Documente

Centrul Naţional pentru protecţia datelor cu caracter personal \rOrdin nr.33 din 22.04.2022 privind aprobarea Contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal

Tipul documentului: Documente
Data adoptării: 22.04.2022

CENTRUL NAŢIONAL PENTRU PROTECŢIA

DATELOR CU CARACTER PERSONAL

O R D I N

privind aprobarea Contractului standard pentru transmiterea transfrontalieră

a datelor cu caracter personal către statele care nu asigură un nivel

adecvat de protecţie a datelor cu caracter personal

nr. 33 din 22.04.2022

(în vigoare 20.05.2022)

Monitorul Oficial al R. Moldova nr.151-157 art. 584 din 20.05.2022

* * *

Abrogat: 23.08.2026

Ordinul Centrului Naţional pentru Protecţia Datelor cu Caracter Personal nr.31 din 31.07.2026

ÎNREGISTRAT:

Ministerul Justiţiei

al Republicii Moldova

nr.1716 din 11 mai 2022

Ministru _________ Sergiu LITVINENCO

În temeiul art.32 alin.(5) lit.i) din Legea nr.133/2011 privind protecţia datelor cu caracter personal (Monitorul Oficial al Republicii Moldova, 2011, nr.170-175, art.492), cu modificările ulterioare,

ORDON:

1. Se aprobă Contractul standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal (în continuare - Contractul standard) (se anexează).

2. Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP), în urma controlului asupra conformităţii prelucrării datelor cu caracter personal, poate dispune prin decizie suspendarea sau încetarea transmiterii transfrontaliere a datelor cu caracter personal de către părţile implicate, pentru a proteja drepturile şi libertăţile fundamentale ale persoanelor fizice în legătură cu prelucrarea datelor lor cu caracter personal, în cazul în care:

a) legea naţională a operatorului sau persoanei împuternicite de operator a cărui activitate de prelucrare a datelor se desfăşoară într-un stat care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal îl obligă să nu respecte Contractul standard, iar acest fapt nu este motivat de cauze ce ţin de apărarea naţională, siguranţa naţională, ordinea publică, prevenirea, cercetarea şi contracararea infracţiunilor, interesele economice sau financiare importante ale statului, activităţile efectuate în îndeplinirea unor atribuţii de autoritate publică legate de domeniile menţionate supra, de apărarea subiectului de date cu caracter personal sau a drepturilor şi libertăţilor fundamentale ale celorlalte persoane;

b) o autoritate de supraveghere a prelucrării datelor cu caracter personal competentă a stabilit că operatorul sau persoana împuternicită de operator a cărui activitate de prelucrare a datelor se desfăşoară într-un stat care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal nu a respectat Contractul standard, iar transmiterea transfrontalieră a datelor cu caracter personal prezintă riscul prejudicierii drepturilor subiectului de date cu caracter personal.

3. Reluarea transmiterii transfrontaliere a datelor cu caracter personal de către părţile implicate poate avea loc după încetarea motivelor care au determinat aplicarea măsurilor prevăzute la pct.2, cu informarea prealabilă a CNPDCP.

4. Prevederile prezentului ordin nu afectează aplicarea altor prevederi legale privind protecţia datelor cu caracter personal.

5. Prezentul ordin intră în vigoare la data publicării în Monitorul Oficial al Republicii Moldova.

DIRECTOR	Victoria MUNTEAN
Nr.33. Chişinău, 22 aprilie 2022.

Aprobat

prin Ordinul Directorului

Centrului Naţional pentru Protecţia

Datelor cu Caracter Personal

nr.33 din 22.04.2022

CONTRACTUL STANDARD

pentru transmiterea transfrontalieră a datelor cu caracter

personal către statele care nu asigură un nivel adecvat

de protecţie a datelor cu caracter personal

(Clauze contractuale standard)

SECŢIUNEA I

CLAUZA 1 SCOPUL ŞI DOMENIUL DE APLICARE

1. Scopul prezentelor clauze contractuale standard este de a asigura respectarea cerinţelor Legii nr.133/2011 privind protecţia datelor cu caracter personal (în continuare – Legea nr.133/2011) în cazul transmiterii transfrontaliere a datelor cu caracter personal.

2. Părţile:

a) persoana (persoanele) fizică (fizice) sau juridică (juridice) de drept public sau de drept privat, inclusiv autoritatea (autorităţile) publică (publice), orice altă instituţie (instituţii) sau organizaţie (organizaţii) [denumit(ă)(e) în continuare "entitatea (entităţile)"] care transmite transfrontalier datele cu caracter personal, astfel cum sunt enumerate în Anexa nr.1 - Informaţii privind transmiterea transfrontalieră a datelor cu caracter personal (în continuare Anexa nr.1), secţiunea A [denumit(ă)(e) în continuare "exportatorul de date"] şi

b) entitatea (entităţile) dintr-un stat care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal [denumit în continuare "alt stat"] care primeşte (primesc) datele cu caracter personal de la exportatorul de date, direct sau indirect, prin intermediul unei alte entităţi care este, de asemenea, parte la prezentele clauze, astfel cum sunt enumerate în Anexa nr.1, Secţiunea A [denumită (denumite) în continuare "importatorul de date"]

au convenit asupra prezentelor clauze contractuale standard.

3. Prezentele clauze se aplică transmiterii transfrontaliere de date cu caracter personal, astfel cum se specifică în Anexa nr.1, Secţiunea B.

4. Anexele fac parte integrantă la prezentul contract, fiind necesar să se facă o distincţie clară între informaţiile aplicabile fiecărui transfer sau fiecărei categorii de transferuri, şi, în acest sens, să se stabilească rolul (rolurile) părţilor în calitate de exportator(i) de date şi/sau de importator(i) de date.

5. Nu este necesar în mod obligatoriu să se completeze şi să se semneze anexe separate pentru fiecare transfer/categorie de transferuri şi/sau relaţie contractuală, în situaţia în care este posibil ca obligaţia de transparenţă să fie respectată dacă se utilizează un singur înscris. Se recurge la anexe separate, în cazul în care acest lucru este necesar pentru a se asigura o claritate suficientă.

CLAUZA 2 EFECTUL ŞI CARACTERUL INVARIABIL AL CLAUZELOR

1. Prezentele clauze stabilesc garanţii adecvate, inclusiv drepturi opozabile ale subiecţilor de date şi căi de atac eficiente, în temeiul articolului 32 alin.(5) lit.(i) din Legea nr.133/2011 şi, în ceea ce priveşte transmiterile transfrontaliere de date de la operatori către operatori, de la operatori către persoane împuternicite de operatori şi/sau de la persoane împuternicite de operatori către operatori, cu condiţia să nu fie modificate, cu excepţia selectării modulului (modulelor) corespunzător (corespunzătoare) sau a adăugării de informaţii ori a actualizării informaţiilor prevăzute în anexe. Acest lucru nu împiedică părţile să includă clauzele contractuale standard prevăzute în prezentele clauze în cadrul unui contract mai amplu şi/sau să adauge alte clauze sau garanţii suplimentare, atât timp cât acestea nu contravin, direct sau indirect, prezentelor clauze sau nu aduc atingere drepturilor sau libertăţilor fundamentale ale subiecţilor de date.

2. Prezentele clauze se încheie de către părţi în formă scrisă, prezentată pe suport de hârtie sau sub forma unui document electronic, semnat cu semnătură electronică avansată calificată.

3. Prezentele clauze nu aduc atingere obligaţiilor care îi revin exportatorului de date în temeiul Legii nr.133/2011.

4. Prezentul contract va fi încheiat în limba/limbile___________ (se indică de către părţi).

CLAUZA 3 TERŢI BENEFICIARI

1. Subiecţii de date pot invoca şi obţine executarea prezentelor clauze, în calitate de terţi beneficiari, împotriva exportatorului de date şi/sau a importatorului de date, cu următoarele excepţii:

a) clauza 1, clauza 2, clauza 3, clauza 6, clauza 7;

b) clauza 8 – modulul 1: pct.8.5, sbp. 7 şi pct.8.9, sbp. 2; modulul 2: pct.8.1, sbp. 2, pct.8.9, sbp. 1, 3, 4 şi 5; modulul 3, pct.8.1, sbp. 2 şi pct.8.3, sbp. 2; modulul 4 pct.8.1, sbp. 1, 3 şi 4 şi pct.8.9, sbp. 1,3,4, 5, 6, 7:

c) clauza 8¹ – modulul 2: sbp.1, 3, 4, şi 5, modulul 4, sbp. 1, 3, 4 şi 5;

d) clauza 11 – modulul 1: pct.1 şi 4; modulul 2 şi 4: pct.1, 4 şi 6;

e) clauza 12;

f) clauza 14, pct 14.1, sbp. 3, 4, 5;

g) clauza 15, pct.5;

h) clauza 17 – modulele 1, 2 şi 4: pct.1 şi 2; modulul 3.

[Pct.1 în redacţia Ordinului CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

2. Punctul 1 nu aduce atingere drepturilor pe care le au subiecţii de date în temeiul Legii nr.133/2011.

CLAUZA 4 INTERPRETARE

1. În cazul în care prezentele clauze utilizează termenii definiţi în Legea nr.133/2011, aceşti termeni au acelaşi sens ca în lege.

2. Prezentele clauze trebuie citite şi interpretate în lumina dispoziţiilor Legii nr.133/2011.

3. Prezentele clauze nu trebuie interpretate într-un mod care contravine drepturilor şi obligaţiilor prevăzute în Legea nr.133/2011.

CLAUZA 5 IERARHIE

1. În cazul unei contradicţii între prezentele clauze şi dispoziţiile acordurilor conexe dintre părţi care există la momentul în care sunt convenite prezentele clauze sau care sunt încheiate ulterior, prevalează prezentele clauze.

2. Dacă există neconcordanţe între prezentele clauze contractuale şi tratatele privitoare la drepturile fundamentale ale omului la care Republica Moldova şi statul de destinaţie este parte, prioritate au reglementările internaţionale.

CLAUZA 6 DESCRIEREA TRANSMITERII TRANSFRONTALIERE (TRANSFERURILOR)

Detaliile transmiterii transfrontaliere (transferurilor) şi, în special, categoriile de date cu caracter personal care sunt transferate şi scopul (scopurile) în care sunt transferate acestea sunt specificate în Anexa nr.1, secţiunea B.

