Standardowe Klauzule Umowne Przekazywania Danych Osobowych Do Państw Trzecich

Standardowe klauzule umowne dotyczące przekazywania danych osobowych do państw trzecich na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (na podstawie decyzji wykonawczej Komisji (UE) 2021/914 z dnia 04.06.2021)

Niniejsze klauzule zostały opracowane na potrzeby przekazania danych osobowych przez administratora mającego siedzibę w UE do administratora mającego siedzibę w państwie trzecim¹.

SEKCJA I (Przekazywanie między administratorami)

Klauzula 1

Cel i zakres

a) Niniejsze standardowe klauzule umowne mają na celu zapewnienie zgodności z wymogami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27.04.2016 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych lub rozporządzenie (UE) 2016/679) (1) w zakresie przekazywania danych osobowych do państwa trzeciego.

b) Strony:

i. osoby fizyczne lub prawne, organy publiczne, agencje lub inne organy (zwane dalej "podmiotami") przekazujące dane osobowe, wymienione w załączniku I część A (zwane dalej "podmiotem przekazującym dane") oraz

ii. podmioty w państwie trzecim otrzymujące dane osobowe od podmiotu przekazującego dane, bezpośrednio lub pośrednio za pośrednictwem innego podmiotu, będącego również Stroną niniejszych klauzul, umieszczone w wykazie w załączniku I część A (zwane dalej "podmiotem odbierającym dane")

uzgodniły niniejsze standardowe klauzule umowne (zwane dalej "klauzulami").

c) Niniejsze klauzule mają zastosowanie do przekazywania danych osobowych, jak określono w załączniku I część B.

d) Dodatek do niniejszych klauzul zawierający wymienione w nich załączniki stanowi integralną część niniejszych klauzul.

Klauzula 2

Skutek i niezmienność klauzul

a) Niniejsze klauzule określają odpowiednie zabezpieczenia, w tym egzekwowalne prawa osób, których dane dotyczą, i skuteczne środki ochrony prawnej, zgodnie z art. 46 i art. 46 lit. c) rozporządzenia (UE) 2016/679, oraz standardowe klauzule umowne zgodnie z art. 28 rozporządzenia (UE) 2016/679 w odniesieniu do przekazywania danych od administratorów do podmiotów przetwarzających lub od podmiotów przetwarzających do podmiotów przetwarzających, pod warunkiem że klauzule te nie są modyfikowane, z wyjątkiem modyfikowania w celu wyboru odpowiedniego modułu lub odpowiednich modułów lub w celu dodania informacji do dodatku lub aktualizacji takich informacji. Nie uniemożliwia to Stronom włączania standardowych klauzul umownych określonych w niniejszych klauzulach do szerszej umowy lub dodawania innych klauzul lub dodatkowych zabezpieczeń, pod warunkiem że nie są one bezpośrednio ani pośrednio sprzeczne z niniejszymi klauzulami ani nie naruszają podstawowych praw lub wolności osób, których dane dotyczą.

b) Niniejsze klauzule nie naruszają obowiązków, którym podlega podmiot przekazujący dane na mocy rozporządzenia (UE) 2016/679.

¹ Tekst decyzji 2021/914 w pierwotnym brzmieniu może być stosowany do przekazania danych osobowych przez administratora lub podmiot przetwarzający mający siedzibę w UE do administratora lub podmiotu przetwarzającego mającego siedzibę poza EOG.

Klauzula 3

Osoby trzecie, na rzecz których zawarto umowę

a) Osoby, których dane dotyczą, mogą powoływać się na niniejsze klauzule i egzekwować je, jako osoby trzecie, na rzecz których zawarto umowę, względem podmiotu przekazującego dane lub podmiotu odbierającego dane, z następującymi wyjątkami:

i. klauzula 2, klauzula 5, klauzula 7, klauzula 11, klauzula 12;

ii. klauzula 8 lit. e) i klauzula 9 lit. b);

iii. klauzula 10 lit. a) i d);

iv. klauzula 13;

v. klauzula 14 lit. c), d) i e);

vi. klauzula 16 lit. e);

vii. klauzula 17 lit. a) i b);

b) Lit. a) pozostaje bez uszczerbku dla praw osób, których dane dotyczą, w trybie rozporządzenia (UE) 2016/679.

