2001D0497 — NL — 01.04.2005 — 001.001

Dit document vormt slechts een documentatiehulpmiddel en verschĳnt buiten de verantwoordelĳkheid van de instellingen

►B BESCHIKKING VAN DE COMMISSIE van 15 juni 2001 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen krachtens Richtlijn 95/46/EG (kennisgeving geschied onder nummer C(2001) 1539) (Voor de EER relevante tekst) (2001/497/EG) (PB L 181, 4.7.2001, p.19)

Gewĳzigd bĳ:









▼B

BESCHIKKING VAN DE COMMISSIE

van 15 juni 2001

betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen krachtens Richtlijn 95/46/EG

(kennisgeving geschied onder nummer C(2001) 1539)

(Voor de EER relevante tekst)

(2001/497/EG)







DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN, Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens ( 1 ), met name op artikel 26, lid 4, Overwegende hetgeen volgt: (1) Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven, indien dat land een passend niveau voor de bescherming van gegevens waarborgt en de wetgeving van de lidstaten tot uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd. (2) Volgens artikel 26, lid 2, van Richtlijn 95/46/EG mogen de lidstaten evenwel, mits bepaalde waarborgen worden geboden, toestemming geven voor een doorgifte of een categorie doorgiften van persoonsgegevens naar een derde land dat geen waarborgen voor een passend beschermingsniveau biedt. Deze waarborgen kunnen met name voortvloeien uit passende contractuele bepalingen. (3) Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn. De bij de richtlijn ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens ( 2 ) heeft richtsnoeren voor een dergelijke beoordeling vastgesteld ( 3 ). (4) Artikel 26, lid 2, van Richtlijn 95/46/EG, dat een organisatie die gegevens naar een derde land wil doorgeven flexibiliteit biedt, en artikel 26, lid 4, dat in modelcontractbepalingen voorziet, zijn van essentieel belang om de noodzakelijke stroom van persoonsgegevens tussen de Gemeenschap en derde landen in stand te houden en tegelijkertijd een onnodige belasting van de economische actoren te vermijden. Deze bepalingen zijn met name belangrijk, omdat de Commissie op korte en ook op middellange termijn waarschijnlijk slechts voor een beperkt aantal landen een passend beschermingsniveau kan vaststellen op grond van artikel 25, lid 6. (5) Deze modelcontractbepalingen zijn slechts een van de verschillende door Richtlijn 95/46/EG geboden mogelijkheden om op rechtmatige wijze persoonsgegevens naar een derde land door te geven, naast artikel 25 en artikel 26, leden 1 en 2. Met het opnemen van deze modelcontractbepalingen in een contract wordt het voor ondernemingen gemakkelijker om persoonsgegevens naar een derde land door te geven. De modelcontractbepalingen betreffen uitsluitend de gegevensbescherming. Het staat de gegevensexporteur en de gegevensimporteur vrij andere bepalingen over vraagstukken in verband met de transactie die door hen voor het contract relevant worden geacht, zoals bepalingen betreffende wederzijdse bijstand bij geschillen met een betrokkene of toezichthoudende autoriteit, op te nemen, mits deze niet tegen de modelcontractbepalingen indruisen. (6) Deze beschikking laat nationale toestemmingen die lidstaten krachtens nationale bepalingen ter uitvoering van artikel 26, lid 2, van Richtlijn 95/46/EG kunnen geven, onverlet. Gezien de omstandigheden waaronder specifieke doorgiften plaatsvinden, kan het nodig zijn dat de voor de verwerking verantwoordelijken verschillende waarborgen bieden in de zin van artikel 26, lid 2. In ieder geval strekt deze beschikking er slechts toe dat de lidstaten niet mogen weigeren de in deze beschikking omschreven contractbepalingen als passende waarborgen te erkennen. Zij heeft dus geen gevolgen voor andere contractbepalingen. (7) Deze beschikking stelt slechts vast dat de in de bijlage opgenomen modelcontractbepalingen door een in de Gemeenschap gevestigde voor de verwerking verantwoordelijke kunnen worden gebruikt om voldoende waarborgen in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG te bieden. De doorgifte van persoonsgegevens naar derde landen is een verwerking in een lidstaat, waarvan de rechtmatigheid wordt bepaald door het nationale recht. De toezichthoudende autoriteiten van de lidstaten dienen in de uitoefening van hun taken en bevoegdheden overeenkomstig artikel 28 van Richtlijn 95/46/EG bevoegd te blijven om te beoordelen of de gegevensexporteur zich houdt aan de nationale wetsvoorschriften tot uitvoering van Richtlijn 95/46/EG en met name aan specifieke regels betreffende de verplichting om informatie te verstrekken krachtens die richtlijn. (8) Deze beschikking betreft niet de doorgifte van persoonsgegevens door voor de verwerking verantwoordelijken die in de Gemeenschap zijn gevestigd aan ontvangers buiten het grondgebied van de Gemeenschap die slechts als verwerkers optreden. Deze doorgiften vereisen niet dezelfde waarborgen, omdat de verwerker uitsluitend namens de voor de verwerking verantwoordelijke optreedt. De Commissie is voornemens dit type doorgifte in een latere beschikking te regelen. (9) Het is dienstig vast te leggen welke informatie in ieder geval door de partijen in het contract betreffende de doorgifte moet worden verstrekt. De lidstaten dienen de mogelijkheid te behouden bijzonderheden vast te stellen inzake de informatie die de partijen moeten verstrekken. De werking van deze beschikking dient te worden beoordeeld in het licht van de ervaring. (10) De Commissie zal in de toekomst tevens onderzoeken of door bedrijfsorganisaties of andere belanghebbenden ingediende modelcontractbepalingen voldoende waarborgen bieden in de zin van Richtlijn 95/46/EG. (11) Hoewel de partijen de vrijheid dienen te hebben overeen te komen welke wezenlijke regels inzake gegevensbescherming de gegevensimporteur moet naleven, zijn er bepaalde beginselen inzake gegevensbescherming die in ieder geval dienen te gelden. (12) De gegevens dienen alleen te worden verwerkt en vervolgens te worden gebruikt of doorgegeven voor specifieke doeleinden en dienen niet langer te worden bewaard dan nodig is. (13) Overeenkomstig artikel 12 van Richtlijn 95/46/EG dient de betrokkene recht te hebben op toegang tot alle hem betreffende gegevens en, waar van toepassing, op rectificatie, uitwissing of afscherming van bepaalde gegevens. (14) Verdere doorgifte van persoonsgegevens aan een andere voor de verwerking verantwoordelijke in een derde land dient alleen onder bepaalde voorwaarden te worden toegestaan, met name om te waarborgen dat de betrokkenen worden ingelicht of in de gelegenheid worden gesteld bezwaar te maken of in bepaalde gevallen hun instemming te onthouden. (15) De toezichthoudende autoriteiten dienen niet alleen te beoordelen of doorgiften naar derde landen in overeenstemming met het nationale recht zijn, maar ook een essentiële rol in dit contractmechanisme te vervullen door erop toe te zien dat persoonsgegevens na de doorgifte op passende wijze worden beschermd. In specifieke omstandigheden dienen de toezichthoudende autoriteiten van de lidstaten de mogelijkheid te behouden om een op basis van de modelcontractbepalingen plaatsvindende doorgifte of categorie doorgiften te verbieden of op te schorten in het uitzonderlijke geval waarin wordt vastgesteld dat een op basis van een contract plaatsvindende doorgifte in aanzienlijke mate afbreuk dreigt te doen aan de waarborgen die de betrokkene een passende bescherming bieden. (16) De modelcontractbepalingen dienen afdwingbaar te zijn, zowel door de organisaties die partij bij het contract zijn als door de betrokkenen, met name wanneer zij schade ondervinden ten gevolge van een schending van het contract. (17) Op het contract dient het recht van de lidstaat van vestiging van de gegevensexporteur van toepassing te zijn dat een derde rechthebbende de mogelijkheid biedt de naleving van een contract te vorderen. De betrokkenen dienen zich door een vereniging of andere instelling te kunnen doen vertegenwoordigen, indien zij dat wensen en het nationale recht hiertoe de mogelijkheid biedt. (18) Ter beperking van de praktische problemen waarop betrokkenen kunnen stuiten wanneer zij hun rechten krachtens deze modelcontractbepalingen trachten te doen gelden, dienen de gegevensexporteur en de gegevensimporteur hoofdelijk aansprakelijk te zijn voor schade ten gevolge van een schending van de bepalingen die onder het derdenbeding vallen. (19) De betrokkene dient tegen de gegevensexporteur, de gegevensimporteur of tegen beiden een vordering tot schadevergoeding te kunnen instellen wegens schade die het gevolg is van een daad die onverenigbaar is met de verplichtingen in de modelcontractbepalingen. Beide partijen kunnen van deze aansprakelijkheid worden ontheven, indien zij bewijzen dat geen van beiden verantwoordelijk was. (20) De hoofdelijke aansprakelijkheid geldt niet voor bepalingen die niet onder het derdenbeding vallen en hoeft niet te betekenen dat één partij moet betalen voor schade die het gevolg is van een onrechtmatige verwerking door de andere partij. Hoewel de bepaling inzake onderlinge schadeloosstelling tussen de partijen geen vereiste is voor een passende bescherming van de betrokkenen en derhalve kan worden geschrapt, is zij omwille van de duidelijkheid in de modelcontractbepalingen opgenomen en om te voorkomen dat de partijen over afzonderlijke schadeloosstellingsbepalingen moeten onderhandelen. (21) Bij een geschil tussen de partijen en de betrokkene dat niet in der minne wordt geschikt en waarbij de betrokkene zich op het derdenbeding beroept, laten de partijen aan de betrokkene de keuze tussen bemiddeling, arbitrage of een beroep op de rechter. In hoeverre de betrokkene een daadwerkelijke keuze heeft, zal afhangen van de beschikbaarheid van betrouwbare en erkende bemiddelings- en arbitrageregelingen. Bemiddeling door de toezichthoudende autoriteit van een lidstaat dient een keuzemogelijkheid te zijn indien zij dergelijke diensten verleent. (22) De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het beschermingsniveau dat door de in de bijlage bij deze beschikking opgenomen modelcontractbepalingen wordt geboden, een advies uitgebracht waarmee bij de voorbereiding van deze beschikking rekening is gehouden ( 4 ). (23) De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31 van Richtlijn 95/46/EG ingestelde Comité, Overwegende hetgeen volgt: HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:







