessä I.C mainittu jonkin sellaisen jäsenvaltion valvontaviranomainen, jossa rekisteröidyt, joiden henkilötietoja siirretään näiden lausekkeiden nojalla tavaroiden tai palvelujen tarjoamisen yhteydessä tai joiden toimintaa seurataan, ovat.

b) Tietojen tuoja hyväksyy toimivaltaisen valvontaviranomaisen lainkäyttövallan ja tekee sen kanssa yhteistyötä kaikissa menettelyissä, joilla pyritään varmistamaan näiden lausekkeiden noudattaminen. Tietojen tuoja lupaa vastata tiedusteluihin, hyväksyä auditointeja ja noudattaa valvontaviranomaisen hyväksymiä toimenpiteitä, korjaavat ja korvaavat toimenpiteet mukaan lukien. Sen on annettava valvontaviranomaiselle kirjallinen vahvistus siitä, että tarvittavat toimet on toteutettu.

III JAKSO – PAIKALLISET LAIT JA VELVOITTEET, JOS VIRANOMAISILLA ON PÄÄSY TIETOIHIN

14 lauseke

Lausekkeiden noudattamiseen vaikuttavat paikalliset lait ja käytännöt

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle (jos EU:n henkilötietojen käsittelijä yhdistää kolmannen maan rekisterinpitäjältä saamansa henkilötiedot EU:ssa olevan henkilötietojen käsittelijän keräämiin henkilötietoihin)

a) Osapuolet vakuuttavat, ettei niillä ole syytä uskoa, että määrämaana olevan kolmannen maan lainsäädäntö ja käytännöt, joita sovelletaan tietojen tuojan suorittamaan henkilötietojen käsittelyyn, mukaan lukien henkilötietojen luovuttamista koskevat vaatimukset tai viranomaisten pääsyn sallivat toimenpiteet, estäisivät tietojen tuojaa täyttämästä näiden lausekkeiden mukaisia velvoitteitaan. Tämä perustuu siihen käsitykseen, että sellaiset lait ja käytännöt, joissa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia eikä ylitetä sitä, mikä on demokraattisessa yhteiskunnassa välttämätöntä ja oikeasuhteista jonkin asetuksen (EU) 2016/679 23 artiklan 1 kohdassa mainitun tavoitteen turvaamiseksi, eivät ole ristiriidassa vakiosopimuslausekkeiden kanssa.

b) Osapuolet ilmoittavat ottaneensa a kohdassa tarkoitettua vakuutusta antaessaan asianmukaisesti huomioon erityisesti seuraavat seikat: i) siirron erityisolosuhteet, mukaan lukien käsittelyketjun pituus, mukana olevien toimijoiden määrä ja käytetyt siirtokanavat; suunnitellut edelleen siirtämiset; vastaanottajatyyppi; käsittelyn tarkoitus; siirrettävien henkilötietojen luokat ja muoto; toimiala, jolla siirto tapahtuu; siirrettävien tietojen säilytyspaikka; ii) määrämaana olevan kolmannen maan lait ja käytännöt, joilla on merkitystä siirron erityisolosuhteet huomioon ottaen – mukaan lukien lait ja käytännöt, joissa edellytetään tietojen luovuttamista viranomaisille tai annetaan niille pääsy tietoihin – sekä sovellettavat rajoitukset ja suojatoimet (12); iii) asiaankuuluvat sopimusperusteiset, tekniset tai organisatoriset suojatoimet, jotka on otettu käyttöön näiden lausekkeiden mukaisten suojatoimien täydentämiseksi, mukaan lukien toimenpiteet, joita sovelletaan henkilötietojen siirron aikana ja niitä käsiteltäessä määrämaassa.

c) Tietojen tuoja vakuuttaa, että suorittaessaan b kohdassa tarkoitettua arviointia se on parhaansa mukaan pyrkinyt toimittamaan tietojen viejälle asiaankuuluvat tiedot, ja lupaa jatkaa yhteistyötä tietojen viejän kanssa varmistaakseen, että näitä lausekkeita noudatetaan.

