text: Denna arbetsgrupp inrättades genom

text: artikel 29 i direktiv 95/46/EG

text: . Den är ett oberoende rådgivande EU-organ i frågor som rör uppgiftsskydd och integritetsskydd. Arbetsuppgifterna finns beskrivna i

text: artikel 30 i direktiv 95/46/EG

text: och

text: artikel 15 i direktiv 2002/58/EG

text: . Arbetsgruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och unionsmedborgarskap) vid Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, B-1049 Bryssel, Belgien, Kontor MO-59 02/013. Webbplats: http://ec.europa.eu/newsroom/article29/news.cfm?item_type=1358&tpa_id=6936

text: Text av betydelse för EES. I

text: artikel 28.3

text: anges, bland annat, att det för varje relation mellan en personuppgiftsansvarig och ett personuppgiftsbiträde ska finnas en specifikation, i form av ett avtal eller en annan rättsakt, som anger föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter. En allmän beskrivning i de bindande företagsbestämmelserna kring kategorier av uppgifter, registrerade osv. är inte tillräckligt i detta sammanhang.

text: Denna arbetsgrupp inrättades genom

text: artikel 29 i direktiv 95/46/EG

text: artikel 30 i direktiv 95/46/EG

text: och

text: artikel 15 i direktiv 2002/58/EG

text: Arbetsgruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och unionsmedborgarskap) vid Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, B-1049 Bryssel, Belgien, Kontor MO-59 02/013.

text: Webbplats: http://ec.europa.eu/newsroom/article29/news.cfm?item_type=1358&tpa_id=6936

title: Arbetsdokument med en tabell över de element och principer som ska finnas med i bindande företagsbestämmelser

text: Arbetsdokument med en tabell över de element och principer som ska finnas med i bindande företagsbestämmelser INLEDNING För att underlätta användningen av bindande företagsbestämmelser för personuppgiftsansvariga (BCR-C, Binding Corporate Rules for Controllers) inom en koncern eller en grupp av företag som deltar i gemensam ekonomisk verksamhet i samband med internationella överföringar från organisationer etablerade inom EU till organisationer inom samma koncern eller grupp av företag etablerade utanför EU, har artikel 29-arbetsgruppen genomfört ändringar av arbetsdokumentet

text: (antaget 2008) som presenterar en tabell över de element och principer som ska finnas med i bindande företagsbestämmelser. Syftet med ändringarna är att återspegla de krav gällande bindande företagsbestämmelser som nu uttryckligen anges i

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning) . Det bör erinras om att bindande företagsbestämmelser för personuppgiftsansvariga är lämpliga att använda vid överföringar av personuppgifter från personuppgiftsansvariga etablerade inom EU till andra personuppgiftsansvariga eller till personuppgiftsbiträden (etablerade utanför EU) inom samma koncern eller grupp av företag, medan bindande företagsbestämmelser för personuppgiftsbiträden (BCR-P, Binding Corporate Rules for Processors) används för uppgifter som mottas från en personuppgiftsansvarig (etablerad inom EU) som inte ingår i koncernen eller gruppen av företag och som sedan behandlas av de berörda medlemmarna i koncernen eller gruppen av företag i deras egenskap av personuppgiftsbiträden och/eller underentreprenörer. Därigenom gäller de skyldigheter som fastställs i de bindande företagsbestämmelserna för personuppgiftsansvariga för enheter inom samma koncern eller grupp av företag som agerar som personuppgiftsansvariga och för enheter som agerar som ”interna” personuppgiftsbiträden. I det sistnämnda fallet är det värt att påminna om att ett avtal eller en annan rättsakt enligt EU:s eller medlemsstatens lagstiftning, som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som innefattar alla krav som anges i

text: artikel 28.3 i den allmänna dataskyddsförordningen

text: , ska undertecknas av alla interna och externa underentreprenörer/personuppgiftsbiträden (till exempel serviceavtal eller andra instrument som uppfyller samma krav) . I själva verket gäller skyldigheterna som anges i de bindande företagsbestämmelserna för personuppgiftsansvariga för enheter inom koncernen eller gruppen av företag som tar emot personuppgifter i egenskap av (”interna”) personuppgiftsbiträden i den mån det inte leder till någon konflikt med serviceavtalet (det vill säga att personuppgiftsbiträdena i koncernen eller gruppen av företag som behandlar uppgifter på uppdrag av de personuppgiftsansvariga i koncernen eller gruppen av företag huvudsakligen ska följa detta avtal). Med utgångspunkt i att

text: artikel 47.2 i den allmänna dataskyddsförordningen

text: fastställer ett antal element som måste finnas med i de bindande företagsbestämmelserna, är avsikten med denna ändrade tabell att - justera formuleringarna i den tidigare referensramen så att de stämmer överens med

text: artikel 47 i den allmänna dataskyddsförordningen

text: , - klargöra vilket innehåll som krävs i bindande företagsbestämmelser utifrån vad som 3 4 anges i

text: artikel 47

text: (med beaktande av dokumenten

text: och

text: som har antagits av artikel 29-arbetsgruppen inom ramen för direktiv

text: ), - göra en distinktion mellan vad som måste inkluderas i de bindande företagsbestämmelserna och vad som måste presenteras för den behöriga tillsynsmyndigheten i ansökan om godkännande av de bindande företagsbestämmelserna (arbetsdokument

text: ), - lämna hänvisningar till motsvarande text i

text: för principerna, - tillhandahålla förklaringar/kommentarer för var och en av principerna.

text: Artikel 47 i den allmänna dataskyddsförordningen

text: är utan tvekan baserad på de arbetsdokument gällande bindande företagsbestämmelser som har antagits av

text: artikel 29

text: arbetsgruppen. I artikeln anges dock en del nya element som måste tas i beaktande vid uppdatering av redan befintliga bindande företagsbestämmelser eller vid antagande av nya bindande företagsbestämmelser, för att säkerställa att de är förenliga med den nya rättsliga ram som upprättats genom den allmänna dataskyddsförordningen. 1.1 Nya element I det här sammanhanget skulle artikel 29-arbetsgruppen vilja rikta uppmärksamheten i synnerhet mot följande element: - Rätten att inge klagomål: De registrerade ska ges rätten att, efter eget val, framföra sina klagomål antingen till tillsynsmyndigheten i medlemsstaten där den registrerade har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks (enligt

text: artikel 77 i den allmänna dataskyddsförordningen

text: ) eller till de behöriga domstolarna inom EU:s medlemsstater (varvid den registrerade kan välja att framföra sina klagomål inför domstolarna i medlemsstaten där uppgiftsutföraren är etablerad eller inför domstolarna i medlemsstaten där den registrerade har sin hemvist) (enligt

text: artikel 79 i den allmänna dataskyddsförordningen

text: ). - Öppenhet: Alla registrerade med rättigheter som berättigad tredje part (tredjepartsberättigande) bör, i synnerhet, förses med den information som krävs enligt

text: Arbetsdokument

text: , Working Document: Transfers of personal data to third countries: Applying Article 26 (2) of the EU Data Protection Directive to Binding Corporate Rules for International Data Transfers (ej översatt till svenska), antaget den 3 juni 2003, http://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2003/wp74_en.pdf 4 Arbetsdokument

text: , Working Document Establishing a Model Checklist Application for Approval of Binding Corporate Rules (ej översatt till svenska), antaget den 14 april 2005, http://ec.europa.eu/justice/article- 29/documentation/opinion-recommendation/files/2005/wp108_en.pdf 5 Arbetsdokument

text: , Recommendation 1/2007 on the Standard Application for Approval of Binding Corporate Rules for the Transfer of Personal Data (ej översatt till svenska), antaget den 10 januari 2007, http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp133_en.doc

text: artiklarna

text: och

text: i den allmänna dataskyddsförordningen och information om sina rättigheter i fråga om personuppgiftsbehandling och om de medel som finns för att utöva dessa rättigheter, samt information om bestämmelsen gällande ansvarsskyldighet och bestämmelserna gällande principer för dataskydd. - Tillämpningsområde: De bindande företagsbestämmelserna ska lämna information om strukturen och kontaktuppgifterna för koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet och för var och en av dess medlemmar (

text: artikel 47.2 a i den allmänna dataskyddsförordningen

text: ). Därutöver måste de bindande företagsbestämmelserna lämna information om det materiella tillämpningsområdet, exempelvis vilka överföringar eller uppsättningar av överföringar av uppgifter som omfattas, inklusive kategorierna av personuppgifter, typen av behandling och dess ändamål, den typ av registrerade som berörs samt vilket tredjeland eller vilka tredjeländer som avses (

text: artikel 47.2 b i den allmänna dataskyddsförordningen

text: ). - Principer för dataskydd: Vid sidan av principerna om öppenhet, korrekthet (fairness) , ändamålsbegränsning, datakvalitet och säkerhet, ska de bindande företagsbestämmelserna även förklara och beskriva övriga principer som avses i

