Kuinka osoittaa GDPR-artiklan 47 noudattaminen

Jos vastaanottajamaalla ei ole merkityksellisiä tietosuojalakeja (katso artikla 45), GDPR Artikla 47 mahdollistaa organisaatioiden omaksumisen sitovia yrityssääntöjä, jotka toimivat asianmukaisena suojana siirrettäville tiedoille.

GDPR artiklan 47 lakiteksti

EU:n GDPR-versio

Yrityksen sitovat säännöt

1. Toimivaltaisen valvontaviranomaisen on hyväksyttävä sitovat yrityssäännöt 63 artiklassa säädetyn johdonmukaisuusmekanismin mukaisesti edellyttäen, että ne:
• a) ovat oikeudellisesti sitovia ja koskevat kaikkia asianomaisia ​​yritysryhmän jäseniä tai yhteistä taloudellista toimintaa harjoittavia yritysryhmiä, mukaan lukien heidän työntekijänsä, ja panevat ne täytäntöön;
• b) nimenomaisesti annettava rekisteröidyille täytäntöönpanokelpoisia oikeuksia heidän henkilötietojensa käsittelyssä; ja
• c) täyttää 2 kohdassa säädetyt vaatimukset.
2. Edellä 1 kohdassa tarkoitetuissa sitovissa yhtiösäännöissä on mainittava vähintään:
• a) yritysryhmän tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän ja kunkin sen jäsenen rakenne ja yhteystiedot;
• b) tiedonsiirrot tai siirtojen sarja, mukaan lukien henkilötietojen luokat, käsittelyn tyyppi ja sen tarkoitukset, rekisteröidyt, joihin se vaikuttaa, ja kyseisen kolmannen maan tai asianomaisten maiden tunnistetiedot;
• c) niiden oikeudellisesti sitova luonne sekä sisäisesti että ulkoisesti;
• d) yleisten tietosuojaperiaatteiden soveltaminen, erityisesti käyttötarkoituksen rajoittaminen, tietojen minimointi, rajoitetut säilytysajat, tietojen laatu, sisäänrakennettu ja oletusarvoinen tietosuoja, käsittelyn oikeusperusta, erityisten henkilötietojen käsittely, toimenpiteet varmistaa tietoturvallisuus ja vaatimukset edelleen siirroille elimille, joita sitovat yhtiösäännöt eivät sido;
• e) rekisteröityjen oikeudet käsittelyn osalta ja keinot käyttää näitä oikeuksia, mukaan lukien oikeus olla joutumatta yksinomaan automaattiseen käsittelyyn perustuvien päätösten kohteeksi, mukaan lukien 22 artiklan mukainen profilointi, oikeus tehdä valitus toimivaltaiselle valvontaviranomaiselle ja jäsenvaltioiden toimivaltaisille tuomioistuimille 79 artiklan mukaisesti ja saada hyvitystä ja tarvittaessa korvausta sitovien yrityssääntöjen rikkomisesta;
• f) jäsenvaltion alueelle sijoittautuneen rekisterinpitäjän tai henkilötietojen käsittelijän hyväksyminen vastuuseen sellaisista asianomaisista jäsenistä, jotka eivät ole sijoittautuneet unioniin, rikkovat sitovia yhtiösääntöjä; rekisterinpitäjä tai käsittelijä on vapautettu tästä vastuusta kokonaan tai osittain vain, jos se osoittaa, ettei kyseinen jäsen ole vastuussa vahingon aiheuttaneesta tapahtumasta;