Klauzula 4

Interpretacja

a) W przypadku gdy w niniejszych klauzulach stosuje się terminy zdefiniowane w rozporządzeniu (UE) 2016/679, terminy te mają znaczenie nadane im w tym rozporządzeniu.

b) Niniejsze klauzule należy odczytywać i interpretować w świetle przepisów rozporządzenia (UE) 2016/679.

c) Klauzul tych nie należy interpretować w sposób sprzeczny z prawami i obowiązkami określonymi w rozporządzeniu (UE) 2016/679.

Klauzula 5

Hierarchia

W przypadku sprzeczności między niniejszymi klauzulami a postanowieniami powiązanych umów między Stronami, obowiązujących w chwili uzgodnienia niniejszych klauzul lub zawartych w późniejszym terminie, niniejsze klauzule mają pierwszeństwo.

Klauzula 6

Opis przekazywania danych

Szczegóły dotyczące przekazywania danych, w szczególności kategorie przekazywanych danych osobowych oraz cel lub cele ich przekazywania, określono w załączniku I część B.

Klauzula 7 - Nieobowiązkowa

Klauzula przystąpienia

a) Podmiot, który nie jest Stroną niniejszych klauzul, może za zgodą Stron przystąpić do tych klauzul w dowolnym momencie albo jako podmiot przekazujący dane, albo jako podmiot odbierający dane, wypełniając dodatek i podpisując załącznik I część A.

b) Po wypełnieniu dodatku i podpisaniu załącznika I część A podmiot przystępujący staje się Stroną niniejszych klauzul oraz nabywa prawa i obowiązki podmiotu przekazującego dane lub podmiotu odbierającego dane, zgodnie z jego określeniem w załączniku I część A.

c) Podmiot przystępujący nie ma żadnych praw ani obowiązków wynikających z niniejszych klauzul w odniesieniu do okresu, zanim został ich Stroną.

SEKCJA II - OBOWIĄZKI STRON

Klauzula 8 (Przekazywanie między administratorami)

Zabezpieczenia służące ochronie danych

Podmiot przekazujący dane gwarantuje, że dołożył zasadnych starań w celu ustalenia, że podmiot odbierający dane jest w stanie - dzięki wdrożeniu odpowiednich środków technicznych i organizacyjnych - wypełnić swoje obowiązki określone w niniejszych klauzulach.

8.1. Ograniczenie celu

Podmiot odbierający dane przetwarza dane osobowe wyłącznie w określonym celu lub określonych celach przekazywania, jak wskazano w załączniku I część B. Może on przetwarzać dane osobowe w innym celu wyłącznie w przypadku:

i. uzyskania uprzedniej zgody osoby, której dane dotyczą;

ii. gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń w kontekście szczególnego postępowania administracyjnego, regulacyjnego lub sądowego; lub

iii. gdy jest to niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej.

8.2. Przejrzystość

a) W celu umożliwienia osobom, których dane dotyczą, skutecznego wykonywania ich praw zgodnie z klauzulą 9, podmiot odbierający dane przekazuje im, bezpośrednio lub za pośrednictwem podmiotu przekazującego dane, informacje dotyczące:

i. Example Corp. i ul. Kwiatowa 12, 00-000 Warszawa;

ii. kategorii przetwarzanych danych osobowych;

iii. prawa do otrzymania kopii niniejszych klauzul;

iv. w przypadku gdy planuje dalsze przekazywanie danych osobowych stronie trzeciej lub stronom trzecim - odbiorcy lub kategorii odbiorców (w razie potrzeby w celu przekazania istotnych informacji), celu dalszego przekazania oraz jego uzasadnienia zgodnie z klauzulą 8.7.