text: artikel 47.2 d

text: . Detta gäller, i synnerhet, principerna om laglighet, uppgiftsminimering, begränsade lagringsperioder, garantier vid behandling av särskilda kategorier av personuppgifter och villkoren när det gäller vidare överföring av uppgifter till organ som inte är bundna av de bindande företagsbestämmelserna. - Ansvarsskyldighet: Varje enhet som fungerar som personuppgiftsansvarig ska ansvara för och kunna visa att de bindande företagsbestämmelserna efterlevs (

text: artikel 5.2 i den allmänna dataskyddsförordningen

text: ). - Lagstiftning i tredjeland: De bindande företagsbestämmelserna ska innehålla ett åtagande som innebär att när något rättsligt krav som en medlem i koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet är underkastad i ett tredjeland sannolikt kommer att ha en avsevärd negativ inverkan på de garantier som ges genom de bindande företagsbestämmelserna, ska detta problem rapporteras till den behöriga tillsynsmyndigheten (förutsatt att detta inte är förbjudet, till exempel enligt straffrätten för att bevara sekretessen i en brottsutredning). Detta innefattar eventuella rättsligt bindande begäranden om utlämning av personuppgifter från en brottsbekämpande myndighet eller ett organ som verkar för statens säkerhet. 1.2 Ändringar av redan antagna bindande företagsbestämmelser Samtidigt som tillstånd från en medlemsstat eller tillsynsmyndighet på grundval av

text: artikel 26.2 i direktiv 95/46/EG

text: ska förbli giltiga tills de, vid behov, har ändrats, ersatts eller upphävts av tillsynsmyndigheten, i enlighet med

text: artikel 46.5 i den allmänna dataskyddsförordningen

text: , bör koncerner eller grupper av företag med godkända bindande företagsbestämmelser, som en del av förberedelserna för den allmänna dataskyddsförordningen, anpassa sina bindande företagsbestämmelser efter kraven i den allmänna dataskyddsförordningen. Det här dokumentet syftar även till att hjälpa dessa koncerner eller grupper av företag med godkända bindande företagsbestämmelser att införa de ändringar som behövs för att anpassa dem efter den allmänna dataskyddsförordningen. Dessa koncerner eller grupper av företag uppmanas, för att nå detta mål, att meddela relevanta ändringar i sina bindande företagsbestämmelser som en del av sitt åtagande (enligt punkt 5.1 i

text: ) till alla medlemmar i koncernen eller gruppen av företag och till dataskyddsmyndigheterna via den ansvariga dataskyddsmyndigheten i samband med deras årliga uppdatering, med start den 25 maj 2018. Sådana uppdaterade bindande företagsbestämmelser kan användas utan att det behöver göras någon ansökan om nytt tillstånd eller godkännande. Med beaktande av det ovanstående förbehåller sig dataskyddsmyndigheterna rätten att utöva sina befogenheter enligt

text: Kriterier för I de bindande På Hänvisningar Kommentarer Referenser till godkännande av företagsbestämmelsern ansökningsblankette ansökan/bindande bindande a n företagsbestämmelser företagsbestämmelser

text: 1 – BINDANDE NATUR INTERNT

text: 1.1 Skyldighet att JA JA Artikel

text: 47.1 a

text: och

text: De bindande företagsbestämmelserna måste vara respektera de bindande c i den allmänna rättsligt bindande och ska innehålla en tydlig företagsbestämmelsern dataskyddsförordninge skyldighet för varje deltagande medlem i a n koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet (nedan kallad

text: medlem som omfattas av de bindande

text: företagsbestämmelserna), inklusive deras anställda, att respektera de bindande företagsbestämmelserna. 1.2 En förklaring som NEJ JA Artikel

text: 47.1 a

text: och

text: Koncernen eller gruppen av företag måste på sin anger hur c i den allmänna ansökningsblankett förklara hur bestämmelserna bestämmelserna görs dataskyddsförordninge görs bindande, enligt följande: bindande för n medlemmarna som i) För varje deltagande företag/enhet inom omfattas av de koncernen eller gruppen av företag genom ett

text: bindande

text: Fylls i av den sökande.

text: företagsbestämmelsern eller flera av följande alternativ:

text: a inom koncernen eller gruppen av företag

text: - Avtal inom koncernen eller gruppen av

text: samt även för de

text: företag.

text: anställda

text: - Ensidiga åtaganden (detta är endast möjligt om medlemmen som omfattas av de bindande företagsbestämmelserna som tar detta ansvar befinner sig i en medlemsstat som erkänner ensidiga åtaganden som bindande och om denna medlem har rättslig möjlighet att binda de övriga medlemmarna som omfattas av de bindande företagsbestämmelserna). - Andra sätt (endast om koncernen eller gruppen av företag visar hur de bindande företagsbestämmelsernas bindande natur uppnås).

text: ii) För anställda genom ett eller flera av följande alternativ:

text: - Individuella och separata avtal/åtaganden med tillhörande påföljder. - Klausul i anställningsavtal med en beskrivning av tillämpliga påföljder. - Interna policybeslut med tillhörande påföljder. - Kollektivavtal med tillhörande påföljder.

text: - Andra sätt (men koncernen eller gruppen av företag måste på ett noggrant sätt förklara hur de bindande företagsbestämmelserna

text: görs bindande för de anställda).

text: EXTERNT

text: 1.3 Tilldelning av JA JA Artikel

text: 47.1 b

text: 47.2 c

text: De bindande företagsbestämmelserna måste tredjepartsberättigande och 47.2 e i den uttryckligen tilldela de registrerade rätten att till de registrerade. I allmänna agera som berättigad tredje part. detta ingår möjligheten dataskyddsförordninge att inge klagomål till n De registrerade måste, åtminstone, kunna hävda behörig sina rättigheter gällande följande element i de tillsynsmyndighet och bindande företagsbestämmelserna:

text: till domstol.

text: - Principer för dataskydd (

text: artikel 47.2 d

text: och avsnitt 6.1 i denna referenstabell). - Öppenhet och enkel tillgång till de bindande företagsbestämmelserna (

text: artikel 47.2 g

text: och avsnitten 6.1 och 1.7 i denna referenstabell). - Rätten till tillgång, rättelse, radering, begränsning och invändning mot behandling, samt rätten att inte bli föremål för beslut som enbart baseras på automatisk behandling, inbegripet profilering (

text: artikel 47.2 e

text: och artiklarna

text: och

text: i den allmänna dataskyddsförordningen). - Nationell lagstiftning som förhindrar efterlevnad av de bindande företagsbestämmelserna (

text: artikel 47.2 m

text: och avsnitt 6.3 i denna referenstabell). - Rätten att inge klagomål genom företagens interna mekanism för klagomålshantering (artikel 47.1 i och avsnitt 2.2 i denna referenstabell). - Skyldighet att samarbeta med

text: tillsynsmyndigheter (artikel 47.2

text: k

text: och

text: l

text: och avsnitt 3.1 i denna referenstabell). - Bestämmelser om ansvarsskyldighet och jurisdiktion (artikel 47.2

text: e

text: och

text: f

text: och avsnitten 1.3 och 1.4 i denna referenstabell). I synnerhet måste de bindande företagsbestämmelserna tilldela rätten att inge klagomål till behörig tillsynsmyndighet (antingen tillsynsmyndigheten i den medlemsstat där den registrerade har sin hemvist eller sin arbetsplats eller i den medlemsstat där det påstådda intrånget begicks, enligt

text: ) och till behörig domstol inom EU:s medlemsstater (varvid den registrerade kan välja mellan domstolarna i den medlemsstat där den personuppgiftsansvarige är etablerad eller personuppgiftsbiträdet är etablerat eller i den medlemsstat där den registrerade har sin hemvist, enligt

text: De bindande företagsbestämmelserna ska uttryckligen tilldela de registrerade rätten till rättsmedel och rätten till prövning samt, i förekommande fall, rätten till ersättning vid eventuell överträdelse av något av de bindande elementen i de bindande företagsbestämmelserna som anges ovan (se

text: artiklarna 77

text: till 82 i den allmänna dataskyddsförordningen). Företag bör säkerställa att alla dessa rättigheter omfattas av bestämmelsen om tredjepartsberättigande

text: i deras bindande företagsbestämmelser, genom att exempelvis hänvisa till de punkter, stycken eller delar i de bindande företagsbestämmelserna där dessa rättigheter regleras eller genom att lista dem allihop i den nämnda bestämmelsen om tredjepartsberättigande.

text: Dessa rättigheter omfattar inte de element i de bindande företagsbestämmelserna som gäller interna mekanismer som har införts inom enheterna, till exempel detaljer kring utbildning, tillsynsprogram, nätverk för efterlevnad och mekanismer för uppdatering av bestämmelserna. 1.4 Huvudkontoret JA JA Artikel 47.2 f i den De bindande företagsbestämmelserna måste inom EU, medlemmen allmänna innehålla en skyldighet för huvudkontoret inom inom EU med delegerat dataskyddsförordninge EU eller medlemmen inom EU som omfattas av dataskyddsansvar eller n de bindande företagsbestämmelserna och har uppgiftsutföraren tar delegerat dataskyddsansvar att ta på sig ansvaret på sig ansvaret för att för och samtycka till att vidta nödvändiga betala ut ersättning och åtgärder för att rätta till handlingar som utförts av att åtgärda andra medlemmar utanför EU som är bundna av överträdelser av de de bindande företagsbestämmelserna och att bindande betala ut ersättning för eventuella materiella eller företagsbestämmelsern immateriella skador som följer av överträdelser a av de bindande företagsbestämmelserna av medlemmar som omfattas av de bindande företagsbestämmelserna.

