WP 256

Arbetsdokument med en tabell över de element och principer som ska finnas med i bindande företagsbestämmelser

Utgivare: Artikel 29-gruppen
Antagen: 2018-02-06
Revision: rev.01
Språk: svenska
Källa: www.edpb.europa.eu

Arbetsdokument med en tabell över de element och principer som ska finnas med i bindande företagsbestämmelser INLEDNING För att underlätta användningen av bindande företagsbestämmelser för personuppgiftsansvariga (BCR-C, Binding Corporate Rules for Controllers) inom en koncern eller en grupp av företag som deltar i gemensam ekonomisk verksamhet i samband med internationella överföringar från organisationer etablerade inom EU till organisationer inom samma koncern eller grupp av företag etablerade utanför EU, har artikel 29-arbetsgruppen genomfört ändringar av arbetsdokumentet WP153 (antaget 2008) som presenterar en tabell över de element och principer som ska finnas med i bindande företagsbestämmelser. Syftet med ändringarna är att återspegla de krav gällande bindande företagsbestämmelser som nu uttryckligen anges i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) . Det bör erinras om att bindande företagsbestämmelser för personuppgiftsansvariga är lämpliga att använda vid överföringar av personuppgifter från personuppgiftsansvariga etablerade inom EU till andra personuppgiftsansvariga eller till personuppgiftsbiträden (etablerade utanför EU) inom samma koncern eller grupp av företag, medan bindande företagsbestämmelser för personuppgiftsbiträden (BCR-P, Binding Corporate Rules for Processors) används för uppgifter som mottas från en personuppgiftsansvarig (etablerad inom EU) som inte ingår i koncernen eller gruppen av företag och som sedan behandlas av de berörda medlemmarna i koncernen eller gruppen av företag i deras egenskap av personuppgiftsbiträden och/eller underentreprenörer. Därigenom gäller de skyldigheter som fastställs i de bindande företagsbestämmelserna för personuppgiftsansvariga för enheter inom samma koncern eller grupp av företag som agerar som personuppgiftsansvariga och för enheter som agerar som ”interna” personuppgiftsbiträden. I det sistnämnda fallet är det värt att påminna om att ett avtal eller en annan rättsakt enligt EU:s eller medlemsstatens lagstiftning, som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som innefattar alla krav som anges i artikel 28.3 i den allmänna dataskyddsförordningen, ska undertecknas av alla interna och externa underentreprenörer/personuppgiftsbiträden (till exempel serviceavtal eller andra instrument som uppfyller samma krav) . I själva verket gäller skyldigheterna som anges i de bindande företagsbestämmelserna för personuppgiftsansvariga för enheter inom koncernen eller gruppen av företag som tar emot personuppgifter i egenskap av (”interna”) personuppgiftsbiträden i den mån det inte leder till någon konflikt med serviceavtalet (det vill säga att personuppgiftsbiträdena i koncernen eller gruppen av företag som behandlar uppgifter på uppdrag av de personuppgiftsansvariga i koncernen eller gruppen av företag huvudsakligen ska följa detta avtal). Med utgångspunkt i att artikel 47.2 i den allmänna dataskyddsförordningen fastställer ett antal element som måste finnas med i de bindande företagsbestämmelserna, är avsikten med denna ändrade tabell att - justera formuleringarna i den tidigare referensramen så att de stämmer överens med artikel 47 i den allmänna dataskyddsförordningen, - klargöra vilket innehåll som krävs i bindande företagsbestämmelser utifrån vad som 3 4 anges i artikel 47 (med beaktande av dokumenten WP74 och WP108 som har antagits av artikel 29-arbetsgruppen inom ramen för direktiv 95/46/EG), - göra en distinktion mellan vad som måste inkluderas i de bindande företagsbestämmelserna och vad som måste presenteras för den behöriga tillsynsmyndigheten i ansökan om godkännande av de bindande företagsbestämmelserna (arbetsdokument WP133 ), - lämna hänvisningar till motsvarande text i artikel 47 i den allmänna dataskyddsförordningen för principerna, - tillhandahålla förklaringar/kommentarer för var och en av principerna. Artikel 47 i den allmänna dataskyddsförordningen är utan tvekan baserad på de arbetsdokument gällande bindande företagsbestämmelser som har antagits av artikel 29arbetsgruppen. I artikeln anges dock en del nya element som måste tas i beaktande vid uppdatering av redan befintliga bindande företagsbestämmelser eller vid antagande av nya bindande företagsbestämmelser, för att säkerställa att de är förenliga med den nya rättsliga ram som upprättats genom den allmänna dataskyddsförordningen. 1.1 Nya element I det här sammanhanget skulle artikel 29-arbetsgruppen vilja rikta uppmärksamheten i synnerhet mot följande element: - Rätten att inge klagomål: De registrerade ska ges rätten att, efter eget val, framföra sina klagomål antingen till tillsynsmyndigheten i medlemsstaten där den registrerade har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks (enligt artikel 77 i den allmänna dataskyddsförordningen) eller till de behöriga domstolarna inom EU:s medlemsstater (varvid den registrerade kan välja att framföra sina klagomål inför domstolarna i medlemsstaten där uppgiftsutföraren är etablerad eller inför domstolarna i medlemsstaten där den registrerade har sin hemvist) (enligt artikel 79 i den allmänna dataskyddsförordningen). - Öppenhet: Alla registrerade med rättigheter som berättigad tredje part (tredjepartsberättigande) bör, i synnerhet, förses med den information som krävs enligt