d) Osapuolet lupaavat dokumentoida b kohdassa tarkoitetun arvioinnin ja asettaa sen toimivaltaisen valvontaviranomaisen saataville tämän pyynnöstä.

e) Tietojen tuoja lupaa ilmoittaa tietojen viejälle nopeasti koko sopimuksen voimassaolon ajan, jos sillä on sen jälkeen, kun se on sopinut näistä lausekkeista, syytä uskoa, että siihen sovelletaan tai on alettu soveltaa lakeja tai käytäntöjä, jotka eivät ole a kohdan vaatimusten mukaisia, esimerkiksi kolmannen maan lainsäädännön muututtua tai sellaisen toimenpiteen (kuten henkilötietojen luovutuspyynnön) seurauksena, joka osoittaa, että lainsäädännön käytännön soveltaminen ei ole a kohdan vaatimusten mukaista. [Moduulissa 3: Tietojen viejän on toimitettava ilmoitus rekisterinpitäjälle.]

f) Edellä e kohdassa tarkoitetun ilmoituksen jälkeen tai jos tietojen viejällä muutoin on syytä uskoa, että tietojen tuoja ei voi enää täyttää näiden lausekkeiden mukaisia velvoitteitaan, tietojen viejän on nopeasti yksilöitävä asianmukaiset toimenpiteet (kuten tekniset tai organisatoriset toimenpiteet turvallisuuden ja luottamuksellisuuden varmistamiseksi), joita tietojen viejän ja/tai tietojen tuojan on toteutettava tilanteen korjaamiseksi [Moduulissa 3:, tarvittaessa rekisterinpitäjää kuullen]. Tietojen viejän on keskeytettävä tietojen siirtäminen, jos se katsoo, että siirtoa koskevia asianmukaisia suojatoimia ei voida varmistaa, tai jos [Moduulissa 3: rekisterinpitäjä tai] toimivaltainen valvontaviranomainen näin ohjeistaa. Tällöin tietojen viejällä on oikeus irtisanoa sopimus siltä osin kuin se koskee näiden lausekkeiden mukaista henkilötietojen käsittelyä. Jos sopimuksen osapuolia on useampi kuin kaksi, tietojen viejä voi käyttää tätä oikeutta irtisanomiseen ainoastaan asianomaisen osapuolen osalta, elleivät osapuolet ole toisin sopineet. Kun sopimus irtisanotaan tämän lausekkeen nojalla, sovelletaan 16 artiklan d ja e kohtaa.

15 lauseke

Tietojen tuojan velvollisuudet, jos viranomaisilla on pääsy tietoihin

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle (jos EU:n henkilötietojen käsittelijä yhdistää kolmannen maan rekisterinpitäjältä saamansa henkilötiedot EU:ssa olevan henkilötietojen käsittelijän keräämiin henkilötietoihin)

15.1 Ilmoittaminen

a) Tietojen tuoja lupaa nopeasti ilmoittaa tietojen viejälle ja mahdollisuuksien mukaan rekisteröidylle (tarvittaessa tietojen viejän avulla), jos se i) vastaanottaa määrämaan lainsäädännön mukaisesti viranomaiselta, oikeusviranomaiset mukaan lukien, oikeudellisesti sitovan pyynnön luovuttaa näitä lausekkeita noudattaen siirrettyjä henkilötietoja; ilmoituksessa on oltava tiedot pyydetyistä henkilötiedoista, pyynnön esittävästä viranomaisesta, pyynnön oikeusperustasta ja annetusta vastauksesta; tai ii) saa tiedon viranomaisten suorasta pääsystä näitä lausekkeita noudattaen siirrettyihin henkilötietoihin määrämaan lainsäädännön nojalla; ilmoituksessa on oltava kaikki tietojen tuojan saatavilla olevat tiedot. [Moduulissa 3: Tietojen viejän on toimitettava ilmoitus rekisterinpitäjälle.]

b) Jos tietojen tuojaa määrämaan lainsäädännön nojalla kielletään ilmoittamasta asiasta tietojen viejälle ja/tai rekisteröidylle, tietojen tuoja lupaa tehdä parhaansa saadakseen vapautuksen kiellosta voidakseen toimittaa mahdollisimman paljon tietoa mahdollisimman pian. Tietojen tuoja lupaa dokumentoida toteuttamansa toimet voidakseen tietojen viejän pyynnöstä osoittaa ne.

