Hoe om voldoening aan GDPR Artikel 47 te demonstreer

As 'n ontvangerland nie enige betekenisvolle databeskermingswette het nie (sien artikel 45), BBP Artikel 47 organisasies toelaat om aan te neem bindende korporatiewe reëls, wat dien as 'n toepaslike beskerming teen enige data wat oorgedra gaan word.

GDPR Artikel 47 Regstekst

EU GDPR weergawe

Bindende Korporatiewe Reëls

1. Die bevoegde toesighoudende owerheid sal bindende korporatiewe reëls in ooreenstemming met die konsekwentheidsmeganisme soos uiteengesit in Artikel 63 goedkeur, met dien verstande dat hulle:
• (a) wetlik bindend is en van toepassing is op en afgedwing word deur elke betrokke lid van die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit, insluitend hul werknemers;
• (b) uitdruklik afdwingbare regte aan datasubjekte verleen met betrekking tot die verwerking van hul persoonlike data; en
• (c) voldoen aan die vereistes neergelê in paragraaf 2.
2. Die bindende korporatiewe reëls waarna in paragraaf 1 verwys word, moet ten minste spesifiseer:
• (a) die struktuur en kontakbesonderhede van die groep ondernemings, of groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is en van elk van sy lede;
• (b) die data-oordragte of stel oordragte, insluitend die kategorieë van persoonlike data, die tipe verwerking en die doeleindes daarvan, die tipe datasubjekte wat geraak word en die identifikasie van die betrokke derde land of lande;
• (c) hul wetlik bindende aard, beide intern en ekstern;
• (d) die toepassing van die algemene databeskermingsbeginsels, in besonder doelbeperking, dataminimisering, beperkte bergingstydperke, datakwaliteit, databeskerming deur ontwerp en by verstek, regsgrondslag vir verwerking, verwerking van spesiale kategorieë persoonlike data, maatreëls om datasekuriteit te verseker, en die vereistes ten opsigte van voortgaande oordragte aan liggame wat nie deur die bindende korporatiewe reëls gebind is nie;
• (e) die regte van datasubjekte met betrekking tot verwerking en die middele om daardie regte uit te oefen, insluitend die reg om nie onderhewig te wees aan besluite wat uitsluitlik op geoutomatiseerde verwerking gebaseer is nie, insluitend profilering in ooreenstemming met Artikel 22, die reg om 'n klag in te dien by die bevoegde toesighoudende owerheid en voor die bevoegde howe van die lidlande in ooreenstemming met artikel 79, en om regstelling en, waar toepaslik, vergoeding te verkry vir 'n oortreding van die bindende korporatiewe reëls;
• (f) die aanvaarding deur die kontroleerder of verwerker wat op die grondgebied van 'n lidstaat gevestig is van aanspreeklikheid vir enige oortredings van die bindende korporatiewe reëls deur enige betrokke lid wat nie in die Unie gevestig is nie; die kontroleerder of die verwerker sal vrygestel word van daardie aanspreeklikheid, geheel of gedeeltelik, slegs indien dit bewys dat daardie lid nie verantwoordelik is vir die gebeurtenis wat tot die skade aanleiding gegee het nie;
• (g) hoe die inligting oor die bindende korporatiewe reëls, veral oor die bepalings bedoel in punte (d), (e) en (f) van hierdie paragraaf, bykomend tot Artikels 13 en 14 aan die datasubjekte verskaf word;
• (h) die take van enige databeskermingsbeampte wat ooreenkomstig Artikel 37 aangewys is of enige ander persoon of entiteit wat verantwoordelik is vir die monitering van die nakoming van die bindende korporatiewe reëls binne die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit, asook die monitering van opleiding en klagtehantering;
• (i) die klagteprosedures;
• (j) die meganismes binne die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit om die verifikasie van voldoening aan die bindende korporatiewe reëls te verseker. Sulke meganismes sal databeskermingsoudits en metodes insluit om regstellende aksies te verseker om die regte van die datasubjek te beskerm. Resultate van sodanige verifikasie moet gekommunikeer word aan die persoon of entiteit bedoel in punt (h) en aan die direksie van die beherende onderneming van 'n groep ondernemings, of van die groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is, en moet beskikbaar wees op versoek aan die bevoegde toesighoudende owerheid;
• (k) die meganismes om veranderinge aan die reëls aan te meld en aan te teken en daardie veranderinge aan die toesighoudende gesag aan te meld;
• (l) die samewerkingsmeganisme met die toesighoudende owerheid om nakoming te verseker deur enige lid van die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit, veral deur die resultate van verifikasies van die maatreëls waarna verwys word aan die toesighoudende owerheid beskikbaar te stel. tot in punt (j);
• (m) die meganismes om aan die bevoegde toesighoudende owerheid verslag te doen oor enige wetlike vereistes waaraan 'n lid van die groep ondernemings, of groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is, in 'n derde land onderworpe is wat waarskynlik 'n wesenlike nadelige uitwerking sal hê oor die waarborge verskaf deur die bindende korporatiewe reëls; en
• (n) die toepaslike databeskermingsopleiding aan personeel wat permanente of gereelde toegang tot persoonlike data het.
3. Die Kommissie kan die formaat en prosedures vir die uitruil van inligting tussen beheerders, verwerkers en toesighoudende owerhede spesifiseer vir bindende korporatiewe reëls binne die betekenis van hierdie Artikel. Daardie uitvoeringshandelinge word aangeneem ooreenkomstig die ondersoekprosedure soos uiteengesit in artikel 93(2).