Arbetsdokument WP74, Working Document: Transfers of personal data to third countries: Applying Article 26 (2) of the EU Data Protection Directive to Binding Corporate Rules for International Data Transfers (ej översatt till svenska), antaget den 3 juni 2003, http://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2003/wp74_en.pdf 4 Arbetsdokument WP108, Working Document Establishing a Model Checklist Application for Approval of Binding Corporate Rules (ej översatt till svenska), antaget den 14 april 2005, http://ec.europa.eu/justice/article- 29/documentation/opinion-recommendation/files/2005/wp108_en.pdf 5 Arbetsdokument WP133, Recommendation 1/2007 on the Standard Application for Approval of Binding Corporate Rules for the Transfer of Personal Data (ej översatt till svenska), antaget den 10 januari 2007, http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp133_en.doc

artiklarna 13 och 14 i den allmänna dataskyddsförordningen och information om sina rättigheter i fråga om personuppgiftsbehandling och om de medel som finns för att utöva dessa rättigheter, samt information om bestämmelsen gällande ansvarsskyldighet och bestämmelserna gällande principer för dataskydd. - Tillämpningsområde: De bindande företagsbestämmelserna ska lämna information om strukturen och kontaktuppgifterna för koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet och för var och en av dess medlemmar (artikel 47.2 a i den allmänna dataskyddsförordningen). Därutöver måste de bindande företagsbestämmelserna lämna information om det materiella tillämpningsområdet, exempelvis vilka överföringar eller uppsättningar av överföringar av uppgifter som omfattas, inklusive kategorierna av personuppgifter, typen av behandling och dess ändamål, den typ av registrerade som berörs samt vilket tredjeland eller vilka tredjeländer som avses (artikel 47.2 b i den allmänna dataskyddsförordningen). - Principer för dataskydd: Vid sidan av principerna om öppenhet, korrekthet (fairness) , ändamålsbegränsning, datakvalitet och säkerhet, ska de bindande företagsbestämmelserna även förklara och beskriva övriga principer som avses i artikel 47.2 d. Detta gäller, i synnerhet, principerna om laglighet, uppgiftsminimering, begränsade lagringsperioder, garantier vid behandling av särskilda kategorier av personuppgifter och villkoren när det gäller vidare överföring av uppgifter till organ som inte är bundna av de bindande företagsbestämmelserna. - Ansvarsskyldighet: Varje enhet som fungerar som personuppgiftsansvarig ska ansvara för och kunna visa att de bindande företagsbestämmelserna efterlevs (artikel 5.2 i den allmänna dataskyddsförordningen). - Lagstiftning i tredjeland: De bindande företagsbestämmelserna ska innehålla ett åtagande som innebär att när något rättsligt krav som en medlem i koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet är underkastad i ett tredjeland sannolikt kommer att ha en avsevärd negativ inverkan på de garantier som ges genom de bindande företagsbestämmelserna, ska detta problem rapporteras till den behöriga tillsynsmyndigheten (förutsatt att detta inte är förbjudet, till exempel enligt straffrätten för att bevara sekretessen i en brottsutredning). Detta innefattar eventuella rättsligt bindande begäranden om utlämning av personuppgifter från en brottsbekämpande myndighet eller ett organ som verkar för statens säkerhet. 1.2 Ändringar av redan antagna bindande företagsbestämmelser Samtidigt som tillstånd från en medlemsstat eller tillsynsmyndighet på grundval av artikel 26.2 i direktiv 95/46/EG ska förbli giltiga tills de, vid behov, har ändrats, ersatts eller upphävts av tillsynsmyndigheten, i enlighet med artikel 46.5 i den allmänna dataskyddsförordningen, bör koncerner eller grupper av företag med godkända bindande företagsbestämmelser, som en del av förberedelserna för den allmänna dataskyddsförordningen, anpassa sina bindande företagsbestämmelser efter kraven i den allmänna dataskyddsförordningen. Det här dokumentet syftar även till att hjälpa dessa koncerner eller grupper av företag med godkända bindande företagsbestämmelser att införa de ändringar som behövs för att anpassa dem efter den allmänna dataskyddsförordningen. Dessa koncerner eller grupper av företag uppmanas, för att nå detta mål, att meddela relevanta ändringar i sina bindande företagsbestämmelser som en del av sitt åtagande (enligt punkt 5.1 i WP153) till alla medlemmar i koncernen eller gruppen av företag och till dataskyddsmyndigheterna via den ansvariga dataskyddsmyndigheten i samband med deras årliga uppdatering, med start den 25 maj 2018. Sådana uppdaterade bindande företagsbestämmelser kan användas utan att det behöver göras någon ansökan om nytt tillstånd eller godkännande. Med beaktande av det ovanstående förbehåller sig dataskyddsmyndigheterna rätten att utöva sina befogenheter enligt artikel 46.5 i den allmänna dataskyddsförordningen.

