Kodex chování v oblasti ochrany osobních údajů (Code of Conduct)

1.1 Společnost ExxonMobil se zavazuje chránit osobní údaje zejména prostřednictvím:

i. zákonného a transparentního zpracování osobních údajů, které jí byly svěřeny

ii. odpovědného řízení rizik spojených se zpracováním osobních údajů v souladu s obchodními potřebami

1.2 Společnost ExxonMobil a její zaměstnanci jsou povinni při zpracování osobních údajů dodržovat tento Kodex. Tento Kodex je součástí povinností vyplývajících z dodržování pravidel stanovených v Politice správy firemního majetku. Všechny interní politiky musí být přečteny, pochopeny a dodržovány jako součást smluvních a/nebo pracovněprávních povinností zaměstnanců. Seznam politik je dostupný na stránce Kodex etiky | ExxonMobil.

1.3 Dodržování Kodexu a souvisejících programů, nástrojů a postupů je zajišťováno prostřednictvím:

i. sítě určených kontaktních osob pro oblast ochrany osobních údajů

ii. Kanceláře pro ochranu osobních údajů ExxonMobil, tvořené odborníky na ochranu údajů, kteří poskytují poradenství při hodnocení dopadů na soukromí a odpovídají za úkoly uvedené v článcích 3.3, 8.2, 9.3, 15.1 a 18.2.x Kodexu pověřenců pro ochranu osobních údajů u jednotlivých přidružených společností (pokud byli jmenováni), kteří dohlížejí na dodržování příslušných právních předpisů a Kodexu, poskytují poradenství, podávají zprávy a v případě potřeby eskalují závažné otázky vedení společnosti, včetně představenstva a evropského právního zástupce. Zároveň slouží jako kontaktní osoby pro jednotlivce a příslušné dozorové orgány

iii. globální podnikové struktury, v rámci které vedoucí pracovníci společnosti ExxonMobil dohlížejí na činnost Kanceláře pro ochranu osobních údajů

1.4 Společnost ExxonMobil Petroleum & Chemical BV, se sídlem na adrese Polderdijkweg, 2030 Antverpy, Belgie, se aktivně podílí na globálním řízení ochrany osobních údajů a zastává klíčovou roli v ochraně osobních údajů v evropském prostoru. Podrobnosti o této roli a právech subjektů údajů jsou uvedeny v článku 18 Kodexu.

1.5 Tento Kodex představuje závazná podniková pravidla společnosti ExxonMobil ve smyslu evropských právních předpisů o ochraně osobních údajů.

2.1 Společnost ExxonMobil uplatňuje tento Kodex ve všech zemích, kde dochází ke zpracování osobních údajů.

2.2 Kodex se vztahuje na osobní údaje jednotlivců, zejména současných a bývalých zaměstnanců, uchazečů o zaměstnání, dodavatelů, zástupců zákazníků a obchodních partnerů, jakož i spotřebitelů. Všichni jednotlivci mají přístup k oznámením o ochraně soukromí, která odpovídají požadavkům evropských právních předpisů, uvádějí typy a kategorie zpracovávaných údajů a jsou dostupná na interních i veřejných webových stránkách společnosti ExxonMobil. V případě potřeby jsou smlouvy podřízeny povinnosti mlčenlivosti a dostupné pouze smluvním stranám.