Artikel 1

De in de bijlage opgenomen modelcontractbepalingen worden geacht voldoende waarborgen te bieden ten aanzien van de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de daaraan verbonden rechten in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG.

▼M1

De voor de verwerking verantwoordelijken kunnen kiezen uit reeks I of II uit de bijlage. Zij mogen de bepalingen echter niet wijzigen en ook geen afzonderlijke bepalingen of reeksen bepalingen combineren.

▼B

Artikel 2

Deze beschikking betreft slechts de gepastheid van de bescherming die door de in de bijlage opgenomen modelcontractbepalingen voor de doorgifte van persoonsgegevens wordt geboden. Zij laat de toepassing van andere nationale bepalingen tot uitvoering van Richtlijn 95/46/EG die betrekking hebben op de verwerking van persoonsgegevens in de lidstaten onverlet.

Deze beschikking is niet van toepassing op de doorgifte van persoonsgegevens door voor de verwerking verantwoordelijken die in de Gemeenschap zijn gevestigd aan ontvangers buiten het grondgebied van de Gemeenschap die slechts als verwerkers optreden.

Artikel 3

Voor de toepassing van deze beschikking:

a) gelden de in Richtlijn 95/46/EG gegeven definities;

b) wordt onder „bijzondere categorieën gegevens” verstaan: de in artikel 8 van die richtlijn bedoelde gegevens;

c) wordt onder „toezichthoudende autoriteit” verstaan: de in artikel 28 van die richtlijn bedoelde autoriteit;

d) wordt onder „gegevensexporteur” verstaan: de voor de verwerking verantwoordelijke die de gegevens doorgeeft;

e) wordt onder „gegevensimporteur” verstaan: de voor de verwerking verantwoordelijke die ermee instemt van de gegevensexporteur persoonsgegevens voor verdere verwerking te ontvangen in overeenstemming met de voorwaarden van deze beschikking.

