Příloha č. 3: Standardní smluvní body

Pro účely čl. 26 odst. 2 Směrnice 95/46/ES pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích, které nezajišťují přiměřenou úroveň ochrany údajů

správce uvedený v Příloze č. 2 ke Smlouvě o zpracování údajů (vývozce údajů)

a

zpracovatel uvedený v Příloze č. 2 ke Smlouvě o zpracování údajů (dovozce údajů);

kde každý představuje stranu a společně se nazývají strany,

SE DOHODLI na následujících smluvních bodech (dále jen body) s cílem stanovit přiměřená ochranná opatření, pokud jde o ochranu soukromí a základních práv a svobod fyzických osob při předávání osobních údajů uvedených v Dodatku 1 od vývozce údajů na dovozce údajů, které tvoří nedílnou součást smluvních bodů (Dodatek 1).

Bod 1 Definice

Pro účely doložek:

(a) Vývozcem údajů se rozumí správce, který předává osobní údaje vlastním jménem a jménem svých partnerů;

(b) Dovozcem údajů se rozumí zpracovatel, který souhlasí s tím, že obdrží od vývozce údajů osobní údaje určené po předání ke zpracování jeho jménem v souladu s jeho pokyny a s podmínkami smluvních bodů, a který nepodléhá systému třetí země zajišťujícímu přiměřenou ochranu;

(c) Dílčím zpracovatelem se rozumí každý zpracovatel, který je zapojen dovozcem údajů nebo jiným dílčím zpracovatelem dovozce údajů, který souhlasí, že od dovozce údajů nebo od jiného dílčího zpracovatele dovozce údajů bude přijímat osobní údaje určené výhradně k činnostem zpracování, které mají být po předání prováděny jménem vývozce údajů v souladu s jeho pokyny, podmínkami smluvních bodů a podmínkami písemné dílčí smlouvy;

(d) Platným zákonem o ochraně údajů se rozumí právní předpisy chránící základní práva a svobody jednotlivců a zejména jejich právo na soukromí, pokud jde o zpracovávání osobních údajů příslušného správce v členském státě, kde je usazen vývozce údajů;

(e) Technickými a organizačními bezpečnostními opatřeními se rozumějí opatření zaměřená na ochranu osobních údajů proti náhodnému nebo nezákonnému zničení nebo náhodné ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu, zejména pokud zpracování zahrnuje přenos údajů v síti, a proti všem ostatním protiprávním formám zpracování určeným v Dodatku 2, který tvoří nedílnou součást smluvních bodů.

 

Bod 2 Podrobnosti předání

Podrobnosti předání, zejména zvláštní kategorie osobních údajů, jsou uvedeny v Dodatku 1.

 

Bod 3 Doložka o beneficientovi třetí strany

1. Subjekt údajů může vůči vývozci údajů jako beneficient třetí strany vynutit tento bod, bod 4 (b) až (i), bod 5 (a) až (e) a (g) až (j), bod 6 odst. 1 a 2, bod 7, bod 8 odst. 2 a body 9 až 12.

2. Subjekt údajů může vůči dovozci údajů vynutit tento bod, bod 5 (a) až (e) a (g), bod 6, bod 7, bod 8 odst. 2 a body 9 až 12, v případech, kdy vývozce údajů věcně zanikl nebo přestal existovat z pohledu zákona, ledaže by některý nástupnický subjekt převzal všechny zákonné závazky vývozce údajů podle smlouvy nebo právního úkonu, v důsledku čehož převezme práva a povinnosti vývozce údajů, a v takovém případě je může subjekt údajů proti takovému subjektu vynutit.

3. Subjekt údajů může vůči dílčímu zpracovateli vynutit tento bod, bod 5 (a) až (e) a (g), bod 6, bod 7, bod 8 odst. 2 a body 9 až 12, v případech, kdy vývozce i dovozce údajů věcně zanikli nebo přestali existovat z pohledu zákona nebo se stali insolventními, ledaže by některý nástupnický subjekt převzal všechny zákonné závazky vývozce údajů podle smlouvy nebo právního úkonu, v důsledku čehož převezme práva a povinnosti vývozce údajů, a v takovém případě je může subjekt údajů proti takovému subjektu vynutit. Tato odpovědnost jiného dílčího zpracovatele vůči třetím stranám se omezuje na vlastní zpracovatelské operace podle smluvních bodů.

4. Strany nemají námitky proti tomu, aby byl subjekt údajů zastoupen sdružením nebo jiným subjektem, pokud to subjekt údajů výslovně požaduje a pokud to připouští zákony dané země.

