Centrul Naţional pentru Protecţia Datelor cu Caracter Personal \rOrdin nr.33 din 09.09.2024 cu privire la modificarea Contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal, aprobat prin Ordinul directorului CNPDCP nr.33/2022

CENTRUL NAŢIONAL PENTRU PROTECŢIA

DATELOR CU CARACTER PERSONAL

O R D I N

cu privire la modificarea Contractului standard pentru transmiterea

 transfrontalieră a datelor cu  caracter personal către statele care nu

asigură un nivel adecvat de protecţie a datelor cu caracter personal,

aprobat prin Ordinul directorului CNPDCP nr.33/2022

nr. 33  din  09.09.2024

 (în vigoare 13.09.2024) 

Monitorul Oficial al R. Moldova nr. 395-398 art. 728 din 13.09.2024

* * *

În temeiul art.32 alin.(5) lit.i) din Legea nr.133/2011 privind protecţia datelor cu caracter personal (Monitorul Oficial al Republicii Moldova, 2011, Nr.170-175, art.492), cu modificările ulterioare,

ORDON :

1. Contractul standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal, aprobat prin Ordinul directorului Centrului Naţional pentru Protecţia Datelor cu Caracter Personal nr.33/2022 (Monitorul Oficial al Republicii Moldova, 2022, nr.151-157, art.584), se modifică, după cum urmează:

1) La Clauza 3, punctul 1 va avea următorul cuprins:

"1. Subiecţii de date pot invoca şi obţine executarea prezentelor clauze, în calitate de terţi beneficiari, împotriva exportatorului de date şi/sau a importatorului de date, cu următoarele excepţii:

a) clauza 1, clauza 2, clauza 3, clauza 6, clauza 7;

b) clauza 8 – modulul 1: pct.8.5, sbp. 7 şi pct.8.9, sbp. 2; modulul 2: pct.8.1, sbp. 2, pct.8.9, sbp. 1, 3, 4 şi 5; modulul 3, pct.8.1, sbp. 2 şi pct.8.3, sbp. 2; modulul 4 pct.8.1, sbp. 1, 3 şi 4 şi pct.8.9, sbp. 1,3,4, 5, 6, 7:

c) clauza 8¹ – modulul 2: sbp.1, 3, 4, şi 5, modulul 4, sbp. 1, 3, 4 şi 5;

d) clauza 11 – modulul 1: pct.1 şi 4; modulul 2 şi 4: pct.1, 4 şi 6;

e) clauza 12;

f) clauza 14, pct 14.1, sbp. 3, 4, 5;

g) clauza 15, pct.5;

h) clauza 17 – modulele 1, 2 şi 4: pct.1 şi 2; modulul 3.".

2) Clauza 8, Modulul 1, pct.8.5, va avea următorul cuprins:

"1. Importatorul de date şi, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice şi organizatorice adecvate pentru a asigura protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate. La evaluarea nivelului adecvat de securitate, aceştia iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul şi scopul (scopurile) prelucrării, precum şi riscurile la care sunt expuşi subiecţii de date ca urmare a prelucrării. Părţile iau în considerare, în special, recurgerea la criptare sau la anonimizare/pseudonimizare/depersonalizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării.

2. Părţile au convenit asupra măsurilor tehnice şi organizatorice, menite să asigure securitatea datelor cu caracter personal prevăzute în Anexa nr.2. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

3. Importatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie statutară adecvată de confidenţialitate.

4. În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securităţii datelor cu caracter personal, inclusiv măsuri de atenuare a eventualelor sale efecte negative.