2.3 Kodex se nevztahuje na anonymizované informace nebo jiné údaje, které nelze považovat za osobní.

2.4 Společnost ExxonMobil zpracovává osobní údaje pro obchodní účely, zejména za účelem:

i. správy lidských zdrojů, včetně výpočtu mezd a rozvoje kariéry

ii. ověřování souladu jednotlivců s interními politikami a pravidly pro používání firemních prostředků

iii. zajištění fyzické bezpečnosti a kontroly přístupu do budov

iv. správy IT systémů, včetně poskytování softwaru a hardwaru, řízení přístupových práv a aktualizace bezpečnostních opatření

v. správy vztahů se zákazníky a obchodními partnery, včetně zpracování kontaktních a transakčních údajů pro účely objednávek, dodávek, fakturace a rozvoje podnikání

vi. komunikace s orgány veřejné správy za účelem splnění zákonných povinností

vii. komunikace s externími zainteresovanými stranami v souvislosti s obchodními aktivitami společnosti ExxonMobil

3.1 Osobní údaje jsou zpracovávány zákonným způsobem.

3.2 Tento Kodex stanovuje minimální úroveň ochrany osobních údajů. Pokud platné právní předpisy vyžadují vyšší úroveň ochrany, ExxonMobil uplatní tuto vyšší úroveň. Například pokud je zpracování povoleno pouze na základě zákonem stanoveného právního důvodu (viz články 18.2.iv a v), ExxonMobil postupuje v souladu s těmito požadavky.

3.3 Společnost ExxonMobil, s podporou Kanceláře pro ochranu osobních údajů a pověřenců (pokud byli jmenováni), sleduje právní vývoj v oblasti ochrany osobních údajů na globální úrovni, aby zajistila soulad s Kodexem. Tento proces zahrnuje i hodnocení uvedená v článku 18.8. Pokud ExxonMobil zjistí, že některý právní předpis brání dodržování Kodexu, přijme odpovědné rozhodnutí o dalším postupu po konzultaci s příslušnými odborníky. Pověřenec pro ochranu osobních údajů informuje a konzultuje s příslušným dozorovým orgánem jak v případech vyžadovaných zákonem, tak i v případech, kdy by právní předpis mohl významně ohrozit záruky poskytované Kodexem.

Pokud to vyžadují platné právní předpisy, osobní údaje musí být zpracovávány pouze pro konkrétní a legitimní účely, vždy na základě odpovídajícího právního důvodu. Další zpracování nesmí být v rozporu s původním účelem, s výjimkou případů, kdy:

i. k němu dal jednotlivec souhlas nebo povolení

ii. je nezbytné v naléhavé situaci, kdy je ohrožen život nebo zásadní zájmy jednotlivce

iii. je nezbytné pro uplatnění, výkon nebo obhajobu právního nároku

5.1 ExxonMobil se zavazuje zpracovávat pouze osobní údaje, které jsou relevantní pro její obchodní účely, jak je uvedeno v oddílu 2.4 výše. Pokud je to možné, osobní údaje jsou mazány, agregovány a/nebo pseudonymizovány, aby bylo zajištěno, že je pro daný účel zpracováno pouze nezbytné minimum údajů.

5.2 Osobní údaje budou uchovávány pouze po dobu nezbytnou k dosažení účelů, pro které byly zpracovány.

5.3 Pokud to vyžaduje platný zákon, ExxonMobil přijme opatření ke snížení rozsahu zpracování osobních údajů, včetně principu ‚privacy by design‘ (ochrana soukromí již při návrhu).

S ohledem na účel, pro který jsou osobní údaje zpracovávány, ExxonMobil přijme přiměřená opatření k:

i. zachování přesnosti osobních údajů

ii. aktualizaci osobních údajů, pokud je o změnách informována jednotlivcem nebo důvěryhodným zdrojem

8.1 Na základě posouzení souvisejících rizik ExxonMobil uplatní vhodná technická a organizační opatření k:

i. zajištění, že evropské osobní údaje jsou zpracovávány v souladu se zákony o ochraně osobních údajů

ii. ochraně osobních údajů před narušením bezpečnosti osobních údajů

Tato opatření jsou uvedena v plánu informační bezpečnosti založeném na mezinárodně uznávaných bezpečnostních standardech.