CLAUZA 7 – CLAUZĂ PRIVIND ADERAREA UNOR PĂRŢI NOI [clauză opţională]

1. O entitate care nu este parte la prezentele clauze poate adera, cu acordul părţilor, la prezentele clauze în orice moment în calitate de exportator de date sau de importator de date prin completarea şi prin semnarea Anexei nr.1, secţiunea A.

2. După completarea şi semnarea Anexei nr.1, secţiunea A, entitatea care a aderat devine parte la prezentele clauze şi are drepturile şi obligaţiile unui exportator de date sau ale unui importator de date, în conformitate cu desemnarea sa prevăzută în Anexa nr.1, secţiunea A.

3. Entitatea care a aderat nu are drepturi sau obligaţii ce decurg din prezentele clauze pentru perioada anterioară dobândirii calităţii de parte.

SECŢIUNEA II – OBLIGAŢIILE PĂRŢILOR

CLAUZA 8 GARANŢII PRIVIND PROTECŢIA DATELOR

Exportatorul de date garantează că a depus eforturi rezonabile pentru a se asigura că importatorul de date este în măsură să îndeplinească obligaţiile care îi revin în temeiul prezentelor clauze, prin implementarea măsurilor tehnice şi organizatorice necesare pentru protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate.

Modulul 1: Transfer operator – operator

8.1. Limitarea scopului

1. Importatorul de date şi, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice şi organizatorice adecvate pentru a asigura protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate. La evaluarea nivelului adecvat de securitate, aceştia iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul şi scopul (scopurile) prelucrării, precum şi riscurile la care sunt expuşi subiecţii de date ca urmare a prelucrării. Părţile iau în considerare, în special, recurgerea la criptare sau la anonimizare/pseudonimizare/depersonalizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării.

2. Părţile au convenit asupra măsurilor tehnice şi organizatorice, menite să asigure securitatea datelor cu caracter personal prevăzute în Anexa nr.2. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

3. Importatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie statutară adecvată de confidenţialitate.

4. În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securităţii datelor cu caracter personal, inclusiv măsuri de atenuare a eventualelor sale efecte negative.

5. În cazul unei încălcări a securităţii datelor cu caracter personal care este susceptibilă să genereze un risc pentru drepturile şi libertăţile persoanelor fizice, importatorul de date notifică, fără întârzieri nejustificate, această încălcare exportatorului de date, cât şi autorităţii de supraveghere competente în temeiul clauzei 12. O astfel de notificare conţine:

a) o descriere a caracterului încălcării securităţii datelor (inclusiv, dacă este posibil, categoriile şi numărul aproximativ de subiecţi de date şi de înregistrări de date în cauză);

b) consecinţele probabile ale încălcării securităţii datelor;

c) măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securităţii datelor şi,

d) coordonatele unui punct de contact de unde se pot obţine mai multe informaţii. În măsura în care importatorul de date nu poate să furnizeze toate informaţiile în acelaşi timp, acesta le poate furniza în etape, fără alte întârzieri nejustificate.

6. În cazul unei încălcări a securităţii datelor cu caracter personal care este susceptibilă să genereze un risc ridicat pentru drepturile şi libertăţile persoanelor fizice, importatorul de date notifică, de asemenea, fără întârzieri nejustificate, încălcarea securităţii datelor cu caracter personal şi natura acesteia subiecţilor de date afectaţi de respectiva încălcare, dacă este necesar în cooperare cu exportatorul de date, şi furnizează informaţiile menţionate la pct.5, lit.b) - d), cu excepţia cazului în care importatorul de date a implementat măsuri menite să reducă în mod semnificativ riscul pentru drepturile sau libertăţile persoanelor fizice sau cu excepţia cazului în care notificarea ar implica eforturi disproporţionate. În acest din urmă caz, importatorul de date efectuează, în schimb, o informare publică sau ia o măsură similară de informare a publicului cu privire la încălcarea securităţii datelor cu caracter personal.

7. Importatorul de date păstrează documente referitoare la toate elementele relevante care au legătură cu încălcarea securităţii datelor cu caracter personal, inclusiv documente referitoare la efectele respectivei încălcări şi la orice măsură de remediere întreprinsă, şi ţine o evidenţă a acestora.

[Pct.8.1 în redacţia Ordinului CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.2. Transparenţa

1. Pentru ca subiecţii de date să îşi poată exercită în mod efectiv drepturile prevăzute la clauza 9, importatorul de date îi informează, fie direct, fie prin intermediul exportatorului de date:

a) cu privire la identitatea sa şi datele sale de contact;

b) cu privire la categoriile de date cu caracter personal prelucrate;

c) cu privire la dreptul de a obţine o copie a prezentelor clauze;

d) în cazul în care intenţionează să transfere ulterior datele cu caracter personal către un terţ (terţi), cu privire la destinatar sau categoriile de destinatari (după caz, în vederea furnizării de informaţii relevante), precum şi cu privire la scopul şi la motivul unui astfel de transfer ulterior în temeiul pct.8.7 din Clauza 8.

2. Sbp.1 nu se aplică în cazul în care subiectul de date deţine deja informaţiile, inclusiv atunci când aceste informaţii au fost deja furnizate de exportatorul de date, sau în cazul în care furnizarea acestor informaţii se dovedeşte imposibilă sau ar implica un efort disproporţionat din partea importatorului de date. În acest din urmă caz, importatorul de date pune informaţiile la dispoziţia publicului, în măsura posibilului.

3. La cerere, părţile pun gratuit la dispoziţia subiectului de date o copie a prezentelor clauze, inclusiv a anexei, astfel cum a fost completat de către părţi. În măsura în care acest lucru este necesar pentru a proteja secretele comerciale sau alte informaţii confidenţiale, inclusiv date cu caracter personal, părţile pot să mascheze o parte din textul Anexelor înainte de a transmite o copie, dar trebuie să furnizeze un rezumat relevant dacă, fără un astfel de rezumat, subiectul de date nu ar putea să înţeleagă conţinutul acestuia sau nu şi-ar putea exercita drepturile. La cerere, părţile trebuie să informeze subiectul de date cu privire la motivele mascării textului, pe cât de mult posibil fără a dezvălui informaţiile mascate.

4. Sbct. 1- 3 nu aduc atingere obligaţiilor care îi revin exportatorului de date în temeiul art.12 din Legea nr.133/2011.

8.3. Exactitatea şi reducerea la minimum a datelor

1. Fiecare parte se asigură că datele cu caracter personal sunt exacte şi, dacă este necesar, actualizate. Importatorul de date ia toate măsurile rezonabile pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopul (scopurile) prelucrării, sunt şterse sau rectificate fără întârziere.

2. În cazul în care una dintre părţi constată că datele cu caracter personal pe care le-a transferat sau le-a primit sunt inexacte sau nu mai sunt de actualitate, aceasta informează cealaltă parte fără întârzieri nejustificate.

3. Importatorul de date se asigură că datele cu caracter personal sunt adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopul (scopurile) prelucrării.

8.4. Limitarea stocării

Importatorul de date păstrează datele cu caracter personal doar atât timp cât este necesar în scopul (scopurile) în care sunt prelucrate. Acesta implementează măsuri tehnice sau organizatorice adecvate pentru a asigura respectarea acestei obligaţii, inclusiv ştergerea sau depersonalizarea/anonimizarea datelor şi a tuturor copiilor de rezervă ale acestora la sfârşitul perioadei de păstrare.

8.5. Securitatea prelucrării

2. Părţile au convenit asupra măsurilor tehnice şi organizatorice, menite să asigure securitatea datelor cu caracter personal prevăzute în Anexa nr.2 (în continuare - Anexa nr.2). Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

5. Importatorul de date păstrează documente referitoare la toate elementele relevante care au legătură cu încălcarea securităţii datelor cu caracter personal, inclusiv documente referitoare la efectele respectivei încălcări şi la orice măsură de remediere întreprinsă, şi ţine o evidenţă a acestora.

8.6. Categorii speciale de date cu caracter personal

În cazul în care transferul implică date cu caracter personal care dezvăluie originea rasială sau etnică a persoanei, convingerile ei politice, religioase sau filozofice, apartenenţa socială, date privind starea de sănătate sau viaţa sexuală, precum şi date referitoare la condamnări penale, măsurile procesuale de constrângere sau sancţiunile contravenţionale (denumite în continuare "categorii speciale de date cu caracter personal"), importatorul de date aplică restricţii specifice şi/sau garanţii suplimentare, adaptate naturii specifice a datelor şi riscurilor implicate. Printre acestea se pot număra limitarea accesului la datele cu caracter personal la membri autorizaţi ai personalului, măsuri de securitate suplimentare (cum ar fi depersonalizarea) şi/sau restricţii suplimentare în ceea ce priveşte divulgarea ulterioară.

8.7. Transferuri ulterioare

Importatorul de date nu divulgă datele cu caracter personal unui terţ situat în acelaşi stat ca importatorul de date sau în alt stat, denumit în continuare "transfer ulterior", cu excepţia cazului în care terţul are obligaţii sau este de acord să îşi asume obligaţii în temeiul prezentelor clauze, în cadrul modulului corespunzător. În caz contrar, un transfer ulterior realizat de importatorul de date poate avea loc numai dacă:

a) se efectuează către un stat care se regăseşte în lista statelor care asigură un nivel adecvat de protecţie a datelor, aprobată prin decizie de Centrul Naţional pentru Protecţia Datelor cu Caracter Personal;

b) se efectuează către alte companii ori organizaţii din acelaşi grup cu operatorul de date, cu condiţia respectării regulilor corporatiste obligatorii;

c) terţul încheie cu importatorul de date un act juridic obligatoriu care asigură acelaşi nivel de protecţie a datelor ca cel furnizat în temeiul prezentelor clauze, iar importatorul de date îi transmite exportatorului de date o copie a acestor garanţii;

d) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanţă, indiferent dacă este în contextul unei proceduri judiciare ori în contextul unei proceduri administrative sau extrajudiciare, inclusiv în cadrul procedurilor în faţa autorităţilor de reglementare;

e) aceasta este necesară pentru a proteja viaţa, integritatea fizică sau sănătatea subiectului datelor cu caracter personal; sau

f) atunci când nu se aplică niciuna dintre celelalte condiţii, importatorul de date a obţinut consimţământul explicit al subiectului de date pentru un transfer ulterior într-o situaţie specifică, după ce a informat-o cu privire la scopul (scopurile) acestuia, la identitatea destinatarului şi la posibilele riscuri ale unui astfel de transfer pentru subiectul de date ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecţie şi a unor garanţii adecvate în materie de protecţie a datelor. În acest caz, importatorul de date îl informează pe exportatorul de date şi, la cererea acestuia, îi transmite o copie a informaţiilor furnizate subiectului de date.