c) Jos se on sallittua määrämaan lainsäädännön nojalla, tietojen tuoja lupaa toimittaa tietojen viejälle säännöllisin väliajoin sopimuksen voimassaolon ajan mahdollisimman paljon merkityksellisiä tietoja vastaanotetuista pyynnöistä (erityisesti pyyntöjen määrä, pyydettyjen tietojen tyyppi, pyyntöjä esittäneet viranomaiset, tietopyyntöjen mahdollinen riitauttaminen ja sen tulokset jne.). [Moduulissa 3: Tietojen viejän on toimitettava tiedot rekisterinpitäjälle.]

d) Tietojen tuoja lupaa säilyttää a–c kohdassa tarkoitetut tiedot sopimuksen voimassaolon ajan ja asettaa ne pyynnöstä toimivaltaisen valvontaviranomaisen saataville.

e) Edellä olevat a–c kohta eivät rajoita 14 lausekkeen e kohdan ja 16 lausekkeen mukaista tietojen tuojan velvollisuutta ilmoittaa nopeasti tietojen viejälle, jos se ei pysty noudattamaan näitä lausekkeita.

15.2 Laillisuuden tarkastelu ja tietojen minimointi

a) Tietojen tuoja lupaa tutkia tietojen luovuttamista koskevan pyynnön laillisuuden ja erityisesti sen, pysyykö se pyynnön esittäneen viranomaisen toimivallan rajoissa, ja riitauttaa pyynnön, jos se huolellisen arvioinnin jälkeen toteaa, että on perusteltua katsoa, että pyyntö on määrämaan lainsäädännön, sovellettavien kansainvälisen oikeuden mukaisten velvoitteiden ja kansainvälisen kohteliaisuuden periaatteiden nojalla laiton. Tietojen tuojan on samoin edellytyksin käytettävä muutoksenhakukeinoja. Riitauttaessaan pyynnön tietojen tuojan on pyydettävä välitoimia pyynnön vaikutusten lykkäämiseksi siihen saakka, kunnes toimivaltainen oikeusviranomainen on ratkaissut asiakysymyksen. Se ei saa luovuttaa pyydettyjä henkilötietoja ennen kuin sovellettavien menettelysääntöjen nojalla niin vaaditaan. Nämä vaatimukset eivät rajoita 14 lausekkeen e kohdan mukaisia tietojen tuojan velvoitteita.

b) Tietojen tuoja lupaa dokumentoida oikeudellisen arviointinsa ja tietojen luovuttamista koskevan pyynnön mahdollisen riitauttamisen sekä asettaa dokumentaation tietojen viejän saataville määrämaan lainsäädännön sallimissa rajoissa. Sen on pyynnöstä asetettava dokumentaatio myös toimivaltaisen valvontaviranomaisen saataville. [Moduulissa 3: Tietojen viejän on asetettava arviointi rekisterinpitäjän saataville.]

c) Tietojen tuoja lupaa vastatessaan tietojen luovuttamista koskevaan pyyntöön toimittaa kohtuullisen tulkinnan perusteella vähimmäismäärän sallittuja tietoja.

IV JAKSO – LOPPUMÄÄRÄYKSET

16 lauseke

Lausekkeiden noudattamatta jättäminen ja irtisanominen

a) Tietojen tuojan on nopeasti ilmoitettava tietojen viejälle, jos se ei jostain syystä pysty noudattamaan näitä lausekkeita.

b) Jos tietojen tuoja rikkoo lausekkeita tai ei pysty noudattamaan niitä, tietojen viejän on keskeytettävä henkilötietojen siirtäminen tietojen tuojalle, kunnes noudattaminen jälleen varmistetaan, tai sopimus irtisanotaan. Tämä ei rajoita 14 lausekkeen f kohdan soveltamista.

