ARTIKEL 29-ARBETSGRUPPEN

Transkript

1 ARTIKEL 29-ARBETSGRUPPEN 18/SV WP25 rev. 01 Arbetsdokumet med e tbell över de elemet och priciper som sk fis med i Atget de 28 ovember 2017 Sest revidert och tget de februri 2018 De rbetsgrupp irättdes geom rtikel 29 i direktiv 95/4/EG. De är ett oberoede rådgivde EU-org i frågor som rör uppgiftsskydd och itegritetsskydd. Arbetsuppgifter fis beskriv i rtikel 30 i direktiv 95/4/EG och rtikel 15 i direktiv 2002/58/EG. Arbetsgruppes sekretrit fis hos direktort C (Grudläggde rättigheter och uiosmedborgrskp) vid Europeisk kommissioe, Geerldirektortet för rättslig frågor, B-1049 Bryssel, Belgie, Kotor MO-59 02/013. Webbplts:

2 INLEDNING För tt uderlätt vädige v för persouppgiftssvrig (BCR-C, Bidig Corporte Rules for Cotrollers) iom e kocer eller e grupp v företg som deltr i gemesm ekoomisk verksmhet i smbd med itertioell överförigr frå orgistioer etblerde iom EU till orgistioer iom smm kocer eller grupp v företg etblerde utför EU, hr rtikel 29-rbetsgruppe geomfört ädrigr v rbetsdokumetet WP153 (tget 2008) som preseterr e tbell över de elemet och priciper som sk fis med i. Syftet med ädrigr är tt återspegl de krv gällde som u uttrycklige ges i Europprlmetets och rådets förordig (EU) 201/79 v de 27 pril 201 om skydd för fysisk persoer med vseede på behdlig v persouppgifter och om det fri flödet v såd uppgifter och om upphävde v direktiv 95/4/EG (llmä dtskyddsförordig) 1. Det bör erirs om tt för persouppgiftssvrig är lämplig tt väd vid överförigr v persouppgifter frå persouppgiftssvrig etblerde iom EU till dr persouppgiftssvrig eller till persouppgiftsbiträde (etblerde utför EU) iom smm kocer eller grupp v företg, med för persouppgiftsbiträde (BCR-P, Bidig Corporte Rules for Processors) väds för uppgifter som motts frå e persouppgiftssvrig (etblerd iom EU) som ite igår i kocere eller gruppe v företg och som sed behdls v de berörd medlemmr i kocere eller gruppe v företg i ders egeskp v persouppgiftsbiträde och/eller uderetrepreörer. Därigeom gäller de skyldigheter som fstställs i de för persouppgiftssvrig för eheter iom smm kocer eller grupp v företg som gerr som persouppgiftssvrig och för eheter som gerr som iter persouppgiftsbiträde. I det sistämd fllet är det värt tt påmi om tt ett vtl eller e rättskt eligt EU:s eller medlemssttes lgstiftig, som är för persouppgiftsbiträdet med vseede på de persouppgiftssvrige och som iefttr ll krv som ges i rtikel 28.3 i de llmä dtskyddsförordige, sk udertecks v ll iter och exter uderetrepreörer/persouppgiftsbiträde (till exempel servicevtl eller dr istrumet som uppfyller smm krv) 2. I själv verket gäller skyldigheter som ges i de för persouppgiftssvrig för eheter iom kocere eller gruppe v företg som tr emot persouppgifter i egeskp v ( iter ) persouppgiftsbiträde i de må det ite leder till ågo koflikt med servicevtlet (det vill säg tt persouppgiftsbiträde i kocere eller gruppe v företg som behdlr uppgifter på uppdrg v de persouppgiftssvrig i kocere eller gruppe v företg huvudsklige sk följ dett vtl). 1 Text v betydelse för EES. 2 I rtikel 28.3 ges, bld t, tt det för vrje reltio mell e persouppgiftssvrig och ett persouppgiftsbiträde sk fis e specifiktio, i form v ett vtl eller e rättskt, som ger föremålet för behdlige, behdliges vrktighet, rt och ädmål, type v persouppgifter och ktegorier v registrerde, smt de persouppgiftssvriges skyldigheter och rättigheter. E llmä beskrivig i de krig ktegorier v uppgifter, registrerde osv. är ite tillräckligt i dett smmhg. 2