5. În cazul unei încălcări a securităţii datelor cu caracter personal care este susceptibilă să genereze un risc pentru drepturile şi libertăţile persoanelor fizice, importatorul de date notifică, fără întârzieri nejustificate, această încălcare exportatorului de date, cât şi autorităţii de supraveghere competente în temeiul clauzei 12. O astfel de notificare conţine:

a) o descriere a caracterului încălcării securităţii datelor (inclusiv, dacă este posibil, categoriile şi numărul aproximativ de subiecţi de date şi de înregistrări de date în cauză);

b) consecinţele probabile ale încălcării securităţii datelor;

c) măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securităţii datelor şi,

d) coordonatele unui punct de contact de unde se pot obţine mai multe informaţii. În măsura în care importatorul de date nu poate să furnizeze toate informaţiile în acelaşi timp, acesta le poate furniza în etape, fără alte întârzieri nejustificate.

6. În cazul unei încălcări a securităţii datelor cu caracter personal care este susceptibilă să genereze un risc ridicat pentru drepturile şi libertăţile persoanelor fizice, importatorul de date notifică, de asemenea, fără întârzieri nejustificate, încălcarea securităţii datelor cu caracter personal şi natura acesteia subiecţilor de date afectaţi de respectiva încălcare, dacă este necesar în cooperare cu exportatorul de date, şi furnizează informaţiile menţionate la pct.5, lit.b) - d), cu excepţia cazului în care importatorul de date a implementat măsuri menite să reducă în mod semnificativ riscul pentru drepturile sau libertăţile persoanelor fizice sau cu excepţia cazului în care notificarea ar implica eforturi disproporţionate. În acest din urmă caz, importatorul de date efectuează, în schimb, o informare publică sau ia o măsură similară de informare a publicului cu privire la încălcarea securităţii datelor cu caracter personal.

7. Importatorul de date păstrează documente referitoare la toate elementele relevante care au legătură cu încălcarea securităţii datelor cu caracter personal, inclusiv documente referitoare la efectele respectivei încălcări şi la orice măsură de remediere întreprinsă, şi ţine o evidenţă a acestora.".

3) Clauza 8, Modulul 1, pct.8.7 va avea următorul cuprins:

"Importatorul de date nu divulgă datele cu caracter personal unui terţ situat în acelaşi stat ca importatorul de date sau în alt stat, denumit în continuare "transfer ulterior", cu excepţia cazului în care terţul are obligaţii sau este de acord să îşi asume obligaţii în temeiul prezentelor clauze, în cadrul modulului corespunzător. În caz contrar, un transfer ulterior realizat de importatorul de date poate avea loc numai dacă:

a) se efectuează către un stat care se regăseşte în lista statelor care asigură un nivel adecvat de protecţie a datelor, aprobată prin decizie de Centrul Naţional pentru Protecţia Datelor cu Caracter Personal;

b) se efectuează către alte companii ori organizaţii din acelaşi grup cu operatorul de date, cu condiţia respectării regulilor corporatiste obligatorii;

c) terţul încheie cu importatorul de date un act juridic obligatoriu care asigură acelaşi nivel de protecţie a datelor ca cel furnizat în temeiul prezentelor clauze, iar importatorul de date îi transmite exportatorului de date o copie a acestor garanţii;

d) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanţă, indiferent dacă este în contextul unei proceduri judiciare ori în contextul unei proceduri administrative sau extrajudiciare, inclusiv în cadrul procedurilor în faţa autorităţilor de reglementare;

e) aceasta este necesară pentru a proteja viaţa, integritatea fizică sau sănătatea subiectului datelor cu caracter personal; sau

f) atunci când nu se aplică niciuna dintre celelalte condiţii, importatorul de date a obţinut consimţământul explicit al subiectului de date pentru un transfer ulterior într-o situaţie specifică, după ce a informat-o cu privire la scopul (scopurile) acestuia, la identitatea destinatarului şi la posibilele riscuri ale unui astfel de transfer pentru subiectul de date ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecţie şi a unor garanţii adecvate în materie de protecţie a datelor. În acest caz, importatorul de date îl informează pe exportatorul de date şi, la cererea acestuia, îi transmite o copie a informaţiilor furnizate subiectului de date.

Orice transfer ulterior este condiţionat de respectarea de către importatorul de date a tuturor celorlalte garanţii prevăzute în prezentele clauze, în special a limitării scopului.".