text: Det måste även anges i de bindande företagsbestämmelserna att om en medlem utanför EU som omfattas av de bindande företagsbestämmelserna bryter mot de bindande företagsbestämmelserna ska domstolarna eller andra behöriga myndigheter inom EU ha domsrätt och den registrerade ha samma

text: rättigheter och möjligheter att vidta rättsliga åtgärder gentemot medlemmen som omfattas av de bindande företagsbestämmelserna som har samtyckt till ansvar som om överträdelsen hade orsakats av denna medlem i medlemsstaten där den är baserad i stället för av medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna.

text: Ett annat alternativ, i synnerhet om det inte är möjligt för en koncern eller en grupp av företag med särskilda företagsstrukturer att ålägga en specifik enhet att ta allt ansvar för eventuella överträdelser av de bindande företagsbestämmelserna utanför EU, är att de bindande företagsbestämmelserna anger att varje medlem som omfattas av de bindande företagsbestämmelserna som för ut uppgifter ur EU baserat på de bindande företagsbestämmelserna ansvarar för eventuella överträdelser av de bindande företagsbestämmelserna som görs av medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna som har tagit emot uppgifterna från denna medlem inom EU som omfattas av de bindande företagsbestämmelserna. 1.5 Företaget har NEJ JA (

text: punkt 5.5.2 Ansökningsblanketten måste innehålla en tillräckliga tillgångar andra stycket [sida 18] bekräftelse på att alla medlemmar som omfattas +

text: punkt 5.17 av de bindande företagsbestämmelserna som har [sida 6]) samtyckt till att ta ansvar för handlingar som utförts av andra medlemmar utanför EU som omfattas av de bindande företagsbestämmelserna har tillräckliga tillgångar för att kunna betala ersättning för skador som orsakas genom överträdelse av de bindande

text: företagsbestämmelserna.

text: 1.6 Bevisbördan ligger JA JA Artikel 47.2 f i den Det måste anges i de bindande hos företaget, inte hos allmänna företagsbestämmelserna att medlemmen som individen dataskyddsförordninge omfattas av de bindande företagsbestämmelserna n som har samtyckt till att ta ansvar även innehar bevisbördan och ska kunna styrka att medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna inte bär ansvar för eventuella överträdelser av bestämmelserna som har lett till att den registrerade begär skadestånd.

text: Om medlemmen som omfattas av de bindande företagsbestämmelserna som har samtyckt till att ta ansvar kan styrka att medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna inte är ansvarig för händelsen som har gett upphov till skadan, kan den frånsäga sig allt ansvar.

text: 1.7 Öppenhet och enkel JA NEJ Artikel 47.2 g i den De bindande företagsbestämmelserna måste tillgång till de bindande allmänna innehålla ett åtagande som anger att alla företagsbestämmelsern dataskyddsförordninge registrerade med rättigheter som berättigad tredje a för de registrerade n part (tredjepartsberättigande) ska förses med den information som krävs enligt artiklarna

text: och

text: i den allmänna dataskyddsförordningen, liksom med information om sina rättigheter som berättigad tredje part i fråga om behandlingen av deras personuppgifter och om de medel som finns för att utöva dessa rättigheter, samt information om bestämmelsen gällande ansvarsskyldighet och bestämmelserna gällande principer för dataskydd.

text: Informationen ska tillhandahållas i fullständigt skick och det räcker inte med en sammanfattning.

text: Det måste anges i de bindande företagsbestämmelserna att alla registrerade har rätt att enkelt få tillgång till dem. Till exempel kan det stå att åtminstone de delar av de bindande företagsbestämmelserna kring vilka de registrerade måste informeras (enligt beskrivningen i föregående stycke) kommer att publiceras på internet eller på intranätet (när de registrerade enbart utgörs av företagspersonal som har tillgång till intranätet).

text: 2 – EFFEKTIVITET

text: 2.1 Förekomsten av ett JA JA Artikel 47.2 n i den Det måste anges i de bindande lämpligt allmänna företagsbestämmelserna att lämplig utbildning utbildningsprogram dataskyddsförordninge om de bindande företagsbestämmelserna ska n tillhandahållas till personal som har ständig eller regelbunden tillgång till personuppgifter, som

text: medverkar i insamlingen av personuppgifter eller som medverkar i framtagningen av verktyg som används för att behandla personuppgifter.

text: Tillsynsmyndigheterna som utvärderar de bindande företagsbestämmelserna kan be om exempel från och beskrivningar av utbildningsprogrammet under ansökningsförfarandet. Utbildningsprogrammet ska specificeras i ansökan. 2.2 Förekomsten av ett JA JA Artiklarna 47.2 i och Ett internt förfarande för klagomålshantering förfarande för 12.3 i den allmänna måste anges i de bindande klagomålshantering dataskyddsförordninge företagsbestämmelserna för att säkerställa att alla gällande de bindande n registrerade har möjlighet att utöva sina företagsbestämmelsern rättigheter och anmäla klagomål gällande någon a medlem som omfattas av de bindande företagsbestämmelserna.

text: - Klagomålen måste hanteras, utan onödigt dröjsmål och i alla händelser inom en månad, av en tydligt identifierad avdelning eller person med en lämplig grad av oberoende i arbetet. Med hänsyn till ärendenas komplexitet och antal kan denna period på en månad förlängas med maximalt två månader till. Om så sker ska den registrerade informeras om detta. Det måste beskrivas på ansökningsblanketten hur de registrerade ska informeras om de olika stegen i förfarandet för klagomålshantering. Detta gäller i synnerhet följande: - Var klagomål ska anmälas. - I vilken form. - Fördröjningar i besvarandet av klagomål.

text: - Konsekvenser om klagomålet avslås. - Konsekvenser om klagomålet anses berättigat. - Konsekvenser om den registrerade inte är nöjd med svaret (rätten att inge klagomål till domstol och till tillsynsmyndigheten).

text: 2.3 Förekomsten av ett JA JA Artikel 47.2

text: j

text: och

text: l

text: och De bindande företagsbestämmelserna måste tillsynsprogram som artikel 38.3 i den innehålla ett åtagande för koncernen eller omfattar de bindande allmänna gruppen av företag att genomföra företagsbestämmelsern dataskyddsförordninge dataskyddstillsyn med jämna mellanrum (genom a n antingen interna eller externa ackrediterade revisorer) eller på specifik begäran från dataskyddsombudet (Privacy Officer)/dataskyddsfunktionen (eller annan behörig funktion inom organisationen) för att säkerställa att de bindande företagsbestämmelserna efterlevs.

text: Det måste anges i de bindande företagsbestämmelserna att tillsynsprogrammet ska omfatta alla aspekter av de bindande företagsbestämmelserna, inklusive metoderna för att säkerställa att korrigerande åtgärder vidtas. Dessutom måste det i de bindande företagsbestämmelserna anges att resultatet ska meddelas till dataskyddsombudet (Privacy Officer)/dataskyddsfunktionen och till relevant styrelse hos det kontrollerande företaget i koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet. När så är lämpligt kan resultatet meddelas till det yttersta moderbolagets styrelse.

text: Det måste likaså anges i de bindande företagsbestämmelserna att tillsynsmyndigheterna ska få tillgång till resultaten av tillsynen på begäran och att tillsynsmyndigheterna ska ha tillstånd/befogenhet att, vid behov, utföra en dataskyddstillsyn av valfri medlem som omfattas av de bindande företagsbestämmelserna.

text: Ansökningsblanketten ska innehålla en beskrivning av tillsynssystemet. Exempelvis ska följande ingå:

text: - Vilken enhet (avdelning inom koncernen eller gruppen av företag) som beslutar om tillsynsplanen/-programmet. - Vilken enhet som ska genomföra tillsynen. - Tidpunkt för tillsynen (regelbundet eller på specifik begäran från tillämplig dataskyddsfunktion). - Tillsynens omfattning (till exempel applikationer, it-system, databaser som behandlar personuppgifter eller vidare överföring, beslut som fattas rörande obligatoriska krav i nationella lagar som strider mot de bindande företagsbestämmelserna, granskning av de avtalsvillkor som gäller för överföringar utanför koncernen eller gruppen av företag [till personuppgiftsansvariga eller personuppgiftsbiträden], korrigerande åtgärder osv.). - Vilken enhet som ska ta emot

text: tillsynsresultaten.

text: 2.4 Skapande av ett JA NEJ

text: Artikel 47.2 h

text: och Ett åtagande att utnämna ett dataskyddsombud nätverk av artikel 38.3 i den när detta krävs enligt artikel 37 i den allmänna dataskyddsombud eller allmänna dataskyddsförordningen eller annan person eller lämplig personal för att dataskyddsförordninge enhet (till exempel ett högsta dataskyddsombud övervaka att n [”Chief Privacy Officer”]) som har ansvar för att bestämmelserna övervaka att de bindande företagsbestämmelserna efterlevs efterlevs och som har stöd från den högsta ledningen i arbetet med att fullgöra uppgiften.

