Национальный центр по защите персональных данных \rПриказ N 33 от 22.04.2022 об утверждении стандартного договора о трансграничной передаче персональных данных в государства, не обеспечивающие адекватный уровень защиты персональных данных

НАЦИОНАЛЬНЫЙ ЦЕНТР ПО ЗАЩИТЕ

ПЕРСОНАЛЬНЫХ ДАННЫХ

ПРИКАЗ

об утверждении Стандартного договора о трансграничной передаче

персональных данных в государства, не обеспечивающие

адекватный уровень защиты персональных данных

№ 33  от  22.04.2022

 (в силу 20.05.2022) 

Мониторул Офичиал ал Р. Молдова № 151-157 ст. 584 от 20.05.2022

* * *

Утратил силу: 23.08.2026

Другие акты N 31 от 31.07.2026

ЗАРЕГИСТРИРОВАН:

Министерство юстиции

№ 1716 от 11 мая 2022 г.

Министр _______ Серджиу ЛИТВИНЕНКО

В соответствии с п.i) ч.(5) ст.32 Закона № 133/2011 о защите персональных данных Официальный монитор Республики Молдова, 2011 г., № 170-175, ст.492), с последующими изменениями,

ПРИКАЗЫВАЮ:

1. Утвердить Стандартный договор о трансграничной передаче персональных данных в государства, не обеспечивающие адекватный уровень защиты персональных данных (далее – Стандартный договор) (прилагается).

2. Национальный центр по защите персональных данных (НЦЗПД) после контроля за соответствием обработки персональных данных может своим решением распорядиться приостановить или прекратить трансграничную передачу персональных данных участвующими сторонами, чтобы защитить фундаментальные права и свободы физических лиц в связи с обработкой их персональных данных, если:

a) национальное законодательство контролера или обработчика, чья деятельность по обработке данных осуществляется в государстве, не обеспечивающем адекватный уровень защиты персональных данных, обязывает его не соблюдать Стандартный договор, и этот факт, не связан с национальной обороной, национальной безопасностью, общественным порядком, предотвращением расследования и противодействием преступлений, важными экономическими или финансовыми интересами государства, деятельностью, осуществляемой при исполнении полномочий государственных органов, связанных с вышеуказанными областями, защитой персональных данных субъекта или основных прав и свобод других лиц;

b) компетентный надзорный орган по обработке персональных данных установил, что контролер или обработчик, чья деятельность по обработке данных осуществляется в государстве, которое не обеспечивает адекватный уровень защиты персональных данных, не соблюдает Стандартный договор и трансграничная передача персональных данных создает риск ущемления прав субъекта данных.

3. Возобновление трансграничной передачи персональных данных участвующими лицами может иметь место после прекращения действия причин, определивших применение мер, предусмотренных пунктом 2, с предварительным уведомлением НЦЗПД.

4. Положения настоящего приказа не влияют на применение других правовых норм, касающихся защиты персональных данных.

5. Настоящий приказ вступает в силу со дня опубликования в Официальном мониторе Республики Молдова.

Утвержден

Приказом директора Национального центра

по защите персональных данных

№ 33 от 22 апреля 2022 г.

СТАНДАРТНЫЙ ДОГОВОР

о трансграничной передаче персональных данных в государства,

не обеспечивающие адекватный уровень защиты персональных данных

(Стандартные договорные условия)

РАЗДЕЛ I

УСЛОВИЕ 1 ОБЛАСТЬ ПРИМЕНЕНИЯ

1. Целью настоящих стандартных договорных условий является обеспечение соблюдения требований Закона № 133/2011 о защите персональных данных (далее – Закон № 133/2011) в случае трансграничной передачи персональных данных.

2. Стороны:

a) физическое или юридическое лицо (лица) публичного или частного права, включая орган (органы) публичной власти, любое иное учреждение (учреждения) или организацию (организации) [(именуемые далее, как "субъект (субъекты)"] которые осуществляют трансграничную передачу персональных данных, как указано в приложении № 1 к Информации о трансграничной передаче персональных данных (далее приложение № 1), глава A (далее именуемый "экспортер данных"); и

b) субъект(субъекты) из государства, не обеспечивающего адекватный уровень защиты персональных данных [далее именуемое "другое государство"), который получает (получают) персональные данные от экспортера данных, прямо или косвенно, посредством другого субъекта, который также является стороной настоящих условий, как указано в приложении № 1, глава A (далее именуемый "импортер данных")

согласовали настоящие стандартные договорные условия.

3. Настоящие условия применяются к трансграничной передаче персональных данных, как указано в приложении № 1, глава B.

4. Указанные приложения являются неотъемлемой частью настоящего договора и необходимо провести четкое различие между информацией, применимой к каждой передаче или каждой категории передач, и в этой связи установить роль (роли) сторон в качестве экспортера (экспортеров) данных и/или импортера (импортеров) данных.

5. В этой связи не обязательно заполнять и подписывать отдельные приложения для каждой передачи/категории передач и/или договорных отношений в ситуации, когда возможно, чтобы обязательство прозрачности соблюдалось, если единожды было указано в документе. Однако в тех случаях, когда это необходимо для обеспечения достаточной ясности, следует использовать отдельные приложения.

УСЛОВИЕ 2 ПОСЛЕДСТВИЯ И НЕИЗМЕННЫЙ ХАРАКТЕР УСЛОВИЙ

1. Настоящие условия устанавливают адекватные гарантии, включая права противопоставимости субъектов данных и эффективные порядки обжалования, в соответствии с п.i) ч.(5) ст.32 Закона № 133/2011 и в части трансграничной передачи данных от контролеров к контролерам, от контролеров к обработчикам и/или от обработчиков к контролерам при условии, что они не модифицируются, за исключением выбора соответствующего (соответствующих) модуля (модулей) или добавления информации или обновления информации, изложенной в приложениях. Это не препятствует включению сторонами стандартных договорных условий, изложенных в настоящих условиях, в более широкий договор и/или добавлению других дополнительных положений или гарантий, если они прямо или косвенно не противоречат или не наносят ущерба настоящим условиям или основным правам и свободам субъектов данных.

2. Настоящие условия заключаются сторонами в письменной форме, представленной на бумажном носителе или в виде электронного документа, подписанного усиленной квалифицированной электронной подписью.

3. Настоящие условия не наносят ущерба обязательствам экспортера данных, предусмотренным Законом № 133/2011.

4. Настоящий договор будет заключен на ___________ языке(ах) (указывается сторонами).

УСЛОВИЕ 3 ТРЕТЬИ ЛИЦА-БЕНЕФИЦИАРЫ

1. Субъекты данных могут ссылаться на настоящие условия и добиваться их соблюдения в качестве сторонних бенефициаров в отношении экспортера данных и/или импортера данных со следующими исключениями:

а) условие 1, условие 2, условие 3, условие 6, условие 7;

b) условие 8 – модуль 1: пункт 8.5, подпункт 7 и пункт 8.9, подпункт 2; модуль 2: пункт 8.1, подпункт 2, пункт 8.9, подпункт 1, 3, 4 и 5; модуль 3, пункт 8.1, подпункт 2 и пункт 8.3, подпункт 2; модуль 4 пункт 8.1, подпункт 1, 3 и 4 и пункт 8.9, подпункт 1, 3, 4, 5, 6 и 7;

c) условие 8¹ – модуль 2: подпункт 1, 3, 4 и 5; модуль 4: подпункт 1, 3, 4, 5;

d) условие 11 – модуль 1: пункты 1 и 4; модуль 2 и 4: пункты 1, 4 и 6;

e) условие 12;

f) условие 14.1, пункт 14.1, подпункты 3, 4, 5;

g) условие 15, пункт 5;

h) условие 17 – модули 1, 2 и 4: пункты 1 и 2; модуль 3.

[Пкт.1 в редакции Приказа Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

2. Пункт 1 не ущемляет права субъектов данных в соответствии с Законом № 133/2011.

УСЛОВИЕ 4 ТОЛКОВАНИЕ

1. В случае, когда в настоящих условиях используются термины, определенные в Законе № 133/2011, эти термины имеют то же значение, что и в законе.

2. Настоящие условия следует читать и толковать в свете положений Закона № 133/2011.

3. Настоящие условия не должны толковаться таким образом, который противоречит правам и обязанностям, предусмотренным в Законе № 133/2011.

УСЛОВИЕ 5 ИЕРАРХИЯ

1. В случае противоречия между настоящими условиями и положениями смежных соглашений между сторонами, которые существуют на момент согласования или последующего заключения настоящих условий, настоящие условия имеют преимущественную силу.

2. В случае несоответствия между настоящими договорными условиями и договорами об основных правах человека, сторонами которых являются Республика Молдова и страна назначения, приоритет имеют международные нормы.