• g) kuinka rekisteröidyille toimitetaan tiedot sitovista yrityssäännöistä, erityisesti tämän kohdan d, e ja f alakohdassa tarkoitetuista säännöksistä, 13 ja 14 artiklan lisäksi;
• h) minkä tahansa 37 artiklan mukaisesti nimetyn tietosuojavastaavan tai minkä tahansa muun sellaisen henkilön tai yhteisön tehtävät, joka on vastuussa sitovien yhtiösääntöjen noudattamisen valvonnasta yritysryhmässä tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän sisällä, sekä koulutuksen ja valitusten käsittelyn seuranta;
• i) valitusmenettelyt;
• j) yritysryhmän tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän sisäiset mekanismit, joilla varmistetaan sitovien yrityssääntöjen noudattaminen. Tällaisiin mekanismeihin on sisällyttävä tietosuojatarkastuksia ja menetelmiä, joilla varmistetaan korjaavat toimet rekisteröidyn oikeuksien suojelemiseksi. Tällaisen tarkastuksen tulokset olisi ilmoitettava h alakohdassa tarkoitetulle henkilölle tai yhteisölle sekä yritysryhmän määräysvaltaa käyttävän yrityksen tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän hallitukselle, ja niiden olisi oltava saatavilla. pyynnöstä toimivaltaiselle valvontaviranomaiselle;
• k) mekanismit, joilla sääntöihin tehdyistä muutoksista ilmoitetaan ja kirjataan sekä niistä ilmoitetaan valvontaviranomaiselle;
• l) yhteistyömekanismi valvontaviranomaisen kanssa sen varmistamiseksi, että mikä tahansa yritysryhmän jäsen tai yhteistä taloudellista toimintaa harjoittava yritysryhmä noudattaa säännöksiä, erityisesti antamalla valvontaviranomaisen saataville tarkoitettujen toimenpiteiden tarkastusten tulokset. j alakohtaan;
• m) mekanismit, joilla toimivaltaiselle valvontaviranomaiselle ilmoitetaan kaikista oikeudellisista vaatimuksista, joita yritysryhmän jäseneen tai yhteistä taloudellista toimintaa harjoittavaan yritysryhmään sovelletaan kolmannessa maassa ja joilla on todennäköisesti huomattava kielteinen vaikutus sitovien yhtiösääntöjen antamista takuista; ja
• n) asianmukainen tietosuojakoulutus henkilöstölle, jolla on pysyvä tai säännöllinen pääsy henkilötietoihin.
3. Komissio voi määritellä muodon ja menettelyt rekisterinpitäjien, käsittelijöiden ja valvontaviranomaisten välistä tietojenvaihtoa varten tässä artiklassa tarkoitettuja sitovia yrityssääntöjä varten. Nämä täytäntöönpanosäädökset hyväksytään 93 artiklan 2 kohdassa säädettyä tarkastelumenettelyä noudattaen.