Orice transfer ulterior este condiţionat de respectarea de către importatorul de date a tuturor celorlalte garanţii prevăzute în prezentele clauze, în special a limitării scopului.

[Pct.8.7 în redacţia Ordinului CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.8. Desfăşurarea activităţii de prelucrare sub autoritatea importatorului de date

Importatorul de date se asigură că nicio persoană care acţionează sub autoritatea sa, inclusiv o persoană împuternicită de operator, nu prelucrează datele decât în baza instrucţiunilor sale.

8.9. Documentaţie şi conformitate

1. Fiecare parte trebuie să poată demonstra respectarea obligaţiilor care îi revin în temeiul prezentelor clauze. În special, importatorul de date păstrează documentaţia corespunzătoare privind activităţile de prelucrare desfăşurate sub responsabilitatea sa.

2. Importatorul de date pune această documentaţie la dispoziţia Autorităţii de supraveghere a prelucrării datelor cu caracter personal competente (în continuare - Autoritatea de supraveghere competentă), la cerere.

Modulul 2: Transfer operator – persoană împuternicită de operator

8.1. Instrucţiuni

1. Importatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucţiuni documentate (contract sau alt act juridic) din partea exportatorului de date. Exportatorul de date poate da astfel de instrucţiuni pe toată durata contractului.

2. Importatorul de date îl informează imediat pe exportatorul de date dacă nu este în măsură să urmeze aceste instrucţiuni.

8.2. Limitarea scopului

Importatorul de date prelucrează datele cu caracter personal numai în scopul (scopurile) specific(e) al(e) transferului, astfel cum se prevede în Anexa nr.1, secţiunea B, cu excepţia cazului în care primeşte instrucţiuni suplimentare din partea exportatorului de date.

8.3. Transparenţa

La cerere, exportatorul de date pune gratuit la dispoziţia subiectului de date o copie a prezentelor clauze, inclusiv a anexei, astfel cum a fost completat de către părţi. În măsura în care acest lucru este necesar pentru a proteja secretele comerciale sau alte informaţii confidenţiale, inclusiv măsurile prevăzute în Anexa nr.2 şi datele cu caracter personal, exportatorul de date poate să mascheze o parte din textul Anexelor la prezentele clauze înainte de a transmite o copie, dar trebuie să furnizeze un rezumat relevant dacă, fără un astfel de rezumat, subiectul de date nu ar putea să înţeleagă conţinutul sau nu şi-ar putea exercita drepturile. La cerere, părţile trebuie să informeze subiectul de date cu privire la motivele mascării textului, pe cât de mult posibil fără a dezvălui informaţiile mascate. Această clauză nu aduce atingere obligaţiilor care îi revin exportatorului de date în temeiul art.12 din Legea nr.133/2011.

8.4. Exactitate

Dacă importatorul de date constată că datele cu caracter personal pe care le-a primit sunt inexacte sau nu mai sunt de actualitate, acesta îl informează pe exportatorul de date fără întârzieri nejustificate. În acest caz, importatorul de date cooperează cu exportatorul de date pentru a şterge sau a rectifica datele.

8.5. Durata prelucrării şi ştergerea sau returnarea datelor

Prelucrarea de către importatorul de date are loc numai pe durata specificată în Anexa nr.1, secţiunea B. După încheierea prestării serviciilor de prelucrare, importatorul de date, la alegerea exportatorului de date, şterge toate datele cu caracter personal prelucrate în numele exportatorului de date şi îi prezintă exportatorului de date dovada faptului că a întreprins această acţiune sau îi returnează exportatorului de date toate datele cu caracter personal prelucrate în numele acestuia şi şterge copiile existente. Până la ştergerea sau returnarea datelor, importatorul de date trebuie să continue să asigure respectarea acestor clauze. În cazul în care legislaţia naţională aplicabilă importatorului de date interzice returnarea sau ştergerea datelor cu caracter personal, importatorul de date garantează că va continua să asigure conformitatea cu prezentele clauze şi că va prelucra datele numai în măsura în care şi atât timp cât prelucrarea este permisă de respectiva legislaţie naţională. Această dispoziţie nu aduce atingere clauzei 13, în special obligaţiei care îi revine importatorului de date în temeiul clauzei 13, pct.5 de a transmite o notificare exportatorului de date pe întreaga durată a contractului dacă are motive să creadă că este sau a intrat sub incidenţa unei legislaţii sau a unor practici care nu sunt conforme cu dispoziţiile clauzei 13, pct.1.

8.6. Securitatea prelucrării

1. Importatorul de date şi, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice şi organizatorice adecvate pentru a asigura securitatea datelor cu caracter personal, pentru protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate. La respectarea obligaţiilor care îi revin în temeiul prezentului punct, importatorul de date pune în aplicare cel puţin măsurile tehnice şi organizatorice specificate în Anexa nr.2. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

2. Importatorul de date acordă membrilor personalului său acces la datele cu caracter personal numai în măsura în care acest lucru este strict necesar pentru executarea, gestionarea şi monitorizarea contractului. Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie legală adecvată de confidenţialitate.

3. În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securităţii datelor, inclusiv măsuri de atenuare a efectelor sale negative. După ce a luat cunoştinţă de respectiva încălcare a securităţii datelor, importatorul de date transmite, fără întârzieri nejustificate, o notificare exportatorului de date, care trebuie să conţină coordonatele unui punct de contact de unde se pot obţine mai multe informaţii, o descriere a caracterului încălcării securităţii datelor (inclusiv, dacă este posibil, categoriile, numărul de subiecţi de date vizaţi, precum şi numărul aproximativ de înregistrări de date în cauză), consecinţele probabile ale încălcării securităţii datelor şi măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securităţii datelor, inclusiv, după caz, măsuri de atenuare a eventualelor sale efecte negative. Atunci când şi în măsura în care nu este posibil să se furnizeze toate informaţiile în acelaşi timp, notificarea iniţială trebuie să conţină informaţiile disponibile la momentul respectiv, informaţiile suplimentare urmând să fie puse la dispoziţie ulterior, fără întârzieri nejustificate, pe măsură ce devin disponibile.

4. Importatorul de date cooperează cu exportatorul de date şi îi acordă asistenţa necesară pentru ca acesta să îşi respecte obligaţiile care îi revin în temeiul Legii nr.133/2011.

[Pct.8.6 completat prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.7. Categorii speciale de date cu caracter personal

8.8. Transferuri ulterioare

Importatorul de date divulgă datele cu caracter personal unui terţ numai pe baza unor instrucţiuni documentate (contract sau alt act juridic) din partea exportatorului de date. În plus, datele pot fi divulgate unui terţ (situat în acelaşi stat ca importatorul de date sau în alt stat, denumit în continuare "transfer ulterior") doar dacă terţul în cauză are obligaţii sau este de acord să îşi asume obligaţii în temeiul prezentelor clauze, în cadrul modulului corespunzător, sau dacă:

b) se efectuează către alte companii ori organizaţii din acelaşi grup cu operatorul de date, cu condiţia respectării regulilor corporatiste obligatorii;

c) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanţă, indiferent dacă este în contextul unei proceduri judiciare ori în contextul unei proceduri administrative sau extrajudiciare, inclusiv în cadrul procedurilor în faţa autorităţilor de reglementare;

d) aceasta este necesară pentru a proteja viaţa, integritatea fizică sau sănătatea subiectului datelor cu caracter personal.;

Orice transfer ulterior este condiţionat de respectarea de către importatorul de date a tuturor celorlalte garanţii prevăzute în prezentele clauze, în special a limitării scopului.

8.9. Documentaţie şi conformitate

1. Importatorul de date răspunde cu promptitudine şi în mod adecvat cererilor de informaţii din partea exportatorului de date care se referă la prelucrarea efectuată în temeiul prezentelor clauze.

2. Părţile trebuie să poată demonstra respectarea obligaţiilor care le revin în temeiul prezentelor clauze. În special, importatorul de date păstrează documentaţia corespunzătoare privind activităţile de prelucrare efectuate în numele exportatorului de date.

3. Importatorul de date pune la dispoziţia exportatorului de date toate informaţiile necesare pentru a demonstra respectarea obligaţiilor prevăzute în prezentele clauze şi, la cererea exportatorului de date, permite efectuarea de audituri ale activităţilor de prelucrare acoperite de prezentele clauze şi contribuie la aceste audituri, la intervale rezonabile sau dacă există indicii de neconformitate. În luarea unei decizii privind efectuarea unei analize sau a unui audit, exportatorul de date poate ţine seama de certificările relevante deţinute de importatorul de date.

4. Exportatorul de date poate alege să efectueze el însuşi auditul sau să mandateze în acest scop un auditor independent. Auditurile pot include inspecţii la sediile sau la instalaţiile fizice ale importatorului de date şi se efectuează, dacă este cazul, în urma transmiterii unui preaviz rezonabil.

5. La cerere, părţile pun la dispoziţia autorităţii de supraveghere competente informaţiile prevăzute la sbp.2 şi 3, inclusiv rezultatele oricărui audit.

Modulul 3: Transfer persoană împuternicită de operator – operator

8.1. Instrucţiuni

1. Exportatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucţiuni documentate (contract sau alt act juridic) din partea importatorului de date care acţionează în calitate de operator.

2. Exportatorul de date îl informează imediat pe importatorul de date dacă nu este în măsură să urmeze aceste instrucţiuni, inclusiv dacă aceste instrucţiuni încalcă Legea nr.133/2011 sau alte dispoziţii ale legislaţiei naţionale în materie de protecţie a datelor.

3. Importatorul de date nu întreprinde nicio acţiune care l-ar împiedica pe exportatorul de date să îşi îndeplinească obligaţiile care îi revin în temeiul Legii nr.133/2011, inclusiv în ceea ce priveşte cooperarea cu autorităţile de supraveghere competente.