text: Dataskyddsombudet eller andra dataskyddsansvariga kan få hjälp i arbetet av ett team, ett nätverk av lokala dataskyddsombud eller lokala kontakter, efter vad som är lämpligt. Dataskyddsombudet ska rapportera direkt till den högsta förvaltningsnivån (

text: artikel 38.3 i den allmänna dataskyddsförordningen

text: ). De bindande företagsbestämmelserna bör innehålla en kortfattad beskrivning av dataskyddsombudets eller den motsvarande funktionens struktur, roll, position och uppgifter och av det nätverk som skapats för att säkerställa att bestämmelserna efterlevs. Till exempel kan det anges att dataskyddsombudet eller det högsta dataskyddsombudet (Chief Privacy Officer) informerar och lämnar råd till den högsta

text: ledningen, hanterar tillsynsmyndigheternas undersökningar, övervakar efterlevnaden på övergripande nivå och årligen rapporterar kring detta, samt att lokala dataskyddsombud eller lokala kontakter kan ansvara för hanteringen av lokala klagomål från registrerade, rapportering av mer omfattande dataskyddsproblem till dataskyddsombudet och övervakning av utbildningen och efterlevnaden på lokal nivå.

text: 3 – SKYLDIGHET ATT SAMARBETA

text: 3.1 En skyldighet att JA JA Artikel 47.2 l i den De bindande företagsbestämmelserna ska samarbeta med allmänna innehålla en tydlig skyldighet för alla tillsynsmyndigheter dataskyddsförordninge medlemmar som omfattas av de bindande n företagsbestämmelserna att samarbeta med tillsynsmyndigheterna, att acceptera att granskas av tillsynsmyndigheterna och att följa tillsynsmyndigheternas råd gällande alla frågor med koppling till bestämmelserna.

text: 4 – BESKRIVNING AV BEHANDLING OCH DATAFLÖDEN

text: 4.1 En beskrivning av JA JA Artikel 47.2 b i den De bindande företagsbestämmelserna måste det materiella allmänna innehålla en beskrivning av bestämmelsernas tillämpningsområdet dataskyddsförordninge materiella tillämpningsområde och följaktligen för de bindande n en generell beskrivning av överföringarna, så att företagsbestämmelsern tillsynsmyndigheterna kan bedöma om a (typer av överförda behandlingen som utförs i tredjeländer efterlever uppgifter, typer av kraven. Framför allt måste de bindande registrerade och företagsbestämmelserna ange vilka överföringar länder) eller uppsättningar av överföringar av uppgifter som omfattas, inklusive typerna och kategorierna av personuppgifter, typen av behandling och dess ändamål, typen av registrerade som berörs (uppgifter gällande anställda, kunder,

text: leverantörer och andra tredje parter som är en del av företagets olika affärsverksamheter) samt vilket tredjeland eller vilka tredjeländer som avses. 4.2 Ett yttrande om det JA JA Artikel 47.2 a i den De bindande företagsbestämmelserna ska ange geografiska allmänna strukturen och kontaktuppgifterna för koncernen tillämpningsområdet dataskyddsförordninge eller gruppen av företag som deltar i gemensam för de bindande n ekonomisk verksamhet och för var och en av dess företagsbestämmelsern medlemmar.

text: a

text: Det ska även anges i de bindande företagsbestämmelserna om de gäller i) alla personuppgifter som överförs från EU inom koncernen eller gruppen av företag, ELLER ii) all behandling av personuppgifter inom koncernen eller gruppen av företag.

text: 5 – MEKANISMER FÖR ATT RAPPORTERA OCH DOKUMENTERA ÄNDRINGAR

text: 5.1 En process för att JA JA Artikel 47.2 k i den De bindande företagsbestämmelserna kan ändras uppdatera de bindande allmänna (till exempel för att ta hänsyn till ändringar i företagsbestämmelsern dataskyddsförordninge regelverk eller företagsstrukturen), men det ska a n framgå av bestämmelserna att sådana ändringar ska rapporteras utan onödigt dröjsmål till alla medlemmar som omfattas av de bindande företagsbestämmelserna och till relevanta tillsynsmyndigheter via den behöriga tillsynsmyndigheten.

text: Uppdateringar av de bindande företagsbestämmelserna eller av förteckningen över medlemmar som omfattas av de bindande

text: företagsbestämmelserna kan ske utan att det krävs någon ny ansökan om godkännande, förutsatt att följande villkor är uppfyllda:

text: i) En identifierad person eller ett identifierat team/en identifierad avdelning ansvarar för att föra en fullständigt uppdaterad förteckning över medlemmarna som omfattas av de bindande företagsbestämmelserna och håller reda på och registrerar alla eventuella uppdateringar av bestämmelserna, samt tillhandahåller nödvändig information till de registrerade eller tillsynsmyndigheterna på begäran. ii) Inga överföringar får göras till nya medlemmar som ska omfattas av de bindande företagsbestämmelserna förrän den nya medlemmen är bunden av de bindande företagsbestämmelserna i praktiken och kan följa dem. iii) Eventuella förändringar av de bindande företagsbestämmelserna eller i förteckningen över medlemmar som omfattas av de bindande företagsbestämmelserna ska rapporteras en gång om året till de relevanta tillsynsmyndigheterna via den behöriga tillsynsmyndigheten, med en kortfattad beskrivning av skälen som motiverar uppdateringen. iv) Om en förändring skulle kunna påverka den skyddsnivå som de bindande företagsbestämmelserna erbjuder eller om den påverkar de bindande företagsbestämmelserna på ett betydande sätt (det vill säga innebär en förändring av deras

text: bindande natur), måste detta omgående meddelas till relevanta tillsynsmyndigheter via den behöriga tillsynsmyndigheten.

text: 6 – SKYDDSÅTGÄRDER FÖR UPPGIFTER

text: 6.1.1 En beskrivning av JA JA Artikel 47.2 d i den De bindande företagsbestämmelserna ska principerna för allmänna uttryckligen innefatta följande principer, som ska dataskydd, inklusive dataskyddsförordninge efterlevas av företaget: bestämmelserna för n överföring eller vidare i. Öppenhet, korrekthet (fairness) och laglighet överföring ut ur EU (artiklarna

text: 5.1 a

text: och

text: i den allmänna dataskyddsförordningen). ii. Ändamålsbegränsning (

text: artikel 5.1 b i den allmänna dataskyddsförordningen

text: ). iii. Uppgiftsminimering och korrekthet (accuracy) (artikel 5.1

text: c

text: och

text: d

text: i den allmänna dataskyddsförordningen). iv. Begränsade lagringsperioder (

text: artikel 5.1 e i den allmänna dataskyddsförordningen

text: ). v. Behandling av särskilda kategorier av personuppgifter. vi. Säkerhet (artiklarna

text: 5 f

text: och

text: i den allmänna dataskyddsförordningen), vilket innefattar skyldigheten att sluta avtal, som ska innefatta alla krav som föreskrivs i

text: , med alla interna och externa underleverantörer/personuppgiftsbiträden. Likaså innefattas skyldigheten att utan onödigt dröjsmål rapportera eventuella personuppgiftsincidenter till huvudkontoret inom EU eller till medlemmen inom EU som

text: omfattas av de bindande företagsbestämmelserna och har delegerat dataskyddsansvar, samt till annat relevant dataskyddsombud (Privacy Officer)/annan relevant dataskyddsfunktion och till de registrerade när personuppgiftsincidenten sannolikt kan leda till att deras rättigheter och friheter utsätts för en hög risk. Därutöver ska eventuella personuppgiftsincidenter dokumenteras (inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits) och dokumentationen ska göra tillgänglig för tillsynsmyndigheten på begäran (artiklarna

text: och

text: i den allmänna dataskyddsförordningen). vii. Begränsning av överföring och vidare överföring till personuppgiftsbiträden och personuppgiftsansvariga som inte ingår i koncernen eller gruppen av företag (medlemmar som omfattas av de bindande företagsbestämmelserna och är personuppgiftsansvariga kan överföra uppgifter till personuppgiftsbiträden/personuppgiftsansvar iga utanför koncernen eller gruppen av företag som befinner sig utanför EU förutsatt att adekvat skydd tillhandahålls i enlighet med artiklarna

text: och

text: i den allmänna dataskyddsförordningen eller att ett undantag enligt

text: artikel 49 i den allmänna dataskyddsförordningen

text: gäller).

text: Formuleringarna och definitionerna i de bindande

text: företagsbestämmelsernas viktigaste principer ska vara i linje med formuleringarna och definitionerna i den allmänna dataskyddsförordningen. 6.1.2 Ansvarsskyldighet JA JA

text: Artiklarna 47.2 d

text: och Varje enhet som fungerar som och övriga verktyg 30 i den allmänna personuppgiftsansvarig ska ansvara för och kunna dataskyddsförordninge visa att de bindande företagsbestämmelserna n efterlevs (artiklarna

text: och

text: i den allmänna dataskyddsförordningen).