Britse GDPR-weergawe

Bindende Korporatiewe Reëls

1. Die Kommissaris sal bindende korporatiewe reëls goedkeur, met dien verstande dat dit:
• (a) wetlik bindend is en van toepassing is op en afgedwing word deur elke betrokke lid van die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit, insluitend hul werknemers;
• (b) uitdruklik afdwingbare regte aan datasubjekte verleen met betrekking tot die verwerking van hul persoonlike data; en
• (c) voldoen aan die vereistes neergelê in paragraaf 2.
2. Die bindende korporatiewe reëls waarna in paragraaf 1 verwys word, moet ten minste spesifiseer:
• (a) die struktuur en kontakbesonderhede van die groep ondernemings, of groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is en van elk van sy lede;
• (b) die data-oordragte of stel oordragte, insluitend die kategorieë van persoonlike data, die tipe verwerking en die doeleindes daarvan, die tipe datasubjekte wat geraak word en die identifikasie van die betrokke derde land of lande;
• (c) hul wetlik bindende aard, beide intern en ekstern;
• (d) die toepassing van die algemene databeskermingsbeginsels, in besonder doelbeperking, dataminimisering, beperkte bergingstydperke, datakwaliteit, databeskerming deur ontwerp en by verstek, regsgrondslag vir verwerking, verwerking van spesiale kategorieë persoonlike data, maatreëls om datasekuriteit te verseker, en die vereistes ten opsigte van voortgaande oordragte aan liggame wat nie deur die bindende korporatiewe reëls gebind is nie;
• (e) die regte van datasubjekte met betrekking tot verwerking en die middele om daardie regte uit te oefen, insluitend die reg om nie onderhewig te wees aan besluite wat uitsluitlik op geoutomatiseerde verwerking gebaseer is nie, insluitend profilering in ooreenstemming met Artikel 22, die Kommissaris en voor 'n hof in ooreenkomstig Artikel 79 (sien artikel 180 van die 2018-wet), en om regstelling en, waar toepaslik, vergoeding te verkry vir 'n oortreding van die bindende korporatiewe reëls;
• (f) die aanvaarding deur die beheerder of verwerker gevestig in die Verenigde Koninkryk van aanspreeklikheid vir enige oortredings van die bindende korporatiewe reëls deur enige betrokke lid wat nie in die Verenigde Koninkryk gevestig is nie; die kontroleerder of die verwerker sal vrygestel word van daardie aanspreeklikheid, geheel of gedeeltelik, slegs indien dit bewys dat daardie lid nie verantwoordelik is vir die gebeurtenis wat tot die skade aanleiding gegee het nie;
• (g) hoe die inligting oor die bindende korporatiewe reëls, veral oor die bepalings bedoel in punte (d), (e) en (f) van hierdie paragraaf, bykomend tot Artikels 13 en 14 aan die datasubjekte verskaf word;
• (h) die take van enige databeskermingsbeampte wat ooreenkomstig Artikel 37 aangewys is of enige ander persoon of entiteit wat verantwoordelik is vir die monitering van die nakoming van die bindende korporatiewe reëls binne die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit, asook die monitering van opleiding en klagtehantering;
• (i) die klagteprosedures;
• (j) die meganismes binne die groep ondernemings, of groep ondernemings wat betrokke is by 'n gesamentlike ekonomiese aktiwiteit om die verifikasie van voldoening aan die bindende korporatiewe reëls te verseker. Sulke meganismes sal databeskermingsoudits en metodes insluit om regstellende aksies te verseker om die regte van die datasubjek te beskerm. Resultate van sodanige verifikasie moet gekommunikeer word aan die persoon of entiteit bedoel in punt (h) en aan die direksie van die beherende onderneming van 'n groep ondernemings, of van die groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is, en moet beskikbaar wees op versoek aan die Kommissaris;
• (k) die meganismes om veranderinge aan die reëls aan te meld en aan te teken en om daardie veranderinge aan die Kommissaris te rapporteer;
• (l) die samewerkingsmeganisme met die toesighoudende owerheid om nakoming te verseker deur enige lid van die groep ondernemings, of groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is, veral deur die resultate van verifikasies van die maatreëls waarna verwys word aan die Kommissaris beskikbaar te stel. in punt (j);
• (m) die meganismes om aan die Kommissaris verslag te doen oor enige wetlike vereistes waaraan 'n lid van die groep ondernemings, of groep ondernemings wat by 'n gesamentlike ekonomiese aktiwiteit betrokke is in 'n derde land onderworpe is wat waarskynlik 'n wesenlike nadelige uitwerking op die waarborge verskaf deur die bindende korporatiewe reëls; en
• (n) die toepaslike databeskermingsopleiding aan personeel wat permanente of gereelde toegang tot persoonlike data het.