4. După încheierea prestării serviciilor de prelucrare, exportatorul de date, la alegerea importatorului de date, şterge toate datele cu caracter personal prelucrate în numele importatorului de date şi îi prezintă importatorului de date dovada faptului că a întreprins această acţiune sau îi returnează importatorului de date toate datele cu caracter personal prelucrate în numele său şi şterge copiile existente.

8.2. Securitatea prelucrării

1. Părţile implementează măsuri tehnice şi organizatorice adecvate pentru a asigura securitatea datelor cu caracter personal, inclusiv pentru protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce privește riscurile prezentate de prelucrare şi caracterul datelor prelucrate.

2. Exportatorul de date îi acordă asistenţă importatorului de date pentru a asigura securitatea adecvată a datelor în conformitate cu dispoziţiile prevăzute la sbp.1. În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de exportatorul de date în temeiul prezentelor clauze, exportatorul de date notifică această încălcare importatorului de date fără întârzieri nejustificate după ce a luat cunoştinţă de aceasta şi îi acordă asistenţă importatorului de date în remedierea încălcării.

3. Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie legală adecvată de confidenţialitate.

[Pct.8.2 completat prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.3. Documentaţie şi conformitate

1. Părţile trebuie să poată demonstra respectarea obligaţiilor care le revin în temeiul prezentelor clauze.

2. Exportatorul de date pune la dispoziţia importatorului de date toate informaţiile necesare pentru a demonstra respectarea obligaţiilor care îi revin în temeiul prezentelor clauze şi permite efectuarea de audituri şi contribuie la aceste audituri.

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

[Modulul 4 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.1. Instrucţiuni

1. Exportatorul de date a informat importatorul de date că acţionează în calitate de persoană împuternicită de operator în conformitate cu instrucţiunile operatorului (operatorilor) său (săi), pe care exportatorul de date le pune la dispoziţia importatorului de date înainte de prelucrare.

2. Importatorul de date prelucrează datele cu caracter personal numai pe baza unor instrucţiuni documentate din partea operatorului, astfel cum au fost comunicate importatorului de date de către exportatorul de date, precum şi pe baza oricăror instrucţiuni suplimentare documentate din partea exportatorului de date. Aceste instrucţiuni suplimentare nu contravin instrucţiunilor din partea operatorului. Operatorul sau exportatorul de date poate da instrucţiuni documentate suplimentare cu privire la prelucrarea datelor pe întreaga durată a contractului.

3. Importatorul de date informează imediat exportatorul de date dacă nu este în măsură să urmeze aceste instrucţiuni. În cazul în care importatorul de date nu este în măsură să urmeze instrucţiunile operatorului, exportatorul de date notifică imediat acest fapt operatorului.

4. Exportatorul de date garantează că a impus importatorului de date aceleaşi obligaţii în materie de protecţie a datelor ca cele prevăzute în contract sau în alt act juridic în temeiul Legii nr.133/2011 sau altei dispoziţii ale legislaţiei naţionale în materie de protecţie a datelor, încheiat între operator şi exportatorul de date.

[Pct.8.1 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.2. Limitarea scopului

[Pct.8.2 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.3. Transparenţa

La cerere, exportatorul de date pune gratuit la dispoziţia subiectului de date, o copie a clauzelor, astfel cum a fost completat de către părţi. În măsura în care acest lucru este necesar pentru a proteja secretele comerciale sau alte informaţii confidenţiale, inclusiv date cu caracter personal, exportatorul de date poate să mascheze o parte din textul anexelor înainte de a transmite o copie, dar trebuie să furnizeze un rezumat relevant dacă, fără un astfel de rezumat, subiectul de date nu ar putea să înţeleagă conţinutul acestuia sau nu şi-ar putea exercita drepturile. La cerere, părţile trebuie să informeze subiectul de date cu privire la motivele mascării textului, pe cât de mult posibil fără a dezvălui informaţiile mascate.

[Pct.8.3 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.4. Exactitatea

Dacă importatorul de date constată că datele cu caracter personal pe care le-a primit sunt inexacte sau nu mai sunt de actualitate, acesta informează exportatorul de date fără întârzieri nejustificate. În acest caz, importatorul de date cooperează cu exportatorul de date pentru a rectifica sau a şterge datele.

[Pct.8.4 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.5. Durata prelucrării şi ştergerea sau returnarea datelor

Prelucrarea de către importatorul de date are loc numai pe durata specificată în Anexa nr.1, secţiunea B. După încheierea prestării serviciilor de prelucrare, importatorul de date, la alegerea exportatorului de date, şterge toate datele cu caracter personal prelucrate în numele operatorului şi îi prezintă exportatorului de date dovada faptului că a întreprins această acţiune sau îi returnează exportatorului de date toate datele cu caracter personal prelucrate în numele acestuia şi şterge copiile existente. Până la ştergerea sau returnarea datelor, importatorul de date trebuie să continue să asigure respectarea acestor clauze. În cazul în care legislaţia naţională aplicabilă importatorului de date interzice returnarea sau ştergerea datelor cu caracter personal, importatorul de date garantează că va continua să asigure conformitatea cu prezentele clauze şi că va prelucra datele numai în măsura în care şi atât timp cât prelucrarea este permisă de respectiva legislaţie. Această dispoziţie nu aduce atingere clauzei 13, în special obligaţiei care îi revine importatorului de date în temeiul clauzei 13 pct.5 de a transmite o notificare exportatorului de date pe întreaga durată a contractului dacă are motive să creadă că este sau a intrat sub incidenţa unei legislaţii sau a unor practici care nu sunt conforme cu dispoziţiile clauzei 13 pct.1.

[Pct.8.5 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.6. Securitatea prelucrării

1. Importatorul de date şi, de asemenea, în timpul transmiterii, exportatorul de date implementează măsuri tehnice şi organizatorice adecvate necesare pentru protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspândirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate. La evaluarea nivelului adecvat de securitate, aceştia iau în considerare în mod corespunzător stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul şi scopul (scopurile) prelucrării, precum şi riscurile la care sunt expuşi subiecţii de date ca urmare a prelucrării. Părţile iau în considerare, în special, recurgerea la criptare sau la anonimizare/pseudonimizare/depersonalizare, inclusiv în timpul transmiterii, în cazul în care acest lucru nu împiedică îndeplinirea scopului prelucrării. În cazul anonimizării/pseudonimizării/depersonalizării, informaţiile suplimentare care permit atribuirea datelor cu caracter personal unui anumit subiect de date rămân, dacă este posibil, sub controlul exclusiv al exportatorului de date sau al operatorului. La respectarea obligaţiilor care îi revin în temeiul prezentului paragraf, importatorul de date pune în aplicare cel puţin măsurile tehnice şi organizatorice specificate în Anexa nr.2. Importatorul de date efectuează verificări periodice pentru a se asigura că aceste măsuri garantează în continuare un nivel adecvat de securitate.

2. Importatorul de date acordă membrilor personalului său acces la date numai în măsura în care acest lucru este strict necesar pentru executarea, gestionarea şi monitorizarea contractului. Exportatorul de date se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie legală adecvată de confidenţialitate.

3. În cazul unei încălcări a securităţii datelor cu caracter personal în ceea ce priveşte datele cu caracter personal prelucrate de importatorul de date în temeiul prezentelor clauze, importatorul de date ia măsurile corespunzătoare pentru a remedia încălcarea securităţii datelor, inclusiv măsuri de atenuare a efectelor sale negative. De asemenea, după ce a luat cunoştinţă de respectiva încălcare a securităţii datelor, importatorul de date transmite, fără întârzieri nejustificate, o notificare exportatorului de date şi, dacă este oportun şi fezabil, operatorului. Această notificare trebuie să conţină coordonatele unui punct de contact de unde se pot obţine mai multe informaţii, o descriere a caracterului încălcării securităţii datelor (inclusiv, dacă este posibil, categoriile şi numărul aproximativ de subiecţi de date şi de înregistrări de date în cauză), consecinţele probabile ale încălcării securităţii datelor şi măsurile luate sau propuse spre a fi luate pentru a remedia încălcarea securităţii datelor, inclusiv, după caz, măsuri de atenuare a eventualelor sale efecte negative. Atunci când şi în măsura în care nu este posibil să se furnizeze toate informaţiile în acelaşi timp, notificarea iniţială trebuie să conţină informaţiile disponibile la momentul respectiv, informaţiile suplimentare urmând să fie puse la dispoziţie ulterior, fără întârzieri nejustificate, pe măsură ce devin disponibile.

4. Importatorul de date cooperează cu exportatorul de date şi îi acordă asistenţa necesară pentru ca acesta să îşi respecte obligaţiile care îi revin în temeiul Legii privind protecţia datelor cu caracter personal, în special aceea de a transmite o notificare operatorului său, astfel încât acesta din urmă să poată informa la rândul său autoritatea de supraveghere competentă şi subiecţii de date afectaţi, ţinând seama de natura prelucrării şi de informaţiile aflate la dispoziţia importatorului de date.

[Pct.8.6 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.7. Categorii speciale de date cu caracter personal

[Pct.8.7 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.8. Transferuri ulterioare

Importatorul de date divulgă datele cu caracter personal unui terţ numai pe baza unor instrucţiuni documentate (contract sau alt act juridic) din partea operatorului, astfel cum au fost comunicate importatorului de date de către exportatorul de date. În plus, datele pot fi divulgate unui terţ (situat în aceeaşi ţară ca importatorul de date sau în altă ţară terţă, denumit în continuare "transfer ulterior") doar dacă terţul în cauză are obligaţii sau este de acord să îşi asume obligaţii în temeiul prezentelor clauze, în cadrul modulului corespunzător, sau dacă:

b) către alte companii ori organizaţii din acelaşi grup cu operatorul de date, cu condiţia respectării regulilor corporatiste obligatorii;

d) aceasta este necesară pentru a proteja viaţa, integritatea fizică sau sănătatea subiectului datelor cu caracter personal.

Orice transfer ulterior este condiţionat de respectarea de către importatorul de date a tuturor celorlalte garanţii prevăzute în prezentele clauze, în special a limitării scopului.

[Pct.8.8 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

8.9. Documentaţie şi conformitate

1. Importatorul de date răspunde cu promptitudine şi în mod adecvat cererilor de informaţii din partea exportatorului de date sau a operatorului care se referă la prelucrarea efectuată în temeiul prezentelor clauze.