УСЛОВИЕ 6 ОПИСАНИЕ ТРАНСГРАНИЧНОЙ ПЕРЕДАЧИ (ПЕРЕДАЧ)

Подробная информация о трансграничной передаче (передачах) и, в частности, категории персональных данных, которые передаются, и цель (цели), для которых они передаются, указаны в приложении № 1, глава В.

УСЛОВИЕ 7 – ПУНКТ О ПРИСОЕДИНЕНИИ НОВЫХ СТОРОН [факультативное условие]

1. Субъект, не являющийся стороной настоящих условий, может по соглашению сторон присоединиться к настоящим условиям в любое время в качестве экспортера или импортера данных, заполнив и подписав приложение № 1, глава А.

2. После заполнения и подписания приложения № 1, глава A, присоединившийся субъект становится стороной настоящих условий и имеет права и обязанности экспортера или импортера данных в соответствии со своим обозначением, указанным в приложении № 1, глава А.

3. Присоединившийся субъект не имеет прав или обязанностей, вытекающих из настоящих условий, за период до приобретения статуса стороны.

РАЗДЕЛ II

 ОБЯЗАННОСТИ СТОРОН

УСЛОВИЕ 8 ГАРАНТИИ ЗАЩИТЫ ДАННЫХ

Экспортер данных должен гарантировать, что он предпринял разумные усилия для обеспечения того, что импортер данных способен выполнять свои обязательства в соответствии с настоящими условиями путем принятия соответствующих технических и организационных мер для защиты персональных данных от уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в целях обеспечения надлежащего уровня безопасности в отношении рисков, представленных обработкой и природой обрабатываемых данных.

Модуль 1: Передача контролер – контролер

8.1. Ограничение цели

Импортер данных обрабатывает персональные данные только для конкретной цели (целей) передачи, как указано в приложении № 1, глава B. Он может обрабатывать персональные данные для любой другой цели только:

a) если он получил предварительное согласие субъекта данных;

b) если это необходимо для определения, осуществления или защиты права в суде в связи с конкретными административной, нормативной или судебной процедурами; или

c) если это необходимо для защиты жизненно важных интересов субъекта данных или другого физического лица.

8.2. Прозрачность

1. Чтобы субъекты данных могли эффективно осуществлять свои права в соответствии с условием 9, импортер данных должен информировать их либо напрямую, либо посредством экспортера данных:

а) о его личности и контактных данных;

b) о категориях обрабатываемых персональных данных;

c) о праве на получение копии настоящих условий;

d) в случае, когда намеревается впоследствии передать персональные данные третьему лицу (лицам), в отношении получателя или категорий получателей (где применимо, для предоставления соответствующей информации), а также в отношении цели и основания такой последующей передачи в соответствии с пунктом 8.7 условия 8.

2. Подпункт 1 не применяется, если субъект данных уже владеет информацией, в том числе, когда такая информация уже была предоставлена экспортером данных или когда предоставление такой информации оказывается невозможным или потребовало бы несоразмерных усилий со стороны импортера данных. В последнем случае импортер данных должен сделать информацию доступной для общественности, насколько это возможно.

3. По запросу стороны бесплатно предоставляют субъекту данных копию настоящих условий, включая приложение, в том виде, в каком они были заполнены сторонами. В той мере, в какой это необходимо для защиты коммерческой тайны или другой конфиденциальной информации, включая персональные данные, стороны могут маскировать часть текста приложений до представления копии, но должны предоставить соответствующее резюме, если без такого резюме субъект данных не сможет понять его содержание или не сможет воспользоваться своими правами. По запросу стороны информируют субъекта данных о причинах маскировки текста, насколько это возможно, не раскрывая замаскированной информации.

4. Подпункты 1-3 не затрагивают обязательств экспортера данных, предусмотренных ст.12 Закона № 133/2011.

8.3. Точность и минимизация данных

1. Каждая сторона обеспечивает точность персональных данных и, при необходимости, их актуальность. Импортер данных должен принять все разумные меры для обеспечения того, чтобы персональные данные, которые являются неточными с учетом цели (целей) обработки, были удалены или исправлены без промедления.

2. Если одна из сторон обнаружит, что переданные или полученные ею персональные данные являются неточными или устаревшими, она незамедлительно информирует об этом другую сторону.

3. Импортер данных должен обеспечить, чтобы персональные данные были адекватными, актуальными и ограничивались теми, что необходимы в связи с целью (целями) обработки.

8.4. Ограничение хранения

Импортер данных хранит персональные данные только до тех пор, пока это необходимо для цели (целей), для которой они обрабатываются. Он должен принять соответствующие технические или организационные меры для обеспечения соблюдения этого обязательства, включая удаление или обезличивание/анонимизацию данных и всех их резервных копий по истечении срока хранения.

8.5. Безопасность обработки

1. Импортер данных, а также, во время передачи – экспортер данных, должны применять соответствующие технические и организационные меры для защиты персональных данных от уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в целях обеспечения надлежащего уровня безопасности в отношении рисков, представленных обработкой и природой обрабатываемых данных. При оценке адекватности уровня безопасности, должным образом должен быть учтен актуальный уровень технологий, затраты на реализацию, характер, область применения и цель(и) обработки, а также риски, которым подвергаются субъекты данных в результате обработки. В частности, стороны рассматривают возможность использования шифрования или анонимизации/ псевдонимизации/ деперсонализации данных, в том числе во время их передачи, если это не препятствует достижению цели обработки.

2. Стороны согласовали технические и организационные меры, предназначенные для обеспечения безопасности персональных данных, указанных в приложении № 2. Импортер данных должен проводить регулярные проверки, чтобы гарантировать, что эти меры продолжают обеспечивать адекватный уровень безопасности.

3. Импортер данных должен обеспечить, чтобы лица, уполномоченные обрабатывать персональные данные, взяли на себя обязательство соблюдать конфиденциальность или имеют адекватные уставные обязательства конфиденциальности.

4. В случае нарушения безопасности персональных данных в отношении персональных данных, обрабатываемых импортером данных в соответствии с настоящими условиями, импортер данных должен принять соответствующие меры для устранения нарушения безопасности персональных данных, включая меры по смягчению возможных его негативных последствий.

5. В случае нарушения персональных данных, которое может привести к риску для прав и свобод физических лиц, импортер данных должен, без неоправданной задержки, уведомить о таком нарушении экспортера данных и компетентный надзорный орган, в соответствии с условием 12. Такое уведомление должно содержать:

(a) описание характера нарушения данных (включая, если возможно, категории и приблизительное количество субъектов данных и соответствующих записей данных в данном случае);

(b) вероятные последствия нарушения безопасности данных;

(c) принятые или предлагаемые к принятию меры для устранения нарушения данных, а также

(d) контактные данные, где можно получить дополнительную информацию. Если импортер данных не может предоставить всю информацию одновременно, он может предоставлять поэтапно, без неоправданной задержки.

6. В случае нарушения безопасности персональных данных, которое может привести к высокому риску для прав и свобод физических лиц, импортер данных должен также, без неоправданной задержки, уведомить субъектов данных, затронутых нарушением персональных данных, о нарушении персональных данных и характере нарушения безопасности персональных данных, при необходимости в сотрудничестве с экспортером данных, и предоставить информацию, указанную в пункте 5 пар. (b)-(d), за исключением того, что импортер данных принял меры, направленные на существенное снижение риска для прав или свобод физических лиц, или же за исключением случая, где уведомление не потребует неравноценных усилий. В последнем же случае импортер данных должен, в ответ на ситуацию, сделать публичное заявление или принять схожие меры для информирования общественности о нарушении безопасности персональных данных.

7. Импортер данных должен хранить все документы, которые относятся к нарушению безопасности персональных данных, включая документы о последствиях нарушений безопасности персональных данных и любых предпринятых мер по исправлению ситуации, и вести их учет.

[Пкт.8.5 в редакции Приказа Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.6. Особые категории персональных данных

Если передача включает в себя персональные данные, касающиеся раскрытия расового или этнического происхождения, политических взглядов, религиозных верований либо философских убеждений или членства в профсоюзах, а также обработки генетической информации, биометрических данных для уникальной идентификации физического лица, информации о состоянии здоровья либо данных о сексуальной жизни или сексуальной ориентации, судимостях физического лица и совершенных им правонарушениях (далее именуемые "особые категории персональных данных"), импортер данных применяет конкретные ограничения и/или дополнительные гарантии, адаптированные к конкретному характеру данных и связанным с ними рискам. Они могут включать ограничение доступа к персональным данным уполномоченных сотрудников, дополнительные меры безопасности (такие как обезличивание) и/или дополнительные ограничения на последующее раскрытие.