b) Lit. a) nie ma zastosowania w przypadku, gdy osoba, której dane dotyczą, już posiada te informacje, w tym gdy podmiot przekazujący dane przekazał już te informacje lub przekazanie ich jest niemożliwe lub wymagałoby niewspółmiernego wysiłku ze strony podmiotu odbierającego dane. W tym drugim przypadku podmiot odbierający dane udostępnia publicznie dane w zakresie, w jakim jest to możliwe.

c) Strony udostępniają bezpłatnie na żądanie osobie, której dane dotyczą, kopię niniejszych klauzul, w tym dodatek wypełniony przez Strony. W zakresie koniecznym w celu ochrony tajemnic handlowych lub innych informacji poufnych, w tym danych osobowych, Strony mogą częściowo zredagować tekst dodatku przed udostępnieniem jego kopii, lecz przekazują stosowne streszczenie, jeżeli bez takiego streszczenia osoba, której dane dotyczą, nie byłaby w stanie zrozumieć treści takiego tekstu lub korzystać ze swoich praw. Na żądanie Strony przekazują osobie, której dane dotyczą, powody zredagowania tekstu, w miarę możliwości bez ujawniania utajonych informacji.

d) Postanowienia zawarte w lit. a)-c) pozostają bez uszczerbku dla obowiązków spoczywających na podmiocie przekazującym dane na mocy art. 13 rozporządzenia (UE) 2016/679.

8.3. Prawidłowość i minimalizacja danych

a) Każda Strona zapewnia, aby dane osobowe były prawidłowe i w razie potrzeby uaktualniane. Podmiot odbierający dane podejmuje wszelkie zasadne działania, aby dane osobowe, które są nieprawidłowe w świetle celu lub celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane.

b) Jeżeli jedna ze Stron zda sobie sprawę, że przekazane lub otrzymane przez nią dane osobowe są nieprawidłowe lub nieaktualne, powiadamia o tym bez zbędnej zwłoki drugą Stronę.

c) Podmiot odbierający dane zapewnia, aby dane osobowe były adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celu lub celów przetwarzania.

8.4. Ograniczenie przechowywania

Podmiot odbierający dane zatrzymuje dane osobowe przez okres nie dłuższy, niż jest to niezbędne do celu lub celów, w których dane te są przetwarzane. Wdraża on odpowiednie środki techniczne lub organizacyjne, aby zapewnić wypełnienie tego obowiązku, w tym usunięcie lub anonimizację danych oraz wszelkich kopii zapasowych po zakończeniu okresu zatrzymywania.

8.5. Bezpieczeństwo przetwarzania

a) Podmiot odbierający dane, a podczas przesyłania również podmiot przekazujący dane, wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych, w tym ochrony przeciwko naruszeniu bezpieczeństwa prowadzącemu do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu (zwanego dalej "naruszeniem ochrony danych osobowych"). Przy ocenie odpowiedniego poziomu bezpieczeństwa podmioty te uwzględniają stan wiedzy technicznej, koszty wdrażania oraz charakter, zakres, kontekst i cel lub cele przetwarzania, a także ryzyko wynikające z przetwarzania dla osoby, której dane dotyczą. Strony rozważą w szczególności posłużenie się szyfrowaniem lub pseudonimizacją, w tym podczas przesyłania, w przypadkach, gdy cel przetwarzania może być spełniony w ten sposób.

b) Strony uzgodniły środki techniczne i organizacyjne określone w załączniku II. Podmiot odbierający dane przeprowadza regularne kontrole, aby zagwarantować, że środki te wciąż zapewniają odpowiedni poziom bezpieczeństwa.

c) Podmiot odbierający dane zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności.