 

Bod 4 Povinnosti vývozce údajů

Vývozce údajů se zavazuje a zaručuje:

(a) že zpracování osobních údajů, včetně samotného předání, bylo a bude i nadále prováděno v souladu s odpovídajícími ustanoveními platného zákona na ochranu údajů (a v případě potřeby bylo oznámeno příslušným orgánům členského státu, ve kterém je usazen vývozce údajů), a neporušuje příslušná ustanovení daného státu;

(b) že pověřil a po celou dobu trvání služeb pro zpracování osobních údajů bude pověřovat dovozce údajů zpracováním osobních údajů předaných pouze jménem vývozce údajů a v souladu s platnými právními předpisy na ochranu údajů a ustanoveními;

(c) že dovozce údajů poskytne dostatečné záruky, pokud jde o technická a organizační bezpečnostní opatření uvedená v Dodatku 2;

(e) že po posouzení požadavků platného zákona na ochranu údajů jsou bezpečnostní opatření vhodná k ochraně osobních údajů proti náhodnému nebo nezákonnému zničení nebo náhodné ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu, zejména v případech, kdy zpracování zahrnuje přenos údajů po síti, a proti všem ostatním protiprávním formám zpracování, a že tato opatření zajišťují úroveň bezpečnosti přiměřenou rizikům, která přináší zpracování, a povaze údajů, které mají být chráněny s ohledem na současnou technologickou úroveň a nákladům na jejich provádění;

(e) že zajistí dodržování bezpečnostních opatření;

(f) že pokud předání zahrnuje zvláštní kategorie údajů, je subjekt údajů informován nebo bude informován před předáním nebo co nejdříve po něm, že by jeho údaje mohly být předány třetí zemi, která neposkytuje přiměřenou ochranu;

(g) že bude poskytovat veškerá oznámení od dovozce údajů nebo jakéhokoli dílčího zpracovatele podle bodu 5 (b) a bodu 8 odst. 3 úřadu pro dozor nad ochranou údajů, pokud se vývozce údajů rozhodne pokračovat v předávání nebo zrušit pozastavení;

(h) že zpřístupní subjektům údajů na požádání kopii smluvních bodů, s výjimkou Dodatku 2, a souhrnný popis bezpečnostních opatření, jakož i opis smlouvy o službách dílčího zpracování, které musí být provedeny v souladu s ustanoveními, pokud body nebo smlouva neobsahují obchodní informace, a v takovém případě může tyto obchodní informace odstranit;

(i) že v případě dílčího zpracování je zpracovatelská činnost prováděna v souladu s bodem 11 dílčím zpracovatelem, který poskytuje alespoň stejnou úroveň ochrany osobních údajů a práva subjektu údajů jako dovozce údajů podle ustanovení;

(j) že zajistí dodržování bodu 4 (a) až (i).

 

Bod 5 Povinnosti dovozce údajů

Dovozce údajů se zavazuje a zaručuje:

(a) že bude zpracovávat osobní údaje pouze jménem vývozce údajů a v souladu s jeho pokyny a ustanoveními; nemůže-li tyto požadavky zajistit z jakýchkoli důvodů, souhlasí s tím, že bude vývozce údajů bezodkladně informovat o své neschopnosti splnit požadavky, přičemž v takovém případě je vývozce údajů oprávněn pozastavit předávání údajů a odstoupit od smlouvy;

(b) že nemá žádný důvod se domnívat, že právní předpisy, které se na něj vztahují, mu brání v plnění pokynů obdržených od vývozce údajů a jeho závazků podle smlouvy a že v případě změny těchto právních předpisů, které by mohly mít závažný nepříznivý dopad na záruky a povinnosti stanovené v bodech, neprodleně oznámí změnu vývozci údajů ihned po zjištění, přičemž v takovém případě je vývozce údajů oprávněn pozastavit předávání údajů a ukončit smlouvu;

(c) že před zpracováním předaných osobních údajů zavedl technická a organizační bezpečnostní opatření uvedená v Dodatku 2;

(d) že neprodleně oznámí vývozci údajů:

(i) každou právně závaznou žádost o zpřístupnění osobních údajů orgánem činným v trestním řízení, není-li to jinak zakázáno, například zákazem podle trestního práva, který má zachovat důvěrnost vyšetřování v oblasti vymáhání práva;

(ii) jakýkoliv náhodný nebo neoprávněný přístup;

(iii) jakékoli žádosti obdržené přímo od subjektů údajů, aniž by na tuto žádost odpověděli, ledaže by k tomu byli jinak zmocněni;

(e) že budou neprodleně a řádně řešit všechny dotazy od vývozce údajů vztahující se k jeho zpracování osobních údajů, na které se vztahuje předání, a že bude dodržovat stanovisko úřadu pro dozor nad zpracováním převedených údajů;

(f) že na žádost vývozce údajů předloží své vybavení sloužící ke zpracování údajů k auditu zpracovatelských činností, na které se vztahují body smlouvy, který provádí vývozce údajů nebo kontrolní subjekt složený z nezávislých členů, kteří mají požadovanou odbornou kvalifikaci, jsou vázáni povinností mlčenlivosti a vybráni vývozcem údajů, pokud je to možné, po dohodě s dozorovým úřadem;

