Hvordan demonstrere samsvar med GDPR artikkel 47

Hvis et mottakerland mangler meningsfulle databeskyttelseslover (se artikkel 45), GDPR Artikkel 47 lar organisasjoner adoptere bindende bedriftsregler, som fungerer som en passende beskyttelse mot alle data som skal overføres.

GDPR artikkel 47 juridisk tekst

EU GDPR-versjon

Bindende bedriftsregler

1. Den kompetente tilsynsmyndigheten skal godkjenne bindende selskapsregler i samsvar med konsistensmekanismen fastsatt i artikkel 63, forutsatt at de:
• (a) er juridisk bindende og gjelder for og håndheves av hvert berørt medlem av gruppen av foretak, eller gruppe av foretak som driver en felles økonomisk aktivitet, inkludert deres ansatte;
• (b) uttrykkelig gi håndhevbare rettigheter til registrerte med hensyn til behandlingen av deres personopplysninger; og
• (c) oppfylle kravene fastsatt i nr. 2.
2. De bindende selskapsreglene nevnt i nr. 1 skal minst spesifisere:
• a) strukturen og kontaktopplysningene til gruppen av foretak, eller gruppen av foretak som deltar i en felles økonomisk aktivitet, og for hvert av dens medlemmer;
• (b) dataoverføringene eller settet med overføringer, inkludert kategoriene av personopplysninger, typen behandling og dens formål, typen registrerte som berøres og identifikasjon av det eller de aktuelle tredjelandene;
• (c) deres juridisk bindende natur, både internt og eksternt;
• (d) anvendelsen av de generelle databeskyttelsesprinsippene, særlig formålsbegrensning, dataminimering, begrensede lagringsperioder, datakvalitet, databeskyttelse ved design og som standard, rettslig grunnlag for behandling, behandling av spesielle kategorier av personopplysninger, tiltak for å sikre datasikkerhet, og kravene med hensyn til videre overføringer til organer som ikke er bundet av de bindende selskapsreglene;
• (e) rettighetene til registrerte personer med hensyn til behandling og midler til å utøve disse rettighetene, inkludert retten til ikke å bli underlagt avgjørelser utelukkende basert på automatisert behandling, inkludert profilering i samsvar med artikkel 22, retten til å sende inn en klage til den kompetente tilsynsmyndigheten og for de kompetente domstolene i medlemsstatene i samsvar med artikkel 79, og å oppnå oppreisning og, der det er hensiktsmessig, kompensasjon for brudd på de bindende selskapsreglene;
• (f) godkjennelsen av den behandlingsansvarlige eller databehandleren etablert på territoriet til en medlemsstat av ansvar for eventuelle brudd på de bindende selskapsreglene fra et berørt medlem som ikke er etablert i Unionen; den behandlingsansvarlige eller databehandleren skal være unntatt fra dette ansvaret, helt eller delvis, bare hvis det beviser at medlemmet ikke er ansvarlig for hendelsen som forårsaket skaden;
• (g) hvordan informasjonen om de bindende selskapsreglene, særlig om bestemmelsene nevnt i punkt (d), (e) og (f) i dette avsnittet, gis til de registrerte i tillegg til artikkel 13 og 14;
• h) oppgavene til et databeskyttelsesansvarlig utpekt i samsvar med artikkel 37 eller enhver annen person eller enhet som har ansvaret for å overvåke overholdelse av de bindende selskapsreglene innenfor gruppen av foretak, eller gruppen av foretak som driver en felles økonomisk aktivitet, samt overvåking av opplæring og klagebehandling;
• (i) klageprosedyrene;
• (j) mekanismene innenfor gruppen av foretak, eller gruppen av foretak som er engasjert i en felles økonomisk aktivitet, for å sikre verifisering av overholdelse av de bindende selskapsreglene. Slike mekanismer skal omfatte databeskyttelsesrevisjon og metoder for å sikre korrigerende tiltak for å beskytte rettighetene til den registrerte. Resultatene av slik verifisering bør formidles til personen eller enheten nevnt i bokstav h) og til styret for det kontrollerende foretaket i en gruppe av foretak, eller for gruppen av foretak som driver en felles økonomisk aktivitet, og bør være tilgjengelige. på forespørsel til den kompetente tilsynsmyndigheten;
• k) mekanismene for rapportering og registrering av endringer i reglene og rapportering av disse endringene til tilsynsmyndigheten;
• l) samarbeidsmekanismen med tilsynsmyndigheten for å sikre overholdelse av ethvert medlem av gruppen av foretak eller gruppe av foretak som deltar i en felles økonomisk aktivitet, særlig ved å gjøre tilgjengelig for tilsynsmyndigheten resultatene av verifikasjoner av de henviste tiltakene til i punkt (j);
• (m) mekanismene for å rapportere til vedkommende tilsynsmyndighet eventuelle juridiske krav som et medlem av gruppen av foretak, eller gruppen av foretak som er engasjert i en felles økonomisk aktivitet er underlagt i et tredjeland som sannsynligvis vil ha en vesentlig negativ virkning på garantiene gitt av de bindende bedriftsreglene; og
• (n) passende databeskyttelsesopplæring til personell som har permanent eller regelmessig tilgang til personopplysninger.
3. Kommisjonen kan spesifisere formatet og prosedyrene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter for bindende selskapsregler i henhold til denne artikkel. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren fastsatt i artikkel 93 nr. 2.