3 Med utgågspukt i tt rtikel 47.2 i de llmä dtskyddsförordige fstställer ett tl elemet som måste fis med i de, är vsikte med de ädrde tbell tt - juster formulerigr i de tidigre referesrme så tt de stämmer överes med rtikel 47 i de llmä dtskyddsförordige, - klrgör vilket iehåll som krävs i utifrå vd som ges i rtikel 47 (med bektde v dokumete WP74 3 och WP108 4 som hr tgits v rtikel 29-rbetsgruppe iom rme för direktiv 95/4/EG), - gör e distiktio mell vd som måste ikluders i de och vd som måste preseters för de behörig tillsysmydighete i sök om de (rbetsdokumet WP133 5 ), - läm hävisigr till motsvrde text i rtikel 47 i de llmä dtskyddsförordige för priciper, - tillhdhåll förklrigr/kommetrer för vr och e v priciper. Artikel 47 i de llmä dtskyddsförordige är ut tvek bserd på de rbetsdokumet gällde som hr tgits v rtikel 29- rbetsgruppe. I rtikel ges dock e del y elemet som måste ts i bektde vid uppdterig v red befitlig eller vid tgde v y, för tt säkerställ tt de är förelig med de y rättslig rm som upprättts geom de llmä dtskyddsförordige. 1.1 Ny elemet I det här smmhget skulle rtikel 29-rbetsgruppe vilj rikt uppmärksmhete i syerhet mot följde elemet: - Rätte tt ige klgomål: De registrerde sk ges rätte tt, efter eget vl, frmför si klgomål tige till tillsysmydighete i medlemsstte där de registrerde hr si hemvist eller si rbetsplts eller där det påstådd itråget begicks (eligt rtikel 77 i de llmä dtskyddsförordige) eller till de behörig domstolr iom EU:s medlemsstter (vrvid de registrerde k välj tt frmför si klgomål iför domstolr i medlemsstte där uppgiftsutförre är etblerd eller iför domstolr i medlemsstte där de registrerde hr si hemvist) (eligt rtikel 79 i de llmä dtskyddsförordige). - Öppehet: All registrerde med rättigheter som berättigd tredje prt (tredjeprtsberättigde) bör, i syerhet, förses med de iformtio som krävs eligt 3 Arbetsdokumet WP74, Workig Documet: Trsfers of persol dt to third coutries: Applyig Article 2 (2) of the EU Dt Protectio Directive to Bidig Corporte Rules for Itertiol Dt Trsfers (ej överstt till svesk), tget de 3 jui 2003, 4 Arbetsdokumet WP108, Workig Documet Estblishig Model Checklist Applictio for Approvl of Bidig Corporte Rules (ej överstt till svesk), tget de 14 pril 2005, 29/documettio/opiio-recommedtio/files/2005/wp108_e.pdf 5 Arbetsdokumet WP133, Recommedtio 1/2007 o the Stdrd Applictio for Approvl of Bidig Corporte Rules for the Trsfer of Persol Dt (ej överstt till svesk), tget de 10 juri 2007, 3

4 rtiklr 13 och 14 i de llmä dtskyddsförordige och iformtio om si rättigheter i fråg om persouppgiftsbehdlig och om de medel som fis för tt utöv dess rättigheter, smt iformtio om bestämmelse gällde svrsskyldighet och bestämmelser gällde priciper för dtskydd. - Tillämpigsområde: De sk läm iformtio om strukture och kotktuppgifter för kocere eller gruppe v företg som deltr i gemesm ekoomisk verksmhet och för vr och e v dess medlemmr (rtikel 47.2 i de llmä dtskyddsförordige). Därutöver måste de läm iformtio om det mteriell tillämpigsområdet, exempelvis vilk överförigr eller uppsättigr v överförigr v uppgifter som omftts, iklusive ktegorier v persouppgifter, type v behdlig och dess ädmål, de typ v registrerde som berörs smt vilket tredjeld eller vilk tredjeläder som vses (rtikel 47.2 b i de llmä dtskyddsförordige). - Priciper för dtskydd: Vid sid v priciper om öppehet, korrekthet (firess), ädmålsbegräsig, dtkvlitet och säkerhet, sk de äve förklr och beskriv övrig priciper som vses i rtikel 47.2 d. Dett gäller, i syerhet, priciper om lglighet, uppgiftsmiimerig, begräsde lgrigsperioder, grtier vid behdlig v särskild ktegorier v persouppgifter och villkore är det gäller vidre överförig v uppgifter till org som ite är bud v de. - Asvrsskyldighet: Vrje ehet som fugerr som persouppgiftssvrig sk svr för och ku vis tt de efterlevs (rtikel 5.2 i de llmä dtskyddsförordige). - Lgstiftig i tredjeld: De sk iehåll ett åtgde som iebär tt är ågot rättsligt krv som e medlem i kocere eller gruppe v företg som deltr i gemesm ekoomisk verksmhet är uderkstd i ett tredjeld solikt kommer tt h e vsevärd egtiv iverk på de grtier som ges geom de, sk dett problem rpporters till de behörig tillsysmydighete (förutstt tt dett ite är förbjudet, till exempel eligt strffrätte för tt bevr sekretesse i e brottsutredig). Dett iefttr evetuell rättsligt begärde om utlämig v persouppgifter frå e brottsbekämpde mydighet eller ett org som verkr för sttes säkerhet. 1.2 Ädrigr v red tg Smtidigt som tillståd frå e medlemsstt eller tillsysmydighet på grudvl v rtikel 2.2 i direktiv 95/4/EG sk förbli giltig tills de, vid behov, hr ädrts, erstts eller upphävts v tillsysmydighete, i elighet med rtikel 4.5 i de llmä dtskyddsförordige, bör kocerer eller grupper v företg med godkäd, som e del v förberedelser för de llmä dtskyddsförordige, pss si efter krve i de llmä dtskyddsförordige. Det här dokumetet syftr äve till tt hjälp dess kocerer eller grupper v företg med godkäd tt iför de ädrigr som behövs för tt pss dem efter de llmä dtskyddsförordige. Dess kocerer eller grupper v företg uppms, för tt å dett mål, tt meddel relevt ädrigr i si som e del v sitt åtgde (eligt pukt 5.1 i WP153) till ll 4