Artikel 4

1. Onverminderd hun bevoegdheden om maatregelen te treffen ter waarborging van de naleving van krachtens de hoofdstukken II, III, V en VI van Richtlijn 95/46/EG vastgestelde nationale bepalingen, kunnen de bevoegde autoriteiten in de lidstaten hun bestaande bevoegdheden gebruiken om gegevensstromen naar derde landen te verbieden of op te schorten teneinde natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen, wanneer

a) wordt vastgesteld dat het recht dat op de gegevensimporteur van toepassing is hem vereisten oplegt waarmee van de toepasselijke regels betreffende gegevensbescherming moet worden afgeweken, die verder gaan dan de beperkingen die in een democratische samenleving noodzakelijk zijn als bedoeld in artikel 13 van Richtlijn 95/46/EG, indien die vereisten in aanzienlijke mate afbreuk dreigen te doen aan de door de modelcontractbepalingen geboden waarborgen, of

b) een bevoegde autoriteit heeft vastgesteld dat de gegevensimporteur de contractbepalingen niet is nagekomen, of

c) het in aanzienlijke mate waarschijnlijk is dat de in de bijlage opgenomen modelcontractbepalingen niet worden of niet zullen worden nageleefd en bij verdere doorgifte het risico bestaat dat de betrokkenen ernstige schade wordt berokkend.

▼M1

2. Indien de voor de verwerking verantwoordelijke passende garanties biedt op basis van de modelcontractbepalingen van reeks II in de bijlage, hebben de bevoegde gegevensbeschermingsautoriteiten, voor de toepassing van lid 1, op grond van hun bestaande bevoegdheid het recht de doorgifte van gegevens te verbieden of op te schorten in een van beide volgende gevallen:

a) bij weigering van de gegevensimporteur om te goeder trouw samen te werken met de gegevensbeschermingsautoriteiten, of om te voldoen aan de in het contract duidelijk omschreven verplichtingen;

b) bij weigering van de gegevensexporteur om passende maatregelen te treffen om de gegevensimporteur aan het contract te houden binnen de normale termijn van één maand na kennisgeving aan de gegevensexporteur door de bevoegde gegevensbeschermingsautoriteit.

Voor de toepassing van de eerste alinea houden weigering te kwader trouw of weigering door de gegevensimporteur om het contract na te leven niet die gevallen in waar de samenwerking of naleving in strijd zou zijn met op de gegevensimporteur toepasselijke vereisten van het nationale recht die niet verder gaan dan wat in een democratische samenleving op basis van een van de in artikel 13, lid 1, van Richtlijn 95/46/EG genoemde belangen noodzakelijk is, met name sancties waarin bij internationale en/of nationale instrumenten is voorzien, en vereisten inzake de aangifte van belastingen en de bestrijding van het witwassen van zwart geld.

Voor de toepassing van punt (a) van de eerste alinea kan samenwerking onder meer inhouden dat de gegevensimporteur zijn gegevensverwerkingssysteem openstelt voor controle of dat hij verplicht gehoor geeft aan het advies van de toezichthoudende gegevensbeschermingsautoriteit in de Gemeenschap.

3. Het verbod of de opschorting overeenkomstig de leden 1 en 2 wordt opgeheven, zodra de redenen voor het verbod of de opschorting niet meer bestaan.

4. Wanneer een lidstaat op grond van de leden 1, 2 en 3 maatregelen treft, stelt hij de Commissie onverwijld daarvan in kennis, waarna de Commissie de andere lidstaten hiervan op de hoogte brengt.

▼B

Artikel 5

►M1 De Commissie evalueert de werking van deze beschikking op basis van de beschikbare informatie drie jaar na de kennisgeving ervan en van enige wijziging erop aan de lidstaten. ◄ Zij brengt verslag uit over de constateringen aan het krachtens artikel 31 van Richtlijn 95/46/EG ingestelde comité. Dit verslag omvat tevens alle gegevens die van invloed kunnen zijn op de beoordeling van de gepastheid van de modelcontractbepalingen in de bijlage en eventueel bewijs dat deze beschikking op discriminerende wijze wordt toegepast.

Artikel 6

Deze beschikking is van toepassing met ingang van 3 september 2001.

Artikel 7

Deze beschikking is gericht tot de lidstaten.









BIJLAGE

▼M1

REEKS I

▼B

Aanhangsel 1

bij de modelcontractbepalingen

Aanhangsel 2

bij de modelcontractbepalingen

Verplichte beginselen inzake gegevensbescherming, bedoeld in clausule 5, onder b), eerste alinea

Deze beginselen inzake gegevensbescherming moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen (beginselen en uitzonderingen) van Richtlijn 95/46/EG.

Zij gelden met inachtneming van de dwingende vereisten krachtens de op de gegevensimporteur van toepassing zijnde nationale wetgeving, voorzover deze niet verder gaan dan hetgeen in een democratische samenleving noodzakelijk is op grond van een van de in artikel 13, lid 1, van Richtlijn 95/46/EG genoemde belangen, dat wil zeggen dat het een maatregel betreft die noodzakelijk is ter vrijwaring van de veiligheid van een staat, de landsverdediging, de openbare veiligheid, het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen, een belangrijk economisch en financieel belang van een lidstaat of de bescherming van de betrokkene of van de rechten en vrijheden van anderen.

1. Specificiteit: gegevens mogen alleen worden verwerkt en vervolgens worden gebruikt en doorgegeven voor de specifieke doeleinden die in aanhangsel 1 bij de clausules zijn vermeld. Gegevens mogen niet langer worden bewaard dan nodig is voor de doeleinden waarvoor zij werden doorgegeven.

2. Kwaliteit en evenredigheid van de gegevens: de gegevens moeten correct en, waar van toepassing, geactualiseerd zijn. Zij moeten passend en relevant zijn en mogen niet excessief zijn in verhouding tot de doeleinden van de doorgifte of van de verdere verwerking.

3. Transparantie: aan de betrokkenen moet informatie worden verstrekt over de doeleinden van de verwerking en de identiteit van de voor de verwerking verantwoordelijke in het derde land, alsmede alle andere informatie die nodig is om een deugdelijke verwerking te garanderen, tenzij deze informatie reeds door de gegevensexporteur is verstrekt.

4. Beveiliging en vertrouwelijkheid: de voor de verwerking verantwoordelijke moet technische en organisatorische beveiligingsmaatregelen treffen die zijn afgestemd op de risico's van de verwerking, zoals onrechtmatige toegang. Eenieder die onder het gezag van de voor de verwerking verantwoordelijke staat, met inbegrip van een verwerker, mag de gegevens enkel volgens zijn instructies verwerken.