c) Tietojen viejällä on oikeus irtisanoa sopimus siltä osin kuin se koskee näiden lausekkeiden mukaista henkilötietojen käsittelyä, jos i) tietojen viejä on b kohdan nojalla keskeyttänyt henkilötietojen siirtämisen tietojen tuojalle eikä näitä lausekkeita ole alettu noudattaa uudelleen kohtuullisen ajan kuluessa ja joka tapauksessa kuukauden kuluessa tietojen siirtämisen keskeyttämisestä; ii) tietojen tuoja rikkoo näitä lausekkeita merkittävästi tai jatkuvasti; tai iii) tietojen tuoja ei noudata toimivaltaisen tuomioistuimen tai valvontaviranomaisen sitovaa päätöstä, joka koskee sen näiden lausekkeiden mukaisia velvoitteita. Tällöin sen on ilmoitettava noudattamatta jättämisestä toimivaltaiselle valvontaviranomaiselle [Moduulissa 3: ja rekisterinpitäjälle]. Jos sopimuksen osapuolia on useampi kuin kaksi, tietojen viejä voi käyttää tätä oikeutta irtisanomiseen ainoastaan asianomaisen osapuolen osalta, elleivät osapuolet ole toisin sopineet.

d) [Moduuleissa 1, 2 ja 3: Henkilötiedot, jotka on siirretty, ennen kuin sopimus c kohdan nojalla irtisanotaan, on tietojen viejän valinnan mukaan joko välittömästi palautettava tietojen viejälle tai tuhottava kokonaan. Sama koskee tietojen jäljennöksiä.] [Moduulissa 4: Henkilötiedot, jotka tietojen viejä on kerännyt EU:ssa ennen kuin sopimus c kohdan nojalla irtisanotaan, ja niiden kopiot on välittömästi poistettava kokonaan.] Tietojen tuojan on todistettava tietojen poistaminen tietojen viejälle. Tietojen tuojan on varmistettava, että näitä lausekkeita noudatetaan, kunnes tiedot poistetaan tai palautetaan. Jos tietojen tuojaan sovelletaan paikallista lainsäädäntöä, jossa kielletään siirrettyjen henkilötietojen palauttaminen tai poistaminen, tietojen tuoja vakuuttaa varmistavansa edelleen näiden lausekkeiden noudattamisen ja käsittelevänsä tietoja vain siinä määrin ja niin kauan, kuin kyseisessä paikallisessa lainsäädännössä edellytetään.

e) Kumpikin osapuoli voi peruuttaa hyväksyntänsä sille, että nämä lausekkeet sitovat sitä, jos i) Euroopan komissio tekee asetuksen (EU) 2016/679 45 artiklan 3 kohdan nojalla päätöksen, joka koskee sellaisten henkilötietojen siirtoa, joihin näitä lausekkeita sovelletaan; tai ii) asetuksesta (EU) 2016/679 tulee osa sen maan oikeudellista kehystä, johon henkilötiedot siirretään. Tämä ei rajoita muita kyseiseen henkilötietojen käsittelyyn asetuksen (EU) 2016/679 nojalla sovellettavia velvoitteita.

17 lauseke

Sovellettava lainsäädäntö

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

[VAIHTOEHTO 1: Näihin lausekkeisiin sovelletaan jonkin EU:n jäsenvaltion lainsäädäntöä edellyttäen, että kyseisessä lainsäädännössä sallitaan edunsaajana olevan kolmannen osapuolen oikeudet. Osapuolet sopivat, että tämä on ___:n (ilmoitetaan jäsenvaltio) lainsäädäntö.]

[VAIHTOEHTO 2 (moduuleissa 2 ja 3): Näihin lausekkeisiin sovelletaan sen EU:n jäsenvaltion lainsäädäntöä, johon tietojen viejä on sijoittautunut. Jos kyseisessä lainsäädännössä ei sallita edunsaajana olevan kolmannen osapuolen oikeuksia, lausekkeisiin sovelletaan jonkin toisen EU:n jäsenvaltion lainsäädäntöä, jossa sallitaan edunsaajana olevan kolmannen osapuolen oikeudet. Osapuolet sopivat, että tämä on ___:n (ilmoitetaan jäsenvaltio) lainsäädäntö.]