8.7. Последующие переводы

Импортер данных не раскрывает персональные данные третьему лицу, находящемуся в том же государстве, что и импортер данных, или в другом государстве, именуемом в дальнейшем "последующая передача", за исключением случаев, когда третье лицо имеет обязательства или соглашается принять на себя обязательства в соответствии с настоящими условиями, в соответствующем модуле. В противном случае последующая передача импортером данных может иметь место только в том случае, если:

a) осуществляется в государство, которое включено в список государств, которые обеспечивают адекватный уровень защиты данных, утвержденный решением Национального центра по защите персональных данных Республики Молдова;

b) осуществляется другим компаниям или организациям внутри общей с контролером группы при условии обязательного соблюдения корпоративных правил;

c) третье лицо заключает с импортером данных обязательное юридическое соглашение, обеспечивающее тот же уровень защиты данных, что и в соответствии с настоящими положениями, а импортер данных предоставляет экспортеру данных копию таких гарантий;

d) передача необходима для установления, осуществления или защиты права в суде как в рамках судебного разбирательства, так и в рамках административной либо внесудебной процедуры, включая разбирательство в регулирующих органах;

e) это необходимо для сохранения жизни, физической целостности или здоровья субъекта персональных данных; или

f) если ни одно из других условий не применимо, импортер данных получил открытое согласие субъекта данных на передачу данных в определенной ситуации, после информирования субъекта данных о цели (целях) передачи, личности получателя и возможных рисках такой передачи для субъекта данных из-за отсутствия решения о достаточном уровне безопасности и адекватных гарантиях защиты данных. В данном случае, импортер данных должен проинформировать экспортера данных и, по запросу экспортера данных, предоставить копию информации, предоставленной субъекту данных.

Любая последующая передача зависит от соблюдения импортером данных всех других гарантий, предусмотренных в настоящих условиях, в частности ограничения цели.

[Пкт.8.7 в редакции Приказа Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.8. Осуществление деятельности по обработке под руководством импортера данных

Импортер данных должен обеспечить, чтобы ни одно лицо, действующее под его руководством, включая обработчика, не обрабатывало данные, кроме как на основании его инструкций.

8.9. Документация и соответствие

1. Каждая сторона должна быть в состоянии продемонстрировать соблюдение своих обязательств по настоящим условиям. В частности, импортер данных должен хранить соответствующую документацию, касающуюся действий по обработке, осуществляемых под его ответственность.

2. Импортер данных должен предоставить эту документацию компетентному органу надзора за обработкой персональных данных (далее – компетентный орган надзора) по запросу.

Модуль 2: Передача контролер – обработчик

8.1. Инструкции

1. Импортер данных осуществляет обработку персональных данных только на основании документально оформленных указаний (договор или иной юридический акт) экспортера данных. Экспортер данных может давать такие инструкции в течение всего срока действия договора.

2. Импортер данных должен немедленно сообщить экспортеру данных, если он не может следовать этим инструкциям.

8.2. Ограничение цели

Импортер данных обрабатывает персональные данные только для конкретной (конкретных) цели (целей) передачи, как указано в приложении № 1, глава B, если только он не получит дополнительные инструкции от экспортера данных.

8.3. Прозрачность

По запросу экспортер данных бесплатно предоставляет субъекту данных копию настоящих условий, включая приложение, заполненное сторонами. В той мере, в какой это необходимо для защиты коммерческой тайны или другой конфиденциальной информации, включая меры, изложенные в приложении № 2, и персональные данные, экспортер данных может скрыть часть текста приложений к настоящим условиям перед отправкой копии, но должен предоставить соответствующую сводку, если без такой сводки субъект данных не может понять содержание или не может осуществлять его права. По запросу стороны информируют субъекта данных о причинах маскировки текста, насколько это возможно, не раскрывая замаскированной информации. Этот пункт не затрагивает обязательств, возлагаемых на экспортера данных в соответствии со ст.12 Закона № 133/2011.

8.4. Точность

Если импортер данных обнаружит, что полученные им персональные данные являются неточными или устаревшими, он должен незамедлительно сообщить об этом экспортеру данных. В этом случае импортер данных должен сотрудничать с экспортером данных для удаления или исправления данных.

8.5. Время обработки и удаление или возврат данных

Обработка импортером данных осуществляется только в течение периода, указанного в приложении № 1, глава B. После прекращения услуг по обработке импортер данных по выбору экспортера данных должен удалить все персональные данные, обработанные от имени экспортера данных, и предоставить экспортеру данных доказательство того, что он предпринял такое действие, или вернуть экспортеру данных все персональные данные, обработанные от его имени, и удалить существующие копии. До тех пор, пока данные не будут удалены или возвращены, импортер данных должен продолжать обеспечивать соблюдение этих условий. Если национальное законодательство, применимое к импортеру данных, запрещает возврат или удаление персональных данных, импортер данных гарантирует, что он будет продолжать обеспечивать соблюдение настоящих условий и будет обрабатывать данные только в той мере, в какой обработка разрешена соответствующим национальном законодательством. Это положение не наносит ущерба условию 13, в частности, обязательству импортера данных в соответствии с условием 13, пункт (5), направлять уведомление экспортеру данных в течение всего срока действия договора, если у него есть основания полагать, что он подпадает или подпадал под действие законодательства или практики, которые не соответствуют положениям условия 13, пункт 1.

8.6. Безопасность обработки

1. Импортер данных, а также при передаче экспортер данных принимают соответствующие технические и организационные меры по обеспечению безопасности персональных данных, в том числе для защиты персональных данных от уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в целях обеспечения надлежащего уровня безопасности в отношении рисков, представленных обработкой и природой обрабатываемых данных. При выполнении своих обязательств в соответствии с настоящим пунктом импортер данных должен реализовать как минимум технические и организационные меры, указанные в приложении № 2. Импортер данных должен проводить регулярные проверки, чтобы гарантировать, что эти меры продолжают обеспечивать адекватный уровень безопасности.

2. Импортер данных должен предоставлять доступ к персональным данным своим сотрудникам только в той мере, в какой это строго необходимо для выполнения, управления и мониторинга договора. Экспортер данных должен обеспечить, чтобы лица, уполномоченные обрабатывать персональные данные, взяли на себя обязательство соблюдать конфиденциальность или имеют адекватные уставные обязательства конфиденциальности.

3. Узнав о нарушении безопасности данных, импортер данных должен, без неоправданной задержки, направить уведомление экспортеру данных, которое должно включать контактные данные, по которым можно получить дополнительную информацию, описание характера нарушения безопасности данных (включая, по возможности, категории, количество заинтересованных субъектов данных и приблизительное количество записей данных), вероятные последствия нарушения безопасности данных и меры, предпринятые или предлагаемые к принятию для устранения нарушения безопасности данных, включая, при необходимости, меры по смягчению любых неблагоприятных последствий. В тех случаях и в той степени, когда невозможно предоставить всю информацию одновременно, первоначальное уведомление должно содержать информацию, имеющуюся на момент инцидента, а дополнительная информация впоследствии должна предоставляться, без неоправданной задержки, по мере ее поступления.

4. Импортер данных сотрудничает с экспортером данных и оказывает необходимую помощь экспортеру данных для выполнения своих обязательств в соответствии с Законом № 133/2011.

[Пкт.8.6 (подпкт.3) в редакции Приказа Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.7. Особые категории персональных данных

Если передача включает личные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения или членство в профсоюзе, генетические данные или биометрические данные для уникальной идентификации физического лица, данные о здоровье или данные о сексуальной жизни или сексуальной ориентации лица, или данные, относящиеся к уголовным судимостям и уголовным преступлениям (далее именуемые "особые категории персональных данных"), импортер данных применяет особые ограничения и/или дополнительные гарантии, описанные в приложении № 1, глава В.

8.8. Последующие переводы

Импортер данных раскрывает персональные данные третьему лицу только на основании документально оформленных указаний (договор или иной юридический акт) экспортера данных. Кроме того, данные могут быть раскрыты третьей стороне (находящейся в том же государстве, что и импортер данных, или в другом государстве, далее именуемом "последующая передача") только в том случае, если заинтересованная третья сторона имеет обязательства или соглашается принять на себя обязательства в соответствии с настоящими условиями в соответствующем модуле, или если:

а) осуществляется в государство, которое включено в список государств, которые обеспечивают адекватный уровень защиты данных, утвержденный решением Национального центра по защите персональных данных Республики Молдова;

b) осуществляется другим компаниям или организациям внутри общей с контролером группы при условии обязательного соблюдения корпоративных правил;

с) необходима для установления, осуществления или защиты права в суде как в рамках судебного разбирательства, так и в рамках административной либо внесудебной процедуры, включая разбирательство в регулирующих органах;

d) это необходимо для сохранения жизни, физической целостности или здоровья субъекта персональных данных; или

любая последующая передача зависит от соблюдения импортером данных всех других гарантий, предусмотренных в настоящих условиях, в частности ограничения цели.