5. Recht van toegang, rectificatie, uitwissing en afscherming van gegevens: overeenkomstig artikel 12 van Richtlijn 95/46/EG moet de betrokkene recht hebben op toegang tot alle hem betreffende gegevens die worden verwerkt alsmede, waar van toepassing, op rectificatie, uitwissing of afscherming van gegevens waarvan de verwerking niet in overeenstemming met de in dit aanhangsel vermelde beginselen heeft plaatsgehad, met name wanneer de gegevens onvolledig of onjuist zijn. Tevens moet de betrokkene zich op dwingende en legitieme gronden met betrekking tot zijn bijzondere situatie tegen de verwerking van de hem betreffende kunnen verzetten.

6. Beperking van verdere doorgiften: een volgende doorgifte van persoonsgegevens door de gegevensimporteur aan een andere voor de verwerking verantwoordelijke in een derde land dat geen passende bescherming biedt of waarop geen beschikking van de Commissie krachtens artikel 25, lid 6, van Richtlijn 95/46/EG van toepassing is (verdere doorgifte), is alleen toegestaan wanneer aan een van de volgende voorwaarden wordt voldaan: a) de betrokkenen hebben hun ondubbelzinnige toestemming gegeven voor de verdere doorgifte, indien de doorgifte bijzondere categorieën gegevens betreft, of zijn, in de overige gevallen, in de gelegenheid gesteld zich tegen de doorgifte te verzetten. Aan de betrokkenen moet ten minste de volgende informatie worden verstrekt in een taal die zij begrijpen: — de doeleinden van de verdere doorgifte, — de identiteit van de in de Gemeenschap gevestigde gegevensexporteur, — de categorieën verdere ontvangers van de gegevens en de landen van bestemming, — de mededeling dat de gegevens na de verdere doorgifte kunnen worden verwerkt door een voor de verwerking verantwoordelijke in een land waar geen passende bescherming van de persoonlijke levenssfeer van natuurlijke personen wordt gewaarborgd; of b) de gegevensexporteur en de gegevensimporteur stemmen ermee in dat een andere voor de verwerking verantwoordelijke zich bij de clausules aansluit en daarmee partij bij de clausules wordt en dezelfde verplichtingen aangaat als de gegevensimporteur.

7. Bijzondere categorieën gegevens: wanneer gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt of gegevens die de gezondheid of het seksuele leven betreffen, dan wel gegevens inzake overtredingen, strafrechtelijke veroordelingen of veiligheidsmaatregelen worden verwerkt, moeten aanvullende waarborgen worden geboden in de zin van Richtlijn 95/46/EG, met name door passende beveiligingsmaatregelen zoals de toepassing van sterke encryptie bij de gegevensoverdracht of zoals de registratie van iedere toegang tot gevoelige gegevens.

8. Direct marketing: wanneer gegevens voor directmarketingdoeleinden worden verwerkt, moeten er doeltreffende procedures bestaan die de betrokkene in staat stellen zich op ieder ogenblik tegen het gebruik van zijn persoonsgegevens voor dergelijke doeleinden te verzetten („opt-out”).

9. Geautomatiseerde individuele besluiten: de betrokkene heeft het recht niet te worden onderworpen aan een besluit dat uitsluitend op de automatische verwerking van gegevens is gebaseerd, tenzij andere maatregelen worden getroffen om de gerechtvaardigde belangen van de betrokkene te waarborgen overeenkomstig artikel 15, lid 2, van Richtlijn 95/46/EG. Wanneer de doorgifte een geautomatiseerd besluit in de zin van artikel 15 van Richtlijn 95/46/EG tot doel heeft, dat wil zeggen een besluit waaraan voor de betrokkene rechtsgevolgen zijn verbonden of dat hem in aanmerkelijke mate treft en dat louter wordt genomen op grond van een geautomatiseerde gegevensverwerking die bestemd is om bepaalde aspecten van zijn persoonlijkheid, zoals beroepsprestatie, kredietwaardigheid, betrouwbaarheid, gedrag enzovoort te evalueren, moet hij recht hebben op informatie over de redenen voor dit besluit.

Aanhangsel 3

bij de modelcontractbepalingen

Verplichte beginselen inzake gegevensbescherming, bedoeld in clausule 5, onder b), tweede alinea

1. Specificiteit: gegevens mogen alleen worden verwerkt en vervolgens worden gebruikt en doorgegeven voor de specifieke doeleinden die in aanhangsel 1 bij de clausules zijn vermeld. Gegevens mogen niet langer worden bewaard dan nodig is voor de doeleinden waarvoor zij werden doorgegeven.

2. Recht van toegang, rectificatie, uitwissing en afscherming van gegevens: overeenkomstig artikel 12 van Richtlijn 95/46/EG moet de betrokkene recht hebben op toegang tot alle hem betreffende gegevens die worden verwerkt alsmede, waar van toepassing, op rectificatie, uitwissing of afscherming van gegevens waarvan de verwerking niet in overeenstemming met de in dit aanhangsel vermelde beginselen heeft plaatsgehad, met name wanneer de gegevens onvolledig of onjuist zijn. Tevens moet de betrokkene zich op dwingende en legitieme gronden met betrekking tot zijn bijzondere situatie tegen de verwerking van de hem betreffende kunnen verzetten.

3. Beperking van verdere doorgiften: een volgende doorgifte van persoonsgegevens door de gegevensimporteur aan een andere voor de verwerking verantwoordelijke in een derde land dat geen passende bescherming biedt of waarop geen beschikking van de Commissie krachtens artikel 25, lid 6, van Richtlijn 95/46/EG van toepassing is (verdere doorgifte), is alleen toegestaan wanneer aan een van de volgende voorwaarden wordt voldaan: a) de betrokkenen hebben hun ondubbelzinnige toestemming gegeven voor de verdere doorgifte, indien de doorgifte bijzondere categorieën gegevens betreft, of zijn, in de overige gevallen, in de gelegenheid gesteld zich tegen de doorgifte te verzetten. Aan de betrokkenen moet ten minste de volgende informatie worden verstrekt in een taal die zij begrijpen: — de doeleinden van de verdere doorgifte, — de identiteit van de in de Gemeenschap gevestigde gegevensexporteur, — de categorieën verdere ontvangers van de gegevens en de landen van bestemming, — de mededeling dat de gegevens na de verdere doorgifte kunnen worden verwerkt door een voor de verwerking verantwoordelijke in een land waar geen passende bescherming van de persoonlijke levenssfeer van natuurlijke personen wordt gewaarborgd; of b) de gegevensexporteur en de gegevensimporteur stemmen ermee in dat een andere voor de verwerking verantwoordelijke zich bij de clausules aansluit en daarmee partij bij de clausules wordt en dezelfde verplichtingen aangaat als de gegevensimporteur.