8.2 V případě narušení bezpečnosti osobních údajů ExxonMobil:

i. konzultuje s Kanceláří pro ochranu osobních údajů (Data Privacy Office), která vede záznamy o incidentech

ii. informuje příslušný regulační orgán a dozorový úřad

iii. informuje jednotlivce o narušení v souladu s platnými zákony

9.1 Pokud to vyžaduje platný zákon, ExxonMobil odpoví na žádosti jednotlivců o:

i. informaci, zda a jaké kategorie osobních údajů o nich ExxonMobil zpracovává

ii. poskytnutí kopie jejich osobních údajů

iii. výmaz, omezení, odstranění nebo ukončení zpracování jejich osobních údajů

iv. odvolání souhlasu se zpracováním, pokud to umožňuje platný zákon

v. přenositelnost údajů

9.2 Jednotlivci mohou požádat ExxonMobil o opravu nepřesných osobních údajů, které se jich týkají, v souladu s oddílem 6.

9.3 Pro uplatnění těchto práv nebo pro vznesení obavy či stížnosti, že ExxonMobil nedodržuje Kodex, se mohou jednotlivci obrátit na Kancelář pro ochranu osobních údajů ExxonMobil a získat informace o postupu vyřizování stížností:

• E-mailem na adresu: data.privacy.office@exxonmobil.com
• Písemně na adresu: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Maďarsko

Jednotlivci se mohou také obrátit na pověřence pro ochranu osobních údajů (pokud je jmenován) pomocí stejných kontaktních údajů, přičemž do předmětu e-mailu uvedou ‚DP Officer‘.

ExxonMobil se zavazuje poskytovat povinné školení týkající se povinností stanovených v Kodexu zaměstnancům a dodavatelům, kteří mají přístup k našim systémům a kteří:

i. zpracovávají osobní údaje, nebo

ii. se podílejí na údržbě či vývoji nástrojů používaných ke zpracování osobních údajů

Toto školení probíhá na začátku pracovního poměru nebo přiřazení ke společnosti ExxonMobil a následně každé 3 roky.

Průběžné vzdělávání je podporováno Kanceláří pro ochranu osobních údajů a dostupné v rámci stávajících školicích systémů ExxonMobil.

13.1 ExxonMobil uplatňuje programy pro pravidelné ověřování implementace a dodržování Kodexu.

13.2 Programy ověřování souladu zahrnují:

i. auditní program, který zahrnuje pravidelné audity jednotek a obchodních linií ExxonMobil prováděné interním auditním oddělením, následné nápravné opatření a dohled nad programem a výsledky auditů ze strany představenstva ExxonMobil Corporation

ii. členové interního auditního oddělení ExxonMobil mají zaručenou nezávislost při výkonu svých povinností, včetně rozsahu, procesu a frekvence. To zajišťuje nezávislost auditního oddělení a výsledků auditů. Výsledky jsou sdělovány vedení auditované jednotky nebo obchodní linie, pověřenci pro ochranu osobních údajů (pokud je jmenován) a zástupci představenstva ExxonMobil Petroleum & Chemical BV, aby bylo zajištěno provedení doporučení

iii. interní auditní oddělení zajistí následné kroky k nálezům z auditů. Dohled nad auditním oddělením a programem, včetně všech výsledků auditů, vykonávají členové výboru pro audit představenstva ExxonMobil Corporation, což zajišťuje skutečnou nezávislost funkcí auditního oddělení

iv. dodatečný proces, kdy jednotka nebo obchodní linie může požádat o provedení auditu interním auditním oddělením

14.1 ExxonMobil bude spolupracovat s příslušnými dozorovými úřady, reagovat na žádosti o informace týkající se zpracování podle Kodexu a pečlivě zváží jejich doporučení týkající se uplatňování tohoto Kodexu.

14.2 Při výkonu veřejných povinností ze strany příslušného dozorového úřadu bude ExxonMobil spolupracovat a dodržovat formální a zákonné rozhodnutí těchto úřadů, která jsou konečná a nepodléhají dalšímu odvolání.