5 medlemmr i kocere eller gruppe v företg och till dtskyddsmydigheter vi de svrig dtskyddsmydighete i smbd med ders årlig uppdterig, med strt de 25 mj Såd uppdterde k väds ut tt det behöver görs ågo sök om ytt tillståd eller godkäde. Med bektde v det ovståede förbehåller sig dtskyddsmydigheter rätte tt utöv si befogeheter eligt rtikel 4.5 i de llmä dtskyddsförordige. 5

6 ARTIKEL 29-ARBETSGRUPPEN 1 BINDANDE NATUR INTERNT 1.1 Skyldighet tt respekter de 1.2 E förklrig som ger hur bestämmelser görs för medlemmr som omftts v de I de sökigsblkette JA JA Artikel 47.1 och 47.2 c i de llmä dtskyddsförordige NEJ JA Artikel 47.1 och 47.2 c i de llmä dtskyddsförordige Hävisigr Kommetrer Refereser till sök/ De måste vr rättsligt och sk iehåll e tydlig skyldighet för vrje deltgde medlem i kocere eller gruppe v företg som deltr i gemesm ekoomisk verksmhet (ed klld medlem som omftts v de ), iklusive ders ställd, tt respekter de. Kocere eller gruppe v företg måste på si sökigsblkett förklr hur bestämmelser görs, eligt följde: i) För vrje deltgde företg/ehet iom kocere eller gruppe v företg geom ett Fylls i v de sökde. De rbetsgrupp irättdes geom rtikel 29 i direktiv 95/4/EG. De är ett oberoede rådgivde EU-org i frågor som rör uppgiftsskydd och itegritetsskydd. Arbetsuppgifter fis beskriv i rtikel 30 i direktiv 95/4/EG och rtikel 15 i direktiv 2002/58/EG. Arbetsgruppes sekretrit fis hos direktort C (Grudläggde rättigheter och uiosmedborgrskp) vid Europeisk kommissioe, Geerldirektortet för rättslig frågor, B-1049 Bryssel, Belgie, Kotor MO-59 02/013. Webbplts:

7 iom kocere eller gruppe v företg smt äve för de ställd I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ eller fler v följde ltertiv: - Avtl iom kocere eller gruppe v företg. - Esidig åtgde (dett är edst möjligt om medlemme som omftts v de som tr dett svr befier sig i e medlemsstt som erkäer esidig åtgde som och om de medlem hr rättslig möjlighet tt bid de övrig medlemmr som omftts v de ). - Adr sätt (edst om kocere eller gruppe v företg visr hur de s tur uppås). ii) För ställd geom ett eller fler v följde ltertiv: - Idividuell och seprt vtl/åtgde med tillhörde påföljder. - Klusul i ställigsvtl med e beskrivig v tillämplig påföljder. - Iter policybeslut med tillhörde påföljder. - Kollektivvtl med tillhörde påföljder. - Adr sätt (me kocere eller gruppe v företg måste på ett oggrt sätt förklr hur de 7

8 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ görs för de ställd). EXTERNT 1.3 Tilldelig v tredjeprtsberättigde till de registrerde. I dett igår möjlighete tt ige klgomål till behörig tillsysmydighet och till domstol. JA JA Artikel 47.1 b, 47.2 c och 47.2 e i de llmä dtskyddsförordige De måste uttrycklige tilldel de registrerde rätte tt ger som berättigd tredje prt. De registrerde måste, åtmistoe, ku hävd si rättigheter gällde följde elemet i de : - Priciper för dtskydd (rtikel 47.2 d och vsitt.1 i de referestbell). - Öppehet och ekel tillgåg till de (rtikel 47.2 g och vsitte.1 och 1.7 i de referestbell). - Rätte till tillgåg, rättelse, rderig, begräsig och ivädig mot behdlig, smt rätte tt ite bli föremål för beslut som ebrt bsers på utomtisk behdlig, ibegripet profilerig (rtikel 47.2 e och rtiklr 15, 1, 17, 18, 21 och 22 i de llmä dtskyddsförordige). - Ntioell lgstiftig som förhidrr efterlevd v de (rtikel 47.2 m och vsitt.3 i de referestbell). - Rätte tt ige klgomål geom företges iter mekism för klgomålshterig (rtikel 47.1 i och vsitt 2.2 i de referestbell). - Skyldighet tt smrbet med 8