text: För att kunna visa att bestämmelserna efterlevs måste medlemmar som omfattas av de bindande företagsbestämmelserna föra ett register över alla kategorier av behandling som utförts, i enlighet med kraven som anges i

text: artikel 30.1 i den allmänna dataskyddsförordningen

text: . Detta register ska föras i skriftlig form, vilket innefattar i elektroniskt format, och ska göras tillgängligt för tillsynsmyndigheten på begäran.

text: För att sörja för en bättre efterlevnad, och vid behov, ska konsekvensbedömningar avseende dataskydd utföras för behandlingar som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter (

text: artikel 35 i den allmänna dataskyddsförordningen

text: ). Om en konsekvensbedömning avseende dataskydd enligt

text: artikel 35

text: visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken, ska samråd ske med den behöriga tillsynsmyndigheten före behandlingen (

text: artikel 36 i den allmänna dataskyddsförordningen

text: Lämpliga tekniska och organisatoriska åtgärder ska vidtas som är utformade för att genomföra dataskyddsprinciper och för att underlätta en praktisk efterlevnad av de krav som anges i de bindande företagsbestämmelserna (inbyggt dataskydd och dataskydd som standard) (

text: artikel 25 i den allmänna dataskyddsförordningen

text: ). 6.2 Förteckning över JA JA Artikel 47.2 a i den De bindande företagsbestämmelserna ska enheter som omfattas allmänna innehålla en förteckning över de enheter som av de bindande dataskyddsförordninge omfattas av de bindande företagsbestämmelserna, företagsbestämmelsern n inklusive kontaktuppgifter.

text: a

text: 6.3 Behovet av JA NEJ Artikel 47.2 m i den Ett tydligt åtagande som anger att när en medlem öppenhet när den allmänna som omfattas av de bindande nationella dataskyddsförordninge företagsbestämmelserna har anledning att tro att lagstiftningen n lagstiftningen som gäller för denna medlem förhindrar att hindrar företaget från att leva upp till sina koncernen eller skyldigheter enligt de bindande gruppen av företag företagsbestämmelserna eller har en avsevärd efterlever de bindande inverkan på de garantier som ges genom företagsbestämmelsern bestämmelserna, måste denna medlem omgående a meddela huvudkontoret inom EU eller medlemmen inom EU som omfattas av de bindande företagsbestämmelserna och har delegerat dataskyddsansvar, samt annat relevant dataskyddsombud (Privacy Officer)/annan relevant dataskyddsfunktion (förutom när detta är förbjudet av en brottsbekämpande myndighet, till exempel enligt straffrätten för att bevara sekretessen i en brottsutredning).

text: Därutöver ska de bindande företagsbestämmelserna innehålla ett åtagande som anger att när något rättsligt krav som en medlem som omfattas av de bindande

text: företagsbestämmelserna är underkastad i ett tredjeland sannolikt kan få en avsevärd negativ inverkan på de garantier som ges genom de bindande företagsbestämmelserna ska problemet rapporteras till den behöriga tillsynsmyndigheten. Detta innefattar eventuella rättsligt bindande begäranden om utlämning av personuppgifter från en brottsbekämpande myndighet eller ett organ som verkar för statens säkerhet. När detta är fallet ska den behöriga tillsynsmyndigheten informeras på ett tydligt sätt om denna begäran, med information om de uppgifter som begärs, vilket organ som begär dem och den rättsliga grunden för utlämningen (förutsatt att detta inte är förbjudet, till exempel enligt straffrätten för att bevara sekretessen i en brottsutredning).

text: Om det i specifika fall är förbjudet att förhindra utlämning och/eller lämna information, ska de bindande företagsbestämmelserna föreskriva att medlemmen som omfattas av de bindande företagsbestämmelserna och som har fått begäran ska göra sitt bästa för att erhålla rätten att slippa detta förbud i syfte att kunna meddela så mycket information som möjligt och så snart som möjligt, samt att medlemmen ska kunna visa att detta har gjorts.

text: Om medlemmen som omfattas av de bindande företagsbestämmelserna och som har fått begäran i ovanstående fall inte har möjlighet att meddela de behöriga tillsynsmyndigheterna, trots att medlemmen har gjort sitt bästa, måste medlemmen åta sig i de bindande

text: företagsbestämmelserna att årligen tillhandahålla generell information om de begäranden som den har erhållit till de behöriga tillsynsmyndigheterna (till exempel antalet framställningar om utlämning, typ av uppgifter som begärts, vem som har begärt uppgifterna om detta är möjligt osv.).

text: Under alla omständigheter måste de bindande företagsbestämmelserna ange att överföringar av personuppgifter från en medlem som omfattas av de bindande företagsbestämmelserna i koncernen eller gruppen av företag till en offentlig myndighet inte får ske på ett massivt, oproportionerligt och godtyckligt sätt som sträcker sig längre än vad som är nödvändigt i ett demokratiskt samhälle.

text: 6.4 Ett yttrande om JA NEJ Ej tillämpligt De bindande företagsbestämmelserna ska relationen mellan specificera relationen mellan de bindande nationell lagstiftning företagsbestämmelserna och den relevanta och de bindande tillämpliga lagstiftningen.

text: företagsbestämmelsern

text: a Det ska anges i de bindande företagsbestämmelserna att när lokal lagstiftning, till exempel EU-lagstiftning, kräver en högre skyddsnivå för personuppgifter ska denna lagstiftning ha företräde framför de bindande företagsbestämmelserna.

text: Under alla omständigheter ska personuppgifter behandlas i enlighet med den tillämpliga lagstiftningen, det vill säga enligt artikel 5 i den

text: allmänna dataskyddsförordningen och den relevanta lokala lagstiftningen.


text: This Working Party was set up under

text: Article 29 of Directive 95/46/EC

text: . It is an independent European advisory body on data protection and privacy. Its tasks are described in

text: Article 30 of Directive 95/46/EC

text: and

text: Article 15 of Directive 2002/58/EC

text: . The secretariat is provided by Directorate C (Fundamental Rights and Union Citizenship) of the European Commission, Directorate General Justice, B-1049 Brussels, Belgium, Office No MO-59 02/013. Website: http://ec.europa.eu/newsroom/article29/news.cfm?item_type=1358&tpa_id=6936

text: Working Document

text: : Explanatory Document on the Processor Binding Corporate Rules, as last revised and adopted on 22 May 2015 Working Document

text: WP 195

text: a: Recommendation 1/2012 on the Standard Application form for Approval of Binding Corporate Rules for the Transfer of Personal Data for Processing Activities, adopted on 17 September 2012

publisher: Artikel 29-gruppen

sprak: en

title: Working Document setting up a table with the elements and principles to be found in Processor Binding Corporate Rules

serie: wp

text: Working Document setting up a table with the elements and principles to be found in Processor Binding Corporate Rules INTRODUCTION In order to facilitate the use of Binding Corporate Rules for Processors (BCR-P) by a corporate group or a group of enterprises engaged in a joint economic activity for international transfers from organisations established in the EU to organisations within the same group established outside the EU, the Article 29 Working Party (WP29) has amended the Working Document 195 (which was adopted in 2012) setting up a table with the elements and principles to be found in Binding Corporate Rules in order to reflect the requirements referring to BCRs now expressly set out in

text: Regulation (EU) 2016/679

text: of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive

text: (General Data Protection Regulation / GDPR). It should be recalled that BCR-P apply to data received from a controller established in the EU which is not a member of the group and then processed by the group members as processors and/or sub processors; whereas BCRs for Controllers (BCR-C) are suitable for framing transfers of personal data from controllers established in the EU to other controllers or to processors established outside the EU within the same group. Hence the obligations set out in the BCR-P apply in relation to third party personal data that are processed by a member of the group as a processor according to the instructions from a non-group controller. According to Article 28.3 of the GDPR, a contract or another legal act under Union or Member State law that is binding on the processor with regard to the controller must be implemented between the controller and the processor. Such a contract or other legal act will be referred here as the “service agreement”.. Taking into account that Article 47.2 of the GDPR lists a minimum set of elements to be contained within a BCR, this amended table is meant to: - Adjust the wording of the previous referential so as to bring it in line with

text: Article 47

text: GDPR, - Clarify the necessary content of a BCR as stated in

text: Article 47

text: and in document

text: WP 204

text: adopted by the WP29 within the framework of the Directive

text: , - Make the distinction between what must be included in BCRs and what must be presented to the competent Supervisory Authority in the BCRs application (document

text: WP 195

text: a ), and - Provide explanations/comments on each of the requirements. Article 47 of the GDPR is clearly modelled on the Working documents relating to BCRs adopted by the WP29. However, it specifies some new elements that need to be taken into account when updating already existing approved BCRs or adopting new sets of BCRs so as to ensure their compatibility with the new framework established by the GDPR. 1. New elements In this perspective, the WP29 would like to draw attention in particular to the following elements: - Scope of application: The BCRs shall specify the structure and contact details of the group of undertakings or group of enterprises engaged in a joint economic activity and of each of its members (Art. 47.2.a GDPR). The BCRs must also provide its material scope, for instance the data transfers or set of transfers, including the categories of personal data, the type of processing and its purposes, the types of data subjects affected and the identification of the third country or countries (Art. 47.2.b GDPR); - Third party beneficiary rights: Data subjects should be able to enforce the BCRs as third party beneficiaries directly against the processor where the requirements at stake are specifically directed to processors in accordance with the GDPR (Art. 28, 29, 79 GDPR); - Right to lodge a complaint: Data subjects should be given the right to bring their claim, at their choice, either before the Supervisory Authority (‘SA’) in the Member State of his habitual residence, place of work or place of the alleged infringement (Art.77 GDPR) or before the competent court of the EU Member States (choice for the data subject to act before the courts where the data exporter has an establishment or where the data subject has his or her habitual residence (