4) Clauza 8, Modulul 2, pct.8.6., sbp.3) se completează cu textul "După ce a luat cunoştinţă de respectiva încălcare a securităţii datelor, importatorul de date transmite, fără întârzieri nejustificate, o notificare exportatorului de date, care trebuie să conţină coordonatele unui punct de contact de unde se pot obţine mai multe informaţii, o descriere a caracterului încălcării securităţii datelor (inclusiv, dacă este posibil, categoriile, numărul de subiecţi de date vizaţi, precum şi numărul aproximativ de înregistrări de date în cauză), consecinţele probabile ale încălcării securităţii datelor şi măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securităţii datelor, inclusiv, după caz, măsuri de atenuare a eventualelor sale efecte negative. Atunci când şi în măsura în care nu este posibil să se furnizeze toate informaţiile în acelaşi timp, notificarea iniţială trebuie să conţină informaţiile disponibile la momentul respectiv, informaţiile suplimentare urmând să fie puse la dispoziţie ulterior, fără întârzieri nejustificate, pe măsură ce devin disponibile.".

5) Clauza 8, Modulul 3, pct.8.2., sbp. 2 se completează cu textul: "În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de exportatorul de date în temeiul prezentelor clauze, exportatorul de date notifică această încălcare importatorului de date fără întârzieri nejustificate după ce a luat cunoştinţă de aceasta şi îi acordă asistenţă importatorului de date în remedierea încălcării.".

6) Clauza 8 se completează cu Modulul 4, cu următorul cuprins:

"Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

8.1. Instrucţiuni

1. Exportatorul de date a informat importatorul de date că acţionează în calitate de persoană împuternicită de operator în conformitate cu instrucţiunile operatorului (operatorilor) său (săi), pe care exportatorul de date le pune la dispoziţia importatorului de date înainte de prelucrare.

2. Importatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucţiuni documentate din partea operatorului, astfel cum au fost comunicate importatorului de date de către exportatorul de date, precum şi pe baza oricăror instrucţiuni suplimentare documentate din partea exportatorului de date. Aceste instrucţiuni suplimentare nu contravin instrucţiunilor din partea operatorului. Operatorul sau exportatorul de date poate da instrucţiuni documentate suplimentare cu privire la prelucrarea datelor pe întreaga durată a contractului.

3. Importatorul de date informează imediat exportatorul de date dacă nu este în măsură să urmeze aceste instrucţiuni. În cazul în care importatorul de date nu este în măsură să urmeze instrucţiunile operatorului, exportatorul de date notifică imediat acest fapt operatorului.

4. Exportatorul de date garantează că a impus importatorului de date aceleaşi obligaţii în materie de protecţie a datelor ca cele prevăzute în contract sau în alt act juridic în temeiul Legii nr.133/2011 sau altei dispoziţii ale legislaţiei naţionale în materie de protecţie a datelor, încheiat între operator şi exportatorul de date.

8.2. Limitarea scopului

Importatorul de date prelucrează datele cu caracter personal numai în scopul (scopurile) specific(e) al(e) transferului, astfel cum se prevede în Anexa nr.1, secţiunea B, cu excepţia cazului în care primeşte instrucţiuni suplimentare din partea operatorului, astfel cum au fost comunicate importatorului de date de către exportatorul de date, sau din partea exportatorului de date.

8.3. Transparenţa

La cerere, exportatorul de date pune gratuit la dispoziţia subiectului de date, o copie a clauzelor, astfel cum a fost completat de către părţi. În măsura în care acest lucru este necesar pentru a proteja secretele comerciale sau alte informaţii confidenţiale, inclusiv date cu caracter personal, exportatorul de date poate să mascheze o parte din textul anexelor înainte de a transmite o copie, dar trebuie să furnizeze un rezumat relevant dacă, fără un astfel de rezumat, subiectul de date nu ar putea să înţeleagă conţinutul acestuia sau nu şi-ar putea exercita drepturile. La cerere, părţile trebuie să informeze subiectul de date cu privire la motivele mascării textului, pe cât de mult posibil fără a dezvălui informaţiile mascate.