8.9. Документация и соответствие

1. Импортер данных должен незамедлительно и надлежащим образом отвечать на запросы информации от экспортера данных относительно обработки, осуществляемой в соответствии с настоящими условиями.

2. Стороны должны быть в состоянии продемонстрировать соблюдение своих обязательств по настоящим условиям. В частности, импортер данных должен хранить соответствующую документацию, касающуюся действий по обработке, выполняемых от имени экспортера данных.

3. Импортер данных предоставляет экспортеру данных всю информацию, необходимую для демонстрации соблюдения обязательств, изложенных в настоящих условиях, и, по запросу экспортера данных разрешает проведение аудитов деятельности по обработке, охватываемой настоящими условиями, и должен способствовать проведению таких аудитов через разумные промежутки времени или при наличии признаков несоблюдения. Принимая решение о проведении анализа или аудита, экспортер данных может учитывать соответствующие сертификаты, имеющиеся у импортера данных.

4. Экспортер данных может провести аудит самостоятельно или привлечь для этой цели независимого аудитора. Аудиты могут включать инспекции в помещениях или физических объектах импортера данных и должны проводиться в соответствующих случаях после представления разумного уведомления.

5. По запросу стороны должны предоставить компетентному надзорному органу информацию, изложенную в подпунктах 2 и 3 настоящего пункта, включая результаты любой проверки.

Модуль 3: Передача обработчик – контролер

8.1. Инструкции

1. Экспортер данных обрабатывает персональные данные только на основании документально оформленных инструкций (договор или иной юридический акт) импортера данных, выступающего в качестве контролера.

2. Экспортер данных должен немедленно сообщить импортеру данных, если он не может следовать этим инструкциям, в том числе, если эти инструкции нарушают Закон № 133/2011 или другие положения национального закона о защите данных.

3. Импортер данных не должен предпринимать никаких действий, которые помешали бы экспортеру данных выполнить свои обязательства в соответствии с Законом № 133/2011, включая сотрудничество с компетентными надзорными органами.

4. По завершении предоставления услуг по обработке экспортер данных по выбору импортера данных должен удалить все персональные данные, обработанные от имени импортера данных, и предоставить импортеру данных доказательство того, что он предпринял такое действие, или возвращает импортеру данных все персональные данные, обработанные от его имени, и удалить существующие копии.

8.2. Безопасность обработки

1. Стороны осуществляют надлежащие технические и организационные меры по обеспечению безопасности данных, в том числе при их передаче, и защите от нарушения безопасности персональных данных, ведущего к уничтожению, изменению, блокированию, копированию, распространению и иным действиям, направленным на обеспечение адекватного уровня безопасности в отношении рисков, связанных с обработкой и характером обрабатываемых данных.

2. В случае нарушения безопасности персональных данных в отношении персональных данных, обрабатываемых экспортером данных в соответствии с настоящими положениями, экспортер данных должен уведомить импортера данных о таком нарушении без неоправданной задержки после того, как ему стало об этом известно, и должен помочь импортеру данных устранить нарушение.

3. Экспортер данных должен обеспечить, чтобы лица, уполномоченные обрабатывать персональные данные, взяли на себя обязательство соблюдать конфиденциальность или имели соответствующее юридическое обязательство конфиденциальности.

[Пкт.8.2 (подпкт.2) в редакции Приказа Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.3. Документация и соответствие

1. Стороны должны быть в состоянии продемонстрировать соблюдение своих обязательств по настоящим условиям.

2. Экспортер данных должен предоставить импортеру данных всю необходимую информацию, чтобы продемонстрировать соблюдение своих обязательств в соответствии с настоящими условиями, а также разрешить проведение проверок и содействовать им.

Модуль 4: Передача обработчик – обработчик

[Модуль 4 (пкт.8.1-8.9) введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.1. Инструкции

1. Экспортер данных проинформировал импортера данных о том, что он действует в качестве обработчика, в соответствии с инструкциями своего контролера (своих контролеров), которые экспортер данных предоставляет импортеру данных до начала обработки.

2. Импортер данных должен обрабатывать персональные данные только на основании задокументированных инструкций контролера, переданных импортеру данных от экспортера данных, и на основании любых дополнительных задокументированных инструкций экспортера данных. Такие дополнительные инструкции не должны противоречить инструкциям контролера. Контролер или экспортер данных могут давать дополнительные задокументированные инструкции по обработке данных в течение всего срока действия договора.

3. Импортер данных должен немедленно сообщить экспортеру данных, если он не может соблюдать эти инструкции. Если импортер данных не может следовать инструкциям контролера, экспортер данных должен немедленно уведомить об этом контролера.

4. Экспортер данных должен убедиться, что он возложил на импортера данных те же обязательства по защите данных, которые изложены в договоре или другом правовом акте, в соответствии с Законом № 133/2011 или другими положениями национального законодательства в области защиты данных, заключенном между контролером и экспортером данных.

[Пкт.8.1 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.2. Ограничение цели

Импортер данных обрабатывает персональные данные только для конкретной цели (целей) передачи, как указано в приложении № 1, глава B, за исключением того, что были получены дополнительные инструкции от контролера, сообщенные импортеру данных экспортером данных, или от экспортера данных.

[Пкт.8.2 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.3. Прозрачность

По запросу, экспортер данных предоставляет бесплатно субъекту данных копию настоящих условий в том виде, в каком они были заполнены сторонами. В той мере, в какой это необходимо для защиты коммерческой тайны или другой конфиденциальной информации, включая персональные данные, стороны могут маскировать часть текста приложений до представления копии, но должны предоставить соответствующее резюме, если без такого резюме субъект данных не сможет понять его содержание или не сможет воспользоваться своими правами. По запросу, стороны информируют субъекта данных о причинах маскировки текста, насколько это возможно, не раскрывая замаскированной информации.

[Пкт.8.3 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.4. Точность

Если импортер данных обнаружит, что переданные или полученные ими персональные данные являются неточными или устаревшими, он незамедлительно информирует об этом экспортера данных без неоправданной задержки. В данном случае, импортер данных сотрудничает с экспортером данных для исправления или удаления данных.

[Пкт.8.4 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.5. Время обработки и удаление или возврат данных

Обработка импортером данных осуществляется только в течение срока, указанного в Приложении № 1, раздел B. После прекращения предоставления услуг по обработке данных импортер данных должен, по выбору экспортера данных, либо удалить все персональные данные, обрабатываемые от имени контролера, и предоставить экспортеру данных доказательство того, что он это сделал, либо вернуть экспортеру данных все персональные данные, обрабатываемые от его имени, и удалить существующие копии. До тех пор, пока данные не будут удалены или возвращены, импортер данных должен продолжать обеспечивать соблюдение этих условий. В случае, если национальное законодательство, применимое к импортеру данных, запрещает возврат или удаление персональных данных, импортер данных гарантирует, что он будет продолжать обеспечивать соблюдение настоящих условий и будет обрабатывать данные только в той степени и до тех пор, пока обработка разрешена соответствующим законодательством. Это положение не наносит ущерба условию 13, в частности, обязательству импортера данных, согласно условию 13, пункт 5 уведомлять экспортера данных в течение всего срока действия договора, если у него есть основания полагать, что он является или стал субъектом законодательства или юридической практики, которые не соответствуют положениям условия 13 пункт 1.

[Пкт.8.5 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.6. Безопасность обработки

1. Импортер данных, а также при передаче экспортер данных принимают соответствующие технические и организационные меры по обеспечению безопасности персональных данных, в том числе для защиты персональных данных от уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в целях обеспечения надлежащего уровня безопасности в отношении рисков, представленных обработкой и природой обрабатываемых данных. При оценке адекватности уровня безопасности, должным образом должен быть учтен актуальный уровень технологий, затраты на реализацию, характер, область применения и цель(и) обработки, а также риски, которым подвергаются субъекты данных в результате обработки. В частности, стороны рассматривают возможность использования шифрования или анонимизации/ псевдонимизации/ деперсонализации данных, в том числе во время их передачи, если это не препятствует достижению цели обработки. В случае анонимизации/ псевдонимизации/ деперсонализации дополнительная информация, позволяющая отнести персональные данные к конкретному субъекту данных, должна, по возможности, оставаться под исключительным контролем экспортера данных или контролера. При выполнении своих обязательств в соответствии с настоящим подпунктом импортер данных должен применять, по крайней мере, технические и организационные меры, указанные в приложении 2. Импортер данных должен проводить регулярные проверки, чтобы убедиться, что эти меры продолжают гарантировать адекватный уровень безопасности.

2. Импортер данных предоставляет доступ к персональным данным своим сотрудникам только в той мере, в какой это строго необходимо для выполнения, управления и мониторинга договора. Экспортер данных должен обеспечить, чтобы лица, уполномоченные обрабатывать персональные данные, взяли на себя обязательство соблюдать конфиденциальность или имеют адекватные уставные обязательства конфиденциальности.