d) W przypadku naruszenia ochrony danych osobowych dotyczącego danych osobowych przetwarzanych przez podmiot odbierający dane na podstawie niniejszych klauzul podmiot odbierający dane stosuje odpowiednie środki w celu zaradzenia naruszeniu danych osobowych, w tym środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

e) W przypadku naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw i wolności osób fizycznych, podmiot odbierający dane bez zbędnej zwłoki zgłasza takie naruszenie zarówno podmiotowi przekazującemu dane, jak i właściwemu organowi nadzorczemu zgodnie z klauzulą 12. Zgłoszenie takie zawiera:

i. opis charakteru naruszenia (w tym w miarę możliwości kategorie i liczbę osób, których dane dotyczą, oraz liczbę danych osobowych, których dotyczy naruszenie),

ii. jego możliwe konsekwencje,

iii. środki zastosowane lub proponowane w celu zaradzenia naruszeniu oraz

iv. adres, w którym można uzyskać więcej informacji. W zakresie, w jakim dla podmiotu odbierającego dane niemożliwe jest udzielenie wszystkich informacji w tym samym czasie, może udzielać ich sukcesywnie bez zbędnej zwłoki.

f) W przypadku naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw i wolności osób fizycznych, administrator bez zbędnej zwłoki zgłasza również osobom, których dane dotyczą, naruszenie ochrony danych osobowych oraz jego charakter, w stosownych przypadkach we współpracy z podmiotem przekazującym dane, wraz z informacjami, o których mowa w lit. e) ppkt (ii)-(iv), chyba że podmiot odbierający dane wdrożył środki służące istotnemu ograniczeniu ryzyka naruszenia praw lub wolności osób fizycznych lub zgłoszenie wymagałoby niewspółmiernie dużego wysiłku. W tym drugim przypadku podmiot odbierający dane zamiast tego wydaje komunikat publiczny lub podejmuje podobne działanie w celu poinformowania ogółu społeczeństwa o naruszeniu ochrony danych osobowych.

g) Podmiot odbierający dane dokumentuje wszelkie istotne fakty związane z naruszeniem ochrony danych osobowych, w tym jego skutki oraz wszelkie podjęte działania zaradcze.

8.6. Dane szczególnych kategorii

Gdy przekazywanie obejmuje dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne lub dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby lub dane dotyczące wyroków skazujących lub czynów zabronionych (zwane dalej "danymi szczególnych kategorii"), podmiot odbierający dane stosuje szczególne ograniczenia lub dodatkowe zabezpieczenia dostosowane do szczególnego charakteru danych i ponoszonego ryzyka. Mogą one obejmować ograniczenia w zakresie personelu, któremu zezwala się na dostęp do danych osobowych, dodatkowe środki bezpieczeństwa (takie jak pseudonimizacja) lub dodatkowe ograniczenia dotyczące dalszego ujawniania.

8.7. Dalsze przekazywanie danych

Podmiot odbierający dane nie ujawnia danych osobowych stronie trzeciej zlokalizowanej poza terytorium Unii Europejskiej² (w tym samym państwie co podmiot odbierający dane lub w innym państwie trzecim; dalej "dalsze przekazanie"), chyba że strona trzecia jest związana niniejszymi klauzulami bądź zgadza się im podlegać, na mocy odpowiedniego modułu. W innych przypadkach dalsze przekazanie przez podmiot odbierający dane może mieć miejsce wyłącznie wówczas, gdy:

i. odbywa się do państwa objętego decyzją stwierdzającą odpowiedni stopień ochrony, zgodnie z art. 45 rozporządzenia (UE) 2016/679, obejmującą dalsze przekazywanie;

ii. strona trzecia zapewnia w inny sposób odpowiednie zabezpieczenia w odniesieniu do przedmiotowego przetwarzania zgodnie z art. 46 rozporządzenia (UE) 2016/679;

iii. strona trzecia zawiera wiążący instrument z podmiotem odbierającym dane, zapewniający taki sam poziom ochrony danych jak poziom przewidziany w niniejszych klauzulach, a podmiot odbierający dane przekazuje kopię tych zabezpieczeń podmiotowi przekazującemu dane;

iv. jest ono niezbędne do ustalenia, dochodzenia lub obrony roszczeń w kontekście szczególnego postępowania administracyjnego, regulacyjnego lub sądowego;

v. jest ono jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; lub

vi. jeżeli żaden z pozostałych warunków nie ma zastosowania - podmiot odbierający dane uzyskał wyraźną zgodę osoby, której dane dotyczą, na dalsze ich przekazywanie w określonej sytuacji, po uprzednim poinformowaniu tej osoby o celu lub celach dalszego przekazania, nazwie firmy oraz ewentualnym ryzyku, na które - ze względu na brak odpowiednich zabezpieczeń służących ochronie danych - może być narażona osoba, której dane dotyczą, w związku z tym przekazaniem. W takim przypadku podmiot odbierający dane informuje podmiot przekazujący dane i na żądanie tego ostatniego przekazuje mu kopię informacji przekazanych osobie, której dane dotyczą.