Kriterier för I de bindande På Hänvisningar Kommentarer Referenser till godkännande av företagsbestämmelsern ansökningsblankette ansökan/bindande bindande a n företagsbestämmelser företagsbestämmelser

1 – BINDANDE NATUR INTERNT

1.1 Skyldighet att JA JA Artikel 47.1 a och 47.2 De bindande företagsbestämmelserna måste vara respektera de bindande c i den allmänna rättsligt bindande och ska innehålla en tydlig företagsbestämmelsern dataskyddsförordninge skyldighet för varje deltagande medlem i a n koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet (nedan kallad

medlem som omfattas av de bindande

företagsbestämmelserna), inklusive deras anställda, att respektera de bindande företagsbestämmelserna. 1.2 En förklaring som NEJ JA Artikel 47.1 a och 47.2 Koncernen eller gruppen av företag måste på sin anger hur c i den allmänna ansökningsblankett förklara hur bestämmelserna bestämmelserna görs dataskyddsförordninge görs bindande, enligt följande: bindande för n medlemmarna som i) För varje deltagande företag/enhet inom omfattas av de koncernen eller gruppen av företag genom ett

bindande

Fylls i av den sökande.

företagsbestämmelsern eller flera av följande alternativ:

a inom koncernen eller gruppen av företag

- Avtal inom koncernen eller gruppen av

samt även för de

företag.

anställda

- Ensidiga åtaganden (detta är endast möjligt om medlemmen som omfattas av de bindande företagsbestämmelserna som tar detta ansvar befinner sig i en medlemsstat som erkänner ensidiga åtaganden som bindande och om denna medlem har rättslig möjlighet att binda de övriga medlemmarna som omfattas av de bindande företagsbestämmelserna). - Andra sätt (endast om koncernen eller gruppen av företag visar hur de bindande företagsbestämmelsernas bindande natur uppnås).

ii) För anställda genom ett eller flera av följande alternativ:

- Individuella och separata avtal/åtaganden med tillhörande påföljder. - Klausul i anställningsavtal med en beskrivning av tillämpliga påföljder. - Interna policybeslut med tillhörande påföljder. - Kollektivavtal med tillhörande påföljder.

- Andra sätt (men koncernen eller gruppen av företag måste på ett noggrant sätt förklara hur de bindande företagsbestämmelserna

görs bindande för de anställda).

EXTERNT

1.3 Tilldelning av JA JA Artikel 47.1 b, 47.2 c De bindande företagsbestämmelserna måste tredjepartsberättigande och 47.2 e i den uttryckligen tilldela de registrerade rätten att till de registrerade. I allmänna agera som berättigad tredje part. detta ingår möjligheten dataskyddsförordninge att inge klagomål till n De registrerade måste, åtminstone, kunna hävda behörig sina rättigheter gällande följande element i de tillsynsmyndighet och bindande företagsbestämmelserna:

till domstol.

- Principer för dataskydd (artikel 47.2 d och avsnitt 6.1 i denna referenstabell). - Öppenhet och enkel tillgång till de bindande företagsbestämmelserna (artikel 47.2 g och avsnitten 6.1 och 1.7 i denna referenstabell). - Rätten till tillgång, rättelse, radering, begränsning och invändning mot behandling, samt rätten att inte bli föremål för beslut som enbart baseras på automatisk behandling, inbegripet profilering (artikel 47.2 e och artiklarna 15, 16, 17, 18, 21 och 22 i den allmänna dataskyddsförordningen). - Nationell lagstiftning som förhindrar efterlevnad av de bindande företagsbestämmelserna (artikel 47.2 m och avsnitt 6.3 i denna referenstabell). - Rätten att inge klagomål genom företagens interna mekanism för klagomålshantering (artikel 47.1 i och avsnitt 2.2 i denna referenstabell). - Skyldighet att samarbeta med

tillsynsmyndigheter (artikel 47.2 k och l och avsnitt 3.1 i denna referenstabell). - Bestämmelser om ansvarsskyldighet och jurisdiktion (artikel 47.2 e och f och avsnitten 1.3 och 1.4 i denna referenstabell). I synnerhet måste de bindande företagsbestämmelserna tilldela rätten att inge klagomål till behörig tillsynsmyndighet (antingen tillsynsmyndigheten i den medlemsstat där den registrerade har sin hemvist eller sin arbetsplats eller i den medlemsstat där det påstådda intrånget begicks, enligt artikel 77 i den allmänna dataskyddsförordningen) och till behörig domstol inom EU:s medlemsstater (varvid den registrerade kan välja mellan domstolarna i den medlemsstat där den personuppgiftsansvarige är etablerad eller personuppgiftsbiträdet är etablerat eller i den medlemsstat där den registrerade har sin hemvist, enligt artikel 79 i den allmänna dataskyddsförordningen).

De bindande företagsbestämmelserna ska uttryckligen tilldela de registrerade rätten till rättsmedel och rätten till prövning samt, i förekommande fall, rätten till ersättning vid eventuell överträdelse av något av de bindande elementen i de bindande företagsbestämmelserna som anges ovan (se artiklarna 77 till 82 i den allmänna dataskyddsförordningen). Företag bör säkerställa att alla dessa rättigheter omfattas av bestämmelsen om tredjepartsberättigande

i deras bindande företagsbestämmelser, genom att exempelvis hänvisa till de punkter, stycken eller delar i de bindande företagsbestämmelserna där dessa rättigheter regleras eller genom att lista dem allihop i den nämnda bestämmelsen om tredjepartsberättigande.