3. В случае нарушения безопасности персональных данных в отношении персональных данных, обрабатываемых импортером данных в соответствии с настоящими условиями, импортер данных должен принять соответствующие меры для устранения нарушения безопасности персональных данных, включая меры по смягчению возможных его негативных последствий. Кроме того, узнав о нарушении безопасности данных, импортер данных должен уведомить экспортера данных без неоправданной задержки и, если это целесообразно и возможно, контролера. Такое уведомление должно содержать контактные данные, по которым можно получить дополнительную информацию, описание характера нарушения данных (включая, если возможно, категории и приблизительное количество субъектов данных и соответствующих записей данных), вероятные последствия нарушения данных и меры, принятые или предлагаемые к принятию для устранения нарушения безопасности данных, включая, при необходимости, меры по смягчению любых неблагоприятных последствий. Если и в той мере, в которой невозможно предоставить всю информацию одновременно, первоначальное уведомление должно содержать информацию, имеющуюся на данный момент, а дополнительная информация будет предоставляться впоследствии, без неоправданной задержки, по мере ее поступления.

4. Импортер данных сотрудничает с экспортером данных и оказывает необходимую помощь экспортеру данных для выполнения своих обязательств в соответствии с Законом о защите персональных данных, в частности, уведомлять своего контролера таким образом, чтоб экспортер данных мог, в свою очередь, проинформировать компетентный орган надзора и заинтересованных субъектов данных, принимая во внимание характер обработки и информацию, доступную импортеру данных.

[Пкт.8.6 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.7. Особые категории персональных данных

Если передача включает личные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, социальная принадлежность, данные, касающиеся состояния здоровья или половой жизни, а также данные, касающиеся уголовного наказания, принудительных процессуальных мер или санкций за правонарушения (далее именуемые "особые категории персональных данных"), импортер данных применяет особые ограничения и/или дополнительные гарантии, описанные в приложении № 1, глава В.

[Пкт.8.7 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.8. Последующие переводы

Импортер данных раскрывает персональные данные третьему лицу только на основании документально оформленных указаний (договор или иной юридический акт) со стороны контролера, как было сообщено импортеру данных экспортером данных. Кроме того, данные могут быть раскрыты третьей стороне (находящейся в том же государстве, что и импортер данных, или в другом государстве, далее именуемом "последующая передача") только в том случае, если заинтересованная третья сторона имеет обязательства или соглашается принять на себя обязательства в соответствии с настоящими условиями в соответствующем модуле, или если:

a) осуществляется в государство, которое включено в список государств, которые обеспечивают адекватный уровень защиты данных, утвержденный решением Национального центра по защите персональных данных Республики Молдова;

b) осуществляется другим компаниям или организациям внутри общей с контролером группы при условии обязательного соблюдения корпоративных правил;

c) необходима для установления, осуществления или защиты права в суде как в рамках судебного разбирательства, так и в рамках административной либо внесудебной процедуры, включая разбирательство в регулирующих органах;

d) это необходимо для сохранения жизни, физической целостности или здоровья субъекта персональных данных.

Любая последующая передача зависит от соблюдения импортером данных всех других гарантий, предусмотренных в настоящих условиях, в частности ограничения цели.

[Пкт.8.8 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

8.9 Документация и соответствие

1. Импортер данных должен незамедлительно и надлежащим образом отвечать на запросы информации от экспортера данных или контролера относительно обработки, осуществляемой в соответствии с настоящими условиями.

2. Стороны должны быть в состоянии продемонстрировать соблюдение своих обязательств по настоящим условиям. В частности, импортер данных должен хранить соответствующую документацию, касающуюся действий по обработке, выполняемых от имени контролера.

3. Импортер данных предоставляет экспортеру данных всю информацию, необходимую для демонстрации соблюдения обязательств, изложенных в настоящих условиях, а экспортер данных должен предоставить ее контролеру.

4. Импортер данных разрешает проведение аудитов деятельности по обработке, охватываемой настоящими условиями, и должен способствовать проведению таких аудитов через разумные промежутки времени или при наличии признаков несоблюдения. То же самое положение должно применяться, если экспортер данных запрашивает аудит по указанию контроллера. Принимая решение о проведении аудита, экспортер данных может учитывать соответствующие сертификаты, имеющиеся у импортера данных.

5. Если аудит проводится по указанию контролера, экспортер данных должен предоставить результаты контролеру.

6. Экспортер данных может провести аудит самостоятельно или привлечь для этой цели независимого аудитора. Аудиты могут включать инспекции в помещениях или физических объектах импортера данных и должны проводиться в соответствующих случаях после представления разумного уведомления.

7. По запросу, стороны должны предоставить компетентному надзорному органу информацию, изложенную в параграфах пунктов 2 и 3, включая результаты любой проверки.

[Пкт.8.9 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 8¹ ИСПОЛЬЗОВАНИЕ СУБОБРАБОТЧИКОВ

[Условие 8¹ (Модуль 2, Модуль 4) введено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

Модуль 2: Передача контролер – обработчик

1. ВАРИАНТ 1: ОСОБОЕ ПРЕДВАРИТЕЛЬНОЕ РАЗРЕШЕНИЕ

Импортер данных не должен передавать субобработчику какую-либо из своих операций по обработке, выполняемых от имени экспортера данных в соответствии с настоящими Положениями, без особого предварительного письменного разрешения со стороны экспортера данных. Импортер данных должен подать запрос на получение особого разрешения не менее чем за [указать период] до найма соответствующего субобработчика, сопроводив информацией, которая необходима экспортеру данных для принятия решения о предоставлении разрешения. Список субобработчиков, которые уже авторизованы экспортером данных, приведен в приложении 3. Стороны обязаны следить за тем, чтобы приложение 3 поддерживалось в актуальном состоянии.

ВАРИАНТ 2: ОСНОВНОЕ ПИСЬМЕННОЕ РАЗРЕШЕНИЕ

Импортер данных имеет основное разрешение от экспортера данных на привлечение субобработчика(-ов), согласно утвержденному списку. Импортер данных должен информировать экспортера данных в особом порядке в письменной форме о любых предполагаемых изменениях в списке путем добавления или замены субобработчиков не менее чем за [указать период], предоставив экспортеру данных достаточно времени для предоставления возражений против таких изменений заранее до найма субобработчика (-ов). Импортер данных должен предоставить экспортеру данных информацию, необходимую экспортеру данных для осуществления права на возражение.

2. Если импортер данных нанимает субобработчика для выполнения конкретных действий по обработке (от имени экспортера данных), импортер данных должен осуществить наем посредством письменного договора, который предусматривает, по существу, те же обязательства по защите данных, которые возлагаются на импортера данных в соответствии с настоящими положениями, в том числе в отношении прав третьих лиц-бенефициаров для субъектов данных. Стороны соглашаются, что, соблюдая настоящие условия, импортер данных выполняет свои обязательства по условию 8, пункт 8.8. Импортер данных обеспечивает, что субобработчик соблюдает обязанности, предписанные импортеру данных, согласно данным условиям.

3. Импортер данных предоставляет экспортеру данных, согласно его запросу, копию такого контракта с субобработчиком и все его последующие изменения. В случае необходимости защиты коммерческой тайны или другой конфиденциальной информации, включая персональные данные, импортер данных может замаскировать текст договора до предоставления копии.

4. Импортер данных остается полноценным ответственным лицом перед экспортером данных за выполнение субобработчиком своих обязательств по договору с импортером данных. Импортер данных должен уведомить экспортера данных о любом невыполнении субобработчиком своих обязательств по данному договору.

5. Импортер данных согласовывает с субобработчиком положение о третьей стороне-бенефициаре, согласно которому если импортер данных исчез без вести, прекратил свое существование по закону или стал неплатежеспособным, экспортер данных имеет право расторгнуть договор с субобработчиком и дать субобработчику указание удалить или вернуть персональные данные.

[Модуль 2 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

Модуль 4: Передача обработчик – обработчик

1. ВАРИАНТ 1: ОСОБОЕ ПРЕДВАРИТЕЛЬНОЕ РАЗРЕШЕНИЕ

Импортер данных не должен передавать субобработчику какую-либо из своих операций по обработке, выполняемых от имени экспортера данных в соответствии с настоящими Положениями, без особого предварительного письменного разрешения со стороны контролера. Импортер данных должен подать запрос на получение особого разрешения не менее чем за [указать период] до найма соответствующего субобработчика, сопроводив информацией, которая необходима контролеру для принятия решения о предоставлении разрешения. Список субобработчиков, которые уже авторизованы контролером, приведен в приложении 3. Стороны обязаны следить за тем, чтобы приложение 3 поддерживалось в актуальном состоянии.