text: Article 79

text: GDPR); - Data Protection principles: Along with the obligations arising from principles of transparency, fairness, lawfulness, purpose limitation, data quality, security, the BCRs should also explain how other requirements, such as, in particular, in relation to data subjects rights, sub-processing and onward transfers to entities not bound by the BCRs will be observed by the processor; - Accountability: Processors will have an obligation to make available to the controller all information necessary to demonstrate compliance with their obligations including through audits and inspections conducted by the Controller or an auditor mandated by the Controller (Art. 28-3-h GDPR); - Service Agreement: The Service Agreement between the Controller and the Processor must contain all required elements as provided by Article 28 of the GDPR. 2. Amendments of already adopted BCRs While in accordance with article 46-5 of the GDPR, authorisations by a Member State or supervisory authority made on the basis of

text: Article 26(2) of Directive 95/46/EC

text: will remain valid until amended, replaced or repealed, if necessary, by that supervisory authority, groups with approved BCRs should, in preparing to the GDPR, bring their BCRs in line with GDPR requirements. This document aims also to assist those groups with approved BCRs in implementing the relevant changes to bring them in line with the GDPR. To this end, these groups are invited to notify the relevant changes to their BCRs as part of their obligation (under 5.1 of

text: ) to all group members and to the DPAs via the Lead DPA under their annual update as of 25 May 2018. Such updated BCRs can be used without having to apply for a new authorization or approval from the DPAs. Taking into account the above, the DPAs reserve their right to exercise their powers under article 46-5 of the GDPR.

type: rubrik

text: Criteria for approval of BCRs In the In the Comments References to Application/BCRs BCRs application form

type: stycke

text: 1 - BINDING NATURE INTERNALLY

text: 1.1 The duty to respect the YES YES The BCRs must be legally binding and shall contain a clear duty for each BCRs participating member of the Group of undertakings or group of enterprises engaged in a joint economic activity (“BCR member”) including their employees to respect the BCRs.

text: The BCRs shall also expressly state that each Member including their employees shall respect the instructions from the controller regarding the data processing and the security and confidentiality measures as provided in the Service Agreement (Art. 28, 29 and 32 of the GDPR). 1.2 An explanation of how the NO YES The Group will have to explain in its application form how the rules are rules are made binding on the made binding :

text: members of the group and also

text: the employees i) For each BCR member by one or more of:

text: - Intra-group agreement, - Unilateral undertakings (this is only possible if the BCR member taking responsibility and liability is located in a Member State that recognizes Unilateral undertakings as binding and if this BCR member is legally able to bind the other BCR members ), or - Other means (only if the group demonstrates how bindingness is achieved).

text: ii) On employees by one or more of:

text: - Individual and separate agreement/undertaking with sanctions, or Clause in employment contract with sanctions, or - Internal policies with sanctions, or - Collective agreements with sanctions, or - Other means (but the group must properly explain how the BCRs are made binding on the employees).

text: Criteria for approval of BCRs In the In the Comments References to Application/BCRs BCRs application form EXTERNALLY

text: 1.3 The creation of third-party YES YES i) Rights which are directly enforceable against the processor

text: beneficiary rights for data

text: subjects, including the The BCRs must grant rights to data subjects to enforce the BCRs as third possibility to lodge a complaint party beneficiaries directly against the processor where the requirements before the competent at stake are specifically directed to processors in accordance with the Supervisory Authorities and GDPR. In this regard, data subjects shall at least be able to enforce the before the Courts following elements of the BCRs directly against the processor:

text: - Duty to respect the instructions from the controller regarding the data processing including for data transfers to third countries (Art. 28.3.a, 28.3.g., 29 GDPR and section 1.1, 6.1.ii and 6.1.iv of this referential),

text: - Duty to implement appropriate technical and organizational security measures (Art. 28.3.c and 32 GDPR and section 6.1.iv of this referential) and duty to notify any personal data breach to the controller (Art. 33.2 GDPR and section 6.1.iv of this referential),

text: - Duty to respect the conditions when engaging a sub-processor either within or outside the Group (Art. 28.2, 28.3.d . 28.4, 45, 46, 47 GDPR, section 6.1.vi and 6.1.vii of this referential),

text: Duty to cooperate with and assist the controller in complying and demonstrating compliance with the law such as for answering requests from data subjects in relation to their rights (Art. 28.3.e, 28.3.f, 28.3.h and sections 3.2, 6.1.i, 6.1.iii, 6.1.iv, 6.1. v and 6.1. 2 of this referential)

text: - Easy access to BCRs (Art.47.2.g GDPR and section 1.8 of this referential)

text: - Right to complain through internal complaint mechanisms ( Art.47.2.i and section 2.2 of this referential).

text: - Duty to cooperate with the supervisory authority (Art. 31, 47.2.l of GDPR and section 3.1 of this referential)

text: - Liability, compensation and jurisdiction provisions (Art.47.2.e, 79, 82 GDPR and sections 1.3, 1.5 and 1.7 of this referential).

text: - National legislation preventing respect of BCRs (Art.47.2.m and section 6.3 of this referential)

text: ii) Rights which are enforceable against the processor in case the data subject is not able to bring a claim against the controller :

text: The BCRs must expressly confer rights to data subjects to enforce the BCRs as third-party beneficiaries in case the data subject is not able to bring a claim against the data controller; because the data controller has factually disappeared or ceased to exist in law or has become insolvent, unless any successor entity has assumed the entire legal obligations of the data controller by contract of by operation of law, in which case the data subject can enforce its rights against such entity.

text: In such a case, data subjects shall at least be able to enforce against the processor the following sections set out in this referential: 1.1, 1.3, 1.5, 1.7, 1.8, 2.2, 3.1, 3.2, 6.1, 6.2, 6.3

text: The data subjects’ rights as mentioned under i) and ii) shall cover the judicial remedies for any breach of the third party beneficiary rights guaranteed and the right to obtain redress and where appropriate receive compensation for any damage (material harm but also any distress).

text: In particular, data subjects shall be entitled to lodge a complaint before the competent supervisory authority (choice between the supervisory authority of the EU Member State of his/her habitual residence, place of work or place of alleged infringement) and before the competent court of the EU Member State (choice for the data subject to act before the courts where the controller or processor has an establishment or where the data subject has his or her habitual residence pursuant to Article 79 of the

text: GDPR).

text: Where the processor and the controller involved in the same processing are found responsible for any damage caused by such processing, the data subject shall be entitled to receive compensation for the entire damage directly from the processor (Art. 82.4 GDPR)

text: YES YES 1.4. Responsibility towards the The BCRs shall be made binding towards the Controller through a Controller specific reference to it in the Service Agreement which shall comply with art 28 of the GDPR.

text: Moreover, the BCR must state that the Controller shall have the right to enforce the BCR against any BCR member for breaches they caused, and, moreover, against the BCR member referred under point 1.5 in case of a breach of the BCRs or of the Service Agreement by BCR members established outside of EU or of a breach of the written agreement referred under 6.1.vii, by any external sub-processor established outside of the EU.

text: 1.5 The company accepts YES YES The BCRs must contain a duty for the EU headquarters of the Processor liability for paying or the EU BCR member of the Processor with delegated data protection compensation and to remedy responsibilities or the EU exporter Processor (e.g. the EU party breaches of the BCRs. contracting with the controller) to accept responsibility for and to agree to take the necessary action to remedy the acts of other BCR members established outside of EU or breaches caused by external sub-processor established outside of EU and to pay compensation for any damages resulting from a violation of the BCRs.

text: This BCR member will accept liability as if the violation had taken place by him in the Member State in which he is based instead of the BCR member outside the EU or the external sub-processor established outside of EU. This BCR member may not rely on a breach by a sub-processor (internal or external of the group) of its obligations in order to avoid its own liabilities.

text: If it is not possible for some groups with particular corporate structures to impose all the responsibility for any type of breach of the BCRs outside of the EU on a specific entity, another option may consist of stating that each and every BCR member exporting data out of the EU will be liable for any breaches of the BCR by the sub-processors (internal or external of the group) established outside the EU which received the data from this EU BCR member.