3. Importatorul de date pune la dispoziţia exportatorului de date toate informaţiile necesare pentru a demonstra respectarea obligaţiilor prevăzute în prezentele clauze, iar acesta le furnizează operatorului.

4. Importatorul de date permite efectuarea de către exportatorul de date de audituri ale activităţilor de prelucrare acoperite de prezentele clauze şi contribuie la aceste audituri, la intervale rezonabile sau în cazul în care există indicii de neconformitate. Aceeaşi dispoziţie se aplică în cazul în care exportatorul de date solicită efectuarea unui audit la instrucţiunile operatorului. În luarea unei decizii privind efectuarea unui audit, exportatorul de date poate ţine seama de certificările relevante deţinute de importatorul de date.

5. În cazul în care auditul se efectuează la instrucţiunile operatorului, exportatorul de date pune rezultatele la dispoziţia operatorului.

6. Exportatorul de date poate alege să efectueze el însuşi auditul sau să mandateze în acest scop un auditor independent. Auditurile pot include inspecţii la sediile sau la instalaţiile fizice ale importatorului de date şi se efectuează, dacă este cazul, în urma transmiterii unui preaviz rezonabil.

7. La cerere, părţile pun la dispoziţia autorităţii de supraveghere competente informaţiile prevăzute la literele pct.2 şi 3, inclusiv rezultatele oricărui audit.

[Pct.8.9 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 8¹ RECURGEREA LA SUBCONTRACTANŢI

[Clauza 8¹ introdusă prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

Modulul 2: Transfer operator – persoană împuternicită de operator

OPŢIUNEA 2: AUTORIZAŢIE SCRISĂ GENERALĂ Importatorul de date deţine autorizaţia generală din partea exportatorului de date de a recruta subcontractantul (subcontractanţii) care figurează pe o listă convenită. Importatorul de date îl informează în mod specific în scris pe exportatorul de date cu privire la orice modificări preconizate ale listei prin adăugarea sau înlocuirea subcontractanţilor cu cel puţin [a se specifica perioada] înainte, oferindu-i astfel exportatorului de date suficient timp pentru a putea formula obiecţii referitoare la aceste modificări înainte de recrutarea subcontractantului (subcontractanţilor). Importatorul de date îi furnizează exportatorului de date informaţiile de care acesta are nevoie pentru a-şi exercita dreptul la opoziţie.

2. În cazul în care importatorul de date recrutează un subcontractant pentru desfăşurarea unor activităţi de prelucrare specifice (în numele exportatorului de date), acesta efectuează recrutarea printr-un contract scris care prevede, pe fond, aceleaşi obligaţii în materie de protecţie a datelor ca cele care îi revin importatorului de date în temeiul prezentelor clauze, inclusiv în ceea ce priveşte drepturile terţilor beneficiari pentru subiecţii de date. Părţile convin că, prin respectarea prezentei clauze, importatorul de date îşi îndeplineşte obligaţiile care îi revin în temeiul clauzei 8, pct.8.8. Importatorul de date se asigură că subcontractantul respectă obligaţiile care îi revin importatorului de date în temeiul prezentelor clauze.

3. Importatorul de date furnizează exportatorului de date, la cererea acestuia, o copie a unui astfel de contract de subcontractare şi orice modificări ulterioare ale acestuia. În măsura în care acest lucru este necesar pentru a proteja secretele comerciale sau alte informaţii confidenţiale, inclusiv date cu caracter personal, importatorul de date poate să mascheze textul contractului înainte de a transmite o copie.

4. Importatorul de date rămâne pe deplin responsabil faţă de exportatorul de date pentru îndeplinirea obligaţiilor subcontractantului în temeiul contractului său cu importatorul de date. Importatorul de date notifică exportatorului de date orice neîndeplinire de către subcontractant a obligaţiilor care îi revin în temeiul contractului respectiv.

5. Importatorul de date convine cu subcontractantul asupra unei clauze privind terţul beneficiar, conform căreia – în cazul în care importatorul de date a dispărut fără veste, şi-a încetat existenţa de drept sau a devenit insolvabil – exportatorul de date are dreptul de rezoluţiune a contractului cu subcontractantul şi de a-i da subcontractantului instrucţiuni să şteargă sau să returneze datele cu caracter personal.

[Modulul 2 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

1. OPŢIUNEA 1: AUTORIZAŢIE PREALABILĂ SPECIFICĂ Importatorul de date nu subcontractează niciuna dintre activităţile sale de prelucrare efectuate în numele exportatorului de date în temeiul prezentelor clauze către un subcontractant fără autorizaţia scrisă specifică prealabilă a operatorului. Importatorul de date depune cererea de acordare a autorizaţiei specifice cu cel puţin [a se specifica perioada] înainte de recrutarea subcontractantului în cauză, însoţită de informaţiile de care operatorul are nevoie pentru a lua o decizie privind acordarea autorizaţiei. Acesta îl informează pe exportatorul de date cu privire la o astfel de recrutare. Lista subcontractanţilor care sunt deja autorizaţi de operator este prevăzută în anexa III. Părţile au obligaţia să se asigure că anexa III este actualizată. OPŢIUNEA 2: AUTORIZAŢIE SCRISĂ GENERALĂ Importatorul de date deţine autorizaţia generală din partea operatorului de a recruta subcontractantul (subcontractanţii) care figurează pe o listă convenită. Importatorul de date îl informează în mod specific în scris pe operator cu privire la orice modificări preconizate ale listei prin adăugarea sau înlocuirea subcontractanţilor cu cel puţin [a se specifica perioada] înainte, oferindu-i astfel operatorului suficient timp pentru a putea formula obiecţii referitoare la aceste modificări înainte de recrutarea subcontractantului (subcontractanţilor). Importatorul de date îi furnizează operatorului informaţiile de care acesta are nevoie pentru a-şi exercita dreptul la opoziţie. Importatorul de date îl informează pe exportatorul de date cu privire la recrutarea subcontractantului (subcontractanţilor).

2. În cazul în care importatorul de date recrutează un subcontractant pentru desfăşurarea unor activităţi de prelucrare specifice (în numele operatorului), acesta efectuează recrutarea printr-un contract scris care prevede, pe fond, aceleaşi obligaţii în materie de protecţie a datelor ca cele care îi revin importatorului de date în temeiul prezentelor clauze, inclusiv în ceea ce priveşte drepturile terţilor beneficiari pentru subiecţii de date. Părţile convin că, prin respectarea prezentei clauze, importatorul de date îşi îndeplineşte obligaţiile care îi revin în temeiul clauzei 8.8. Importatorul de date se asigură că subcontractantul respectă obligaţiile care îi revin importatorului de date în temeiul prezentelor clauze.

3. Importatorul de date furnizează, la cererea exportatorului de date sau a operatorului, o copie a acestui contract de subcontractare şi a oricăror modificări ulterioare. În măsura în care acest lucru este necesar pentru a proteja secretul comercial sau alte informaţii confidenţiale, inclusiv date cu caracter personal, importatorul de date poate să mascheze textul contractului înainte de a transmite o copie.

[Modulul 4 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 9 DREPTURILE SUBIECŢILOR DE DATE

Modulul 1: Transfer operator – operator

1. Importatorul de date, dacă este cazul cu asistenţa exportatorului de date, răspunde tuturor cererilor de informaţii şi cererilor de alt tip din partea unui subiect de date care se referă la prelucrarea datelor sale cu caracter personal şi la exercitarea drepturilor sale în temeiul prezentelor clauze, fără întârzieri nejustificate, în termen de maximum o lună de la primirea acestora. Importatorul de date ia măsurile corespunzătoare pentru a facilita formularea acestor cereri de informaţii şi cereri de alt tip de către subiecţii de date, precum şi exercitarea drepturilor subiecţilor de date. Orice informaţii furnizate subiectului de date trebuie să fie prezentate într-o formă inteligibilă şi uşor accesibilă, utilizând un limbaj clar şi simplu.

2. În special, la cererea subiectului de date şi gratuit, importatorul de date:

a) îi confirmă subiectului de date dacă datele cu caracter personal care îl privesc sunt prelucrate şi, într-un astfel de caz, îi furnizează o copie a datelor care îl privesc şi îi aduce la cunoştinţă informaţiile prevăzute în Anexa nr.1; dacă datele cu caracter personal ale subiectului de date au făcut sau vor face obiectul unor transferuri ulterioare, îi comunică subiectului de date informaţii privind destinatarii sau categoriile de destinatari (în măsura adecvată, în vederea furnizării de informaţii relevante) către care au fost sau vor fi transferate ulterior datele cu caracter personal, scopul şi motivele unor astfel de transferuri ulterioare în temeiul Clauzei 8, Modulul 1, pct.8.7 din Modulul 1 al prezentei clauze; şi îi comunică subiectului de date informaţii privind dreptul de a depune o plângere la o autoritate de supraveghere în conformitate cu clauza 10, Modului 1 şi 2, pct.3, litera a);

b) rectifică datele inexacte sau incomplete referitoare la subiectul de date;

c) şterge datele cu caracter personal referitoare la subiectul de date dacă aceste date sunt sau au fost prelucrate cu încălcarea oricăreia dintre prezentele clauze care garantează drepturile terţilor beneficiari sau dacă subiectul de date îşi retrage consimţământul pe care se bazează prelucrarea.

3. În cazul în care importatorul de date prelucrează datele cu caracter personal în scopuri de marketing direct, acesta încetează prelucrarea în astfel de scopuri dacă subiectul de date se opune respectivei prelucrări.

4. Importatorul de date nu ia o decizie bazată exclusiv pe prelucrarea automată a datelor cu caracter personal transferate (denumită în continuare "decizie automatizată"), care ar produce efecte juridice care privesc subiectul de date sau care ar afecta-o în mod similar într-o măsură semnificativă, cu excepţia cazului în care face acest lucru cu consimţământul explicit al subiectului de date sau dacă este autorizat să facă acest lucru în temeiul legislaţiei ţării de destinaţie, cu condiţia ca legislaţia respectivă să prevadă măsuri adecvate de protecţie a drepturilor şi intereselor legitime ale subiectului de date. În acest caz, dacă este necesar în cooperare cu exportatorul de date, importatorul de date:

a) informează subiectul de date cu privire la decizia automatizată avută în vedere şi la consecinţele preconizate, precum şi cu privire la logica implicată, şi

b) pune în aplicare garanţii adecvate, care să îi permită cel puţin subiectului de date să conteste decizia, să îşi exprime punctul de vedere şi să obţină examinarea deciziei de către o persoană fizică.