ВАРИАНТ 2: ОСНОВНОЕ ПИСЬМЕННОЕ РАЗРЕШЕНИЕ

Импортер данных имеет основное разрешение от контролера на привлечение субобработчика(-ов), согласно утвержденному списку. Импортер данных должен информировать контролера в особом порядке в письменной форме о любых предполагаемых изменениях в списке путем добавления или замены субобработчиков не менее чем за [указать период], предоставив контролеру достаточно времени для предоставления возражений против таких изменений заранее до найма субобработчика(-ов). Импортер данных должен предоставить контролеру информацию, необходимую контролеру для осуществления права на возражение. Импортер данных информирует экспортера данных о найме субобработчика(-ов).

2. Если импортер данных нанимает субобработчика для выполнения конкретных действий по обработке (от имени контролера), импортер данных должен осуществить наем посредством письменного договора, который предусматривает, по существу, те же обязательства по защите данных, которые возлагаются на импортера данных в соответствии с настоящими положениями, в том числе в отношении прав третьих лиц-бенефициаров для субъектов данных. Стороны соглашаются, что, соблюдая настоящие условия, импортер данных выполняет свои обязательства по условию 8.8. Импортер данных обеспечивает, что субобработчик соблюдает обязанности, предписанные импортеру данных, согласно данным условиям.

3. Импортер данных предоставляет экспортеру данных или контролеру, согласно запросу, копию данного контракта с субобработчиком и все его последующие изменения. В случае необходимости защиты коммерческой тайны или другой конфиденциальной информации, включая персональные данные, импортер данных может замаскировать текст договора до предоставления копии.

4. Импортер данных остается полноценным ответственным лицом перед экспортером данных за выполнение субобработчиком своих обязательств по договору с импортером данных. Импортер данных должен уведомить экспортера данных о любом невыполнении субобработчиком своих обязательств по данному договору.

5. Импортер данных согласовывает с субобработчиком положение о третьей стороне-бенефициаре, согласно которому если импортер данных исчез без вести, прекратил свое существование по закону или стал неплатежеспособным, экспортер данных имеет право расторгнуть договор с субобработчиком и дать субобработчику указание удалить или вернуть персональные данные.

[Модуль 4 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 9 ПРАВА СУБЪЕКТОВ ДАННЫХ

Модуль 1: Передача контролер – контролер

1. Импортер данных, при необходимости, с помощью экспортера данных должен отвечать на все запросы на информацию и другие запросы от субъекта данных, касающиеся обработки его персональных данных и осуществления его прав в соответствии с настоящими условиями, без неоправданных задержек в течение максимум одного месяца с момента их получения. Импортер данных должен принять соответствующие меры для облегчения формулирования таких запросов на информацию и других запросов со стороны субъектов данных, а также осуществления прав субъектов данных. Любая информация, предоставляемая субъекту данных, должна быть представлена в понятной и легкодоступной форме с использованием ясного и простого языка.

2. В частности, по запросу субъекта данных и бесплатно импортер данных:

а) подтверждает субъекту данных о том, что обрабатываются относящиеся к нему персональные данные, и в таком случае предоставляет ему копию данных, касающихся его, и информирует его об информации, представленной в приложении № 1; если персональные данные субъекта данных были или будут подлежать последующей передаче, он должен предоставить субъекту данных информацию о получателях или категориях получателей (в зависимости от обстоятельств, для предоставления соответствующей информации), которым были или будут впоследствии переданы персональные данные, цель и причины такой последующей передачи в соответствии с пунктом 8.7 модуля I; и предоставить субъекту данных информацию о праве подать жалобу в надзорный орган в соответствии с условием 10, пункт 3, лит. а);

b) исправляет неточные или неполные данные о субъекте данных;

c) удаляет персональные данные, касающиеся субъекта данных, если такие данные обрабатываются или обрабатывались в нарушение любого из настоящих условий, гарантирующих права третьих лиц-бенефициаров, или если субъект данных отзывает согласие, на котором основана обработка.

3. Если импортер данных обрабатывает персональные данные в целях прямого маркетинга, он должен прекратить обработку для таких целей, если субъект данных возражает против такой обработки.

4. Импортер данных не должен принимать решение, основанное исключительно на автоматической обработке переданных персональных данных (далее именуемое "автоматизированное решение"), которое привело бы к юридическим последствиям в отношении субъекта данных или которое аналогичным образом повлияло бы на него в значительной степени, если только оно не осуществляется с явного согласия субъекта данных или если уполномочен это осуществить в соответствии с законодательством страны назначения, при условии, что такое законодательство предусматривает адекватные меры для защиты прав и законных интересов субъекта данных. В этом случае, при необходимости, в сотрудничестве с экспортером данных импортер данных должен:

а) информировать субъекта данных о предполагаемом автоматизированном решении и предполагаемых последствиях, а также о задействованной логике, и

b) применяет адекватные гарантии, которые позволяют по крайней мере субъекту данных оспорить решение, выразить свою точку зрения и добиться рассмотрения решения физическим лицом.

5. Если запросы от субъекта данных являются чрезмерными, в частности из-за их повторяющегося характера, импортер данных может либо взимать разумную плату, принимая во внимание административные расходы на обработку запроса, либо отказаться выполнять запрос.

6. Импортер данных может отклонить запрос субъекта данных, если отказ разрешен в соответствии с законодательством страны назначения и необходим и соразмерен в демократическом обществе для защиты одной из целей, перечисленных в ст.15 Закона № 133/2011.

7. Если импортер данных намеревается отклонить запрос субъекта данных, он должен сообщить субъекту данных причины отказа и возможность подать жалобу в надзорный орган и / или в суд на этот отказ.

Модуль 2: Передача контролер – обработчик

1. Импортер данных должен незамедлительно уведомить экспортера данных о любом запросе, полученном от субъекта данных. Он не должен отвечать на этот запрос до тех пор, пока он не будет уполномочен на это экспортером данных.

2. Импортер данных оказывает помощь экспортеру данных в выполнении его обязательств по ответу на запросы субъектов данных относительно осуществления их прав в соответствии с Законом № 133/2011. В связи с этим стороны устанавливают в приложении № 2 адекватные технические и организационные меры, принимая во внимание характер обработки, посредством которой предоставляется помощь, а также объем и степень требуемой помощи.

3. При выполнении своих обязательств по п.1 и 2 данного модуля, импортер данных должен следовать инструкциям экспортера данных.

Модуль 3: Передача обработчик – контролер

Стороны будут помогать друг другу в ответах на запросы информации и другие запросы, сделанные субъектами данных в соответствии с национальным законодательством, применимым к импортеру данных, или в случае обработки данных экспортером данных в Республике Молдова в соответствии с Законом № 133/2011.

Модуль 4: Передача обработчик – обработчик

1. Импортер данных незамедлительно уведомляет экспортера данных и, если применимо, контролера о любом запросе, полученном от субъекта данных, не отвечая на этот запрос, если только контролер не уполномочил его на это.

2. Импортер данных, при необходимости в сотрудничестве с экспортером данных, предоставляет помощь контролеру в выполнении его обязательств по реагированию на запросы субъекта данных об осуществлении его прав в соответствии с Законом о защите персональных данных или другими нормативными актами, в зависимости от обстоятельств. С этой целью Стороны излагают в приложении II соответствующие технические и организационные меры, принимая во внимание характер обработки, посредством которой предоставляется помощь, а также область применения и степень требуемой помощи.

3. При выполнении своих обязательств в соответствии с пунктами 1 и 2 импортер данных должен соблюдать инструкции контролера, переданные экспортером данных.

[Модуль 4 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 10 ПОРЯДОК ОБЖАЛОВАНИЯ

1. Импортер данных информирует субъектов данных в прозрачной и легкодоступной форме посредством индивидуального уведомления или на своем веб-сайте о контактном лице, уполномоченном рассматривать жалобы. Он оперативно разрешает любые жалобы, полученные от субъекта данных.

[ВАРИАНТ: импортер данных соглашается с тем, что субъекты данных могут также подать жалобу в независимый орган по урегулированию споров без каких-либо затрат. Он информирует субъектов данных в порядке, предусмотренном в пункте 1, о механизме порядка обжалования и сообщает им о том, что они не обязаны прибегать к нему или обжаловать определенным образом.]

Модуль 1: Передача контролер – контролер

Модуль 2: Передача контролер – обработчик

2. В случае возникновения спора между субъектом данных и одной из сторон относительно соблюдения настоящих условий заинтересованная сторона прилагает все усилия для своевременного урегулирования спора мирным путем. Стороны информируют друг друга о таких спорах и, при необходимости, сотрудничают в их разрешении.

3. Если субъект данных ссылается на право третьего лица-бенефициара в соответствии с условием 3, импортер данных принимает решение субъекта данных:

а) подать жалобу в надзорный орган Республики Молдова или в компетентный надзорный орган в соответствии с условием 12;

b) передать дело в компетентные суды исходя из положений условия 17.