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle

Näihin lausekkeisiin sovelletaan sellaisen maan lainsäädäntöä, joka sallii edunsaajana olevan kolmannen osapuolen oikeudet. Osapuolet sopivat, että tämä on ___:n (ilmoitetaan maa) lainsäädäntö.

18 lauseke

Oikeuspaikan ja tuomioistuimen valinta

MODUULI 1: Siirto rekisterinpitäjältä rekisterinpitäjälle

MODUULI 2: Siirto rekisterinpitäjältä käsittelijälle

MODUULI 3: Siirto käsittelijältä käsittelijälle

a) Näistä lausekkeista johtuvat riidat ratkaistaan EU:n jäsenvaltion tuomioistuimissa.

b) Osapuolet sopivat, että käytetään ___:n (ilmoitetaan jäsenvaltio) tuomioistuimia.]

c) Myös rekisteröity voi nostaa kanteen tietojen viejää ja/tai tietojen tuojaa vastaan sen jäsenvaltion tuomioistuimissa, jossa hänen asuinpaikkansa on.

d) Osapuolet sopivat olevansa tällaisten tuomioistuinten toimivallan alaisia.

MODUULI 4: Siirto käsittelijältä rekisterinpitäjälle

Näistä lausekkeista johtuvat riidat ratkaistaan _____:n (ilmoitetaan maa) tuomioistuimissa.

(1) Jos tietojen viejä on unionin toimielimen tai elimen puolesta rekisterinpitäjänä toimiva henkilötietojen käsittelijä, johon sovelletaan asetusta (EU) 2016/679, näihin lausekkeisiin turvautumalla varmistetaan myös luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (EUVL L 295, 21.11.2018, s. 39) 29 artiklan 4 kohdan noudattaminen silloin, kun käytetään toista henkilötietojen käsittelijää (alihankintana suoritettava tietojen käsittely), johon ei sovelleta asetusta (EU) 2016/679, sikäli kuin nämä lausekkeet ja asetuksen (EU) 2018/1725 29 artiklan 3 kohdassa tarkoitetussa rekisterinpitäjän ja henkilötietojen käsittelijän välisessä sopimuksessa tai muussa oikeudellisessa asiakirjassa asetetut tietosuojavelvoitteet ovat toisiaan vastaavia. Näin on erityisesti tilanteessa, jossa rekisterinpitäjä ja henkilötietojen käsittelijä käyttävät päätökseen 2021/915 sisältyviä vakiosopimuslausekkeita.

(2) Tämä edellyttää asetuksen (EU) 2016/679 johdanto-osan 26 kappaleessa tarkoitettua tietojen anonymisointia siten, että kukaan ei enää voi tunnistaa kyseistä henkilöä. Prosessin on oltava peruuttamaton.

(3) Euroopan talousalueesta tehdyn sopimuksen (ETA-sopimus) mukaan Euroopan unionin sisämarkkinat ulottuvat kolmeen ETA-valtioon (Islanti, Liechtenstein ja Norja). Tietosuojaa koskeva unionin lainsäädäntö, mukaan lukien asetus (EU) 2016/679, kuuluu ETA-sopimuksen soveltamisalaan ja on sisällytetty sen liitteeseen XI. Näin ollen, jos tietojen tuoja luovuttaa tietoja Euroopan talousalueella olevalle kolmannelle osapuolelle, sitä ei voida pitää näissä lausekkeissa tarkoitettuna edelleen siirtämisenä.

(4) Euroopan talousalueesta tehdyn sopimuksen (ETA-sopimus) mukaan Euroopan unionin sisämarkkinat ulottuvat kolmeen ETA-valtioon (Islanti, Liechtenstein ja Norja). Tietosuojaa koskeva unionin lainsäädäntö, mukaan lukien asetus (EU) 2016/679, kuuluu ETA-sopimuksen soveltamisalaan ja on sisällytetty sen liitteeseen XI. Näin ollen, jos tietojen tuoja luovuttaa tietoja Euroopan talousalueella olevalle kolmannelle osapuolelle, sitä ei voida pitää näissä lausekkeissa tarkoitettuna edelleen siirtämisenä.