text: 1.6 The company has sufficient NO YES The application form must contain a confirmation that any BCR member assets. that has accepted liability for the acts of other BCR members outside of EU and/or for any external sub-processor established outside of EU has sufficient assets to pay compensation for damages resulting from the breach of the BCRs. 1.7 The burden of proof lies YES YES The BCRs must state that the BCR member that has accepted liability will with the company not the have the burden of proof to demonstrate that the BCR member outside the individual. EU or the external sub-processor is not liable for any violation of the rules which has resulted in the data subject claiming damages

text: The BCRs must also state that where the Controller can demonstrate that

text: it suffered damage and establish facts which show it is likely that the damage has occurred because of the breach of BCRs, it will be for the BCR member of the group that accepted liability to prove that the BCR member outside of the EU or the external sub-processor was not responsible for the breach of the BCRs giving rise to those damages or that no such breach took place

text: If the entity that has accepted liability can prove that the BCR member outside the EU is not responsible for the act, it may discharge itself from any responsibility/liability. 1.8 There is easy access to YES NO Access for the Controller: The Service Agreement will ensure that the BCRs for data subjects and in BCRs are part of the contract. BCRs will be annexed to the Service particular easy access to the Agreement or a reference to it will be made with a possibility of information about third party electronic access.

text: beneficiary rights for the data

text: subject that benefit from them. Access for Data Subjects: BCRs must contain the commitment that all data subjects benefiting from the third party beneficiary rights should, in particular, be provided with the information on their third party beneficiary rights with regard to the processing of their personal data and on the means to exercise those rights. The BCRs must stipulate the right for every data subject to have easy access to them. Relevant parts of the BCRs shall be published on the website of the Processor Group or other appropriate means in a way easily accessible to data subjects or at least a document including all (and not a summary of) the information relating to points 1.1, 1.3, 1.4, 1.6, 1.7, 2.2, 3.1, 3.2, 4.1, 4.2, 6.1, 6.2, 6.3 of this referential.

text: 2 – EFFECTIVENESS

text: 2.1 The existence of a suitable YES YES The BCRs must state that appropriate training on the BCRs will be training programme provided to personnel that have permanent or regular access to personal data who are involved in the collection of personal data or in the development of tools used to process personal data.

text: The Supervisory Authorities evaluating the BCRs may ask for some examples and explanation of the training programme during the application procedure and the training programme shall be specified in the application.

text: 2.2 The existence of a complaint YES YES The BCRs shall contain a commitment from the Processor Group to handling process for the BCRs create a specific contact point for data subjects.

text: All BCR members shall have the duty to communicate a claim or request without undue delay to the Controller without obligation to handle it, (except if it has been agreed otherwise with the Controller).

text: The BCRs shall contain a commitment for the Processor to handle complaints from data subjects where the Controller has disappeared factually or has ceased to exist in law or became insolvent.

text: In all cases where the processor handles complaints, these shall be dealt without undue delay and in any event within one month by a clearly identified department or person who has an appropriate level of independence in the exercise of his/her functions. Taking into account the complexity and number of the requests, that period may be extended by two further months at the utmost, in which case the data subject should be informed accordingly.

text: The application form must explain how data subjects will be informed about the practical steps of the complaint system, in particular : - where to complain, - in what form, - delays for the reply on the complaint, - consequences in case of rejection of the complaint - consequences in case the complaint is considered as justified - consequences if the data subject is not satisfied by the replies (right to lodge a claim before the Court/Supervisory Authority) 2.3 The existence of an audit YES YES The BCRs must create a duty for the group to have data protection audits programme covering the BCRs on regular basis (by either internal or external accredited auditors) or on specific request from the privacy officer/function (or any other competent function in the organization) to ensure the verification of compliance with the BCRs.

text: The BCRs must state that the audit programme covers all aspects of the

text: BCRs including methods of ensuring that corrective actions will take place. Moreover, the BCRs must state that the result will be communicated to the privacy officer/function and to the relevant board of the controlling undertaking of a group or of the group of enterprises engaged in a joint economic activity but also will be made accessible to the Controller. Where appropriate, the result may be communicated to the ultimate parent’s board.

text: The BCRs must state that the Supervisory Authorities competent for the Controller can have access to the results of the audit upon request and give the Supervisory Authorities the authority/power to carry out a data protection audit of any BCR member if required.

text: Any processor or sub-processor processing the personal data on behalf of a particular controller will accept, at the request of that controller, to submit their data processing facilities for audit of the processing activities relating to that controller which shall be carried out by the controller or an inspection body composed of independent members and in possession of the required professional qualifications, bound by a duty of confidentiality, selected by the data controller, where applicable, in agreement with the Supervisory Authority.

text: The application form will contain a description of the audit system. For instance: - Which entity (department within the group) decides on the audit plan/programme, - Which entity will conduct the audit, - Time of the audit (regularly or on specific request from the appropriate Privacy function.) - Coverage of the audit (for instance, applications, IT systems, databases that process Personal Data, or onward transfers, decisions taken as regards mandatory requirement under national laws that conflicts with the BCRs, review of the contractual terms used for the transfers out of the Group (to controllers or processors of data), corrective actions, …) - Which entity will receive the results of the audits.

text: 2.4 The creation of a network of YES NO A commitment to appoint a DPO where required in line with article 37 of data protection officers (DPO) the GDPR or any other person or entity (such as a chief privacy officer) or appropriate staff for with responsibility to monitor compliance with the BCRs. This monitoring compliance with the person/entity shall enjoy the highest management support in exercising rules this function.

text: The DPO or other person/entity as mentioned, respectively, can be assisted, in exercising this function, by a team/a network of local DPOs or local contacts as appropriate. The DPO shall directly report to the highest management level (GDPR Art. 38.3).

text: A brief description of the internal structure, role, position and tasks of the DPO or similar function, as mentioned, and the team/network created to ensure compliance with the rules. For example, that the DPO or chief Privacy Officer informs and advises the highest management, deals with Supervisory Authorities’ investigations, monitors and annually reports on BCRs compliance at a global level, and that local DPOs or local contacts are in charge of reporting major privacy issues to the DPO or chief privacy officer, monitoring training and compliance at a local level.

text: 3 – COOPERATION DUTY

text: 3.1 A duty to cooperate with YES YES The BCRs shall contain a clear duty for all BCR members to cooperate Supervisory Authorities with and to accept to be audited by the Supervisory Authorities competent for the relevant controller and to comply with the advice of these Supervisory Authorities on any issue related to those rules. 3.2 A duty to cooperate with the YES YES The BCRs shall contain a clear duty for any processor or sub-processor to Controller co-operate and assist the Controller to comply with data protection law (such as its duty to respect the data subject rights or to handle their complaints, or to be in a position to reply to investigation or inquiry from Supervisory Authorities). This shall be done in a reasonable time and to the extent reasonably possible.

text: 4 – DESCRIPTION OF PROCESSING AND DATA FLOWS

text: 4.1 A description of the YES YES The BCRs shall contain a list of BCR members, i.e. entities that are transfers and material scope bound by the BCRs (see also point 6.2)

text: covered by the BCRs

text: The Processor submitting a BCR shall give a general description to the Supervisory Authority of the material scope of the BCRs (expected nature of the data transferred, categories of personal data, types of data subjects concerned by the transfers, anticipated types of processing and its purposes. 4.2 A statement of the YES YES The BCRs shall specify the structure and contact details of the group of geographical scope of the BCRs undertakings or group of enterprises engaged in a joint economic activity and of each of the BCR members.

text: (nature of data, type of data subjects, countries)

text: The BCRs shall indicate that it is up to the Controller to apply the BCRs to: i) All personal data processed for processor activities and that are submitted to EU law (for instance, data has been transferred from the European Union), OR; ii) All processing of data processed for processor activities within the group whatever the origin of the data.

text: 5 - MECHANISMS FOR REPORTING AND RECORDING CHANGES

text: 5.1 A process for updating the YES YES The BCRs can be modified (for instance to take into account BCRs modifications of the regulatory environment or the company structure) but they shall impose a duty to report changes to all BCR members, and to the relevant Supervisory Authorities, via the competent Supervisory Authorities and to the controller.

text: Where a change affects the processing conditions, the information should be given to the controller in such a timely fashion that the controller has the possibility to object to the change or to terminate the contract before the modification is made (for instance, on any intended changes concerning the addition or replacement of subcontractors, before the data

text: are communicated to the new sub-processor).

text: Updates to the BCRs or to the list of the BCR members are possible without having to re-apply for an approval providing that:

text: i) An identified person or team/department keeps a fully updated list of the BCR members and of the sub-processors involved in the data processing activities for the controller which shall be made accessible to the data controller, data subject and Supervisory Authorities.

text: ii) This person will keep track of and record any updates to the rules and provide the necessary information systematically to the data controller and upon request to Supervisory Authorities upon request.

text: iii) No transfer is made to a new BCR member until the new BCR member is effectively bound by the BCR and can deliver compliance.

text: iv) Any changes to the BCRs or to the list of BCR members shall be reported once a year to the relevant Supervisory Authorities, via the competent Supervisory Authority with a brief explanation of the reasons justifying the update.

text: v) Where a modification would affect the level of the protection offered by the BCRs or significantly affect the BCRs (i.e. changes in the bindingness), it must be promptly communicated to the relevant Supervisory Authorities via the competent Supervisory Authority.