5. În cazul în care cererile din partea unui subiect de date sunt excesive, în special din cauza caracterului lor repetitiv, importatorul de date poate fie să perceapă o taxă rezonabilă, ţinând seama de costurile administrative aferente soluţionării cererii, fie să refuze să dea curs cererii.

6. Importatorul de date poate refuza cererea unui subiect de date dacă refuzul este permis în temeiul legislaţiei ţării de destinaţie şi este necesar şi proporţional într-o societate democratică pentru a proteja unul dintre obiectivele enumerate la art.15 din Legea nr.133/2011.

7. În cazul în care importatorul de date intenţionează să refuze o cerere a unui subiect de date, acesta trebuie să informeze subiectul de date cu privire la motivele refuzului şi la posibilitatea de a depune o plângere la Autoritatea de supraveghere şi/sau de a ataca în instanţa de judecată acest refuz.

Modulul 2: Transfer operator – persoană împuternicită de operator

1. Importatorul de date notifică prompt exportatorului de date orice cerere primită din partea unui subiect de date. Acesta nu răspunde cererii respective decât după ce a fost autorizat în acest sens de către exportatorul de date.

2. Importatorul de date îi acordă asistenţă exportatorului de date în îndeplinirea obligaţiilor sale de a răspunde cererilor subiecţilor de date privind exercitarea drepturilor lor în temeiul Legii nr.133/2011. În acest sens, părţile stabilesc în Anexa nr.2, măsurile tehnice şi organizatorice adecvate, ţinând seama de natura prelucrării, prin care se acordă asistenţa, precum şi domeniul de aplicare şi amploarea asistenţei necesare.

3. În îndeplinirea obligaţiilor care îi revin în temeiul pct.1 şi 2, importatorul de date respectă instrucţiunile din partea exportatorului de date.

Modulul 3: Transfer persoană împuternicită de operator – operator

Părţile îşi acordă reciproc asistenţă pentru a răspunde cererilor de informaţii şi cererilor de alt tip formulate de subiecţii de date în temeiul legislaţiei naţionale aplicabile importatorului de date sau, în cazul prelucrării datelor de către exportatorul de date în Republica Moldova, în temeiul Legii nr.133/2011.

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

1. Importatorul de date notifică prompt exportatorului de date şi, după caz, operatorului orice cerere primită din partea unui subiect de date, fără să răspundă cererii respective, cu excepţia cazului în care a fost autorizat în acest sens de către operator.

2. Importatorul de date, dacă este necesar în cooperare cu exportatorul de date, acordă asistenţă operatorului în îndeplinirea obligaţiilor care îi revin de a răspunde cererilor subiectului de date care au ca obiect exercitarea drepturilor în temeiul Legii privind protecţia datelor cu caracter personal sau altor acte normative, după caz. În acest sens, părţile stabilesc în anexa II măsurile tehnice şi organizatorice adecvate, ţinând seama de natura prelucrării, prin care se acordă asistenţa, precum şi domeniul de aplicare şi amploarea asistenţei necesare.

3. În îndeplinirea obligaţiilor care îi revin în temeiul pct.1 şi 2, importatorul de date respectă instrucţiunile din partea operatorului, astfel cum sunt comunicate de către exportatorul de date.

[Modulul 4 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 10 CĂI DE ATAC

1. Importatorul de date informează subiecţii de date într-un format transparent şi uşor accesibil, printr-o notificare individuală sau pe site-ul său web, cu privire la punctul de contact autorizat să soluţioneze plângerile. Acesta soluţionează cu promptitudine orice plângeri primite din partea unui subiect de date.

[OPŢIUNE: Importatorul de date este de acord cu faptul că subiecţii de date pot să depună, de asemenea, o plângere la un organism independent de soluţionare a litigiilor, fără să suporte niciun cost. Acesta informează subiecţii de date, în modul prevăzut la pct.1, cu privire la acest mecanism de exercitare a unei căi de atac şi le aduce la cunoştinţă faptul că nu sunt obligate să recurgă la acesta sau să exercite căile de atac într-o anumită ordine.]

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

2. În cazul unui litigiu între subiectul de date şi una dintre părţi în ceea ce priveşte respectarea prezentelor clauze, partea în cauză depune toate eforturile pentru a soluţiona litigiul pe cale amiabilă în timp util. Părţile se informează reciproc cu privire la astfel de litigii şi, după caz, cooperează pentru soluţionarea acestora.

3. În cazul în care subiectul de date cu caracter personal invocă un drept al terţului beneficiar în temeiul clauzei 3, importatorul de date acceptă decizia subiectului de date:

a) de a depune o plângere la autoritatea de supraveghere din Republica Moldova sau la autoritatea de supraveghere competentă în temeiul clauzei 12;

b) de a sesiza instanţele competente în sensul clauzei 17.

4. Părţile acceptă faptul că subiectul de date poate fi reprezentat de un organism, de o organizaţie sau de o asociaţie fără scop lucrativ, ale căror obiective statutare sunt de interes public, care sunt active în domeniul protecţiei drepturilor şi libertăţilor subiecţilor de date cu caracter personal în ceea ce priveşte protecţia datelor cu caracter personal.

5. Importatorul de date respectă decizia emisă de instituţiile prevăzute la pct.3, obligatorie în temeiul dreptului intern aplicabil.

6. Importatorul de date este de acord cu faptul că alegerea făcută de subiectul de date cu caracter personal nu va aduce atingere drepturilor sale materiale şi procedurale de a introduce acţiuni în despăgubire în conformitate cu legislaţia aplicabilă.

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.".

10) Clauza 11, după cuvintele "Modulul 2: Transfer operator – persoană împuternicită de operator", se completează cu următorul conţinut: "Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.

[Modulul 4 introdus prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 11 RĂSPUNDERE

Modulul 1: Transfer operator – operator

Modulul 3: Transfer persoană împuternicită de operator – operator

1. Fiecare parte este răspunzătoare faţă de cealaltă (celelalte) parte (părţi) pentru orice prejudicii pe care le cauzează celeilalte (celorlalte) părţi prin orice încălcare a prezentelor clauze.

2. Fiecare parte este răspunzătoare faţă de subiectul de date, iar subiectul de date are dreptul de a primi despăgubiri pentru orice prejudicii materiale sau morale pe care partea le cauzează subiectului de date prin încălcarea drepturilor terţului beneficiar în temeiul prezentelor clauze. Această dispoziţie nu aduce atingere răspunderii care îi revine exportatorului de date în temeiul art.33 al Legii nr.133/2011.

3. În cazul în care mai multe părţi sunt responsabile pentru un prejudiciu cauzat subiectului de date ca urmare a încălcării prezentelor clauze, toate părţile responsabile răspund în mod solidar, iar subiectul de date are dreptul de a introduce o acţiune în justiţie împotriva oricăreia dintre aceste părţi.

4. Părţile convin că, în cazul în care răspunderea uneia dintre părţi este stabilită în temeiul pct.3, aceasta are dreptul de a solicita, pe cale amiabilă, iar în caz de divergenţe, prin intermediul instanţei de judecată, de la cealaltă (celelalte) parte (părţi) recuperarea acelei părţi din despăgubiri care corespunde părţii (părţilor) sale (lor) de răspundere pentru prejudiciul cauzat.

5. Importatorul de date nu poate să invoce comportamentul unei persoane împuternicite de operator pentru a nu fi tras la răspundere.

Modulul 2: Transfer operator – persoană împuternicită de operator

2. Importatorul de date sau subcontractantul acestuia este răspunzător faţă de subiectul de date, iar subiectul de date are dreptul de a primi despăgubiri pentru orice prejudicii materiale sau morale pe care importatorul de date sau subcontractantul acestuia le cauzează subiectului de date prin încălcarea drepturilor terţului beneficiar în temeiul prezentelor clauze.

3. Fără a aduce atingere dispoziţiilor prevăzute la pct.2 , exportatorul de date este răspunzător faţă de subiectul de date, iar subiectul de date are dreptul de a primi despăgubiri pentru orice prejudicii materiale sau morale pe care exportatorul de date sau importatorul de date sau subcontractantul acestuia, le cauzează subiectului de date prin încălcarea drepturilor terţului beneficiar în temeiul prezentelor clauze.

4. Părţile convin că, în cazul în care răspunderea exportatorului de date este stabilită în temeiul pct.3 pentru prejudiciile cauzate de importatorul de date sau subcontractantul acestuia, acesta are dreptul de a solicita de la importatorul de date sau subcontractantul acestuia recuperarea acelei părţi din despăgubiri care corespunde părţii de răspundere a importatorului de date sau subcontractantului acestuia pentru prejudiciul cauzat.

5. În cazul în care mai multe părţi sunt responsabile pentru un prejudiciu cauzat subiectului de date ca urmare a încălcării prezentelor clauze, toate părţile responsabile sunt răspunzătoare în mod solidar, iar subiectul de date are dreptul de a solicita repararea prejudiciului cauzat pe cale amiabilă, iar în caz de divergenţe, de a introduce o acţiune în justiţie împotriva oricăreia dintre aceste părţi.

6. Părţile convin că, în cazul în care răspunderea uneia dintre părţi este stabilită în temeiul pct.5, aceasta are dreptul de a solicita de la cealaltă (celelalte) parte (părţi) recuperarea acelei părţi din despăgubiri care corespunde părţii (părţilor) sale (lor) de răspundere pentru prejudiciul cauzat.

7. Importatorul de date nu poate să invoce comportamentul unei persoane împuternicite de operator sau subcontractantul acestuia pentru a nu fi tras la răspundere.

[Modulul 2 completat prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 12 SUPRAVEGHERE

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

1. Autoritatea de supraveghere a statului în care se află subiectul de date ale cărui date cu caracter personal sunt transferate în temeiul prezentelor clauze în legătură cu oferirea de bunuri sau servicii sau al căror comportament este monitorizat, astfel cum se prevede în Anexa nr.1, Secţiunea C, acţionează în calitate de autoritate de supraveghere competentă.