Dessa rättigheter omfattar inte de element i de bindande företagsbestämmelserna som gäller interna mekanismer som har införts inom enheterna, till exempel detaljer kring utbildning, tillsynsprogram, nätverk för efterlevnad och mekanismer för uppdatering av bestämmelserna. 1.4 Huvudkontoret JA JA Artikel 47.2 f i den De bindande företagsbestämmelserna måste inom EU, medlemmen allmänna innehålla en skyldighet för huvudkontoret inom inom EU med delegerat dataskyddsförordninge EU eller medlemmen inom EU som omfattas av dataskyddsansvar eller n de bindande företagsbestämmelserna och har uppgiftsutföraren tar delegerat dataskyddsansvar att ta på sig ansvaret på sig ansvaret för att för och samtycka till att vidta nödvändiga betala ut ersättning och åtgärder för att rätta till handlingar som utförts av att åtgärda andra medlemmar utanför EU som är bundna av överträdelser av de de bindande företagsbestämmelserna och att bindande betala ut ersättning för eventuella materiella eller företagsbestämmelsern immateriella skador som följer av överträdelser a av de bindande företagsbestämmelserna av medlemmar som omfattas av de bindande företagsbestämmelserna.

Det måste även anges i de bindande företagsbestämmelserna att om en medlem utanför EU som omfattas av de bindande företagsbestämmelserna bryter mot de bindande företagsbestämmelserna ska domstolarna eller andra behöriga myndigheter inom EU ha domsrätt och den registrerade ha samma

rättigheter och möjligheter att vidta rättsliga åtgärder gentemot medlemmen som omfattas av de bindande företagsbestämmelserna som har samtyckt till ansvar som om överträdelsen hade orsakats av denna medlem i medlemsstaten där den är baserad i stället för av medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna.

Ett annat alternativ, i synnerhet om det inte är möjligt för en koncern eller en grupp av företag med särskilda företagsstrukturer att ålägga en specifik enhet att ta allt ansvar för eventuella överträdelser av de bindande företagsbestämmelserna utanför EU, är att de bindande företagsbestämmelserna anger att varje medlem som omfattas av de bindande företagsbestämmelserna som för ut uppgifter ur EU baserat på de bindande företagsbestämmelserna ansvarar för eventuella överträdelser av de bindande företagsbestämmelserna som görs av medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna som har tagit emot uppgifterna från denna medlem inom EU som omfattas av de bindande företagsbestämmelserna. 1.5 Företaget har NEJ JA (WP74 punkt 5.5.2 Ansökningsblanketten måste innehålla en tillräckliga tillgångar andra stycket [sida 18] bekräftelse på att alla medlemmar som omfattas + WP108 punkt 5.17 av de bindande företagsbestämmelserna som har [sida 6]) samtyckt till att ta ansvar för handlingar som utförts av andra medlemmar utanför EU som omfattas av de bindande företagsbestämmelserna har tillräckliga tillgångar för att kunna betala ersättning för skador som orsakas genom överträdelse av de bindande

företagsbestämmelserna.

1.6 Bevisbördan ligger JA JA Artikel 47.2 f i den Det måste anges i de bindande hos företaget, inte hos allmänna företagsbestämmelserna att medlemmen som individen dataskyddsförordninge omfattas av de bindande företagsbestämmelserna n som har samtyckt till att ta ansvar även innehar bevisbördan och ska kunna styrka att medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna inte bär ansvar för eventuella överträdelser av bestämmelserna som har lett till att den registrerade begär skadestånd.

Om medlemmen som omfattas av de bindande företagsbestämmelserna som har samtyckt till att ta ansvar kan styrka att medlemmen utanför EU som omfattas av de bindande företagsbestämmelserna inte är ansvarig för händelsen som har gett upphov till skadan, kan den frånsäga sig allt ansvar.

1.7 Öppenhet och enkel JA NEJ Artikel 47.2 g i den De bindande företagsbestämmelserna måste tillgång till de bindande allmänna innehålla ett åtagande som anger att alla företagsbestämmelsern dataskyddsförordninge registrerade med rättigheter som berättigad tredje a för de registrerade n part (tredjepartsberättigande) ska förses med den information som krävs enligt artiklarna 13 och 14 i den allmänna dataskyddsförordningen, liksom med information om sina rättigheter som berättigad tredje part i fråga om behandlingen av deras personuppgifter och om de medel som finns för att utöva dessa rättigheter, samt information om bestämmelsen gällande ansvarsskyldighet och bestämmelserna gällande principer för dataskydd.

Informationen ska tillhandahållas i fullständigt skick och det räcker inte med en sammanfattning.

Det måste anges i de bindande företagsbestämmelserna att alla registrerade har rätt att enkelt få tillgång till dem. Till exempel kan det stå att åtminstone de delar av de bindande företagsbestämmelserna kring vilka de registrerade måste informeras (enligt beskrivningen i föregående stycke) kommer att publiceras på internet eller på intranätet (när de registrerade enbart utgörs av företagspersonal som har tillgång till intranätet).