8.4. Exactitatea

Dacă importatorul de date constată că datele cu caracter personal pe care le-a primit sunt inexacte sau nu mai sunt de actualitate, acesta informează exportatorul de date fără întârzieri nejustificate. În acest caz, importatorul de date cooperează cu exportatorul de date pentru a rectifica sau a şterge datele.

8.5. Durata prelucrării şi ştergerea sau returnarea datelor

Prelucrarea de către importatorul de date are loc numai pe durata specificată în Anexa nr.1, secţiunea B. După încheierea prestării serviciilor de prelucrare, importatorul de date, la alegerea exportatorului de date, şterge toate datele cu caracter personal prelucrate în numele operatorului şi îi prezintă exportatorului de date dovada faptului că a întreprins această acţiune sau îi returnează exportatorului de date toate datele cu caracter personal prelucrate în numele acestuia şi şterge copiile existente. Până la ştergerea sau returnarea datelor, importatorul de date trebuie să continue să asigure respectarea acestor clauze. În cazul în care legislaţia naţională aplicabilă importatorului de date interzice returnarea sau ştergerea datelor cu caracter personal, importatorul de date garantează că va continua să asigure conformitatea cu prezentele clauze şi că va prelucra datele numai în măsura în care şi atât timp cât prelucrarea este permisă de respectiva legislaţie. Această dispoziţie nu aduce atingere clauzei 13, în special obligaţiei care îi revine importatorului de date în temeiul clauzei 13 pct.5 de a transmite o notificare exportatorului de date pe întreaga durată a contractului dacă are motive să creadă că este sau a intrat sub incidenţa unei legislaţii sau a unor practici care nu sunt conforme cu dispoziţiile clauzei 13 pct.1.

8.6. Securitatea prelucrării

1. Importatorul de date şi, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice şi organizatorice adecvate necesare pentru protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate. La evaluarea nivelului adecvat de securitate, aceştia iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul şi scopul (scopurile) prelucrării, precum şi riscurile la care sunt expuşi subiecţii de date ca urmare a prelucrării. Părţile iau în considerare, în special, recurgerea la criptare sau la anonimizare/pseudonimizare/depersonalizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării. În cazul anonimizării/pseudonimizării/depersonalizării, informaţiile suplimentare care permit atribuirea datelor cu caracter personal unui anumit subiect de date rămân, dacă este posibil, sub controlul exclusiv al exportatorului de date sau al operatorului. La respectarea obligaţiilor care îi revin în temeiul prezentului paragraf, importatorul de date pune în aplicare cel puţin măsurile tehnice şi organizatorice specificate în Anexa nr.2. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

2. Importatorul de date acordă membrilor personalului său acces la date numai în măsura în care acest lucru este strict necesar pentru executarea, gestionarea şi monitorizarea contractului. Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie legală adecvată de confidenţialitate.

3. În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securităţii datelor, inclusiv măsuri de atenuare a efectelor sale negative. De asemenea, după ce a luat cunoştinţă de respectiva încălcare a securităţii datelor, importatorul de date transmite, fără întârzieri nejustificate, o notificare exportatorului de date şi, dacă este oportun şi fezabil, operatorului. Această notificare trebuie să conţină coordonatele unui punct de contact de unde se pot obţine mai multe informaţii, o descriere a caracterului încălcării securităţii datelor (inclusiv, dacă este posibil, categoriile şi numărul aproximativ de subiecţi de date şi de înregistrări de date în cauză), consecinţele probabile ale încălcării securităţii datelor şi măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securităţii datelor, inclusiv, după caz, măsuri de atenuare a eventualelor sale efecte negative. Atunci când şi în măsura în care nu este posibil să se furnizeze toate informaţiile în acelaşi timp, notificarea iniţială trebuie să conţină informaţiile disponibile la momentul respectiv, informaţiile suplimentare urmând să fie puse la dispoziţie ulterior, fără întârzieri nejustificate, pe măsură ce devin disponibile.