▼M1

REEKS II

Modelcontractbepalingen voor de doorgifte van persoonsgegevens uit de Gemeenschap naar derde landen (doorgifte van voor de verwerking verantwoordelijke naar voor de verwerking verantwoordelijke)

Contract inzake de doorgifte van gegevens

Tussen

_ (naam)

_ (adres en land van vestiging)

hierna de „gegevensexporteur”genoemd

en

_ (naam)

_(adres en land van vestiging)

hierna de„gegevensimporteur”genoemd

elk een „partij”, samen „de partijen”

Definities

Voor de toepassing van deze bepalingen:

a) hebben de begrippen „persoonsgegevens”, „bijzondere categorieën gegevens/gevoelige gegevens”, „verwerken/verwerking”, „voor de verwerking verantwoordelijke”, „verwerker”, „betrokkene” en „toezichthoudende autoriteit/autoriteit” hier dezelfde betekenis als in Richtlijn 95/46/EG van 24 oktober 1995 (waarbij „de autoriteit” betekent: de bevoegde gegevensbeschermingsautoriteit op het grondgebied waar de gegevensexporteur is gevestigd);

b) wordt onder „gegevensexporteur” verstaan: de voor de verwerking verantwoordelijke die de persoonsgegevens doorgeeft;

c) wordt onder „gegevensimporteur” verstaan: de voor de verwerking verantwoordelijke die ermee instemt om overeenkomstig de voorwaarden van deze bepalingen persoonsgegevens voor verdere verwerking van de gegevensexporteur te ontvangen en die niet onderworpen is aan een systeem voor passende bescherming van een derde land;

d) worden onder „bepalingen” deze contractbepalingen verstaan, die een afzonderlijk document zijn dat geen commerciële voorwaarden bevat die door de partijen in afzonderlijke commerciële overeenkomsten zijn vastgelegd.

De details van de doorgifte alsook de betrokken persoonsgegevens worden in bijlage B nader gespecificeerd; die bijlage is een vast onderdeel van de bepalingen.

I. Verplichtingen van de gegevensexporteur

De gegevensexporteur garandeert en verbindt zich tot het volgende:

a) De persoonsgegevens worden verzameld, verwerkt en doorgegeven overeenkomstig de wetgeving die van toepassing is op de gegevensexporteur.

b) Er is een redelijke inspanning gedaan om vast te stellen dat de gegevensimporteur in staat is zijn wettelijke verplichtingen volgens deze bepalingen na te leven.

c) De gegevensimporteur krijgt op verzoek kopieën van de relevante wetgeving inzake gegevensbescherming of verwijzingen daarnaar (indien relevant, en zonder juridisch advies) van het land waar de gegevensexporteur is gevestigd.

d) Er wordt geantwoord op informatieverzoeken van de betrokkenen en van de autoriteit in verband met de verwerking van de persoonsgegevens door de gegevensimporteur, tenzij de partijen zijn overeengekomen dat de gegevensimporteur antwoordt; indien de gegevensimporteur hiertoe niet bereid of in staat is, antwoordt de gegevensexporteur binnen de mate van wat redelijkerwijs mogelijk is en verstrekt de informatie die redelijkerwijs beschikbaar is. Een antwoord wordt binnen een redelijke termijn gegeven.

e) Op verzoek wordt een kopie van de bepalingen aan de betrokkenen ter beschikking gesteld in het kader van rechten in verband met het derdenbeding volgens bepaling III, tenzij de bepalingen vertrouwelijke informatie bevatten, die dan mag worden verwijderd. Indien gegevens worden verwijderd, stelt de gegevensexporteur de betrokkenen daarvan schriftelijk in kennis en wijst hij hen op het recht om deze verwijdering bij de autoriteit te melden. De gegevensexporteur verbindt zich er evenwel toe zich te richten naar een besluit van de autoriteit inzake de toegang tot de volledige tekst van de bepalingen voor de betrokkenen, mits de betrokkenen zich ertoe verbinden de vertrouwelijkheid van de verwijderde gegevens te respecteren. Indien nodig verstrekt de gegevensexporteur tevens een kopie van de bepalingen aan de autoriteit.

II. Verplichtingen van de gegevensimporteur

De gegevensimporteur garandeert en verbindt zich tot het volgende:

a) Er wordt voorzien in de nodige technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, verlies, vervalsing, ongeoorloofde verspreiding of toegang, en die een passend beveiligingsniveau garanderen gelet op de risico's die de verwerking en de aard van de te beschermen gegevens met zich brengen.

b) Er wordt in procedures voorzien om te garanderen dat elke derde partij die toegang krijgt tot de persoonsgegevens, met inbegrip van verwerkers, de vertrouwelijkheid en veiligheid ervan respecteert. Elke persoon die onder de verantwoordelijkheid van de gegevensimporteur handelt, met inbegrip van een verwerker, is verplicht de persoonsgegevens alleen volgens de instructies van de gegevensimporteur te verwerken. Deze bepaling is niet van toepassing op personen die bij wet of regelgeving geautoriseerd of verplicht zijn om toegang te hebben tot de persoonsgegevens.

c) Er is geen reden om aan te nemen dat op het ogenblik dat deze bepalingen worden toegepast, enige lokale wetgeving van kracht is die een belangrijk negatief effect zou hebben op de garanties van deze bepalingen; indien het bestaan van dergelijke wetgeving bekend wordt, wordt de gegevensexporteur daarvan in kennis gesteld, die op zijn beurt indien nodig de autoriteit inlicht.

d) De persoonsgegevens worden verwerkt voor de toepassingen als beschreven in bijlage B, en de gegevensimporteur de wettelijke bevoegdheid bezit om de in deze bepalingen genoemde garanties te verstrekken en verbintenissen na te komen.