9 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ tillsysmydigheter (rtikel 47.2 k och l och vsitt 3.1 i de referestbell). - Bestämmelser om svrsskyldighet och jurisdiktio (rtikel 47.2 e och f och vsitte 1.3 och 1.4 i de referestbell). I syerhet måste de tilldel rätte tt ige klgomål till behörig tillsysmydighet (tige tillsysmydighete i de medlemsstt där de registrerde hr si hemvist eller si rbetsplts eller i de medlemsstt där det påstådd itråget begicks, eligt rtikel 77 i de llmä dtskyddsförordige) och till behörig domstol iom EU:s medlemsstter (vrvid de registrerde k välj mell domstolr i de medlemsstt där de persouppgiftssvrige är etblerd eller persouppgiftsbiträdet är etblert eller i de medlemsstt där de registrerde hr si hemvist, eligt rtikel 79 i de llmä dtskyddsförordige). De sk uttrycklige tilldel de registrerde rätte till rättsmedel och rätte till prövig smt, i förekommde fll, rätte till ersättig vid evetuell överträdelse v ågot v de elemete i de som ges ov (se rtiklr 77 till 82 i de llmä dtskyddsförordige). Företg bör säkerställ tt ll dess rättigheter omftts v bestämmelse om tredjeprtsberättigde 9

10 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ i ders, geom tt exempelvis hävis till de pukter, stycke eller delr i de där dess rättigheter reglers eller geom tt list dem llihop i de ämd bestämmelse om tredjeprtsberättigde. 1.4 Huvudkotoret iom EU, medlemme iom EU med delegert dtskyddssvr eller uppgiftsutförre tr på sig svret för tt betl ut ersättig och tt åtgärd överträdelser v de JA JA Artikel 47.2 f i de llmä dtskyddsförordige Dess rättigheter omfttr ite de elemet i de som gäller iter mekismer som hr iförts iom eheter, till exempel detljer krig utbildig, tillsysprogrm, ätverk för efterlevd och mekismer för uppdterig v bestämmelser. De måste iehåll e skyldighet för huvudkotoret iom EU eller medlemme iom EU som omftts v de och hr delegert dtskyddssvr tt t på sig svret för och smtyck till tt vidt ödvädig åtgärder för tt rätt till hdligr som utförts v dr medlemmr utför EU som är bud v de och tt betl ut ersättig för evetuell mteriell eller immteriell skdor som följer v överträdelser v de v medlemmr som omftts v de. Det måste äve ges i de tt om e medlem utför EU som omftts v de bryter mot de sk domstolr eller dr behörig mydigheter iom EU h domsrätt och de registrerde h smm 10

11 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ rättigheter och möjligheter tt vidt rättslig åtgärder getemot medlemme som omftts v de som hr smtyckt till svr som om överträdelse hde orskts v de medlem i medlemsstte där de är bserd i stället för v medlemme utför EU som omftts v de. 1.5 Företget hr tillräcklig tillgågr NEJ JA (WP74 pukt dr stycket [sid 18] + WP108 pukt 5.17 [sid ]) Ett t ltertiv, i syerhet om det ite är möjligt för e kocer eller e grupp v företg med särskild företgsstrukturer tt ålägg e specifik ehet tt t llt svr för evetuell överträdelser v de utför EU, är tt de ger tt vrje medlem som omftts v de som för ut uppgifter ur EU bsert på de svrr för evetuell överträdelser v de som görs v medlemme utför EU som omftts v de som hr tgit emot uppgifter frå de medlem iom EU som omftts v de. Asökigsblkette måste iehåll e bekräftelse på tt ll medlemmr som omftts v de som hr smtyckt till tt t svr för hdligr som utförts v dr medlemmr utför EU som omftts v de hr tillräcklig tillgågr för tt ku betl ersättig för skdor som orsks geom överträdelse v de 11

12 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/. 1. Bevisbörd ligger hos företget, ite hos idivide JA JA Artikel 47.2 f i de llmä dtskyddsförordige Det måste ges i de tt medlemme som omftts v de som hr smtyckt till tt t svr äve iehr bevisbörd och sk ku styrk tt medlemme utför EU som omftts v de ite bär svr för evetuell överträdelser v bestämmelser som hr lett till tt de registrerde begär skdeståd. Om medlemme som omftts v de som hr smtyckt till tt t svr k styrk tt medlemme utför EU som omftts v de ite är svrig för hädelse som hr gett upphov till skd, k de fråsäg sig llt svr. 12