14.3 Při předávání osobních údajů mezi přidruženými společnostmi budou tyto společnosti spolupracovat a vzájemně si pomáhat, pokud to bude nutné pro reakci na žádosti příslušných dozorových úřadů

15.1 Kodex může být společností ExxonMobil upraven podle potřeby, například za účelem zajištění souladu se změnami platných zákonů nebo odrážení změn v interní organizaci a procesech. Změny Kodexu jsou zaznamenávány a uchovávány Kanceláří pro ochranu osobních údajů a oznamovány všem přidruženým společnostem ExxonMobil (pouze podstatné změny).

15.2 ExxonMobil bude komunikovat s příslušným dozorovým úřadem následovně:

• podstatné změny Kodexu a vnitroskupinové dohody budou oznámeny bez zbytečného odkladu
• jednou ročně bude ExxonMobil informovat o změnách Kodexu a/nebo seznamu přidružených společností, které jsou Kodexem vázány, včetně stručného popisu změn. Pokud ke změnám nedošlo, bude tato skutečnost rovněž oznámena jako součást roční komunikace

15.3 ExxonMobil zpřístupní Kodex a jeho změny:

• veřejně na svých webových stránkách
• na žádost jednotlivce v souladu s oddílem 9.3
• interně na intranetu společnosti ExxonMobil

18.1 Ve vztahu k evropským osobním údajům nese ExxonMobil odpovědnost za dodržování všech závazků uvedených v Kodexu. Pokud přísnější evropské zákony o ochraně osobních údajů stanoví vyšší úroveň ochrany, ExxonMobil tuto vyšší úroveň uplatní. ExxonMobil neprodleně informuje vývozce údajů a společnost ExxonMobil Petroleum & Chemical BV, pokud již nemůže dodržovat Kodex – například v důsledku změny právních předpisů v cílové zemi nebo požadavku vládního přístupu k údajům.

18.2 V případě, že evropské osobní údaje jsou předávány přidruženým společnostem mimo evropský region, ExxonMobil zajistí úroveň ochrany, která nenaruší úroveň ochrany poskytovanou evropskými zákony o ochraně osobních údajů – i když taková ochrana není zaručena právními předpisy v zemích mimo Evropu, kde jsou údaje přijímány.

To konkrétně znamená, že ExxonMobil bude:

i. nezpracovávat evropské osobní údaje odhalující rasový nebo etnický původ, politické názory, náboženské či filozofické přesvědčení, členství v odborech, zdravotní stav, sexuální život, sexuální orientaci, genetické údaje nebo biometrické údaje za účelem jednoznačné identifikace jednotlivce, pokud takové zpracování není povoleno evropskými zákony o ochraně osobních údajů

ii. nezpracovávat evropské osobní údaje týkající se trestních odsouzení a trestných činů jinak než v souladu s evropskými zákony

iii. provádět posouzení dopadu u operací zpracování s vysokým rizikem v souladu s evropskými zákony, a pokud rizika zůstávají vysoká i po zavedení zmírňujících opatření doporučených pověřenci pro ochranu osobních údajů a právními poradci, konzultovat s příslušným dozorovým úřadem

iv. zpracovávat evropské osobní údaje pro konkrétní a legitimní obchodní účely na základě platného právního základu, konkrétně:

• pokud je zpracování nezbytné pro oprávněné zájmy ExxonMobil nebo třetí strany, pokud tyto zájmy nejsou převáženy zájmy nebo základními právy a svobodami jednotlivce

• pokud jednotlivec udělil souhlas se zpracováním svých osobních údajů pro jeden nebo více konkrétních účelů

• pokud je zpracování nezbytné pro plnění smlouvy, jejíž stranou je jednotlivec, nebo pro provedení opatření před uzavřením smlouvy

• pokud je zpracování nezbytné pro splnění právní povinnosti, která se na ExxonMobil vztahuje