e) Aan de gegevensexporteur wordt mededeling gedaan over een contactpunt bij de gegevensimporteur dat bevoegd is om op zijn informatieverzoeken inzake de verwerking van persoonsgegevens te antwoorden; in verband met deze informatieverzoeken wordt te goeder trouw en binnen een redelijke termijn gezorgd voor een goede samenwerking met de gegevensexporteur, de betrokkene en de autoriteit. Wanneer de gegevensexporteur wettelijk wordt opgeheven, of indien de partijen zodanig overeenkomen , neemt de gegevensimporteur de verantwoordelijkheid over voor de naleving van bepaling I, onder e).

f) Op verzoek van de gegevensexporteur wordt aan deze documentatie overgelegd waaruit blijkt dat er voldoende financiële middelen beschikbaar zijn voor de naleving van de in bepaling III opgesomde verantwoordelijkheden (eventueel inclusief verzekeringskosten).

g) Op redelijk verzoek van de gegevensexporteur worden met het oog op controle, audit en/of certificering door de gegevensexporteur (of een door de gegevensexporteur gekozen en door de gegevensimporteur geaccepteerde groep onafhankelijke en onpartijdige inspecteurs of auditeurs) het gegevensverwerkingssysteem, de gegevensbestanden en de voor de verwerking noodzakelijke documentatie opengesteld om na te gaan of alle garanties en verbintenissen van deze bepalingen worden nageleefd; zulks met een redelijke aankondiging vooraf en tijdens gewone kantooruren. Dit verzoek moet eventueel door een regelgevende of toezichthoudende autoriteit in het land van de gegevensimporteur worden toegestaan of goedgekeurd; deze toestemming of goedkeuring wordt door de gegevensimporteur tijdig aangevraagd.

h) De persoonsgegevens worden naar keuze van de gegevensimporteur overeenkomstig de volgende bepalingen verwerkt: i) de wetgeving inzake gegevensbescherming in het land van vestiging van de gegevensexporteur; of ii) de relevante bepalingen ( 5 ) van besluiten van de Commissie krachtens artikel 25, lid 6, van Richtlijn 95/46/EG, wanneer de gegevensimporteur de relevante bepalingen van een dergelijke toestemming of een dergelijk besluit naleeft en gevestigd is in een land waarop dergelijke toestemming of dergelijk besluit betrekking heeft, maar niet is gedekt door dergelijke toestemming of dergelijk besluit wat de doorgifte van persoonsgegevens betreft ( 6 ), of iii) de beginselen voor gegevensverwerking neergelegd in bijlage A. Aanduiding door de gegevensimporteur van de gekozen optie:_ Initialen van de gegevensimporteur:_;

i) De persoonsgegevens worden niet bekendgemaakt of doorgegeven aan een derde voor de verwerking verantwoordelijke buiten de Europese Economische Ruimte (EER), tenzij de gegevensexporteur over de doorgifte wordt ingelicht en i) de derde voor de verwerking verantwoordelijke de persoonsgegevens verwerkt overeenkomstig de bepalingen van een besluit van de Commissie waarin wordt vastgesteld dat een derde land passende bescherming biedt, of ii) de derde voor de verwerking verantwoordelijke deze bepalingen of een andere door een bevoegde autoriteit in de Europese Unie goedgekeurde overeenkomst inzake doorgifte van gegevens ondertekent, of iii) de betrokkenen de mogelijkheid is geboden zich te verzetten, na te zijn geïnformeerd van het doel van de doorgifte, de categorieën ontvangers en het feit dat de landen waarnaar de gegevens worden geëxporteerd er eventueel andere normen voor gegevensbescherming op na houden, of iv) de betrokkenen ondubbelzinnig hebben ingestemd met de verdere doorgifte van gevoelige gegevens.

III. Aansprakelijkheid en de rechten van derde partijen

a) Elke partij is aansprakelijk tegenover de andere partij voor schade die door niet-naleving van deze bepalingen wordt toegebracht. De aansprakelijkheid tussen de partijen blijft beperkt tot werkelijk opgelopen schade. Schadevergoedingen met een bestraffend karakter (d.w.z. schadevergoedingen bedoeld om een partij voor onacceptabele handelswijzen te bestraffen) zijn uitdrukkelijk uitgesloten. Elke partij is aansprakelijk tegenover de betrokkenen voor schade toegebracht door inbreuken op de rechten van derde partijen krachtens deze bepalingen. Dit heeft geen gevolgen voor de aansprakelijkheid van de gegevensexporteur krachtens diens eigen wetgeving inzake gegevensbescherming.

b) De partijen stemmen ermee in dat een betrokkene in het kader van het derdenbeding het recht heeft om de toepassing van deze bepaling, alsook van de bepalingen I.b), I.d), I.e), II.a), II.c), II.d), II.e), II.h), II.i), III.a), V., VI.d), en VII tegenover de gegevensimporteur of -exporteur bij niet naleving van hun respectieve contractuele verplichtingen inzake zijn persoonsgegevens af te dwingen, en zij aanvaarden in dit verband de rechtsbevoegdheid van het land van vestiging van de gegevensexporteur. Bij klachten over niet-naleving door de gegevensimporteur moet de betrokkene eerst de gegevensexporteur verzoeken de nodige actie te ondernemen om zijn rechten tegenover de gegevensimporteur te doen gelden; indien dit niet binnen een redelijke termijn gebeurt (onder normale omstandigheden één maand), kan de betrokkene zijn rechten tegenover de gegevensimporteur direct doen gelden. De betrokkene heeft het recht rechtstreeks een zaak aan te spannen tegen een gegevensexporteur die niet voldoende inspanningen heeft gedaan om te bepalen of de gegevensimporteur aan zijn verplichtingen volgens deze bepalingen kan voldoen (waarbij de bewijslast bij de gegevensexporteur ligt).

IV. Op de bepalingen toepasselijke wetgeving

Op deze bepalingen is de wetgeving van het land van vestiging van de gegevensexporteur van toepassing, met uitzondering van de wetten en regelingen in verband met de verwerking van persoonsgegevens door de gegevensimporteur volgens bepaling II, onder h), die alleen van toepassing is indien hiervoor in het kader van deze bepaling door de gegevensimporteur is geopteerd.