2 – EFFEKTIVITET

2.1 Förekomsten av ett JA JA Artikel 47.2 n i den Det måste anges i de bindande lämpligt allmänna företagsbestämmelserna att lämplig utbildning utbildningsprogram dataskyddsförordninge om de bindande företagsbestämmelserna ska n tillhandahållas till personal som har ständig eller regelbunden tillgång till personuppgifter, som

medverkar i insamlingen av personuppgifter eller som medverkar i framtagningen av verktyg som används för att behandla personuppgifter.

Tillsynsmyndigheterna som utvärderar de bindande företagsbestämmelserna kan be om exempel från och beskrivningar av utbildningsprogrammet under ansökningsförfarandet. Utbildningsprogrammet ska specificeras i ansökan. 2.2 Förekomsten av ett JA JA Artiklarna 47.2 i och Ett internt förfarande för klagomålshantering förfarande för 12.3 i den allmänna måste anges i de bindande klagomålshantering dataskyddsförordninge företagsbestämmelserna för att säkerställa att alla gällande de bindande n registrerade har möjlighet att utöva sina företagsbestämmelsern rättigheter och anmäla klagomål gällande någon a medlem som omfattas av de bindande företagsbestämmelserna.

- Klagomålen måste hanteras, utan onödigt dröjsmål och i alla händelser inom en månad, av en tydligt identifierad avdelning eller person med en lämplig grad av oberoende i arbetet. Med hänsyn till ärendenas komplexitet och antal kan denna period på en månad förlängas med maximalt två månader till. Om så sker ska den registrerade informeras om detta. Det måste beskrivas på ansökningsblanketten hur de registrerade ska informeras om de olika stegen i förfarandet för klagomålshantering. Detta gäller i synnerhet följande: - Var klagomål ska anmälas. - I vilken form. - Fördröjningar i besvarandet av klagomål.

- Konsekvenser om klagomålet avslås. - Konsekvenser om klagomålet anses berättigat. - Konsekvenser om den registrerade inte är nöjd med svaret (rätten att inge klagomål till domstol och till tillsynsmyndigheten).

2.3 Förekomsten av ett JA JA Artikel 47.2 j och l och De bindande företagsbestämmelserna måste tillsynsprogram som artikel 38.3 i den innehålla ett åtagande för koncernen eller omfattar de bindande allmänna gruppen av företag att genomföra företagsbestämmelsern dataskyddsförordninge dataskyddstillsyn med jämna mellanrum (genom a n antingen interna eller externa ackrediterade revisorer) eller på specifik begäran från dataskyddsombudet (Privacy Officer)/dataskyddsfunktionen (eller annan behörig funktion inom organisationen) för att säkerställa att de bindande företagsbestämmelserna efterlevs.

Det måste anges i de bindande företagsbestämmelserna att tillsynsprogrammet ska omfatta alla aspekter av de bindande företagsbestämmelserna, inklusive metoderna för att säkerställa att korrigerande åtgärder vidtas. Dessutom måste det i de bindande företagsbestämmelserna anges att resultatet ska meddelas till dataskyddsombudet (Privacy Officer)/dataskyddsfunktionen och till relevant styrelse hos det kontrollerande företaget i koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet. När så är lämpligt kan resultatet meddelas till det yttersta moderbolagets styrelse.

Det måste likaså anges i de bindande företagsbestämmelserna att tillsynsmyndigheterna ska få tillgång till resultaten av tillsynen på begäran och att tillsynsmyndigheterna ska ha tillstånd/befogenhet att, vid behov, utföra en dataskyddstillsyn av valfri medlem som omfattas av de bindande företagsbestämmelserna.

Ansökningsblanketten ska innehålla en beskrivning av tillsynssystemet. Exempelvis ska följande ingå:

- Vilken enhet (avdelning inom koncernen eller gruppen av företag) som beslutar om tillsynsplanen/-programmet. - Vilken enhet som ska genomföra tillsynen. - Tidpunkt för tillsynen (regelbundet eller på specifik begäran från tillämplig dataskyddsfunktion). - Tillsynens omfattning (till exempel applikationer, it-system, databaser som behandlar personuppgifter eller vidare överföring, beslut som fattas rörande obligatoriska krav i nationella lagar som strider mot de bindande företagsbestämmelserna, granskning av de avtalsvillkor som gäller för överföringar utanför koncernen eller gruppen av företag [till personuppgiftsansvariga eller personuppgiftsbiträden], korrigerande åtgärder osv.). - Vilken enhet som ska ta emot

tillsynsresultaten.

2.4 Skapande av ett JA NEJ Artikel 47.2 h och Ett åtagande att utnämna ett dataskyddsombud nätverk av artikel 38.3 i den när detta krävs enligt artikel 37 i den allmänna dataskyddsombud eller allmänna dataskyddsförordningen eller annan person eller lämplig personal för att dataskyddsförordninge enhet (till exempel ett högsta dataskyddsombud övervaka att n [”Chief Privacy Officer”]) som har ansvar för att bestämmelserna övervaka att de bindande företagsbestämmelserna efterlevs efterlevs och som har stöd från den högsta ledningen i arbetet med att fullgöra uppgiften.