4. Стороны соглашаются с тем, что субъект данных может быть представлен органом, некоммерческой организацией или ассоциацией, уставные цели которых отвечают общественным интересам, которые активно действуют в области защиты прав и свобод субъектов данных в отношении защиты персональных данных.

5. Импортер данных должен соблюдать решение, принятое учреждениями, указанными в пункте 3, обязательное в соответствии с применимым национальным законодательством.

6. Импортер данных соглашается с тем, что выбор, сделанный субъектом данных, не повлияет на его / ее материальные и процессуальные права на подачу иска о возмещении ущерба в соответствии с применимым законодательством.

Модуль 4: Передача обработчик – обработчик

[Модуль 4 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 11 ОТВЕТСТВЕННОСТЬ

Модуль 1: Передача контролер – контролер

Модуль 3: Передача обработчик – контролер

1. Каждая сторона несет ответственность перед другой стороной (сторонами) за любой ущерб, причиненный другой стороне (сторонам) в результате любого нарушения настоящих условий.

2. Каждая сторона несет ответственность перед субъектом данных, а субъект данных имеет право на получение компенсации за любой материальный или нематериальный ущерб, который сторона может причинить субъекту данных, нарушив права третьего лица-бенефициара в соответствии с настоящими условиями. Это положение не затрагивает ответственности экспортера данных в соответствии со ст.33 Закона № 133/2011.

3. Если несколько сторон несут ответственность за ущерб, причиненный субъекту данных в результате нарушения настоящих условий, все ответственные стороны несут солидарную ответственность и субъект данных имеет право подать иск против любого из этих сторон.

4. Стороны соглашаются, что если ответственность одной из сторон установлена в соответствии с пунктом 3, сторона имеет право потребовать мирным путем, а в случае возникновения спора потребовать через суд от другой стороны (сторон) взыскания этой части компенсации соответствующей стороне (сторонам) ответственности за причиненный ущерб.

5. Импортер данных не может ссылаться на поведение уполномоченного лица контролером без привлечения к ответственности.

Модуль 2: Передача контролер – обработчик

1. Каждая сторона несет ответственность перед другой стороной (сторонами) за любой ущерб, причиненный другой стороне (сторонам) в результате любого нарушения настоящих условий.

2. Импортер данных или его субобработчика несет ответственность перед субъектом данных, а субъект данных имеет право на получение компенсации за любой материальный или нематериальный ущерб, который импортер данных или его субобработчика причиняет субъекту данных, нарушая права третьего лица-бенефициара в соответствии с настоящими условиями.

3. Без ущерба для положений пункта 2 экспортер данных несет ответственность перед субъектом данных, а субъект данных имеет право на получение компенсации за любой материальный или нематериальный ущерб, который экспортер данных или импортер данных или его субобработчика причиняет субъекту данных, нарушая права третьего лица-бенефициара в соответствии с настоящими условиями. Это положение не наносит ущерба ответственности экспортера данных и, если экспортер данных является обработчиком, действующим от имени контроллера, ответственности контроллера в соответствии с Законом № 133/2011.

4. Стороны соглашаются, что если ответственность экспортера данных установлена в соответствии с пунктом 3 за любой ущерб, причиненный импортером данных или его субобработчика, он имеет право потребовать от импортера данных возмещения этой части компенсации, соответствующей стороне, ответственной импортеру данных за причиненный ущерб.

5. Если несколько сторон несут ответственность за ущерб, причиненный субъекту данных в результате нарушения настоящих условий, все ответственные стороны несут солидарную ответственность и субъект данных имеет право требовать компенсацию мирным путем, а в случае возникновения споров подать судебный иск против любой из этих сторон.

6. Стороны соглашаются, что если ответственность одной из сторон установлена в соответствии с пунктом 5, последняя имеет право потребовать от другой стороны (сторон) взыскания той части компенсации, которая соответствует ее стороне (сторонам) ответственности за причиненный ущерб.

7. Импортер или его субобработчик данных не может ссылаться на поведение обработчика, чтобы не нести ответственность.

[Модуль 2 дополнен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

Модуль 4: Передача обработчик – обработчик

[Модуль 4 введен Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 12 НАДЗОР

Модуль 1: Передача контролер – контролер

Модуль 2: Передача контролер – обработчик

Модуль 4: Передача обработчик – обработчик

1. Надзорный орган страны, в котором находится субъект данных, чьи персональные данные передаются в соответствии с настоящими условиями в связи с предоставлением товаров или услуг или чье поведение отслеживается, как указано в приложении № 1, глава C, действует как компетентный надзорный орган.

2. Импортер данных соглашается подчиняться юрисдикции компетентного надзорного органа и сотрудничать с ним в любых процедурах, направленных на обеспечение соблюдения настоящих условий. В частности, импортер данных соглашается отвечать на запросы о предоставлении информации, подвергаться аудиту и соблюдать меры, принятые надзорным органом, включая возместительные и компенсационные меры. Он должен предоставить надзорному органу письменное подтверждение того, что необходимые действия были предприняты.

[Условие 12 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

РАЗДЕЛ III

ЗАКОНОДАТЕЛЬСТВО И ОБЯЗАННОСТИ, ПРИМЕНЯЕМЫЕ

К ДОСТУПУ ГОСУДАРСТВЕННЫХ ОРГАНОВ

УСЛОВИЕ 13 НАЦИОНАЛЬНОЕ ЗАКОНОДАТЕЛЬСТВО И ПРАКТИКА, ВЛИЯЮЩИЕ НА СОБЛЮДЕНИЕ СТАТЕЙ

Модуль 1: Передача контролер – контролер

Модуль 2: Передача контролер – обработчик

Модуль 3: Передача обработчик – контролер

Модуль 4: Передача обработчик – обработчик

(если обработчик из Республики Молдова объединяет персональные данные, полученные от контролера из другого государства, с персональными данными, собранными в Республике Молдова обработчиком)

1. Стороны гарантируют, что у них нет оснований полагать, что законы и практика другого государства, применимые к обработке персональных данных импортером данных, включая любые требования о раскрытии персональных данных или любые меры по санкционированию доступа со стороны государственных органов, препятствуют импортеру данных выполнять свои обязательства по настоящим условиям. Это положение основано на предпосылке, что законодательство и практика, которые уважают сущность основных прав и свобод и не выходят за рамки того, что необходимо и соразмерно в демократическом обществе, чтобы гарантировать одну из целей, перечисленных в статье 15 Закона № 133/2011, не противоречат настоящим условиям.

2. Стороны заявляют, что при предоставлении гарантии, указанной в пункте 1, они должным образом приняли во внимание, в частности, следующие элементы оценки:

а) конкретные обстоятельства передачи, включая длину цепочки обработки, количество вовлеченных субъектов и используемые каналы передачи; преднамеренные последующие переводы; тип получателя; цель обработки; категории и формат передаваемых персональных данных; сектор экономики, в котором осуществляется передача; место, где хранятся передаваемые данные;

b) законодательство и практика страны назначения, в том числе те, которые предусматривают обязательство раскрывать данные государственным органам или разрешать доступ таким органам, которые имеют отношение к конкретным обстоятельствам передачи и применимым ограничениям, и гарантиям;

c) любые соответствующие договорные, технические или организационные гарантии, установленные в дополнение к гарантиям, предусмотренным в настоящих условиях, включая меры, применяемые при передаче и обработке персональных данных в стране назначения.

3. Импортер данных должен обеспечить, чтобы в ходе оценки, упомянутой в пункте 2, он приложил все усилия для предоставления экспортеру данных соответствующей информации и согласился на дальнейшее сотрудничество с экспортером данных для обеспечения соблюдения настоящих условий.

4. Стороны соглашаются записывать оценку, упомянутую в пункте 2, в записях и предоставлять ее компетентному надзорному органу по запросу.

5. Импортер данных соглашается незамедлительно уведомить экспортера данных, если после принятия этих условий и в течение срока действия контракта у него есть основания полагать, что он подпадает или подпадал под действие законодательства или практики, которые не соответствуют положениям пункта 1, в том числе после внесения поправки в законодательство своего государства или меры (например, запроса о раскрытии информации), указывающей на применение на практике этого законодательства, которое не соответствует положениям пункта 1 [для Модуля 4: Экспортер данных передает уведомление контролеру.].

