ГЛАВА V. Передавання персональних даних до третіх країн або міжнародних організацій
Стаття 47. Зобов'язальні корпоративні правила
- Компетентний наглядовий орган затверджує зобов'язальні корпоративні правила відповідно до механізму послідовності, встановленого в статті 63, за умови, що вони:
- мають обов'язкову юридичну силу, їх застосовує і забезпечує їх виконання кожний зацікавлений член групи підприємств або групи підприємств, що здійснюють спільну господарську діяльність, в тому числі, їхні працівники;
- прямо надають суб'єктам даних права, як можна реалізувати, у зв'язку з опрацюванням їхніх персональних даних; і
- відповідають вимогам, встановленим у параграфі 2.
- Зобов'язальні корпоративні правила, вказані в параграфі 1, повинні чітко визначати принаймні:
- структуру та контактні дані групи підприємств або групи підприємств, що здійснюють спільну господарську діяльність, та кожного з їхніх членів;
- передавання даних чи низку актів передавання, у тому числі категорії персональних даних, тип опрацювання і його цілі, тип суб'єктів даних, що зазнали впливу, та визначення відповідної третьої країни чи країн;
- їхню обов'язкову юридичну природу, як внутрішню, так і зовнішню;
- застосування загальних принципів захисту даних, зокрема, цільове обмеження, мінімізацію даних, обмежені періоди зберігання, якість даних, захист даних за призначенням і за замовчуванням, законодавчу базу опрацювання, опрацювання спеціальних категорій персональних даних, заходи для гарантування безпеки даних і вимоги щодо наступних актів передавання до органів, що не пов'язані зобов'язальними корпоративними правилами;
- права суб'єктів даних у сфері опрацювання і засоби реалізації таких прав, у тому числі, права не підлягати рішенням, що ґрунтуються винятково на автоматизованому опрацюванні, в тому числі, профайлінгу відповідно до статті 22, права подавати скаргу до компетентного наглядового органу та компетентних судів держав-членів згідно зі статтею 79, та отримувати правовий захист і, за необхідності, відшкодування за порушення зобов'язальних корпоративних правил;
- визнання контролером або оператором, що має осідок на території держави-члена, відповідальності за будь-які порушення зобов'язальних корпоративних правил будь-яким залученим членом, що перебуває поза межами Союзу; контролер або оператор звільняються від такої відповідальності, частково або повністю лише за умов доведення, що такий член не несе відповідальності за подію, внаслідок якої заподіяно шкоду;
- як інформацію про зобов'язальні корпоративні правила, зокрема про положення, вказані в пунктах (d), (e) і (f) цього параграфа, надають суб'єктам даних, в доповнення до статей 13 і 14;
- завдання будь-якого співробітника з питань захисту даних, призначеного відповідно до статті 37, або будь-якої іншої особи чи установи, відповідальної за моніторинг дотримання зобов'язальних корпоративних правил в межах групи підприємств або групи підприємств, що здійснюють спільну господарську діяльність, а також моніторинг підготування та розгляду скарг;
- процедури подання і розгляду скарг;
- механізми в межах групи підприємств або групи підприємств, що здійснюють спільну господарську діяльність, для забезпечення перевірки відповідності зобов'язальним корпоративним правилам. Такі механізми передбачають перевірки захисту даних і методи забезпечення вжиття виправних дій для захисту прав суб'єкта даних. Результати такої перевірки необхідно повідомляти особі чи установі, вказаній в пункті (h), і раді контролюючого підприємства групи підприємств чи групи підприємств, що здійснюють спільну господарську діяльність, та надавати на запит компетентного наглядового органу;
- механізми для звітування та запису змін до правил і звітування про такі зміни до наглядового органу;
- механізм співпраці з наглядовим органом для забезпечення дотримання будь-яким членом групи підприємств або групи підприємств, що здійснюють спільну господарську діяльність, зокрема шляхом надання наглядовому органу результатів перевірок заходів, вказаних у пункті (j);
- механізми для звітування до компетентного наглядового органу про будь-які законні вимоги, які поширюються на члена групи підприємств або групи підприємств, що здійснюють спільну господарську діяльність в третій країні, що ймовірно матимуть суттєві негативні наслідки для гарантій, передбачених зобов'язальними корпоративними правилами; та
- відповідне навчання з питань захисту даних для персоналу, що має постійний або регулярний доступ до персональних даних.
- Комісія має право визначити формат і процедури для обміну інформацією між контролерами, операторами і наглядовими органами для виконання зобов'язальних корпоративних правил у значенні цієї статті. Такі імплементаційні акти ухвалюють відповідно до експертної процедури, встановленої в статті 93(2).