Dataskyddsombudet eller andra dataskyddsansvariga kan få hjälp i arbetet av ett team, ett nätverk av lokala dataskyddsombud eller lokala kontakter, efter vad som är lämpligt. Dataskyddsombudet ska rapportera direkt till den högsta förvaltningsnivån (artikel 38.3 i den allmänna dataskyddsförordningen). De bindande företagsbestämmelserna bör innehålla en kortfattad beskrivning av dataskyddsombudets eller den motsvarande funktionens struktur, roll, position och uppgifter och av det nätverk som skapats för att säkerställa att bestämmelserna efterlevs. Till exempel kan det anges att dataskyddsombudet eller det högsta dataskyddsombudet (Chief Privacy Officer) informerar och lämnar råd till den högsta

ledningen, hanterar tillsynsmyndigheternas undersökningar, övervakar efterlevnaden på övergripande nivå och årligen rapporterar kring detta, samt att lokala dataskyddsombud eller lokala kontakter kan ansvara för hanteringen av lokala klagomål från registrerade, rapportering av mer omfattande dataskyddsproblem till dataskyddsombudet och övervakning av utbildningen och efterlevnaden på lokal nivå.

3 – SKYLDIGHET ATT SAMARBETA

3.1 En skyldighet att JA JA Artikel 47.2 l i den De bindande företagsbestämmelserna ska samarbeta med allmänna innehålla en tydlig skyldighet för alla tillsynsmyndigheter dataskyddsförordninge medlemmar som omfattas av de bindande n företagsbestämmelserna att samarbeta med tillsynsmyndigheterna, att acceptera att granskas av tillsynsmyndigheterna och att följa tillsynsmyndigheternas råd gällande alla frågor med koppling till bestämmelserna.

4 – BESKRIVNING AV BEHANDLING OCH DATAFLÖDEN

4.1 En beskrivning av JA JA Artikel 47.2 b i den De bindande företagsbestämmelserna måste det materiella allmänna innehålla en beskrivning av bestämmelsernas tillämpningsområdet dataskyddsförordninge materiella tillämpningsområde och följaktligen för de bindande n en generell beskrivning av överföringarna, så att företagsbestämmelsern tillsynsmyndigheterna kan bedöma om a (typer av överförda behandlingen som utförs i tredjeländer efterlever uppgifter, typer av kraven. Framför allt måste de bindande registrerade och företagsbestämmelserna ange vilka överföringar länder) eller uppsättningar av överföringar av uppgifter som omfattas, inklusive typerna och kategorierna av personuppgifter, typen av behandling och dess ändamål, typen av registrerade som berörs (uppgifter gällande anställda, kunder,

leverantörer och andra tredje parter som är en del av företagets olika affärsverksamheter) samt vilket tredjeland eller vilka tredjeländer som avses. 4.2 Ett yttrande om det JA JA Artikel 47.2 a i den De bindande företagsbestämmelserna ska ange geografiska allmänna strukturen och kontaktuppgifterna för koncernen tillämpningsområdet dataskyddsförordninge eller gruppen av företag som deltar i gemensam för de bindande n ekonomisk verksamhet och för var och en av dess företagsbestämmelsern medlemmar.

Det ska även anges i de bindande företagsbestämmelserna om de gäller i) alla personuppgifter som överförs från EU inom koncernen eller gruppen av företag, ELLER ii) all behandling av personuppgifter inom koncernen eller gruppen av företag.

5 – MEKANISMER FÖR ATT RAPPORTERA OCH DOKUMENTERA ÄNDRINGAR

5.1 En process för att JA JA Artikel 47.2 k i den De bindande företagsbestämmelserna kan ändras uppdatera de bindande allmänna (till exempel för att ta hänsyn till ändringar i företagsbestämmelsern dataskyddsförordninge regelverk eller företagsstrukturen), men det ska a n framgå av bestämmelserna att sådana ändringar ska rapporteras utan onödigt dröjsmål till alla medlemmar som omfattas av de bindande företagsbestämmelserna och till relevanta tillsynsmyndigheter via den behöriga tillsynsmyndigheten.

Uppdateringar av de bindande företagsbestämmelserna eller av förteckningen över medlemmar som omfattas av de bindande

företagsbestämmelserna kan ske utan att det krävs någon ny ansökan om godkännande, förutsatt att följande villkor är uppfyllda:

i) En identifierad person eller ett identifierat team/en identifierad avdelning ansvarar för att föra en fullständigt uppdaterad förteckning över medlemmarna som omfattas av de bindande företagsbestämmelserna och håller reda på och registrerar alla eventuella uppdateringar av bestämmelserna, samt tillhandahåller nödvändig information till de registrerade eller tillsynsmyndigheterna på begäran. ii) Inga överföringar får göras till nya medlemmar som ska omfattas av de bindande företagsbestämmelserna förrän den nya medlemmen är bunden av de bindande företagsbestämmelserna i praktiken och kan följa dem. iii) Eventuella förändringar av de bindande företagsbestämmelserna eller i förteckningen över medlemmar som omfattas av de bindande företagsbestämmelserna ska rapporteras en gång om året till de relevanta tillsynsmyndigheterna via den behöriga tillsynsmyndigheten, med en kortfattad beskrivning av skälen som motiverar uppdateringen. iv) Om en förändring skulle kunna påverka den skyddsnivå som de bindande företagsbestämmelserna erbjuder eller om den påverkar de bindande företagsbestämmelserna på ett betydande sätt (det vill säga innebär en förändring av deras

bindande natur), måste detta omgående meddelas till relevanta tillsynsmyndigheter via den behöriga tillsynsmyndigheten.