6. После уведомления в соответствии с пунктом 5 или если у экспортера данных есть другие причины полагать, что импортер данных больше не может выполнять свои обязательства согласно настоящим условиям, экспортер данных должен незамедлительно определить соответствующие меры (например, технические или организационные меры), для обеспечения безопасности и конфиденциальности, которые экспортер данных и/или импортер данных должен предпринять, чтобы исправить ситуацию. Экспортер данных должен приостановить передачу данных, если он считает, что адекватные гарантии не могут быть обеспечены для такой передачи, или если он получает соответствующие инструкции от компетентного надзорного органа. В этом случае экспортер данных имеет право расторгнуть договор, поскольку это касается обработки персональных данных в соответствии с настоящими условиями. Если в договоре участвуют более двух сторон, экспортер данных может воспользоваться своим правом расторжения только в отношении заинтересованной стороны, если стороны не договорились об ином. В случае расторжения договора в соответствии с настоящим пунктом применяются пункты 4 и 5 условия 15.

[Условие 13 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 14 ОБЯЗАННОСТИ ИМПОРТЕРА ДАННЫХ В СЛУЧАЕ ДОСТУПА ГОСУДАРСТВЕННЫХ ОРГАНОВ

Модуль 1: Передача контролер – контролер

Модуль 2: Передача контролер – обработчик

Модуль 3: Передача обработчик – контролер

Модуль 4: Передача обработчик – обработчик

(если обработчик из Республики Молдова объединяет персональные данные, полученные от контролера из другого государства, с персональными данными, собранными в Республике Молдова обработчиком)

14.1 Уведомление

1. Импортер данных должен незамедлительно уведомить экспортера данных и, насколько это возможно, субъекта данных (при необходимости с помощью экспортера данных), если:

а) получает от государственного органа, включая судебные органы, юридически обязывающий запрос в соответствии с законодательством страны назначения о раскрытии персональных данных, переданных в соответствии с настоящими условиями; такое уведомление должно включать информацию о запрашиваемых персональных данных, запрашивающем органе, правовой основе запроса и предоставленном ответе; или

b) узнавать о любом прямом доступе государственных органов к персональным данным, передаваемым в соответствии с настоящими условиями, в соответствии с законодательством страны назначения; такое уведомление должно включать всю информацию, доступную импортеру; или

c) стало известно о любом случайном или несанкционированном доступе, приведшем к нарушению безопасности персональных данных [для Модуля 4: Экспортер данных передает уведомление контролеру.].

2. Если импортеру данных запрещено передавать уведомление экспортеру данных и/или субъекту данных в соответствии с законодательством страны назначения, импортер данных соглашается приложить все усилия для получения от импортера данных отступления от этого запрета, чтобы передать как можно больше информации в кратчайшие сроки. Импортер данных соглашается записывать в записи все усилия, предпринятые для того, чтобы иметь возможность доказать их по запросу экспортера данных.

3. Если это разрешено законодательством страны назначения, импортер данных соглашается предоставлять экспортеру данных через регулярные промежутки времени в течение срока действия договора как можно больше соответствующей информации о полученных запросах (в частности, количество запросов, тип запрашиваемых данных, запрашивающий орган или органы, возможное оспаривание запросов и результаты этих апелляций и т. д.) [для Модуля 4: Экспортер данных передает информацию контролеру.].

4. Импортер данных соглашается хранить информацию, указанную в подпунктах 1-3, в течение срока действия договора и предоставлять ее компетентному надзорному органу по запросу.

5. Подпункты 1 – 3 не нарушают обязательств импортера данных в соответствии с пунктом 13, подпункт 5, и пунктом 15 незамедлительно информировать экспортера данных, если он не может выполнить эти пункты.

14.2 Контроль законности и минимизация данных

1. Импортер данных соглашается проверить законность запроса на раскрытие, в частности, соответствует ли он полномочиям, предоставленным запрашивающему государственному органу, и оспорить запрос, если после тщательной оценки он придет к выводу, что он является незаконным в соответствии с законодательством страны назначения, обязательства по международному праву и принципы международной вежливости. На тех же условиях импортер данных должен использовать доступный порядок обжалования. При оспаривании запроса импортер данных должен потребовать временных мер для приостановления действия запроса до тех пор, пока компетентный судебный орган не вынесет решение по существу запроса. Он не будет раскрывать запрошенные персональные данные до тех пор, пока от него не потребуется сделать это в соответствии с применимыми процедурными нормами. Эти требования не наносят ущерба обязательствам импортера данных в соответствии с пунктом 5 условия 13.

2. Импортер данных соглашается зафиксировать свою юридическую оценку и любые действия по оспариванию запроса о раскрытии и, насколько это разрешено законодательством страны назначения, сделать их доступными для экспортера данных. Он также должен предоставлять их компетентному надзорному органу по запросу [для Модуля 4: Экспортер данных предоставляет контролеру оценивание.].

3. Импортер данных соглашается с тем, что при ответе на запрос о раскрытии он должен предоставить минимально разрешенный объем информации, основанный на разумном толковании запроса.

[Условия 14 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

РАЗДЕЛ IV

ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

УСЛОВИЯ 15 НЕСОБЛЮДЕНИЯ УСЛОВИЙ И РАСТОРЖЕНИЕ

1. Импортер данных должен незамедлительно проинформировать экспортера данных, если он не в состоянии соблюдать настоящие условия по какой-либо причине.

2. Если импортер данных нарушает настоящие условия или не может соблюдать настоящие условия, экспортер данных должен приостановить передачу персональных данных импортеру данных до тех пор, пока не будет восстановлено соответствие или не будет расторгнут договор. Это положение не противоречит условию 13, пункт 6.

3. Экспортер данных имеет право расторгнуть договор в той мере, в какой его объектом является обработка персональных данных в соответствии с настоящими условиями, если:

a) экспортер данных приостановил передачу персональных данных импортеру данных в соответствии с пунктом 2 и соблюдение этих пунктов не было восстановлено в разумный срок и в любом случае в течение одного месяца с момента приостановки;

b) импортер данных существенно или неоднократно нарушал настоящие условия; или

c) импортер данных не соблюдает обязательное решение, вынесенное компетентным судом или компетентным надзорным органом в отношении своих обязательств в соответствии с настоящими условиями.

В таких случаях он информирует компетентный надзорный орган о несоблюдении решения. Если в договоре участвуют более двух сторон, экспортер данных может воспользоваться своим правом расторжения только в отношении заинтересованной стороны, если стороны не договорились об ином.

4. [Для модулей 1, 2 и 4: Персональные данные, которые были переданы до расторжения договора в соответствии с пунктом 3, должны быть немедленно возвращены экспортеру данных или полностью удалены по выбору экспортера данных. То же самое относится к любой копии данных.] [Для модуля 3: Персональные данные, собранные экспортером данных из Республики Молова, которые были переданы до расторжения договора в соответствии с пунктом 3, должны быть немедленно удалены в полном объеме, включая любые их копии.] Импортер данных должен предоставить экспортеру данных доказательство удаления данных. До удаления или возврата данных импортер данных должен продолжать обеспечивать соблюдение этих условий. Если национальное законодательство, применимое к импортеру данных, запрещает возврат или удаление переданных персональных данных, импортер данных должен гарантировать, что он будет продолжать обеспечивать соблюдение настоящих условий и что он будет обрабатывать данные только в той степени и до тех пор, пока обработка разрешена национальным законодательством.

5. Любая из сторон может отозвать свое согласие принять на себя обязательства по настоящим условиям, если Национальный центр по защите персональных данных примет решение в соответствии с частью (3) ст.32 Закона № 133/2011, в которой говорится о трансграничной передаче персональных данных, к которым применяются настоящие условия. Это положение не наносит ущерба другим обязательствам, которые применяются к рассматриваемой обработке в соответствии с Законом № 133/2011.

[Условия 15 изменено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 16 ПРИМЕНИМОЕ ЗАКОНОДАТЕЛЬСТВО

Модуль 1: Передача контролер – контролер

Модуль 2: Передача контролер – обработчик

Настоящие договорные условия регулируются законодательством Республики Молдова.

Модуль 3: Передача обработчик – контролер

Модуль 4: Передача обработчик – обработчик

Эти положения регулируются законодательством страны, допускающим права третьих лиц-бенефициаров. Стороны соглашаются, что это законодательство ______________ (указать страну).

[Условия 16 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

УСЛОВИЕ 17 ВЫБОР СУДА И ЮРИСДИКЦИИ

Модуль 1: Передача контролер – контролер

Модуль 2: Передача контролер – обработчик

1. Любой спор, вытекающий из настоящих пунктов, подлежит разрешению в судах Республики Молдова.

2. Субъект данных может предъявить иск экспортеру данных и/или импортеру данных в Республике Молдова.

3. Стороны соглашаются подчиняться юрисдикции этих судов.

Модуль 3: Передача обработчик – контролер

Любой спор, вытекающий из этих пунктов, подлежит разрешению в судах ___________ (указать страну).

Модуль 4: Передача обработчик – обработчик

[Условия 17 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

[Приложение N 1 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

[Приложение N 2 дополнено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]

[Приложение N 3 введено Приказом Национального центра по защите персональных данных N 33 от 09.09.2024, в силу 13.09.2024]