Wszelkie dalsze przekazanie odbywa się pod warunkiem przestrzegania przez podmiot odbierający dane wszystkich pozostałych zabezpieczeń na mocy niniejszych klauzul, w szczególności ograniczenia celu.

² W Porozumieniu o Europejskim Obszarze Gospodarczym (Porozumienie EOG) przewidziano rozszerzenie rynku wewnętrznego Unii Europejskiej na trzy państwa EOG – Islandię, Liechtenstein i Norwegię. Unijne prawodawstwo dotyczące ochrony danych, w tym rozporządzenie (UE) 2016/679, jest objęte Porozumieniem EOG i zostało włączone do jego załącznika XI. W związku z tym wszelkie ujawnianie danych stronie trzeciej zlokalizowanej w EOG przez podmiot odbierający dane nie kwalifikuje się jako dalsze przekazanie do celów niniejszych klauzul.

8.8. Przetwarzanie z upoważnienia podmiotu odbierającego dane

Podmiot odbierający dane zapewnia, aby każda osoba działająca z jego upoważnienia, w tym podmiot przetwarzający, przetwarzała dane wyłącznie na jego polecenie.

8.9. Dokumentacja i zgodność

a) Każda ze Stron będzie w stanie wykazać, że przestrzega ciążących na niej obowiązków wynikających z niniejszych klauzul. W szczególności podmiot odbierający dane przechowuje odpowiednią dokumentację wykonanych czynności przetwarzania, za które odpowiada.

b) Podmiot odbierający dane udostępnia tę dokumentację na żądanie właściwego organu nadzorczego.

Klauzula 9

Prawa osoby, której dane dotyczą

a) Podmiot odbierający dane, w stosownych przypadkach z pomocą podmiotu przekazującego dane, rozpatrzy - bez zbędnej zwłoki, a najpóźniej w terminie 30 dni od otrzymania zapytania lub żądania - wszelkie zapytania i żądania otrzymane od osoby, której dane dotyczą, związane z przetwarzaniem jej danych osobowych i wykonywaniem jej praw na mocy niniejszych klauzul. Podmiot odbierający dane stosuje odpowiednie środki mające na celu ułatwienie występowania z takimi zapytaniami i żądaniami oraz wykonywania praw osób, których dane dotyczą. Wszelkie informacje przekazywane osobie, której dane dotyczą, muszą być podane w zrozumiałej i łatwo dostępnej formie, przy użyciu jasnego i prostego języka.

b) W szczególności, na żądanie osoby, której dane dotyczą, podmiot odbierający dane jest zobowiązany do nieodpłatnego:

i. przekazania osobie, której dane dotyczą, potwierdzenia, czy dotyczące jej dane osobowe są przetwarzane

* a jeżeli przetwarzanie takie ma miejsce - kopii odnoszących się do niej danych oraz informacji określonych w załączniku III;

* jeżeli dane osobowe zostały lub zostaną dalej przekazane - przekazania informacji o odbiorcach lub kategoriach odbiorców (w stosownych przypadkach w celu dostarczenia istotnych informacji), którym dane osobowe zostały lub zostaną dalej przekazane, o celu takiego dalszego przekazywania i jego podstawie wynikającej z klauzuli 8.7 oraz przekazania informacji o prawie do wniesienia skargi do organu nadzorczego zgodnie z klauzulą 12 lit. c) ppkt i;

ii. sprostowania nieprawidłowych lub uzupełnienia niekompletnych danych odnoszących się do osoby, której dane dotyczą;

iii. usunięcia danych osobowych osoby, której dane dotyczą, jeżeli dane te są lub były przetwarzane z naruszeniem którejkolwiek z niniejszych klauzul zapewniających przysługiwanie jej praw jako osobie trzeciej, na rzecz, której zawarto umowę, lub jeżeli osoba, której dane dotyczą, wycofa zgodę, na podstawie której przetwarzanie się odbywa.