Yhdistyneen kuningaskunnan GDPR-versio

Yrityksen sitovat säännöt

1. Komissaari hyväksyy yhtiön sitovat säännöt edellyttäen, että ne:
• a) ovat oikeudellisesti sitovia ja koskevat kaikkia asianomaisia ​​yritysryhmän jäseniä tai yhteistä taloudellista toimintaa harjoittavia yritysryhmiä, mukaan lukien heidän työntekijänsä, ja panevat ne täytäntöön;
• b) nimenomaisesti annettava rekisteröidyille täytäntöönpanokelpoisia oikeuksia heidän henkilötietojensa käsittelyssä; ja
• c) täyttää 2 kohdassa säädetyt vaatimukset.
2. Edellä 1 kohdassa tarkoitetuissa sitovissa yhtiösäännöissä on mainittava vähintään:
• a) yritysryhmän tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän ja kunkin sen jäsenen rakenne ja yhteystiedot;
• b) tiedonsiirrot tai siirtojen sarja, mukaan lukien henkilötietojen luokat, käsittelyn tyyppi ja sen tarkoitukset, rekisteröidyt, joihin se vaikuttaa, ja kyseisen kolmannen maan tai asianomaisten maiden tunnistetiedot;
• c) niiden oikeudellisesti sitova luonne sekä sisäisesti että ulkoisesti;
• d) yleisten tietosuojaperiaatteiden soveltaminen, erityisesti käyttötarkoituksen rajoittaminen, tietojen minimointi, rajoitetut säilytysajat, tietojen laatu, sisäänrakennettu ja oletusarvoinen tietosuoja, käsittelyn oikeusperusta, erityisten henkilötietojen käsittely, toimenpiteet varmistaa tietoturvallisuus ja vaatimukset edelleen siirroille elimille, joita sitovat yhtiösäännöt eivät sido;
• e) rekisteröityjen oikeudet käsittelyn osalta ja keinot käyttää näitä oikeuksia, mukaan lukien oikeus olla joutumatta yksinomaan automaattiseen käsittelyyn perustuvien päätösten kohteeksi, mukaan lukien 22 artiklan mukainen profilointi, komission jäsen ja tuomioistuimessa 79 artiklan mukaisesti (katso vuoden 180 lain 2018 §) ja saada hyvitystä ja tarvittaessa korvausta sitovien yhtiösääntöjen rikkomisesta;
• f) Yhdistyneeseen kuningaskuntaan sijoittautuneen rekisterinpitäjän tai henkilötietojen käsittelijän hyväksyntä vastuuseen, jos jokin asianomainen jäsen, joka ei ole sijoittautunut Yhdistyneeseen kuningaskuntaan, rikkoo sitovia yrityssääntöjä; rekisterinpitäjä tai käsittelijä on vapautettu tästä vastuusta kokonaan tai osittain vain, jos se osoittaa, ettei kyseinen jäsen ole vastuussa vahingon aiheuttaneesta tapahtumasta;
• g) kuinka rekisteröidyille toimitetaan tiedot sitovista yrityssäännöistä, erityisesti tämän kohdan d, e ja f alakohdassa tarkoitetuista säännöksistä, 13 ja 14 artiklan lisäksi;
• h) minkä tahansa 37 artiklan mukaisesti nimetyn tietosuojavastaavan tai minkä tahansa muun sellaisen henkilön tai yhteisön tehtävät, joka on vastuussa sitovien yhtiösääntöjen noudattamisen valvonnasta yritysryhmässä tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän sisällä, sekä koulutuksen ja valitusten käsittelyn seuranta;
• i) valitusmenettelyt;
• j) yritysryhmän tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän sisäiset mekanismit, joilla varmistetaan sitovien yrityssääntöjen noudattaminen. Tällaisiin mekanismeihin on sisällyttävä tietosuojatarkastuksia ja menetelmiä, joilla varmistetaan korjaavat toimet rekisteröidyn oikeuksien suojelemiseksi. Tällaisen tarkastuksen tulokset olisi ilmoitettava h alakohdassa tarkoitetulle henkilölle tai yhteisölle sekä yritysryhmän määräysvaltaa käyttävän yrityksen tai yhteistä taloudellista toimintaa harjoittavan yritysryhmän hallitukselle, ja niiden olisi oltava saatavilla. pyynnöstä komissaarille;
• k) mekanismit, joilla sääntöihin tehdyistä muutoksista ilmoitetaan ja kirjataan sekä niistä ilmoitetaan komissaarille;
• l) yhteistyömekanismi valvontaviranomaisen kanssa sen varmistamiseksi, että mikä tahansa yritysryhmän jäsen tai yhteistä taloudellista toimintaa harjoittava yritysryhmä noudattaa säännöksiä, erityisesti antamalla komission jäsenen saataville edellä tarkoitettujen toimenpiteiden tarkastusten tulokset. j alakohdassa;
• m) mekanismit, joilla komissaarille ilmoitetaan kaikista oikeudellisista vaatimuksista, joita yritysryhmän jäseneen tai yhteistä taloudellista toimintaa harjoittavaan yritysryhmään sovelletaan kolmannessa maassa ja joilla on todennäköisesti huomattava kielteinen vaikutus sitovien yrityssääntöjen tarjoamat takuut; ja
• n) asianmukainen tietosuojakoulutus henkilöstölle, jolla on pysyvä tai säännöllinen pääsy henkilötietoihin.