2. Importatorul de date este de acord să se supună jurisdicţiei autorităţii de supraveghere competente şi să coopereze cu aceasta în cadrul oricăror proceduri menite să asigure respectarea prezentelor clauze. În special, importatorul de date este de acord să răspundă cererilor de informaţii, să facă obiectul unor audituri şi să se conformeze măsurilor adoptate de autoritatea de supraveghere, inclusiv măsurilor reparatorii şi compensatorii. Acesta furnizează autorităţii de supraveghere o confirmare scrisă a faptului că s-au întreprins acţiunile necesare.

[Clauza 12 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

SECŢIUNEA III – LEGISLAŢIA ŞI OBLIGAŢIILE APLICABILE

ÎN CAZUL ACCESULUI AUTORITĂŢILOR PUBLICE

CLAUZA 13 LEGISLAŢIA ŞI PRACTICILE NAŢIONALE CARE AFECTEAZĂ RESPECTAREA CLAUZELOR

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 3: Transfer persoană împuternicită de operator – operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.

(în cazul în care persoana împuternicită de operator din Republica Moldova combină datele cu caracter personal primite de la operatorul din alt stat cu datele cu caracter personal colectate în Republica Moldova de persoana împuternicită de operator)

1. Părţile garantează că nu au niciun motiv să creadă că legislaţia şi practicile din alt stat aplicabile prelucrării datelor cu caracter personal de către importatorul de date, inclusiv orice cerinţe de divulgare a datelor cu caracter personal sau orice măsuri de autorizare a accesului autorităţilor publice, îl împiedică pe importatorul de date să îşi îndeplinească obligaţiile care îi revin în temeiul prezentelor clauze. Această dispoziţie are la bază premisa că legislaţia şi practicile care respectă esenţa drepturilor şi a libertăţilor fundamentale şi nu depăşesc ceea ce este necesar şi proporţional într-o societate democratică pentru a garanta unul dintre obiectivele enumerate la art.15 din Legea nr.133/2011 nu sunt în contradicţie cu prezentele clauze.

2. Părţile declară că, la acordarea garanţiei prevăzute la pct.1, au ţinut seama în mod corespunzător, în special, de următoarele elemente evaluative:

a) circumstanţele specifice ale transferului, inclusiv de lungimea lanţului de prelucrare, de numărul de actori implicaţi şi de canalele de transmitere utilizate; transferurile ulterioare intenţionate; tipul de destinatar; scopul prelucrării; categoriile şi formatul datelor cu caracter personal transferate; sectorul economic în care are loc transferul; locul în care sunt stocate datele transferate;

b) legislaţia şi practicile statului de destinaţie – inclusiv cele care prevăd obligaţia de a divulga date autorităţilor publice sau autorizarea accesului acestor autorităţi – care sunt relevante având în vedere circumstanţele specifice ale transferului, precum şi limitările şi garanţiile aplicabile;

c) orice garanţii contractuale, tehnice sau organizatorice relevante instituite pentru a completa garanţiile prevăzute în prezentele clauze, inclusiv măsurile aplicate în timpul transmiterii şi prelucrării datelor cu caracter personal în statul de destinaţie.

3. Importatorul de date garantează că, în cadrul evaluării prevăzute la pct.2, a depus toate eforturile pentru a-i furniza exportatorului de date informaţiile relevante şi este de acord să coopereze în continuare cu exportatorul de date pentru a asigura respectarea prezentelor clauze.

4. Părţile convin să consemneze în evidenţe evaluarea prevăzută la pct.2 şi să o pună la dispoziţia autorităţii de supraveghere competente, la cerere.

5. Importatorul de date este de acord să transmită cu promptitudine o notificare exportatorului de date dacă, după ce a acceptat prezentele clauze şi pe durata contractului, are motive să creadă că este sau a intrat sub incidenţa unei legislaţii sau a unor practici care nu sunt conforme cu dispoziţiile prevăzute la pct.1, inclusiv în urma unei modificări a legislaţiei din statul său sau a unei măsuri (cum ar fi o cerere de divulgare) care indică o aplicare în practică a acestei legislaţii care nu este conformă cu dispoziţiile prevăzute la pct.1. [Pentru modulul 4: Exportatorul de date transmite notificarea operatorului.]

6. În urma unei notificări în temeiul pct.5 sau în cazul în care exportatorul de date are alte motive să creadă că importatorul de date nu îşi mai poate îndeplini obligaţiile care îi revin în temeiul prezentelor clauze, exportatorul de date identifică cu promptitudine măsurile adecvate (de exemplu, măsuri tehnice sau organizatorice pentru asigurarea securităţii şi a confidenţialităţii) pe care exportatorul de date şi/sau importatorul de date trebuie să le adopte pentru a remedia situaţia. Exportatorul de date suspendă transferul de date în cazul în care consideră că nu pot fi asigurate garanţii adecvate pentru un astfel de transfer sau în cazul în care primeşte instrucţiuni în acest sens din partea autorităţii de supraveghere competente. În acest caz, exportatorul de date are dreptul de a rezilia contractul în măsura în care acesta are ca obiect prelucrarea datelor cu caracter personal în temeiul prezentelor clauze. În cazul în care contractul implică mai mult de două părţi, exportatorul de date îşi poate exercita dreptul de reziliere numai în ceea ce priveşte partea în cauză, cu excepţia cazului în care părţile au convenit altfel. În cazul în care contractul este reziliat în temeiul prezentei clauze, se aplică clauza 15, pct.4 şi 5.

[Clauza 13 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 14 OBLIGAŢIILE IMPORTATORULUI DE DATE ÎN CAZUL ACCESULUI AUTORITĂŢILOR PUBLICE

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 3: Transfer persoană împuternicită de operator – operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.

14.1 Notificare

1. Importatorul de date transmite cu promptitudine o notificare exportatorului de date şi, în măsura posibilităţii, subiectului de date (dacă este necesar cu ajutorul exportatorului de date) în cazul în care:

a) primeşte din partea unei autorităţi publice, inclusiv din partea autorităţilor judiciare, o cerere obligatorie din punct de vedere juridic în temeiul legislaţiei statului de destinaţie care are ca obiect divulgarea datelor cu caracter personal transferate în temeiul prezentelor clauze; o astfel de notificare include informaţii cu privire la datele cu caracter personal solicitate, la autoritatea solicitantă, la temeiul juridic al cererii şi la răspunsul furnizat; sau

b) ia cunoştinţă de orice acces direct al autorităţilor publice la datele cu caracter personal transferate în temeiul prezentelor clauze în conformitate cu legislaţia statului de destinaţie; o astfel de notificare include toate informaţiile de care dispune importatorul; sau

c) ia cunoştinţă de orice acces accidental sau neautorizat, care a dus la încălcarea securităţii datelor cu caracter personal.

[Pentru modulul 4: Exportatorul de date transmite notificarea operatorului.]

2. În cazul în care importatorului de date i se interzice să transmită o notificare exportatorului de date şi/sau a subiectului de date în temeiul legislaţiei statului de destinaţie, importatorul de date este de acord să depună toate eforturile pentru a obţine o derogare de la această interdicţie, în vederea comunicării a cât mai multor informaţii posibil, în cel mai scurt timp posibil. Importatorul de date este de acord să consemneze în evidenţe toate eforturile depuse pentru a putea face dovada acestora la cererea exportatorului de date.

3. În cazul în care legislaţia statului de destinaţie permite acest lucru, importatorul de date este de acord să furnizeze exportatorului de date, la intervale regulate pe durata contractului, cât mai multe informaţii relevante posibil cu privire la cererile primite (în special, numărul de cereri, tipul de date solicitate, autoritatea solicitantă sau autorităţile solicitante, eventuala contestare a cererilor şi rezultatul contestaţiilor respective etc.). [Pentru modulul 4: Exportatorul de date transmite informaţiile operatorului.]

4. Importatorul de date este de acord să păstreze informaţiile prevăzute la sbp. 1-3, pe durata contractului şi să le pună la dispoziţia autorităţii de supraveghere competente, la cerere.

5. Sbp.1-3 nu aduc atingere obligaţiei care îi revine importatorului de date în temeiul clauzei 13 pct.5 şi al clauzei 15 de a-l informa cu promptitudine pe exportatorul de date dacă nu este în măsură să respecte prezentele clauze.

14.2 Controlul legalităţii şi reducerea la minimum a datelor

1. Importatorul de date este de acord să examineze legalitatea cererii de divulgare, în special dacă aceasta se încadrează în competenţele conferite autorităţii publice solicitante, şi să conteste cererea dacă, după o evaluare atentă, ajunge la concluzia că există motive întemeiate să considere că cererea este ilegală în temeiul legislaţiei statului de destinaţie, al obligaţiilor aplicabile în temeiul dreptului internaţional şi al principiilor curtoaziei internaţionale. Importatorul de date exercită, în aceleaşi condiţii, căile de atac disponibile atunci când contestă o cerere, importatorul de date solicită măsuri provizorii în vederea suspendării efectelor cererii până când autoritatea judiciară competentă se pronunţă asupra fondului cererii. Acesta nu divulgă datele cu caracter personal solicitate decât după ce i se impune să facă acest lucru în temeiul normelor procedurale aplicabile. Aceste cerinţe nu aduc atingere obligaţiilor care îi revin importatorului de date în temeiul clauzei 13 pct.5.

2. Importatorul de date este de acord să consemneze în evidenţe evaluarea sa juridică, precum şi orice acţiune de contestare a cererii de divulgare şi, în măsura în care legislaţia statului de destinaţie permite acest lucru, să le pună la dispoziţia exportatorului de date. De asemenea, acesta le pune la dispoziţia autorităţii de supraveghere competente, la cerere. [Pentru modulul 4: Exportatorul de date pune evaluarea la dispoziţia operatorului.]

3. Importatorul de date este de acord ca, atunci când răspunde unei cereri de divulgare, să furnizeze volumul minim de informaţii permis, pe baza unei interpretări rezonabile a cererii.

[Clauza 14 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

SECŢIUNEA IV – DISPOZIŢII FINALE

CLAUZA 15 NERESPECTAREA CLAUZELOR ŞI REZILIEREA

1. Importatorul de date îl informează cu promptitudine pe exportatorul de date dacă nu este în măsură să respecte prezentele clauze, indiferent de motiv.

2. În cazul în care importatorul de date încalcă prezentele clauze sau nu este în măsură să respecte prezentele clauze, exportatorul de date suspendă transferul de date cu caracter personal către importatorul de date până la restabilirea conformităţii sau până la încetarea contractului. Această dispoziţie nu aduce atingere clauzei 13, pct.6.