13 1.7 Öppehet och ekel tillgåg till de för de registrerde I de sökigsblkette JA NEJ Artikel 47.2 g i de llmä dtskyddsförordige Hävisigr Kommetrer Refereser till sök/ De måste iehåll ett åtgde som ger tt ll registrerde med rättigheter som berättigd tredje prt (tredjeprtsberättigde) sk förses med de iformtio som krävs eligt rtiklr 13 och 14 i de llmä dtskyddsförordige, liksom med iformtio om si rättigheter som berättigd tredje prt i fråg om behdlige v ders persouppgifter och om de medel som fis för tt utöv dess rättigheter, smt iformtio om bestämmelse gällde svrsskyldighet och bestämmelser gällde priciper för dtskydd. Iformtioe sk tillhdhålls i fullstädigt skick och det räcker ite med e smmfttig. 2 EFFEKTIVITET 2.1 Förekomste v ett lämpligt utbildigsprogrm JA JA Artikel 47.2 i de llmä dtskyddsförordige Det måste ges i de tt ll registrerde hr rätt tt ekelt få tillgåg till dem. Till exempel k det stå tt åtmistoe de delr v de krig vilk de registrerde måste iformers (eligt beskrivige i föregåede stycke) kommer tt publicers på iteret eller på iträtet (är de registrerde ebrt utgörs v företgspersol som hr tillgåg till iträtet). Det måste ges i de tt lämplig utbildig om de sk tillhdhålls till persol som hr städig eller regelbude tillgåg till persouppgifter, som 13

14 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ medverkr i ismlige v persouppgifter eller som medverkr i frmtgige v verktyg som väds för tt behdl persouppgifter. 2.2 Förekomste v ett förfrde för klgomålshterig gällde de JA JA Artiklr 47.2 i och 12.3 i de llmä dtskyddsförordige Tillsysmydigheter som utvärderr de k be om exempel frå och beskrivigr v utbildigsprogrmmet uder sökigsförfrdet. Utbildigsprogrmmet sk specificers i sök. Ett itert förfrde för klgomålshterig måste ges i de för tt säkerställ tt ll registrerde hr möjlighet tt utöv si rättigheter och mäl klgomål gällde ågo medlem som omftts v de. - Klgomåle måste hters, ut oödigt dröjsmål och i ll hädelser iom e måd, v e tydligt idetifierd vdelig eller perso med e lämplig grd v oberoede i rbetet. Med häsy till äredes komplexitet och tl k de period på e måd förlägs med mximlt två måder till. Om så sker sk de registrerde iformers om dett. Det måste beskrivs på sökigsblkette hur de registrerde sk iformers om de olik stege i förfrdet för klgomålshterig. Dett gäller i syerhet följde: - Vr klgomål sk mäls. - I vilke form. - Fördröjigr i besvrdet v klgomål. 14

15 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ - Kosekveser om klgomålet vslås. - Kosekveser om klgomålet ses berättigt. - Kosekveser om de registrerde ite är öjd med svret (rätte tt ige klgomål till domstol och till tillsysmydighete). 2.3 Förekomste v ett tillsysprogrm som omfttr de JA JA Artikel 47.2 j och l och rtikel 38.3 i de llmä dtskyddsförordige De måste iehåll ett åtgde för kocere eller gruppe v företg tt geomför dtskyddstillsy med jäm mellrum (geom tige iter eller exter ckrediterde revisorer) eller på specifik begär frå dtskyddsombudet (Privcy Officer)/dtskyddsfuktioe (eller behörig fuktio iom orgistioe) för tt säkerställ tt de efterlevs. Det måste ges i de tt tillsysprogrmmet sk omftt ll spekter v de, iklusive metoder för tt säkerställ tt korrigerde åtgärder vidts. Dessutom måste det i de ges tt resulttet sk meddels till dtskyddsombudet (Privcy Officer)/dtskyddsfuktioe och till relevt styrelse hos det kotrollerde företget i kocere eller gruppe v företg som deltr i gemesm ekoomisk verksmhet. När så är lämpligt k resulttet meddels till det ytterst moderbolgets styrelse. 15