V. Geschillenregeling met betrokkenen of de autoriteit

a) Indien een geschil ontstaat of door een betrokkene of de autoriteit tegen één of beide partijen een eis wordt ingesteld inzake de verwerking van persoonsgegevens, lichten de partijen elkaar wederzijds in over dit geschil of deze eis en werken zij samen met het oog op een spoedige minnelijke schikking ervan.

b) De partijen stemmen ermee in mee te werken met elke algemeen-beschikbare niet-bindende bemiddelingsprocedure die door een betrokkene of de autoriteit wordt ingeleid. Daarbij kunnen de partijen kiezen voor medewerking op afstand (bv. via telefoon of andere elektronische middelen). De partijen zeggen ook toe hun deelname aan andere vormen van arbitrage, bemiddeling of geschillenbeslechting die voor geschillen inzake gegevensbescherming zijn ontwikkeld, in overweging te nemen.

c) Elke partij voegt zich naar een besluit van een bevoegde rechtbank in het land van vestiging van de gegevensexporteur of van de autoriteit, wanneer dit definitief is en ertegen geen beroep meer mogelijk is.

VI. Beëindiging

a) Indien de gegevensimporteur zijn verplichtingen krachtens deze bepalingen niet naleeft, kan de gegevensexporteur de doorgifte van persoonsgegevens aan de gegevensimporteur tijdelijk opschorten tot de inbreuk ongedaan is gemaakt of de overeenkomst beëindigd.

b) Ingeval i) de doorgifte van persoonsgegevens aan de gegevensimporteur door de gegevensexporteur overeenkomstig punt a) voor een periode langer dan een maand tijdelijk is opgeschort; ii) de naleving van deze bepalingen door de gegevensimporteur een inbreuk zou vormen op de wettelijke of regelgevende verplichtingen in zijn land; iii) de gegevensimporteur in belangrijke en voortdurende mate in gebreke blijft ten aanzien van garanties of verbintenissen krachtens deze bepalingen; iv) een definitief en niet voor beroep vatbaar besluit van een bevoegde rechtbank in het land van vestiging van de gegevensexporteur of van de autoriteit vaststelt dat de gegevensimporteur of -exporteur deze bepalingen heeft overtreden; of v) een aanvraag is gedaan voor een akkoord of liquidatie met betrekking tot de gegevensimporteur, hetzij als individu of instelling, en deze aanvraag niet binnen de daartoe in de toepasselijke wetgeving vastgestelde termijn wordt afgewezen; een besluit tot liquidatie wordt genomen; een curator wordt aangesteld over de bezittingen; een faillissementsbeheerder wordt aangewezen, indien de gegevensimporteur een individuele persoon is; een vrijwillige schikking door het bedrijf wordt opgestart; of enige andere equivalente gerechtelijke maatregel wordt getroffen; dan heeft de gegevensexporteur het recht een einde te stellen aan deze bepalingen, ongeacht enige andere rechten die hij tegenover de gegevensimporteur kan doen gelden, en wordt indien nodig de autoriteit hiervan op de hoogte gesteld. Ook in de gevallen bestreken door de bepalingen i), ii), of iv) hierboven, kan de gegevensimporteur aan deze bepalingen een einde stellen.

c) Elke partij kan aan deze bepalingen een einde stellen indien i) door de Commissie een positieve vaststelling van gepastheid wordt uitgevaardigd krachtens artikel 25, lid 6, van Richtlijn 95/46/EG (of enige tekst die deze richtlijn vervangt) voor het land (of een deel daarvan) waarnaar de gegevens worden doorgegeven en waar zij door de gegevensimporteur worden verwerkt, of indien ii) Richtlijn 95/46/EG (of enige tekst die deze richtlijn vervangt) rechtstreeks van toepassing wordt in een land.

d) De partijen stemmen ermee in dat de beëindiging van deze bepalingen, om het even wanneer, om het even in welke omstandigheden, en om het even om welke reden (behalve om de reden van bepaling VI.c), geen afbreuk doet aan de verplichtingen en/of voorwaarden waaraan de partijen krachtens deze bepalingen onderworpen zijn inzake de verwerking van doorgegeven persoonsgegevens.

VII. Wijziging van deze bepalingen

De partijen mogen deze bepalingen niet wijzigen behalve ter actualisering van de informatie in bijlage B; in dat geval lichten zij de autoriteit daarvan indien nodig in. Dit hindert de partijen niet indien nodig aanvullende commerciële bepalingen toe te voegen.

VIII. Beschrijving van de doorgifte

De details van de doorgifte en van de persoonsgegevens worden in bijlage B nader toegelicht. De partijen stemmen ermee in dat bijlage B vertrouwelijke bedrijfsinformatie kan bevatten die niet aan derde partijen wordt bekendgemaakt, behalve als dit bij wet of op verzoek van een bevoegd regelgevend of overheidsorgaan, of als vereist bij bepaling I.e), wordt verlangd. De partijen kunnen aanvullende bijlagen opstellen voor aanvullende doorgiften, die zo nodig bij de autoriteit worden ingediend. Een andere mogelijkheid is dat bijlage B wordt opgesteld voor meervoudige doorgiften.

Datum:_

_

_

voor de GEGEVENSIMPORTEUR

voor de GEGEVENSEXPORTEUR

…

…

…

…

…

…

BIJLAGE A

BEGINSELEN VOOR DE VERWERKING VAN GEGEVENS

1. Beperking van het doel: Persoonsgegevens mogen alleen worden verwerkt en daarna gebruikt of verder doorgegeven voor de in bijlage B beschreven doeleinden, of indien de betrokkene daar achteraf toestemming toe geeft.

2. Kwaliteit en evenredigheid van de gegevens: De persoonsgegevens moeten correct en zo nodig bijgewerkt zijn. De persoonsgegevens moeten toereikend, ter zake dienend en niet bovenmatig zijn, uitgaande van de doeleinden waarvoor zij worden doorgegeven of verder verwerkt.

3. Transparantie: De betrokkenen moeten worden geïnformeerd om een correcte verwerking te waarborgen (zoals informatie over de doeleinden van de verwerking en doorgifte), tenzij deze informatie reeds door de gegevensexporteur is verstrekt.

4. Veiligheid en vertrouwelijkheid: Er moeten door de voor de verwerking verantwoordelijke overeenkomstig de bij verwerking bestaande risico’s technische en organisatorische beveiligingsmaatregelen worden getroffen, zoals tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, verlies, vervalsing, ongeoorloofde bekendmaking of toegang. Eenieder die onder het gezag van de voor de verwerking verantwoordelijke staat, met inbegrip van een verwerker, mag alleen volgens zijn instructies gegevens verwerken.