6 – SKYDDSÅTGÄRDER FÖR UPPGIFTER

6.1.1 En beskrivning av JA JA Artikel 47.2 d i den De bindande företagsbestämmelserna ska principerna för allmänna uttryckligen innefatta följande principer, som ska dataskydd, inklusive dataskyddsförordninge efterlevas av företaget: bestämmelserna för n överföring eller vidare i. Öppenhet, korrekthet (fairness) och laglighet överföring ut ur EU (artiklarna 5.1 a, 6, 9, 10, 13 och 14 i den allmänna dataskyddsförordningen). ii. Ändamålsbegränsning (artikel 5.1 b i den allmänna dataskyddsförordningen). iii. Uppgiftsminimering och korrekthet (accuracy) (artikel 5.1 c och d i den allmänna dataskyddsförordningen). iv. Begränsade lagringsperioder (artikel 5.1 e i den allmänna dataskyddsförordningen). v. Behandling av särskilda kategorier av personuppgifter. vi. Säkerhet (artiklarna 5 f och 32 i den allmänna dataskyddsförordningen), vilket innefattar skyldigheten att sluta avtal, som ska innefatta alla krav som föreskrivs i artikel 28.3 i den allmänna dataskyddsförordningen, med alla interna och externa underleverantörer/personuppgiftsbiträden. Likaså innefattas skyldigheten att utan onödigt dröjsmål rapportera eventuella personuppgiftsincidenter till huvudkontoret inom EU eller till medlemmen inom EU som

omfattas av de bindande företagsbestämmelserna och har delegerat dataskyddsansvar, samt till annat relevant dataskyddsombud (Privacy Officer)/annan relevant dataskyddsfunktion och till de registrerade när personuppgiftsincidenten sannolikt kan leda till att deras rättigheter och friheter utsätts för en hög risk. Därutöver ska eventuella personuppgiftsincidenter dokumenteras (inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits) och dokumentationen ska göra tillgänglig för tillsynsmyndigheten på begäran (artiklarna 33 och 34 i den allmänna dataskyddsförordningen). vii. Begränsning av överföring och vidare överföring till personuppgiftsbiträden och personuppgiftsansvariga som inte ingår i koncernen eller gruppen av företag (medlemmar som omfattas av de bindande företagsbestämmelserna och är personuppgiftsansvariga kan överföra uppgifter till personuppgiftsbiträden/personuppgiftsansvar iga utanför koncernen eller gruppen av företag som befinner sig utanför EU förutsatt att adekvat skydd tillhandahålls i enlighet med artiklarna 45, 46, 47 och 48 i den allmänna dataskyddsförordningen eller att ett undantag enligt artikel 49 i den allmänna dataskyddsförordningen gäller).

Formuleringarna och definitionerna i de bindande

företagsbestämmelsernas viktigaste principer ska vara i linje med formuleringarna och definitionerna i den allmänna dataskyddsförordningen. 6.1.2 Ansvarsskyldighet JA JA Artiklarna 47.2 d och Varje enhet som fungerar som och övriga verktyg 30 i den allmänna personuppgiftsansvarig ska ansvara för och kunna dataskyddsförordninge visa att de bindande företagsbestämmelserna n efterlevs (artiklarna 5.2 och 24 i den allmänna dataskyddsförordningen).

För att kunna visa att bestämmelserna efterlevs måste medlemmar som omfattas av de bindande företagsbestämmelserna föra ett register över alla kategorier av behandling som utförts, i enlighet med kraven som anges i artikel 30.1 i den allmänna dataskyddsförordningen. Detta register ska föras i skriftlig form, vilket innefattar i elektroniskt format, och ska göras tillgängligt för tillsynsmyndigheten på begäran.

För att sörja för en bättre efterlevnad, och vid behov, ska konsekvensbedömningar avseende dataskydd utföras för behandlingar som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter (artikel 35 i den allmänna dataskyddsförordningen). Om en konsekvensbedömning avseende dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken, ska samråd ske med den behöriga tillsynsmyndigheten före behandlingen (artikel 36 i den allmänna dataskyddsförordningen).

Lämpliga tekniska och organisatoriska åtgärder ska vidtas som är utformade för att genomföra dataskyddsprinciper och för att underlätta en praktisk efterlevnad av de krav som anges i de bindande företagsbestämmelserna (inbyggt dataskydd och dataskydd som standard) (artikel 25 i den allmänna dataskyddsförordningen). 6.2 Förteckning över JA JA Artikel 47.2 a i den De bindande företagsbestämmelserna ska enheter som omfattas allmänna innehålla en förteckning över de enheter som av de bindande dataskyddsförordninge omfattas av de bindande företagsbestämmelserna, företagsbestämmelsern n inklusive kontaktuppgifter.