• ve výjimečných případech, pokud je zpracování nezbytné k ochraně životně důležitých zájmů jednotlivce nebo jiné fyzické osoby

v. zpracovávat zvláštní kategorie osobních údajů podle evropských zákonů pouze pro konkrétní a legitimní obchodní účely na základě platného právního základu, konkrétně:

• pokud jednotlivec udělil výslovný souhlas

• pokud je zpracování nezbytné pro plnění povinností a výkon specifických práv ExxonMobil nebo jednotlivce v oblasti pracovního práva, sociálního zabezpečení a sociální ochrany

• pokud je zpracování nezbytné pro preventivní nebo pracovní lékařství, posouzení pracovní schopnosti zaměstnance, lékařskou diagnostiku, poskytování zdravotní nebo sociální péče nebo řízení systémů a služeb zdravotní či sociální péče

vi. zpracovávat evropské osobní údaje, které jsou přiměřené, relevantní a omezené na nezbytné účely

vii. uplatňovat principy „privacy by design“ a „privacy by default“

viii. vést digitální, písemný záznam o činnostech zpracování, který bude na vyžádání dostupný příslušnému dozorovému úřadu

ix. informovat jednotlivce o použití a účelu zpracování evropských osobních údajů, včetně odkazu na tento Kodex, v souladu s evropskými zákony

x. uplatňovat stejnou úroveň bezpečnostních opatření jako stanovují evropské zákony

xi. v případě narušení bezpečnosti evropských osobních údajů:

1. konzultovat s Kanceláří pro ochranu osobních údajů a pověřencem pro ochranu osobních údajů, kteří pomohou s posouzením rizika, zaznamenají incident do interního registru a zpřístupní dokumentaci příslušnému úřadu

2. oznámit narušení příslušnému dozorovému úřadu bez zbytečného odkladu, nejpozději do 72 hodin od zjištění, pokud není pravděpodobné, že narušení představuje riziko pro práva a svobody fyzických osob

3. informovat bez zbytečného odkladu společnost ExxonMobil Petroleum & Chemical BV

4. informovat jednotlivce bez zbytečného odkladu, pokud je narušení pravděpodobně spojeno s vysokým rizikem pro jejich práva a svobody

5. pokud narušení vzniklo činností zpracovatele, informovat bez zbytečného odkladu správce údajů

xii. reagovat na žádosti a stížnosti jednotlivců týkající se zpracování evropských osobních údajů v souladu s oddílem 18.7

xiii. umožnit jednotlivcům vznést námitku proti zpracování jejich osobních údajů nebo proti rozhodnutí založenému výhradně na automatizovaném zpracování, které má právní účinky nebo obdobně významný dopad, pokud takové rozhodnutí není povoleno evropskými zákony

xiv. předávat evropské osobní údaje třetím stranám mimo evropský region pouze v souladu s evropskými zákony

xv. uzavírat smlouvy se zpracovateli, které jsou v souladu s evropskými zákony

xvi. jmenovat pověřence pro ochranu osobních údajů v evropském regionu, kteří budou specificky dohlížet na dodržování evropských zákonů. Tito pověřenci mohou v souladu s evropskými zákony požadovat provedení auditu na podporu svých kontrolních povinností.

18.3 Příslušné dozorové úřady v evropském regionu mohou ověřovat dodržování Kodexu, včetně provádění auditů společnosti ExxonMobil v souladu s právy na audit, které jim přiznávají evropské zákony o ochraně osobních údajů. Výsledky auditů týkající se všech osobních údajů jsou sdělovány způsobem popsaným v oddílu 13.2 a na žádost budou poskytnuty i příslušnému dozorovému úřadu. Jakýkoli spor týkající se výkonu dohledu nad dodržováním tohoto Kodexu bude řešen soudy země příslušného dozorového úřadu v souladu s evropskými zákony. ExxonMobil souhlasí s podřízením se příslušné jurisdikci.