(5) Ks. asetuksen (EU) 2016/679 28 artiklan 4 kohta ja, jos rekisterinpitäjä on EU:n toimielin tai elin, asetuksen (EU) 2018/1725 29 artiklan 4 kohta.

(6) Euroopan talousalueesta tehdyn sopimuksen (ETA-sopimus) mukaan Euroopan unionin sisämarkkinat ulottuvat kolmeen ETA-valtioon (Islanti, Liechtenstein ja Norja). Tietosuojaa koskeva unionin lainsäädäntö, mukaan lukien asetus (EU) 2016/679, kuuluu ETA-sopimuksen soveltamisalaan ja on sisällytetty sen liitteeseen XI. Näin ollen, jos tietojen tuoja luovuttaa tietoja Euroopan talousalueella olevalle kolmannelle osapuolelle, sitä ei voida pitää näissä lausekkeissa tarkoitettuna edelleen siirtämisenä.

(7) Kyse on siitä, koskevatko siirto ja jatkokäsittely henkilötietoja, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, geneettistä tietoa, biometristä tietoa henkilön yksiselitteistä tunnistamista varten, terveyttä koskevia tietoja, luonnollisen henkilön seksuaalista käyttäytymistä tai suuntautumista koskevia tietoja taikka rikostuomioihin ja rikoksiin liittyviä tietoja.

(8) Tämän vaatimuksen voi täyttää siten, että alihankkijana toimiva henkilötietojen käsittelijä liittyy 7 lausekkeen nojalla näihin lausekkeisiin asianmukaisen moduulin mukaisesti.

(9) Tämän vaatimuksen voi täyttää siten, että alihankkijana toimiva henkilötietojen käsittelijä liittyy 7 lausekkeen nojalla näihin lausekkeisiin asianmukaisen moduulin mukaisesti.

(10) Määräaikaa voidaan jatkaa enintään kahdella kuukaudella, sikäli kuin se on välttämätöntä ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Tietojen tuojan on asianmukaisesti ja nopeasti ilmoitettava rekisteröidylle määräajan jatkamisesta.

(11) Tietojen tuoja voi tarjota riippumatonta riitojenratkaisua sovitteluelimen kautta ainoastaan, jos se on sijoittautunut maahan, joka on ratifioinut välitystuomioiden täytäntöönpanosta tehdyn New Yorkin yleissopimuksen.

(12) Tällaisten lakien ja käytäntöjen vaikutuksista näiden lausekkeiden noudattamiseen voidaan todeta, että kokonaisarvioinnissa voidaan ottaa huomioon erilaisia osatekijöitä. Tällaisia voivat olla relevantti ja dokumentoitu käytännön kokemus riittävän edustavalta ajalta aiemmista tapauksista, joissa viranomaiset ovat pyytäneet luovuttamaan tietoja, tai siitä, että tällaisia pyyntöjä ei ole ollut. Tässä on kyse erityisesti asianmukaista huolellisuutta koskevien menettelyjen mukaisesti jatkuvalla periaatteella laadittavista, ylemmän johdon tasolla varmennetuista sisäisistä rekistereistä tai muusta dokumentaatiosta, edellyttäen, että niiden tiedot voidaan laillisesti jakaa kolmansien osapuolten kanssa. Jos päätelmä tämän käytännön kokemuksen perusteella on, että tietojen tuojaa ei estetä noudattamasta näitä lausekkeita, päätelmän tukena olisi oltava myös muita asiaankuuluvia objektiivisia tekijöitä. Osapuolten on harkittava huolellisesti, ovatko nämä tekijät yhdessä luotettavuudeltaan ja edustavuudeltaan riittävän painavia tukemaan tätä päätelmää. Osapuolten on erityisesti otettava huomioon, saako niiden käytännön kokemus vahvistusta julkisesti tai muuten saatavilla olevasta luotettavasta tiedosta, joka koskee pyyntöjen esittämistä tai niiden puuttumista samalla alalla, ja/tai lainsäädännön käytännön soveltamisesta, kuten oikeuskäytännöstä ja riippumattomien valvontaelinten raporteista.