4. Importatorul de date cooperează cu exportatorul de date şi îi acordă asistenţa necesară pentru ca acesta să îşi respecte obligaţiile care îi revin în temeiul Legii privind protecţia datelor cu caracter personal, în special aceea de a transmite o notificare operatorului său, astfel încât acesta din urmă să poată informa la rândul său autoritatea de supraveghere competentă şi subiecţii de date afectaţi, ţinând seama de natura prelucrării şi de informaţiile aflate la dispoziţia importatorului de date.

8.7. Categorii speciale de date cu caracter personal

În cazul în care transferul implică date cu caracter personal care dezvăluie originea rasială sau etnică a persoanei, convingerile ei politice, religioase sau filozofice, apartenenţa socială, date privind starea de sănătate sau viaţa sexuală, precum şi date referitoare la condamnări penale, măsurile procesuale de constrângere sau sancţiunile contravenţionale (denumite în continuare "categorii speciale de date cu caracter personal"), importatorul de date aplică restricţiile specifice şi/sau garanţiile suplimentare descrise în Anexa nr.1, secţiunea B.

8.8. Transferuri ulterioare

Importatorul de date divulgă datele cu caracter personal unui terţ numai pe baza unor instrucţiuni documentate (contract sau alt act juridic) din partea operatorului, astfel cum au fost comunicate importatorului de date de către exportatorul de date. În plus, datele pot fi divulgate unui terţ (situat în aceeaşi ţară ca importatorul de date sau în altă ţară terţă, denumit în continuare "transfer ulterior") doar dacă terţul în cauză are obligaţii sau este de acord să îşi asume obligaţii în temeiul prezentelor clauze, în cadrul modulului corespunzător, sau dacă:

a) se efectuează către un stat care se regăseşte în lista statelor care asigură un nivel adecvat de protecţie a datelor, aprobată prin decizie de Centrul Naţional pentru Protecţia Datelor cu Caracter Personal al Republicii Moldova;

b) către alte companii ori organizaţii din acelaşi grup cu operatorul de date, cu condiţia respectării regulilor corporatiste obligatorii;

c) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanţă, indiferent dacă este în contextul unei proceduri judiciare ori în contextul unei proceduri administrative sau extrajudiciare, inclusiv în cadrul procedurilor în faţa autorităţilor de reglementare;

d) aceasta este necesară pentru a proteja viaţa, integritatea fizică sau sănătatea subiectului datelor cu caracter personal.

Orice transfer ulterior este condiţionat de respectarea de către importatorul de date a tuturor celorlalte garanţii prevăzute în prezentele clauze, în special a limitării scopului.

8.9. Documentaţie şi conformitate

1. Importatorul de date răspunde cu promptitudine şi în mod adecvat cererilor de informaţii din partea exportatorului de date sau a operatorului care se referă la prelucrarea efectuată în temeiul prezentelor clauze.

2. Părţile trebuie să poată demonstra respectarea obligaţiilor care le revin în temeiul prezentelor clauze. În special, importatorul de date păstrează documentaţia corespunzătoare privind activităţile de prelucrare efectuate în numele operatorului.

3. Importatorul de date pune la dispoziţia exportatorului de date toate informaţiile necesare pentru a demonstra respectarea obligaţiilor prevăzute în prezentele clauze, iar acesta le furnizează operatorului.

4. Importatorul de date permite efectuarea de către exportatorul de date de audituri ale activităţilor de prelucrare acoperite de prezentele clauze şi contribuie la aceste audituri, la intervale rezonabile sau în cazul în care există indicii de neconformitate. Aceeaşi dispoziţie se aplică în cazul în care exportatorul de date solicită efectuarea unui audit la instrucţiunile operatorului. În luarea unei decizii privind efectuarea unui audit, exportatorul de date poate ţine seama de certificările relevante deţinute de importatorul de date.