(g) že zpřístupní subjektu údajů na požádání kopii smluvních bodů nebo jakoukoliv existující smlouvu o dílčím zpracování, pokud ustanovení nebo smlouva neobsahují obchodní informace, a v takovém případě může tyto obchodní informace odstranit, s výjimkou Dodatku 2, který se nahrazuje souhrnným popisem bezpečnostních opatření v těch případech, kdy subjekt údajů není schopen získat kopii od vývozce údajů;

(h) že v případě dílčího zpracování již dříve informoval vývozce údajů a obdržel předem jeho písemný souhlas;

(i) že zpracovatelské služby budou dílčím zpracovatelem prováděny v souladu s bodem 11;

(j) že neprodleně pošle vývozci údajů kopii jakékoli dohody s dílčím zpracovatelem, kterou uzavře v souladu s body smlouvy.

 

Bod 6 Odpovědnost

1. Strany se dohodly, že každý subjekt údajů, který utrpěl škodu v důsledku porušení povinností uvedených v bodu 3 nebo v bodu 11 jakoukoli stranou nebo dílčím zpracovatelem, je oprávněn obdržet od vývozce údajů náhradu za způsobenou škodu.

2. Nemůže-li subjekt údajů podat žádost o náhradu škody podle odst. 1 vůči vývozci údajů vyplývající z porušení některé z povinností dovozce údajů nebo jeho dílčího zpracovatele uvedených v bodu 3 nebo v bodu 11, protože vývozce údajů věcně zanikl nebo přestal existovat z pohledu zákona nebo se stal insolventním, dovozce údajů souhlasí, že subjekt údajů může vznést požadavek vůči dovozci údajů, jako by to byl vývozce údajů, ledaže by některý z následných subjektů převzal veškeré zákonné povinnosti vývozce údajů podle smlouvy nebo podle právního úkonu; v takovém případě může subjekt údajů uplatnit svá práva vůči takovému subjektu.

3. Dovozce údajů nesmí spoléhat na to, že dílčí zpracovatel poruší své povinnosti, aby se vyhnul vlastním závazkům.

4. Nemůže-li subjekt údajů podat žádost u vývozce nebo dovozce dat o náhradu škody podle odstavců 1 a 2, která vyplývá z porušení některé z povinností dílčího zpracovatele uvedených v bodu 3 nebo v bodu 11, protože vývozce údajů i dovozce údajů věcně zanikl nebo přestal existovat z pohledu zákona nebo se stal insolventním, dílčí zpracovatel souhlasí, že subjekt údajů může vznést požadavek vůči dílčímu zpracovateli údajů, pokud jde o jeho vlastní zpracovatelské operace podle doložek, jako by se jednalo o vývozce údajů nebo dovozce údajů, pokud žádný nástupnický subjekt nepřevzal veškeré zákonné povinnosti vývozce údajů nebo dovozce údajů na základě smlouvy nebo právního úkonu, přičemž subjekt údajů může uplatnit svá práva vůči takovému subjektu. Odpovědnost dílčího zpracovatele se omezuje na vlastní zpracovatelské operace podle smluvních bodů.

 

Bod 7 Mediace a jurisdikce

1. Dovozce údajů souhlasí s tím, že pokud subjekt údajů uplatňuje proti němu práva beneficientů třetích stran nebo nároky na náhradu škody podle bodů smlouvy, přijme dovozce údajů rozhodnutí subjektu údajů:

(a) postoupit spor k mediaci nezávislou osobou nebo, kde je to možné, dozorovému úřadu;

(b) postoupit spor soudům v členském státě, ve kterém je usazen vývozce údajů.

2. Strany se dohodly, že výběr, který učinil subjekt údajů, nebude mít vliv na jeho hmotná nebo procesní práva žádat o nápravu v souladu s jinými vnitrostátními nebo mezinárodními právními předpisy.

 

Bod 8 Spolupráce s dozorovými úřady

1. Vývozce údajů souhlasí s tím, že kopii této smlouvy poskytne dozorovému úřadu, pokud o to požádá nebo pokud je toto poskytnutí požadováno podle platného zákona o ochraně údajů.

2. Strany souhlasí s tím, že dozorový úřad má právo provádět audit dovozce údajů a každého dílčího zpracovatele, který má stejný rozsah působnosti a podléhá stejným podmínkám, jaké by platily pro audit vývozce údajů v rámci příslušného zákona o ochraně údajů.

3. Dovozce údajů bude neprodleně informovat vývozce údajů o existenci právních předpisů, které se na něj vztahují, nebo o jakémkoli dílčím zpracovateli, který brání provedení auditu dovozce údajů nebo jakéhokoli dílčího zpracovatele podle odstavce 2. V takovém případě je vývozce údajů oprávněn přijmout opatření uvedená v bodu 5 (b).