UK GDPR-versjon

Bindende bedriftsregler

1. Kommissæren skal godkjenne bindende selskapsregler, forutsatt at de:
• (a) er juridisk bindende og gjelder for og håndheves av hvert berørt medlem av gruppen av foretak, eller gruppe av foretak som driver en felles økonomisk aktivitet, inkludert deres ansatte;
• (b) uttrykkelig gi håndhevbare rettigheter til registrerte med hensyn til behandlingen av deres personopplysninger; og
• (c) oppfylle kravene fastsatt i nr. 2.
2. De bindende selskapsreglene nevnt i nr. 1 skal minst spesifisere:
• a) strukturen og kontaktopplysningene til gruppen av foretak, eller gruppen av foretak som deltar i en felles økonomisk aktivitet, og for hvert av dens medlemmer;
• (b) dataoverføringene eller settet med overføringer, inkludert kategoriene av personopplysninger, typen behandling og dens formål, typen registrerte som berøres og identifikasjon av det eller de aktuelle tredjelandene;
• (c) deres juridisk bindende natur, både internt og eksternt;
• (d) anvendelsen av de generelle databeskyttelsesprinsippene, særlig formålsbegrensning, dataminimering, begrensede lagringsperioder, datakvalitet, databeskyttelse ved design og som standard, rettslig grunnlag for behandling, behandling av spesielle kategorier av personopplysninger, tiltak for å sikre datasikkerhet, og kravene med hensyn til videre overføringer til organer som ikke er bundet av de bindende selskapsreglene;
• (e) rettighetene til registrerte personer med hensyn til behandling og midler til å utøve disse rettighetene, inkludert retten til ikke å bli gjenstand for avgjørelser basert utelukkende på automatisert behandling, inkludert profilering i samsvar med artikkel 22, kommissæren og for en domstol i i samsvar med artikkel 79 (se § 180 i 2018-loven), og for å oppnå oppreisning og, der det er hensiktsmessig, erstatning for brudd på de bindende selskapsreglene;
• (f) den behandlingsansvarlige eller databehandleren etablert i Storbritannia aksepterer ansvar for eventuelle brudd på de bindende selskapsreglene fra et berørt medlem som ikke er etablert i Storbritannia; den behandlingsansvarlige eller databehandleren skal være unntatt fra dette ansvaret, helt eller delvis, bare hvis det beviser at medlemmet ikke er ansvarlig for hendelsen som forårsaket skaden;
• (g) hvordan informasjonen om de bindende selskapsreglene, særlig om bestemmelsene nevnt i punkt (d), (e) og (f) i dette avsnittet, gis til de registrerte i tillegg til artikkel 13 og 14;
• h) oppgavene til et databeskyttelsesansvarlig utpekt i samsvar med artikkel 37 eller enhver annen person eller enhet som har ansvaret for å overvåke overholdelse av de bindende selskapsreglene innenfor gruppen av foretak, eller gruppen av foretak som driver en felles økonomisk aktivitet, samt overvåking av opplæring og klagebehandling;
• (i) klageprosedyrene;
• (j) mekanismene innenfor gruppen av foretak, eller gruppen av foretak som er engasjert i en felles økonomisk aktivitet, for å sikre verifisering av overholdelse av de bindende selskapsreglene. Slike mekanismer skal omfatte databeskyttelsesrevisjon og metoder for å sikre korrigerende tiltak for å beskytte rettighetene til den registrerte. Resultatene av slik verifisering bør formidles til personen eller enheten nevnt i bokstav h) og til styret for det kontrollerende foretaket i en gruppe av foretak, eller for gruppen av foretak som driver en felles økonomisk aktivitet, og bør være tilgjengelige. på forespørsel til kommissæren;
• (k) mekanismene for å rapportere og registrere endringer i reglene og rapportere disse endringene til kommissæren;
• l) samarbeidsmekanismen med tilsynsmyndigheten for å sikre overholdelse av ethvert medlem av gruppen av foretak, eller gruppe av foretak som deltar i en felles økonomisk aktivitet, særlig ved å gjøre tilgjengelig for kommissæren resultatene av verifikasjoner av tiltakene nevnt i i punkt (j);
• (m) mekanismene for å rapportere til kommisjonæren eventuelle juridiske krav som et medlem av gruppen av foretak, eller gruppen av foretak som er engasjert i en felles økonomisk aktivitet er underlagt i et tredjeland som sannsynligvis vil ha en vesentlig negativ innvirkning på garantier gitt av de bindende bedriftsreglene; og
• (n) passende databeskyttelsesopplæring til personell som har permanent eller regelmessig tilgang til personopplysninger.