c) Jeżeli podmiot odbierający dane przetwarza dane osobowe do celów marketingu bezpośredniego, musi zaprzestać takiego przetwarzania, jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec takiego przetwarzania.

d) Podmiot odbierający dane nie może podjąć decyzji opierającej się jedynie na zautomatyzowanym przetwarzaniu przekazanych danych osobowych (zwanym dalej "zautomatyzowanym podejmowaniem decyzji"), która to decyzja wywoływałaby skutki prawne względem osoby, której dane dotyczą, lub wywierałaby na nią podobny znaczący wpływ, o ile taki podmiot nie uzyskał wyraźnej zgody osoby, której dane dotyczą, lub nie został do tego upoważniony na mocy przepisów państwa przeznaczenia, o ile przepisy te obejmują stosowne środki w celu zabezpieczenia praw i uzasadnionych interesów osoby, której dane dotyczą. W takim przypadku podmiot odbierający dane, w razie potrzeby we współpracy z podmiotem przekazującym dane, musi:

i. poinformować osobę, której dane dotyczą, o planowanym zautomatyzowanym podejmowaniu decyzji, przewidywanych konsekwencjach oraz o zasadach podejmowania decyzji oraz

ii. wdrożyć odpowiednie zabezpieczenia, przynajmniej poprzez umożliwienie osobie, której dane dotyczą, zakwestionowania decyzji, wyrażenia swojego punktu widzenia i zyskania możliwości przeprowadzenia weryfikacji przez człowieka.

e) Jeżeli żądania osoby, której dane dotyczą, są nadmierne, w szczególności ze względu na swój ustawiczny charakter, podmiot odbierający dane może pobrać rozsądną opłatę, uwzględniając administracyjne koszty spełnienia żądania, albo odmówić podjęcia działań w związku z żądaniem.

f) Podmiot odbierający dane może odmówić spełnienia żądania osoby, której dane dotyczą, jeżeli taka odmowa jest dozwolona na mocy przepisów państwa przeznaczenia oraz w demokratycznym społeczeństwie jest środkiem niezbędnym i proporcjonalnym służącym ochronie jednego z celów wymienionych w art. 23 rozporządzenia (UE) 2016/679.

g) W przypadku gdy podmiot odbierający dane zamierza odmówić spełnienia żądania osoby, której dane dotyczą, informuje ją o przyczynach odmowy oraz o możliwości złożenia skargi do właściwego organu nadzorczego lub dochodzenia roszczeń na drodze sądowej.

Klauzula 10

Dochodzenie roszczeń

a) Podmiot odbierający dane - w sposób przejrzysty i łatwo dostępny w drodze indywidualnego zawiadomienia lub na swojej stronie internetowej - informuje osoby, których dane dotyczą, o tym, który adres email jest upoważniony do rozpatrywania skarg. Podmiot ten niezwłocznie rozpatrywa wszelkie skargi otrzymane od osoby, której dane dotyczą. [WARIANT: Podmiot odbierający dane wyraża zgodę, aby osoby, których dane dotyczą, mogły złożyć skargę również do niezależnego organu rozstrzygania sporów³ bez obciążania kosztami osoby, której dane dotyczą. W sposób określony w lit. a) informuje on osoby, których dane dotyczą, o takim mechanizmie dochodzenia roszczeń oraz o tym, że nie mają one obowiązku korzystać z niego ani postępować zgodnie z konkretną procedurą podczas dochodzenia roszczeń.]

b) W przypadku gdy między osobą, której dane dotyczą, a jedną ze Stron wystąpi spór co do przestrzegania klauzul, Strona ta dokłada wszelkich starań, aby rozwiązać spór w sposób polubowny i efektywny. Strony na bieżąco przekazują sobie informacje na temat pojawienia się takich sporów i w stosownych przypadkach współpracują, by je rozwiązać.