 

Bod 9 Rozhodné právo

Body smlouvy se řídí právem členského státu, ve kterém je usazen vývozce údajů.

 

Bod 10 Změna smlouvy

Strany se zavazují neměnit ani neupravovat body smlouvy. To nevylučuje, aby strany přidávaly body týkající se obchodních záležitostí, pokud jsou požadovány a pokud nejsou v rozporu s body smlouvy.

 

Bod 11 Dílčí zpracování

1. Dovozce údajů nesmí uzavřít subdodavatelskou smlouvu na žádnou ze svých zpracovatelských operací provedených jménem vývozce údajů v rámci bodů smlouvy bez předchozího písemného souhlasu vývozce údajů. Pokud dovozce údajů uzavře subdodavatelskou smlouvu na své závazky podle bodů smlouvy se souhlasem vývozce údajů, učiní tak pouze písemnou dohodou s dílčím zpracovatelem, která dílčímu zpracovateli ukládá stejné povinnosti, jaké platí pro dovozce údajů podle bodů smlouvy. Pokud dílčí zpracovatel nesplní své povinnosti v oblasti ochrany údajů podle této písemné dohody, dovozce údajů zůstává plně odpovědný vývozci údajů za výkon povinností dílčího zpracovatele v rámci příslušné dohody.

2. Předchozí písemná smlouva mezi dovozcem údajů a dílčím zpracovatelem stanoví rovněž doložku beneficienta třetí strany, která je stanovena v bodě 3, pokud subjekt údajů není schopen podat žádost o náhradu podle odstavce 1 bodu 6 vůči vývozci údajů nebo dovozci údajů, protože věcně zanikli nebo přestali existovat podle zákona nebo se stali insolventními a žádný nástupnický subjekt nepřevzal veškeré právní závazky vývozce údajů nebo dovozce údajů podle smlouvy nebo právního úkonu. Tato odpovědnost jiného dílčího zpracovatele vůči třetím stranám se omezuje na vlastní zpracovatelské operace podle smluvních bodů.

3. Ustanovení týkající se aspektů ochrany údajů pro dílčí zpracování smlouvy uvedené v odstavci 1 se řídí právem členského státu, v němž je usazen vývozce údajů.

4. Vývozce údajů si vede seznam dohod s dílčími zpracovateli uzavřených podle bodů smlouvy a oznámených dovozcem údajů podle bodu 5 (j), který se aktualizuje nejméně jednou ročně. Seznam je k dispozici úřadu pro dozor nad ochranou údajů vývozce údajů.

 

Bod 12 Povinnost po ukončení služby zpracování osobních údajů

1. Strany se dohodly, že po ukončení poskytování služeb zpracování údajů vrátí dovozce údajů a dílčí zpracovatel podle volby vývozce údajů všechny předané osobní údaje a jejich opisy vývozci údajů nebo zničí všechny osobní údaje a potvrdí vývozci údajů, že tak učinili, pokud právní předpisy dovozce údajů nebrání vrácení nebo zničení všech převedených osobních údajů nebo jejich části. V takovém případě dovozce údajů ručí za to, že je zajištěna důvěrnost předaných osobních údajů a nebude aktivně zpracovávat již předané osobní údaje.

2. Dovozce údajů a dílčí zpracovatel se zaručují, že na žádost vývozce údajů nebo dozorového úřadu předloží své vybavení sloužící ke zpracování údajů k auditu opatření uvedených v odstavci 1.

 

Dodatek č. 1 k Příloze č. 3: Standardní smluvní body

Vývozce údajů

Správce uvedený v Příloze č. 2 ke Smlouvě o zpracování údajů v rámci těchto podmínek.

 

Dovozce údajů

Zpracovatel uvedený v Příloze č. 2 ke Smlouvě o zpracování údajů v rámci těchto podmínek.

 

Subjekty údajů

Zaměstnanci, zákazníci, obchodní partneři atd. vývozce údajů na základě jeho výhradního rozhodnutí.

 

Kategorie údajů

Jakékoli údaje podle výhradního rozhodnutí vývozce údajů.

 

Zvláštní kategorie údajů

Zpracování zvláštních kategorií údajů se zakládá výhradně na rozhodnutí vývozce údajů.

 

Zpracovatelské operace

Jsou popsány v těchto podmínkách, jejich přílohách a zásadách ochrany osobních údajů.

 

Dodatek č. 2 k Příloze č. 3: Standardní smluvní body

Popis technických a organizačních bezpečnostních opatření zavedených dovozcem údajů v souladu s body 4 (a) a 5 (c), jak je popsáno v těchto podmínkách, jejich přílohách a zásadách ochrany osobních údajů