text: 6 - DATA PROTECTION SAFEGUARDS

text: 6.1 A description of the privacy YES YES The BCRs shall include the following principles to be observed by any principles including the rules BCR member:

text: on transfers or onward

text: transfers outside of the EU i) Transparency, fairness, and lawfulness: Processors and subprocessors will have a general duty to help and assist the controller to comply with the law (for instance, to be transparent about sub-processor

text: activities in order to allow the controller to correctly inform the data subject);

text: ii) Purpose limitation: duty to process the personal data only on behalf of the controller and in compliance with its documented instructions including with regard to transfers of personal data to a third country, unless required to do so by Union or Member State law to which the processor is subject. In such a case, the processor shall inform the controller of that legal requirement before processing takes place, unless that law prohibits such information on important grounds of public interest (Art. 28-3-a of the GDPR). In other cases, if the processor cannot provide such compliance for whatever reasons, it agrees to inform promptly the data controller of its inability to comply, in which case the controller is entitled to suspend the transfer of data and/or terminate the contract.

text: On the termination of the provision of services related to the data processing, the processors and sub-processors shall, at the choice of the controller, delete or return all the personal data transferred to the controller and delete the copies thereof and certify to the controller that it has done so, unless legislation imposed upon them requires storage of the personal data transferred. In that case, the processors and the subprocessors will inform the controller and warrant that it will guarantee the confidentiality of the personal data transferred and will not actively process the personal data transferred anymore.

text: iii) Data quality: Processors and sub-processors will have a general duty to help and assist the controller to comply with the law, in particular:

text: - Processors and sub-processors will execute any necessary measures when asked by the Controller, in order to have the data updated, corrected or deleted. Processors and sub-processors will inform each BCR member to whom the data have been disclosed of any rectification, or deletion of data.

text: - Processors and sub-processors will execute any necessary measures, when asked by the Controller, in order to have the data deleted or anonymised from the moment the identification form is not necessary anymore. Processor and sub-processors will communicate to each entity to whom the data have been disclosed of any deletion or anonymisation of data.

text: iv) Security: Processors and sub-processors will have a duty to implement all appropriate technical and organizational measures to ensure a level of security appropriate to the risks presented by the processing as provided by Article 32 of the GDPR. Processors and sub-processors will also have a duty to assist the Controller in ensuring compliance with the obligations as set out in

text: Articles 32

text: to 36 of the GDPR taking into account the nature of processing and information available to the processor (Art.28-3-f of the GDPR). Processors and sub-processors must implement technical and organisational measures which at least meet the requirements of the data controller’s applicable law and any existing particular measures specified in the Service Agreement. Processors shall inform the Controller without undue delay after becoming aware of any personal data breach. In addition, sub-processors shall have the duty to inform the Processor and the Controller without undue delay after becoming aware of any personal data breach.

text: v) Data subject rights: Processors and sub-processors will execute any appropriate technical and organizational measures, insofar as this is possible, when asked by the controller, for the fulfilment of the controller’s obligations to respond to requests for exercising the data subjects rights as set out in Chapter III of the GDPR (Art. 28-3-e of the GDPR) including by communicating any useful information in order to help the controller to comply with the duty to respect the rights of the data subjects. Processor and sub-processors will transmit to the controller any data subject request without answering it unless he is authorised to do so.

text: vi) Sub-processing within the Group: data may be sub-processed by other BCR members bound by the BCRs only with the prior informed specific or general written authorization of the controller . The Service Agreement will specify if a general prior authorization given at the beginning of the service would be sufficient or if a specific authorization will be required for each new sub-processor. If a general authorization is given, the controller should be informed by the processor of any intended changes concerning the addition or replacement of a sub-processor in such a timely fashion that the controller has the possibility to object to the change or to terminate the contract before the data are communicated to the new sub-processor.

text: vii) Onward transfers to external sub-processors: Data may sub processed by non-members of the BCRs only with the prior informed specific or general written authorization of the controller . If a general authorization is given, the controller should be informed by the processor of any intended changes concerning the addition or replacement of subprocessors in such a timely fashion that the controller has the possibility to object to the change or to terminate the contract before the data are communicated to the new sub-processor.

text: Where the BCR member bound by the BCRs subcontracts its obligations under the Service Agreement, with the authorization of the controller, it shall do so only by way of a contract or other legal act under Union or Member State law with the sub-processor which provides that adequate protection is provided as set out in Articles 28, 29, 32, 45, 46, 47 of the GDPR and which ensures that the same data protection obligations as set

text: Information on the main elements (parties, countries, security, guarantees in case of international transfers, with a possibility to get a copy of the contracts used). The detailed information, for instance relating to the name of the sub-processors could be provided e.g. in a public digital register. Information on the main elements (parties, countries, security, guarantees in case of international transfers, with a possibility to get a copy of the contracts used). The detailed information, for instance relating to the name of the sub-processors could be provided e.g. in a public digital register.

text: out in the Service Agreement between the controller and the processor and sections 1.3, 1.4, 3 and 6 of this referential are imposed on the subprocessor, in particular providing sufficient guarantees to implement appropriate technical and organization measures in such a manner that the processing will meet the requirements of the GDPR (Art. 28-4 of the GDPR).

text: 6.1.2 Accountability and other YES YES Processors will have a duty to make available to the controller all tools information necessary to demonstrate compliance with their obligations as provided by Article

text: -h of the GDPR and allow for and contribute to audits, including inspections conducted by the controller or another auditor mandated by the controller. In addition, the processor shall immediately inform the controller if in its opinion, an instruction infringes the GDPR or other Union or Member State data protection provisions.

text: In order to demonstrate compliance with the BCRs, BCR members need to maintain a record of all categories of processing activities carried out on behalf of each controller in line with the requirements as set out in Art. 30.2 GDPR. This record should be maintained in writing, including in electronic form and should be made available to the supervisory authority on request (Art.30.3 and 30.4 GDPR)

text: The BCR members shall also assist the controller in implementing appropriate technical and organisational measures to comply with data protection principles and facilitate compliance with the requirements set up by the BCRs in practice such as data protection by design and by default (Art. 25 and 47.2.d GDPR) 6.2 The list of entities bound by YES YES BCR shall contain a list of the entities bound by the BCRs including BCRs contact details. 6.3 The need to be transparent YES NO A clear commitment that where a BCR member has reasons to believe where national legislation that the existing or future legislation applicable to it may prevent it from prevents the group from fulfilling the instructions received from the controller or its obligations complying with the BCRs under the BCRs or Service Agreement, it will promptly notify this to the controller which is entitled to suspend the transfer of data and/or terminate the contract, to the EU headquarter processor or EU member

text: with delegated data protection responsibilities or the other relevant Privacy Officer/function, but also to the Supervisory Authority competent for the controller and the Supervisory authority competent for the processor.

text: Any legally binding request for disclosure of the personal data by a law enforcement authority or state security body shall be communicated to the controller unless otherwise prohibited (such as a prohibition under criminal law to preserve the confidentiality of a law enforcement investigation). In any case, the request for disclosure should be put on hold and the Supervisory Authority competent for the controller and the competent Supervisory Authority for the processor should be clearly informed about the request, including information about the data requested, the requesting body and the legal basis for disclosure (unless otherwise prohibited).

text: If in specific cases the suspension and/or notification are prohibited, the BCRs shall provide that the requested BCR member will use its best efforts to obtain the right to waive this prohibition in order to communicate as much information as it can and as soon as possible, and be able to demonstrate that it did so.

text: If, in the above cases, despite having used its best efforts, the requested BCR member is not in a position to notify the competent SAs, it must commit in the BCRs to annually provide general information on the requests it received to the competent SAs (e.g. number of applications for disclosure, type of data requested, requester if possible, etc.).

text: In any case, the BCRs must state that transfers of personal data by a BCR member of the group to any public authority cannot be massive, disproportionate and indiscriminate in a manner that would go beyond what is necessary in a democratic society 6.4 A statement about the YES NO BCRs shall specify the relationship between the BCRs and the relevant relationship between national applicable law.

text: laws and BCRs

text: The BCRs shall state that, where the local legislation, for instance EU

text: legislation, requires a higher level of protection for personal data it will take precedence over the BCRs.

text: In any event data shall be processed in accordance with the applicable law.

text: II. COMMITMENTS TO BE TAKEN IN THE SERVICE LEVEL AGREEMENT

text: The BCRs for Processors shall unambiguously be linked to the Service Level Agreement signed with each Client. To that extent, it is important to make sure in the Service Level Agreement, which must contain all required elements provided by Article 28 of the GDPR, that: − BCRs will be made enforceable for the Controller (Client) through a specific reference to it in the SLA (as an annex). − The Controller shall commit that if the transfer involves special categories of data the Data Subject has been informed or will be informed before the transfer that his data could be transmitted to a third country not providing adequate protection; − The Controller shall also commit to inform the data subject about the existence of processors based outside of EU and of the BCRs. The Controller shall make available to the Data Subjects upon request a copy of the BCRs and of the service agreement (without any sensitive and confidential commercial information); − Clear confidentiality and security measures are described or referred with an electronic link; − A clear description of the instructions and the data processing; − The service agreement will specify if data may be sub-processed inside of the Group or outside of the group and will specify if the prior authorization to it expressed by the controller is general or needs to be given specifically for each new sub-processing activities.