16 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ Det måste likså ges i de tt tillsysmydigheter sk få tillgåg till resultte v tillsye på begär och tt tillsysmydigheter sk h tillståd/befogehet tt, vid behov, utför e dtskyddstillsy v vlfri medlem som omftts v de. Asökigsblkette sk iehåll e beskrivig v tillsyssystemet. Exempelvis sk följde igå: - Vilke ehet (vdelig iom kocere eller gruppe v företg) som beslutr om tillsysple/-progrmmet. - Vilke ehet som sk geomför tillsye. - Tidpukt för tillsye (regelbudet eller på specifik begär frå tillämplig dtskyddsfuktio). - Tillsyes omfttig (till exempel ppliktioer, it-system, dtbser som behdlr persouppgifter eller vidre överförig, beslut som ftts rörde obligtorisk krv i tioell lgr som strider mot de, grskig v de vtlsvillkor som gäller för överförigr utför kocere eller gruppe v företg [till persouppgiftssvrig eller persouppgiftsbiträde], korrigerde åtgärder osv.). - Vilke ehet som sk t emot 1

17 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ tillsysresultte. 2.4 Skpde v ett ätverk v dtskyddsombud eller lämplig persol för tt övervk tt bestämmelser efterlevs JA NEJ Artikel 47.2 h och rtikel 38.3 i de llmä dtskyddsförordige Ett åtgde tt utäm ett dtskyddsombud är dett krävs eligt rtikel 37 i de llmä dtskyddsförordige eller perso eller ehet (till exempel ett högst dtskyddsombud [ Chief Privcy Officer ]) som hr svr för tt övervk tt de efterlevs och som hr stöd frå de högst ledige i rbetet med tt fullgör uppgifte. Dtskyddsombudet eller dr dtskyddssvrig k få hjälp i rbetet v ett tem, ett ätverk v lokl dtskyddsombud eller lokl kotkter, efter vd som är lämpligt. Dtskyddsombudet sk rpporter direkt till de högst förvltigsivå (rtikel 38.3 i de llmä dtskyddsförordige). De bör iehåll e kortfttd beskrivig v dtskyddsombudets eller de motsvrde fuktioes struktur, roll, positio och uppgifter och v det ätverk som skpts för tt säkerställ tt bestämmelser efterlevs. Till exempel k det ges tt dtskyddsombudet eller det högst dtskyddsombudet (Chief Privcy Officer) iformerr och lämr råd till de högst 17

18 3 SKYLDIGHET ATT SAMARBETA 3.1 E skyldighet tt smrbet med tillsysmydigheter 4 BESKRIVNING AV BEHANDLING OCH DATAFLÖDEN 4.1 E beskrivig v det mteriell tillämpigsområdet för de (typer v överförd uppgifter, typer v registrerde och läder) I de sökigsblkette JA JA Artikel 47.2 l i de llmä dtskyddsförordige JA JA Artikel 47.2 b i de llmä dtskyddsförordige Hävisigr Kommetrer Refereser till sök/ ledige, hterr tillsysmydigheters udersökigr, övervkr efterlevde på övergripde ivå och årlige rpporterr krig dett, smt tt lokl dtskyddsombud eller lokl kotkter k svr för hterige v lokl klgomål frå registrerde, rpporterig v mer omfttde dtskyddsproblem till dtskyddsombudet och övervkig v utbildige och efterlevde på lokl ivå. De sk iehåll e tydlig skyldighet för ll medlemmr som omftts v de tt smrbet med tillsysmydigheter, tt ccepter tt grsks v tillsysmydigheter och tt följ tillsysmydigheters råd gällde ll frågor med kopplig till bestämmelser. De måste iehåll e beskrivig v bestämmelsers mteriell tillämpigsområde och följktlige e geerell beskrivig v överförigr, så tt tillsysmydigheter k bedöm om behdlige som utförs i tredjeläder efterlever krve. Frmför llt måste de ge vilk överförigr eller uppsättigr v överförigr v uppgifter som omftts, iklusive typer och ktegorier v persouppgifter, type v behdlig och dess ädmål, type v registrerde som berörs (uppgifter gällde ställd, kuder, 18

19 4.2 Ett yttrde om det geogrfisk tillämpigsområdet för de 5 MEKANISMER FÖR ATT RAPPORTERA OCH DOKUMENTERA ÄNDRINGAR 5.1 E process för tt uppdter de I de sökigsblkette JA JA Artikel 47.2 i de llmä dtskyddsförordige JA JA Artikel 47.2 k i de llmä dtskyddsförordige Hävisigr Kommetrer Refereser till sök/ levertörer och dr tredje prter som är e del v företgets olik ffärsverksmheter) smt vilket tredjeld eller vilk tredjeläder som vses. De sk ge strukture och kotktuppgifter för kocere eller gruppe v företg som deltr i gemesm ekoomisk verksmhet och för vr och e v dess medlemmr. Det sk äve ges i de om de gäller i) ll persouppgifter som överförs frå EU iom kocere eller gruppe v företg, ELLER ii) ll behdlig v persouppgifter iom kocere eller gruppe v företg. De k ädrs (till exempel för tt t häsy till ädrigr i regelverk eller företgsstrukture), me det sk frmgå v bestämmelser tt såd ädrigr sk rpporters ut oödigt dröjsmål till ll medlemmr som omftts v de och till relevt tillsysmydigheter vi de behörig tillsysmydighete. Uppdterigr v de eller v förteckige över medlemmr som omftts v de 19