3. Exportatorul de date are dreptul de a rezilia contractul, în măsura în care acesta are ca obiect prelucrarea datelor cu caracter personal în temeiul prezentelor clauze, în cazul în care:

a) exportatorul de date a suspendat transferul de date cu caracter personal către importatorul de date în temeiul pct.2 şi respectarea prezentelor clauze nu este restabilită într-un termen rezonabil şi, în orice caz, în termen de o lună de la suspendare;

b) importatorul de date a încălcat în mod substanţial sau repetat prezentele clauze; sau

c) importatorul de date nu respectă o decizie cu caracter obligatoriu pronunţată de o instanţă competentă sau emisă de o autoritate de supraveghere competentă în legătură cu obligaţiile care îi revin în temeiul prezentelor clauze.

În aceste cazuri, acesta informează autoritatea de supraveghere competentă cu privire la nerespectarea deciziei. În cazul în care contractul implică mai mult de două părţi, exportatorul de date îşi poate exercita dreptul de reziliere numai în ceea ce priveşte partea în cauză, cu excepţia cazului în care părţile au convenit altfel.

4. [Pentru modulele 1,2 şi 4: Datele cu caracter personal care au fost transferate înainte de rezilierea contractului în temeiul pct.3 al prezentei clauze, sunt returnate imediat exportatorului de date sau sunt şterse în întregime, la alegerea exportatorului de date. Aceeaşi dispoziţie se aplică în cazul oricăror copii ale datelor.] [Pentru modulul 3: Datele cu caracter personal colectate de exportatorul de date din Republica Moldova care au fost transferate înainte de rezilierea contractului în temeiul pct.3 sunt şterse imediat în întregime, inclusiv orice copie a acestora.] Importatorul de date îi prezintă exportatorului de date dovada ştergerii datelor. Până la ştergerea sau returnarea datelor, importatorul de date trebuie să continue să asigure respectarea acestor clauze. În cazul în care legislaţia naţională aplicabilă importatorului de date interzice returnarea sau ştergerea datelor cu caracter personal transferate, importatorul de date garantează că va continua să asigure conformitatea cu prezentele clauze şi că va prelucra datele numai în măsura în care şi atât timp cât prelucrarea este permisă de respectiva legislaţie naţională.

5. Oricare dintre părţi îşi poate revoca acordul de a-şi asuma obligaţii în temeiul prezentelor clauze în cazul în care Centrul Naţional pentru Protecţia Datelor cu Caracter Personal adoptă o decizie în temeiul art.32 alin.(3) din Legea nr.133/2011, care se referă la transmiterea transfrontalieră a datelor cu caracter personal cărora li se aplică prezentele clauze. Această dispoziţie nu aduce atingere altor obligaţii care se aplică prelucrării în cauză în temeiul Legii nr.133/2011.

[Clauza 15 modificată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 16 LEGISLAŢIA APLICABILĂ

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 3: Transfer persoană împuternicită de operator – operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

Prezentele clauze contractuale sunt reglementate de legislaţia Republicii Moldova.

[Clauza 16 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

CLAUZA 17 ALEGEREA FORULUI ŞI A JURISDICŢIEI

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 3: Transfer persoană împuternicită de operator – operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

1. Orice litigiu care decurge din prezentele clauze trebuie soluţionat de instanţele din Republica Moldova.

2. Un subiect de date poate să depună o acţiune în justiţie împotriva exportatorului de date şi/sau a importatorului de date în Republica Moldova.

3. Părţile convin să se supună jurisdicţiei acestor instanţe.

[Clauza 17 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

Anexa nr.1

INFORMAŢII

PRIVIND TRANSMITEREA TRANSFRONTALIERĂ

A DATELOR CU CARACTER PERSONAL

Secţiunea A.

LISTA PĂRŢILOR

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 3: Transfer persoană împuternicită de operator – operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

Exportatorul (exportatorii) de date: [Identitatea şi datele de contact ale exportatorului (exportatorilor) de date şi, după caz, ale responsabilului acestuia (acestora) cu protecţia datelor şi/sau ale reprezentantului acestuia (acestora) în Republica Moldova]

1. Nume: ________________________________________________________________________

Adresă: _________________________________________________________________________

Numele, funcţia şi datele de contact ale persoanei de contact: ______________________________

Activităţi relevante pentru datele transferate în temeiul prezentelor clauze: _____________________

Semnătura şi data: ________________________________________________________________

Rol (operator/persoană împuternicită de operator): _______________________________________

2. ______________________________________________________________________________

(se completează în cazul în care sunt mai mulţi exportatori)

Importatorul (importatorii) de date: [Identitatea şi datele de contact ale importatorului (importatorilor) de date, inclusiv orice persoană de contact responsabilă cu protecţia datelor]

1. Nume: ________________________________________________________________________

Adresă: _________________________________________________________________________

Numele, funcţia şi datele de contact ale persoanei de contact: ______________________________

Activităţi relevante pentru datele transferate în temeiul prezentelor clauze: _____________________

Semnătura şi data: ________________________________________________________________

Rol (operator/persoană împuternicită de operator): _______________________________________

2. ______________________________________________________________________________

(se completează în cazul în care sunt mai mulţi importatori)

Secţiunea B.

DESCRIEREA TRANSFERULUI

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 3: Transfer persoană împuternicită de operator – operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

Categoriile de subiecţi de date ale căror date cu caracter personal sunt transferate

__________________________________________________________________________________

Categoriile de date cu caracter personal transferate

__________________________________________________________________________________

Categoriile speciale de date cu caracter personal transferate (dacă este cazul) şi restricţiile sau garanţiile aplicate care ţin pe deplin seama de caracterul datelor şi de riscurile implicate, cum ar fi, de exemplu, limitarea strictă a scopului, restricţii legate de acces (inclusiv permiterea accesului doar pentru membrii personalului care au urmat o formare specializată), ţinerea unei evidenţe a accesului la date, restricţii aplicabile transferurilor ulterioare sau măsuri de securitate suplimentare.

_________________________________________________________________________________

Frecvenţa transferului (de exemplu, dacă datele sunt transferate o singură dată sau în mod continuu)

__________________________________________________________________________________

Natura prelucrării

__________________________________________________________________________________

Scopul (scopurile) transferului de date şi al (ale) prelucrării ulterioare

__________________________________________________________________________________

Perioada de păstrare a datelor cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a se stabili această perioadă

__________________________________________________________________________________

Pentru transferurile către persoane împuternicite de operatori, a se preciza, de asemenea, obiectul, natura şi durata prelucrării

__________________________________________________________________________________

Secţiunea C.

AUTORITATEA DE SUPRAVEGHERE COMPETENTĂ

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

A se identifica autoritatea (autorităţile) de supraveghere competentă (competente) în conformitate cu clauza 12 din Contractul standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecţie a datelor cu caracter personal.

[Anexa nr.1 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

Anexa nr.2

MĂSURI TEHNICE ŞI ORGANIZATORICE MENITE SĂ ASIGURE

SECURITATEA DATELOR CU CARACTER PERSONAL

Modulul 1: Transfer operator – operator

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator.

Descrierea măsurilor tehnice şi organizatorice puse în aplicare de importatorul (importatorii) de date (inclusiv toate certificările relevante) pentru a asigura un nivel de securitate adecvat a datelor cu caracter personal¹

___________________

¹ Măsurile tehnice şi organizatorice trebuie să fie descrise în mod concret (nu generic).

[Exemple de măsuri posibile:

• măsuri de depersonalizare şi criptare a datelor cu caracter personal;

• măsuri de asigurare a confidenţialităţii, a integrităţii, a disponibilităţii şi a rezilienţei continue ale sistemelor şi serviciilor de prelucrare;

• măsuri de asigurare a capacităţii de a restabili disponibilitatea datelor cu caracter personal şi accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică;

• procese de testare, evaluare şi apreciere cu regularitate a eficacităţii măsurilor tehnice şi organizatorice pentru a se asigura securitatea prelucrării;

• măsuri de identificare şi autorizare a utilizatorilor;

• măsuri de asigurare a protecţiei datelor cu caracter personal pe durata transmiterii;

• măsuri de asigurare a protecţiei datelor cu caracter personal pe durata stocării;

• măsuri de asigurare a securităţii fizice a locurilor în care sunt prelucrate date cu caracter personal; măsuri de asigurare a înregistrării evenimentelor;

• măsuri de asigurare a configurării sistemului, inclusiv a configurării implicite;

• măsuri privind guvernanţa şi gestionarea sistemelor informatice interne şi a securităţii informatice; măsuri de certificare/asigurare a proceselor şi a produselor;

• măsuri de asigurare a reducerii la minimum a datelor;

• măsuri de asigurare a calităţii datelor;

• măsuri de asigurare a păstrării limitate a datelor; măsuri de asigurare a asumării responsabilităţii.

În cazul transferurilor către persoane împuternicite de operator (subcontractanţi), a se descrie şi măsurile tehnice şi organizaţionale specifice pe care trebuie să le ia persoana împuternicită de operator (subcontractantul) pentru a putea să îi acorde asistenţă operatorului şi, în cazul transferurilor de la o persoană împuternicită de operator la un subcontractant, pentru a putea să îi acorde asistenţă exportatorului de date.

[Anexa nr.2 completată prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]

Anexa nr.3

LISTA SUBCONTRACTANŢILOR

Modulul 2: Transfer operator – persoană împuternicită de operator

Modulul 4: Transfer persoană împuternicită de operator – persoană împuternicită de operator

Prezenta anexă trebuie să fie completată pentru modulele 2 şi 4, în cazul autorizării specifice a subcontractanţilor [clauza 8¹ pct.1), opţiunea 1].

Operatorul a autorizat recurgerea la următorii subcontractanţi:

1. Nume: ________________________________________________________________________

Adresă: _________________________________________________________________________

Numele, funcţia şi datele de contact ale persoanei de contact: ______________________________

Descrierea prelucrării (inclusiv o delimitare clară a responsabilităţilor în cazul în care sunt autorizaţi mai mulţi subcontractanţi):

2. ______________________________________________________________________.

[Anexa nr.3 introdusă prin Ordinul CNPDCP nr.33 din 09.09.2024, în vigoare 13.09.2024]