c) W przypadku gdy osoba, której dane dotyczą, powoła się na wynikające z klauzuli 3 prawo przysługujące jej jako osobie trzeciej, na rzecz, której zawarto umowę, podmiot odbierający dane akceptuje decyzję osoby, której dane dotyczą, aby:

i. złożyć skargę do organu nadzorczego w państwie członkowskim miejsca zwykłego pobytu lub miejsca pracy tej osoby lub do właściwego organu nadzorczego zgodnie z klauzulą 12;

ii. skierować spór do sądów właściwych w rozumieniu klauzuli 16.

d) Strony akceptują, że osobę, której dane dotyczą, mogą reprezentować fundacja Example, organizacja lub zrzeszenie, które nie mają charakteru zarobkowego, na warunkach określonych w art. 80 rozporządzenia (UE) 2016/679.

e) Podmiot odbierający dane stosuje się do decyzji wiążącej na podstawie obowiązującego prawa Unii lub państwa członkowskiego.

f) Podmiot odbierający dane potwierdza, że wybór, jakiego dokona osoba, której dane dotyczą, pozostanie bez uszczerbku dla praw podmiotowych lub procesowych przysługujących jej zgodnie z mającymi zastosowanie przepisami.

³ Podmiot odbierający dane może zaoferować możliwość niezależnego rozwiązywania sporów za pośrednictwem sądu arbitrażowego wyłącznie wówczas, gdy posiada jednostkę organizacyjną w państwie, które ratyfikowało Konwencję nowojorską.

Klauzula 11

Odpowiedzialność

a) Każda Strona ponosi odpowiedzialność wobec podmiotu lub podmiotów będących drugą Stroną za wszelkie wyrządzone im przez siebie szkody wynikające z naruszenia niniejszych klauzul.

b) Każda Strona ponosi odpowiedzialność wobec osoby, której dane dotyczą, a osobie, której dane dotyczą, przysługuje prawo do odszkodowania z tytułu jakichkolwiek szkód majątkowych lub niemajątkowych wyrządzonych osobie, której dane dotyczą, przez Stronę w wyniku naruszenia praw przysługujących jej jako osobie trzeciej, na rzecz, której zawarto umowę, na podstawie niniejszych klauzul. Zasada ta pozostaje bez uszczerbku dla odpowiedzialności spoczywającej na podmiocie przekazującym dane na podstawie rozporządzenia (UE) 2016/679.

c) W przypadku gdy za jakiekolwiek szkody wobec osoby, której dane dotyczą, wynikające z naruszenia niniejszych klauzul, odpowiedzialność ponosi więcej niż jednak Strona, wszystkie odpowiedzialne Strony ponoszą odpowiedzialność solidarną, a osobie, której dane dotyczą, przysługuje prawo do wystąpienia do sądu przeciwko którejkolwiek z tych Stron.

d) Strony uzgadniają, że w przypadku pociągnięcia na podstawie lit. c) jednej Strony do odpowiedzialności przysługuje jej prawo do żądania od podmiotu lub podmiotów będących drugą Stroną odszkodowania w wysokości odpowiadającej stopniowi odpowiedzialności za wyrządzoną szkodę.

e) Podmiot odbierający dane nie może powołać się na postępowanie podmiotu przetwarzającego ani podwykonawcy przetwarzania, aby uniknąć własnej odpowiedzialności.

Klauzula 12

Nadzór

a) [W przypadku, gdy podmiot przekazujący dane posiada jednostkę organizacyjną w państwie członkowskim UE:] Urząd Ochrony Danych Osobowych za zapewnianie, aby podmiot przekazujący dane przestrzegał przepisów rozporządzenia (UE) 2016/679 w odniesieniu do przekazywania danych, jak wskazano w załączniku I część C, działa w charakterze właściwego organu nadzorczego.

[W przypadku gdy podmiot przekazujący dane nie ma jednostki organizacyjnej w państwie członkowskim UE, lecz jest objęty terytorialnym zakresem stosowania rozporządzenia (