20 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ k ske ut tt det krävs ågo y sök om godkäde, förutstt tt följde villkor är uppfylld: i) E idetifierd perso eller ett idetifiert tem/e idetifierd vdelig svrr för tt för e fullstädigt uppdterd förteckig över medlemmr som omftts v de och håller red på och registrerr ll evetuell uppdterigr v bestämmelser, smt tillhdhåller ödvädig iformtio till de registrerde eller tillsysmydigheter på begär. ii) Ig överförigr får görs till y medlemmr som sk omftts v de förrä de y medlemme är bude v de i prktike och k följ dem. iii) Evetuell förädrigr v de eller i förteckige över medlemmr som omftts v de sk rpporters e gåg om året till de relevt tillsysmydigheter vi de behörig tillsysmydighete, med e kortfttd beskrivig v skäle som motiverr uppdterige. iv) Om e förädrig skulle ku påverk de skyddsivå som de erbjuder eller om de påverkr de på ett betydde sätt (det vill säg iebär e förädrig v ders 20

21 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ tur), måste dett omgåede meddels till relevt tillsysmydigheter vi de behörig tillsysmydighete. SKYDDSÅTGÄRDER FÖR UPPGIFTER.1.1 E beskrivig v priciper för dtskydd, iklusive bestämmelser för överförig eller vidre överförig ut ur EU JA JA Artikel 47.2 d i de llmä dtskyddsförordige De sk uttrycklige ieftt följde priciper, som sk efterlevs v företget: i. Öppehet, korrekthet (firess) och lglighet (rtiklr 5.1,, 9, 10, 13 och 14 i de llmä dtskyddsförordige). ii. Ädmålsbegräsig (rtikel 5.1 b i de llmä dtskyddsförordige). iii. Uppgiftsmiimerig och korrekthet (ccurcy) (rtikel 5.1 c och d i de llmä dtskyddsförordige). iv. Begräsde lgrigsperioder (rtikel 5.1 e i de llmä dtskyddsförordige). v. Behdlig v särskild ktegorier v persouppgifter. vi. Säkerhet (rtiklr 5 f och 32 i de llmä dtskyddsförordige), vilket iefttr skyldighete tt slut vtl, som sk ieftt ll krv som föreskrivs i rtikel 28.3 i de llmä dtskyddsförordige, med ll iter och exter uderlevertörer/persouppgiftsbiträde. Likså ieftts skyldighete tt ut oödigt dröjsmål rpporter evetuell persouppgiftsicideter till huvudkotoret iom EU eller till medlemme iom EU som 21

22 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ omftts v de och hr delegert dtskyddssvr, smt till t relevt dtskyddsombud (Privcy Officer)/ relevt dtskyddsfuktio och till de registrerde är persouppgiftsicidete solikt k led till tt ders rättigheter och friheter utsätts för e hög risk. Därutöver sk evetuell persouppgiftsicideter dokumeters (ibegripet omstädigheter krig persouppgiftsicidete, dess effekter och de korrigerde åtgärder som vidtgits) och dokumettioe sk gör tillgäglig för tillsysmydighete på begär (rtiklr 33 och 34 i de llmä dtskyddsförordige). vii. Begräsig v överförig och vidre överförig till persouppgiftsbiträde och persouppgiftssvrig som ite igår i kocere eller gruppe v företg (medlemmr som omftts v de och är persouppgiftssvrig k överför uppgifter till persouppgiftsbiträde/persouppgiftssvr ig utför kocere eller gruppe v företg som befier sig utför EU förutstt tt dekvt skydd tillhdhålls i elighet med rtiklr 45, 4, 47 och 48 i de llmä dtskyddsförordige eller tt ett udtg eligt rtikel 49 i de llmä dtskyddsförordige gäller). Formulerigr och defiitioer i de 22

23 .1.2 Asvrsskyldighet och övrig verktyg I de sökigsblkette JA JA Artiklr 47.2 d och 30 i de llmä dtskyddsförordige Hävisigr Kommetrer Refereser till sök/ s viktigste priciper sk vr i lije med formulerigr och defiitioer i de llmä dtskyddsförordige. Vrje ehet som fugerr som persouppgiftssvrig sk svr för och ku vis tt de efterlevs (rtiklr 5.2 och 24 i de llmä dtskyddsförordige). För tt ku vis tt bestämmelser efterlevs måste medlemmr som omftts v de för ett register över ll ktegorier v behdlig som utförts, i elighet med krve som ges i rtikel 30.1 i de llmä dtskyddsförordige. Dett register sk förs i skriftlig form, vilket iefttr i elektroiskt formt, och sk görs tillgägligt för tillsysmydighete på begär. För tt sörj för e bättre efterlevd, och vid behov, sk kosekvesbedömigr vseede dtskydd utförs för behdligr som solikt leder till e hög risk för fysisk persoers rättigheter och friheter (rtikel 35 i de llmä dtskyddsförordige). Om e kosekvesbedömig vseede dtskydd eligt rtikel 35 visr tt behdlige skulle led till e hög risk om ite de persouppgiftssvrige vidtr åtgärder för tt misk riske, sk smråd ske med de behörig tillsysmydighete före behdlige (rtikel 3 i de llmä dtskyddsförordige). 23