5. Recht van toegang, rectificatie, uitwissing en verzet: Zoals bepaald in artikel 12 van Richtlijn 95/46/EG moet aan de betrokkenen, hetzij rechtstreeks of via een derde partij, de persoonlijke informatie worden verstrekt die door een organisatie over hen wordt bijgehouden; dit geldt niet voor duidelijk abusieve verzoeken (onredelijke termijnen, steeds herhaald, systematisch), of waaraan krachtens de wetgeving in het land van de gegevensexporteur niet tegemoetgekomen kan worden. Indien de autoriteit hier vooraf mee heeft ingestemd, hoeft de toegang ook niet te worden verleend indien daardoor de belangen van de gegevensimporteur of van andere met de gegevensimporteur samenwerkende organisaties ernstig zouden kunnen worden geschaad en indien deze belangen niet moeten wijken voor de fundamentele rechten en vrijheden van de betrokkene. De bronnen van de persoonsgegevens hoeven niet te worden geïdentificeerd indien dit niet redelijkerwijs mogelijk is, of wanneer de rechten van andere personen erdoor zouden worden geschonden. De betrokkenen moeten hun persoongegevens kunnen rectificeren, aanvullen of wissen wanneer deze niet correct zijn of tegen deze beginselen in zijn verwerkt. Indien er dwingende redenen zijn om aan de gegrondheid van een verzoek te twijfelen, kan de organisatie verder bewijsmateriaal eisen alvorens over te gaan tot rectificatie, aanvulling of uitwissing. De rectificatie, wijziging of uitwissing hoeft niet te worden medegedeeld aan de derde partijen aan wie de gegevens zijn doorgegeven, indien dit een onevenredig grote inspanning vergt. De betrokkenen moeten ook in staat worden gesteld zich te verzetten tegen de verwerking van de eigen persoonsgegevens indien daar dwingende rechtmatige persoonlijke gronden toe bestaan. De bewijslast in geval van weigering ligt bij de gegevensimporteur, en de betrokkene kan de weigering steeds bij de autoriteit aanvechten.

6. Gevoelige gegevens: De gegevensimporteur neemt de nodige aanvullende maatregelen (bv. i.v.m. beveiliging) om gevoelige gegevens overeenkomstig de verplichtingen van bepaling II te beschermen.

7. Gegevens gebruikt voor marketingdoeleinden: Indien gegevens worden verwerkt met directe marketingdoeleinden, moeten er doeltreffende procedures bestaan om de betrokkene in staat te stellen op elk moment voor een „opt-out” te kiezen.

8. Geautomatiseerde besluiten – Met„geautomatiseerde besluiten” wordt hier bedoeld: een besluit door de gegevensexporteur of –importeur dat wettelijke of andere significante gevolgen heeft voor de betrokkene en dat uitsluitend gebaseerd is op een automatische verwerking van de persoonsgegevens ter evaluatie van persoonlijke aspecten, zoals prestaties op het werk, kredietwaardigheid, betrouwbaarheid, gedrag, enz. De gegevensimporteur neemt geen geautomatiseerde besluiten in verband met de betrokkenen, behalve indien: i) een dergelijk besluit door de gegevensimporteur wordt getroffen naar aanleiding van het aangaan of de uitvoering van een overeenkomst met de betrokkene, en ii) de betrokkene de gelegenheid krijgt de resultaten van een geautomatiseerd besluit te bespreken met een vertegenwoordiger van de partij die dit besluit trof, of anderszins bij deze partij bezwaar aan te tekenen. a) of b) hierin is voorzien door de wetgeving van de gegevensexporteur.

BIJLAGE B

BESCHRIJVING VAN DE DOORGIFTE

(In te vullen door de partijen)

COMMERCIËLE BEPALINGEN TER ILLUSTRATIE (OPTIONEEL)

Schadeloosstelling tussen gegevensexporteur en gegevensimporteur:

„De partijen vergoeden elkaar voor alle kosten, lasten, schade, uitgave of verlies die zij elkaar toebrengen ten gevolge van niet-naleving van enig voorschrift van deze bepalingen. Schadeloosstelling in deze zin is afhankelijk van a) de onverwijlde melding door de schadeloos te stellen partij(en) aan de schadeloosstellende partij(en) van een aanspraak, b) het feit dat de schadeloosstellende partij(en) als enige controle heeft/hebben op de verdediging tegen en de regeling van een dergelijke aanspraak, en c) voldoende samenwerking en steun van de schadeloos te stellen partij(en) aan de schadeloosstellende partij(en) bij de verdediging tegen een dergelijke aanspraak.”.

Geschillenregeling tussen de gegevensexporteur en de gegevensimporteur (de partijen kunnen natuurlijk opteren voor elke andere alternatieve geschillenregeling of gerechtelijke formule):

„Bij een geschil tussen de gegevensimporteur en de gegevensexporteur over een mogelijke inbreuk op enig voorschrift van deze bepalingen wordt dit geschil definitief beslecht door een of meer geschillenbeslechters volgens de arbitrageregels van de Internationale Kamer van Koophandel. De plaats van arbitrage is [ ]. Het aantal geschillenbeslechters is [ ].”.

Toewijzing van kosten:

„Elke partij vervult haar verplichtingen volgens deze bepalingen op eigen kosten.”.

Extra beëindigingsbepaling:

„Indien aan deze bepalingen een einde wordt gesteld, moet de gegevensimporteur alle persoonsgegevens en kopieën van persoonsgegevens die onder deze bepalingen vallen onverwijld aan de gegevensexporteur terugbezorgen of, naar keuze van de gegevensexporteur, zelf alle persoonsgegevens vernietigen en deze vernietiging voor de gegevensexporteur staven, tenzij de nationale wetgeving of de lokale regelgeving van de gegevensimporteur deze verbiedt persoonsgegevens geheel of gedeeltelijk te vernietigen of terug te bezorgen; in dit geval worden de gegevens vertrouwelijk bewaard en niet actief verwerkt voor enigerlei doel. De gegevensimporteur stemt er op verzoek van de gegevensexporteur mee in de gegevensexporteur of een door deze gekozen inspecteur tegen wie de gegevensinporteur geen redelijke bezwaren maakt, toegang te verlenen tot zijn vestiging om na te gaan of dit is gebeurd; zulks met een redelijke aankondiging vooraf en tijdens gewone kantooruren.”