5. În cazul în care auditul se efectuează la instrucţiunile operatorului, exportatorul de date pune rezultatele la dispoziţia operatorului.

6. Exportatorul de date poate alege să efectueze el însuşi auditul sau să mandateze în acest scop un auditor independent. Auditurile pot include inspecţii la sediile sau la instalaţiile fizice ale importatorului de date şi se efectuează, dacă este cazul, în urma transmiterii unui preaviz rezonabil.

7. La cerere, părţile pun la dispoziţia autorităţii de supraveghere competente informaţiile prevăzute la literele pct.2 şi 3, inclusiv rezultatele oricărui audit.".

7) Se completează cu Clauza 8¹ cu următorul cuprins:

"CLAUZA 8¹ RECURGEREA LA SUBCONTRACTANŢI

Modulul 2: Transfer operator – persoană împuternicită de operator

1. OPŢIUNEA 1: AUTORIZAŢIE PREALABILĂ SPECIFICĂ Importatorul de date nu subcontractează niciuna dintre activităţile sale de prelucrare efectuate în numele exportatorului de date în temeiul prezentelor clauze către un subcontractant fără autorizaţia scrisă specifică prealabilă a exportatorului de date. Importatorul de date depune cererea de acordare a autorizaţiei specifice cu cel puţin [a se specifica perioada] înainte de recrutarea subcontractantului în cauză, însoţită de informaţiile de care exportatorul de date are nevoie pentru a lua o decizie privind acordarea autorizaţiei. Lista subcontractanţilor care sunt deja autorizaţi de exportatorul de date este prevăzută în Anexa nr.3. Părţile au obligaţia să se asigure că Anexa nr.3 este actualizată.

OPŢIUNEA 2: AUTORIZAŢIE SCRISĂ GENERALĂ Importatorul de date deţine autorizaţia generală din partea exportatorului de date de a recruta subcontractantul (subcontractanţii) care figurează pe o listă convenită. Importatorul de date îl informează în mod specific în scris pe exportatorul de date cu privire la orice modificări preconizate ale listei prin adăugarea sau înlocuirea subcontractanţilor cu cel puţin [a se specifica perioada] înainte, oferindu-i astfel exportatorului de date suficient timp pentru a putea formula obiecţii referitoare la aceste modificări înainte de recrutarea subcontractantului (subcontractanţilor). Importatorul de date îi furnizează exportatorului de date informaţiile de care acesta are nevoie pentru a-şi exercita dreptul la opoziţie.

2. În cazul în care importatorul de date recrutează un subcontractant pentru desfăşurarea unor activităţi de prelucrare specifice (în numele exportatorului de date), acesta efectuează recrutarea printr-un contract scris care prevede, pe fond, aceleaşi obligaţii în materie de protecţie a datelor ca cele care îi revin importatorului de date în temeiul prezentelor clauze, inclusiv în ceea ce priveşte drepturile terţilor beneficiari pentru subiecţii de date. Părţile convin că, prin respectarea prezentei clauze, importatorul de date îşi îndeplineşte obligaţiile care îi revin în temeiul clauzei 8, pct.8.8. Importatorul de date se asigură că subcontractantul respectă obligaţiile care îi revin importatorului de date în temeiul prezentelor clauze.

3. Importatorul de date furnizează exportatorului de date, la cererea acestuia, o copie a unui astfel de contract de subcontractare şi orice modificări ulterioare ale acestuia. În măsura în care acest lucru este necesar pentru a proteja secretele comerciale sau alte informaţii confidenţiale, inclusiv date cu caracter personal, importatorul de date poate să mascheze textul contractului înainte de a transmite o copie.

4. Importatorul de date rămâne pe deplin responsabil faţă de exportatorul de date pentru îndeplinirea obligaţiilor subcontractantului în temeiul contractului său cu importatorul de date. Importatorul de date notifică exportatorului de date orice neîndeplinire de către subcontractant a obligaţiilor care îi revin în temeiul contractului respectiv.