24 .2 Förteckig över eheter som omftts v de.3 Behovet v öppehet är de tioell lgstiftige förhidrr tt kocere eller gruppe v företg efterlever de I de sökigsblkette JA JA Artikel 47.2 i de llmä dtskyddsförordige JA NEJ Artikel 47.2 m i de llmä dtskyddsförordige Hävisigr Kommetrer Refereser till sök/ Lämplig tekisk och orgistorisk åtgärder sk vidts som är utformde för tt geomför dtskyddspriciper och för tt uderlätt e prktisk efterlevd v de krv som ges i de (ibyggt dtskydd och dtskydd som stdrd) (rtikel 25 i de llmä dtskyddsförordige). De sk iehåll e förteckig över de eheter som omftts v de, iklusive kotktuppgifter. Ett tydligt åtgde som ger tt är e medlem som omftts v de hr ledig tt tro tt lgstiftige som gäller för de medlem hidrr företget frå tt lev upp till si skyldigheter eligt de eller hr e vsevärd iverk på de grtier som ges geom bestämmelser, måste de medlem omgåede meddel huvudkotoret iom EU eller medlemme iom EU som omftts v de och hr delegert dtskyddssvr, smt t relevt dtskyddsombud (Privcy Officer)/ relevt dtskyddsfuktio (förutom är dett är förbjudet v e brottsbekämpde mydighet, till exempel eligt strffrätte för tt bevr sekretesse i e brottsutredig). Därutöver sk de iehåll ett åtgde som ger tt är ågot rättsligt krv som e medlem som omftts v de 24

25 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ är uderkstd i ett tredjeld solikt k få e vsevärd egtiv iverk på de grtier som ges geom de sk problemet rpporters till de behörig tillsysmydighete. Dett iefttr evetuell rättsligt begärde om utlämig v persouppgifter frå e brottsbekämpde mydighet eller ett org som verkr för sttes säkerhet. När dett är fllet sk de behörig tillsysmydighete iformers på ett tydligt sätt om de begär, med iformtio om de uppgifter som begärs, vilket org som begär dem och de rättslig grude för utlämige (förutstt tt dett ite är förbjudet, till exempel eligt strffrätte för tt bevr sekretesse i e brottsutredig). Om det i specifik fll är förbjudet tt förhidr utlämig och/eller läm iformtio, sk de föreskriv tt medlemme som omftts v de och som hr fått begär sk gör sitt bäst för tt erhåll rätte tt slipp dett förbud i syfte tt ku meddel så mycket iformtio som möjligt och så srt som möjligt, smt tt medlemme sk ku vis tt dett hr gjorts. Om medlemme som omftts v de och som hr fått begär i ovståede fll ite hr möjlighet tt meddel de behörig tillsysmydigheter, trots tt medlemme hr gjort sitt bäst, måste medlemme åt sig i de 25

26 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ tt årlige tillhdhåll geerell iformtio om de begärde som de hr erhållit till de behörig tillsysmydigheter (till exempel tlet frmställigr om utlämig, typ v uppgifter som begärts, vem som hr begärt uppgifter om dett är möjligt osv.). Uder ll omstädigheter måste de ge tt överförigr v persouppgifter frå e medlem som omftts v de i kocere eller gruppe v företg till e offetlig mydighet ite får ske på ett mssivt, oproportioerligt och godtyckligt sätt som sträcker sig lägre ä vd som är ödvädigt i ett demokrtiskt smhälle..4 Ett yttrde om reltioe mell tioell lgstiftig och de JA NEJ Ej tillämpligt De sk specificer reltioe mell de och de relevt tillämplig lgstiftige. Det sk ges i de tt är lokl lgstiftig, till exempel EU-lgstiftig, kräver e högre skyddsivå för persouppgifter sk de lgstiftig h företräde frmför de. Uder ll omstädigheter sk persouppgifter behdls i elighet med de tillämplig lgstiftige, det vill säg eligt rtikel 5 i de 2

27 I de sökigsblkette Hävisigr Kommetrer Refereser till sök/ llmä dtskyddsförordige och de relevt lokl lgstiftige. 27