6.3 Behovet av JA NEJ Artikel 47.2 m i den Ett tydligt åtagande som anger att när en medlem öppenhet när den allmänna som omfattas av de bindande nationella dataskyddsförordninge företagsbestämmelserna har anledning att tro att lagstiftningen n lagstiftningen som gäller för denna medlem förhindrar att hindrar företaget från att leva upp till sina koncernen eller skyldigheter enligt de bindande gruppen av företag företagsbestämmelserna eller har en avsevärd efterlever de bindande inverkan på de garantier som ges genom företagsbestämmelsern bestämmelserna, måste denna medlem omgående a meddela huvudkontoret inom EU eller medlemmen inom EU som omfattas av de bindande företagsbestämmelserna och har delegerat dataskyddsansvar, samt annat relevant dataskyddsombud (Privacy Officer)/annan relevant dataskyddsfunktion (förutom när detta är förbjudet av en brottsbekämpande myndighet, till exempel enligt straffrätten för att bevara sekretessen i en brottsutredning).

Därutöver ska de bindande företagsbestämmelserna innehålla ett åtagande som anger att när något rättsligt krav som en medlem som omfattas av de bindande

företagsbestämmelserna är underkastad i ett tredjeland sannolikt kan få en avsevärd negativ inverkan på de garantier som ges genom de bindande företagsbestämmelserna ska problemet rapporteras till den behöriga tillsynsmyndigheten. Detta innefattar eventuella rättsligt bindande begäranden om utlämning av personuppgifter från en brottsbekämpande myndighet eller ett organ som verkar för statens säkerhet. När detta är fallet ska den behöriga tillsynsmyndigheten informeras på ett tydligt sätt om denna begäran, med information om de uppgifter som begärs, vilket organ som begär dem och den rättsliga grunden för utlämningen (förutsatt att detta inte är förbjudet, till exempel enligt straffrätten för att bevara sekretessen i en brottsutredning).

Om det i specifika fall är förbjudet att förhindra utlämning och/eller lämna information, ska de bindande företagsbestämmelserna föreskriva att medlemmen som omfattas av de bindande företagsbestämmelserna och som har fått begäran ska göra sitt bästa för att erhålla rätten att slippa detta förbud i syfte att kunna meddela så mycket information som möjligt och så snart som möjligt, samt att medlemmen ska kunna visa att detta har gjorts.

Om medlemmen som omfattas av de bindande företagsbestämmelserna och som har fått begäran i ovanstående fall inte har möjlighet att meddela de behöriga tillsynsmyndigheterna, trots att medlemmen har gjort sitt bästa, måste medlemmen åta sig i de bindande

företagsbestämmelserna att årligen tillhandahålla generell information om de begäranden som den har erhållit till de behöriga tillsynsmyndigheterna (till exempel antalet framställningar om utlämning, typ av uppgifter som begärts, vem som har begärt uppgifterna om detta är möjligt osv.).

Under alla omständigheter måste de bindande företagsbestämmelserna ange att överföringar av personuppgifter från en medlem som omfattas av de bindande företagsbestämmelserna i koncernen eller gruppen av företag till en offentlig myndighet inte får ske på ett massivt, oproportionerligt och godtyckligt sätt som sträcker sig längre än vad som är nödvändigt i ett demokratiskt samhälle.

6.4 Ett yttrande om JA NEJ Ej tillämpligt De bindande företagsbestämmelserna ska relationen mellan specificera relationen mellan de bindande nationell lagstiftning företagsbestämmelserna och den relevanta och de bindande tillämpliga lagstiftningen.

företagsbestämmelsern

a Det ska anges i de bindande företagsbestämmelserna att när lokal lagstiftning, till exempel EU-lagstiftning, kräver en högre skyddsnivå för personuppgifter ska denna lagstiftning ha företräde framför de bindande företagsbestämmelserna.

Under alla omständigheter ska personuppgifter behandlas i enlighet med den tillämpliga lagstiftningen, det vill säga enligt artikel 5 i den

allmänna dataskyddsförordningen och den relevanta lokala lagstiftningen.

Fotnoter

Denna arbetsgrupp inrättades genom artikel 29 i direktiv 95/46/EG. Den är ett oberoende rådgivande EU-organ i frågor som rör uppgiftsskydd och integritetsskydd. Arbetsuppgifterna finns beskrivna i artikel 30 i direktiv 95/46/EG och artikel 15 i direktiv 2002/58/EG. Arbetsgruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och unionsmedborgarskap) vid Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, B-1049 Bryssel, Belgien, Kontor MO-59 02/013. Webbplats: http://ec.europa.eu/newsroom/article29/news.cfm?item_type=1358&tpa_id=6936
1 Text av betydelse för EES. I artikel 28.3 anges, bland annat, att det för varje relation mellan en personuppgiftsansvarig och ett personuppgiftsbiträde ska finnas en specifikation, i form av ett avtal eller en annan rättsakt, som anger föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter. En allmän beskrivning i de bindande företagsbestämmelserna kring kategorier av uppgifter, registrerade osv. är inte tillräckligt i detta sammanhang.
Denna arbetsgrupp inrättades genom artikel 29 i direktiv 95/46/EG. Den är ett oberoende rådgivande EU-organ i frågor som rör uppgiftsskydd och integritetsskydd. Arbetsuppgifterna finns beskrivna i artikel 30 i direktiv 95/46/EG och artikel 15 i direktiv 2002/58/EG.
Arbetsgruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och unionsmedborgarskap) vid Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, B-1049 Bryssel, Belgien, Kontor MO-59 02/013.
Webbplats: http://ec.europa.eu/newsroom/article29/news.cfm?item_type=1358&tpa_id=6936