5. Importatorul de date convine cu subcontractantul asupra unei clauze privind terţul beneficiar, conform căreia – în cazul în care importatorul de date a dispărut fără veste, şi-a încetat existenţa de drept sau a devenit insolvabil – exportatorul de date are dreptul de rezoluţiune a contractului cu subcontractantul şi de a-i da subcontractantului instrucţiuni să şteargă sau să returneze datele cu caracter personal.

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

1. OPŢIUNEA 1: AUTORIZAŢIE PREALABILĂ SPECIFICĂ Importatorul de date nu subcontractează niciuna dintre activităţile sale de prelucrare efectuate în numele exportatorului de date în temeiul prezentelor clauze către un subcontractant fără autorizaţia scrisă specifică prealabilă a operatorului. Importatorul de date depune cererea de acordare a autorizaţiei specifice cu cel puţin [a se specifica perioada] înainte de recrutarea subcontractantului în cauză, însoţită de informaţiile de care operatorul are nevoie pentru a lua o decizie privind acordarea autorizaţiei. Acesta îl informează pe exportatorul de date cu privire la o astfel de recrutare. Lista subcontractanţilor care sunt deja autorizaţi de operator este prevăzută în anexa III. Părţile au obligaţia să se asigure că anexa III este actualizată. OPŢIUNEA 2: AUTORIZAŢIE SCRISĂ GENERALĂ Importatorul de date deţine autorizaţia generală din partea operatorului de a recruta subcontractantul (subcontractanţii) care figurează pe o listă convenită. Importatorul de date îl informează în mod specific în scris pe operator cu privire la orice modificări preconizate ale listei prin adăugarea sau înlocuirea subcontractanţilor cu cel puţin [a se specifica perioada] înainte, oferindu-i astfel operatorului suficient timp pentru a putea formula obiecţii referitoare la aceste modificări înainte de recrutarea subcontractantului (subcontractanţilor). Importatorul de date îi furnizează operatorului informaţiile de care acesta are nevoie pentru a-şi exercita dreptul la opoziţie. Importatorul de date îl informează pe exportatorul de date cu privire la recrutarea subcontractantului (subcontractanţilor).

2. În cazul în care importatorul de date recrutează un subcontractant pentru desfăşurarea unor activităţi de prelucrare specifice (în numele operatorului), acesta efectuează recrutarea printr-un contract scris care prevede, pe fond, aceleaşi obligaţii în materie de protecţie a datelor ca cele care îi revin importatorului de date în temeiul prezentelor clauze, inclusiv în ceea ce priveşte drepturile terţilor beneficiari pentru subiecţii de date. Părţile convin că, prin respectarea prezentei clauze, importatorul de date îşi îndeplineşte obligaţiile care îi revin în temeiul clauzei 8.8. Importatorul de date se asigură că subcontractantul respectă obligaţiile care îi revin importatorului de date în temeiul prezentelor clauze.

3. Importatorul de date furnizează, la cererea exportatorului de date sau a operatorului, o copie a acestui contract de subcontractare şi a oricăror modificări ulterioare. În măsura în care acest lucru este necesar pentru a proteja secretul comercial sau alte informaţii confidenţiale, inclusiv date cu caracter personal, importatorul de date poate să mascheze textul contractului înainte de a transmite o copie.

4. Importatorul de date rămâne pe deplin responsabil faţă de exportatorul de date pentru îndeplinirea obligaţiilor subcontractantului în temeiul contractului său cu importatorul de date. Importatorul de date notifică exportatorului de date orice neîndeplinire de către subcontractant a obligaţiilor care îi revin în temeiul contractului respectiv.

5. Importatorul de date convine cu subcontractantul asupra unei clauze privind terţul beneficiar, conform căreia – în cazul în care importatorul de date a dispărut fără veste, şi-a încetat existenţa de drept sau a devenit insolvabil – exportatorul de date are dreptul de rezoluţiune a contractului cu subcontractantul şi de a-i da subcontractantului instrucţiuni să şteargă sau să returneze datele cu caracter personal.".

8) Clauza 9 se completează cu următorul cuprins:

"Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

1. Importatorul de date notifică prompt exportatorului de date şi, după caz, operatorului orice cerere primită din partea unui subiect de date, fără să răspundă cererii respective, cu excepţia cazului în care a fost autorizat în acest sens de către operator.

2. Importatorul de date, dacă este necesar în cooperare cu exportatorul de date, acordă asistenţă operatorului în îndeplinirea obligaţiilor care îi revin de a răspunde cererilor subiectului de date care au ca obiect exercitarea drepturilor în temeiul Legii privind protecţia datelor cu caracter personal sau altor acte normative, după caz. În acest sens, părţile stabilesc în anexa II măsurile tehnice şi organizatorice adecvate, ţinând seama de natura prelucrării, prin care se acordă asistenţa, precum şi domeniul de aplicare şi amploarea asistenţei necesare.

3. În îndeplinirea obligaţiilor care îi revin în temeiul pct.1 şi 2, importatorul de date respectă instrucţiunile din partea operatorului, astfel cum sunt comunicate de către exportatorul de date.".

9) Clauza 10, pct.1 se completează cu următorul conţinut:

"Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

10) Clauza 11, după cuvintele "Modulul 2: Transfer operator – persoană împuternicită de operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

11) Clauza 11, Modului 2:

- la pct.2, pct.3 şi pct.4, după textul "importatorul de date" se completează cu textul "sau subcontractantul acestuia".

- la pct.7, după cuvântul "operator" se completează cu textul "sau subcontractantul acestuia".

12) Clauza 12, după cuvintele "Modulul 2: Transfer operator – persoană împuternicită de operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

13) Clauza 13:

- după cuvintele "Modulul 3: Transfer persoană împuternicită de operator – operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.";

- pct.5 se completează cu următorul text "[Pentru modulul 4: Exportatorul de date transmite notificarea operatorului.]".

14) Clauza 14, pct.14.1:

- după cuvintele "Modulul 3: Transfer persoană împuternicită de operator – operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.";

- pct.14.1, sbp. 1 se completează cu următorul text "[Pentru modulul 4: Exportatorul de date transmite notificarea operatorului.]";

- pct.14.1. sbp. 3 se completează cu următorul text "[Pentru modulul 4: Exportatorul de date transmite informaţiile operatorului.]";

- pct.14.2. sbp. 2, se completează cu următorul text "[Pentru modulul 4: Exportatorul de date pune evaluarea la dispoziţia operatorului.]".

15) Clauza 15, pct.4, cuvintele "1 şi 2" se modifică cu cuvintele "1,2 şi 4".

16) Clauza 16, după cuvintele "Modulul 3: Transfer persoană împuternicită de operator – operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

17) Clauza 17, după cuvintele "Modulul 3: Transfer persoană împuternicită de operator – operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

18) Anexa nr.1, la secţiunea A, secţiunea B şi secţiunea C, după cuvintele "Modulul 3: Transfer persoană împuternicită de operator – operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

19) Anexa nr.2,

- după cuvintele "Modulul 2: Transfer operator – persoană împuternicită de operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.";

- se completează cu următorul conţinut "În cazul transferurilor către persoane împuternicite de operator (subcontractanţi), a se descrie şi măsurile tehnice şi organizaţionale specifice pe care trebuie să le ia persoana împuternicită de operator (subcontractantul) pentru a putea să îi acorde asistenţă operatorului şi, în cazul transferurilor de la o persoană împuternicită de operator la un subcontractant, pentru a putea să îi acorde asistenţă exportatorului de date. ".

20) Contractul standard se completează cu Anexa nr.3 cu următorul cuprins:

2. Prezentul ordin intră în vigoare la data publicării în Monitorul Oficial al Republicii Moldova.