Všechny přidružené společnosti budou spolupracovat se společností ExxonMobil Petroleum & Chemical BV podle potřeby za účelem reakce na žádosti příslušných dozorových úřadů o poskytnutí relevantních výsledků auditů a inspekcí, včetně auditů na místě, týkajících se Kodexu.

ExxonMobil bude dodržovat doporučení příslušných dozorových úřadů v evropském regionu ve vztahu k evropským osobním údajům, s výhradou vyčerpání všech právních prostředků, pokud to ExxonMobil považuje za vhodné.

18.4 Jednotlivec, jehož evropské osobní údaje jsou předávány přidružené společnosti mimo evropský region, získává práva třetí strany z následujících ustanovení Kodexu a může je přímo vymáhat: oddíly 15.3 a 18.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 18.3 až 18.8, a to prostřednictvím:

i. kontaktování Kanceláře pro ochranu osobních údajů ExxonMobil podle oddílu 9.3

ii. podání stížnosti příslušnému dozorovému úřadu v místě obvyklého bydliště, pracoviště nebo místa údajného porušení Kodexu

iii. zahájení řízení proti příslušné přidružené společnosti se sídlem v evropském regionu před příslušným soudem v evropském regionu

iv. zahájení řízení proti společnosti ExxonMobil Petroleum & Chemical BV se sídlem na adrese Polderdijkweg, 2030 Antverpy, Belgie, před belgickým úřadem pro ochranu osobních údajů nebo bruselskými soudy či jinými příslušnými soudy, pokud to evropské zákony umožňují

18.5 Pokud je podle oddílu 18.4 podána oprávněná stížnost nebo nárok, společnost ExxonMobil Petroleum & Chemical BV přijímá odpovědnost za jakékoli porušení Kodexu ze strany přidružené společnosti se sídlem mimo evropský region a zavazuje se přijmout nezbytná opatření k nápravě porušení a v případě potřeby uhradit škodu vzniklou v důsledku takového porušení, v souladu s konečným rozhodnutím soudu nebo příslušného dozorového úřadu, které nepodléhá dalšímu odvolání.

18.6 Pokud je podle oddílu 18.4 podána stížnost, nárok nebo zahájeno řízení, jednotlivec nemusí prokazovat skutečné porušení Kodexu ze strany přidružené společnosti mimo evropský region; postačuje, že prokáže vznik škody a že tato škoda pravděpodobně vznikla v důsledku porušení Kodexu. Důkazní břemeno pak přechází na společnost ExxonMobil Petroleum & Chemical BV, která musí prokázat, že přidružená společnost mimo evropský region Kodex neporušila. Pokud se jí to podaří, může se z odpovědnosti vyvázat.

18.7 ExxonMobil odpoví na žádosti nebo stížnosti týkající se zpracování evropských osobních údajů bez zbytečného odkladu, nejpozději však do jednoho měsíce od obdržení žádosti nebo stížnosti. Tuto lhůtu lze v případě potřeby a pokud to evropské zákony umožňují prodloužit o další dva měsíce, přičemž o prodloužení bude jednotlivec písemně informován. Kancelář pro ochranu osobních údajů ExxonMobil a pověřenci pro ochranu osobních údajů slouží jako kontaktní a eskalační místo pro zaměstnance společnosti ExxonMobil, kteří odpovídají na takové žádosti nebo stížnosti.

Stížnosti mohou jednotlivci podávat společnosti ExxonMobil e-mailem nebo písemně v souladu s oddílem 9.3 Kodexu. ExxonMobil uznává žádosti a stížnosti podané přímo jednotlivci nebo prostřednictvím zástupce neziskového subjektu, organizace nebo sdružení jednajícího jménem jednotlivce, pokud to evropské právní předpisy o ochraně osobních údajů umožňují.

Pokud ExxonMobil uzná stížnost jako oprávněnou, informuje jednotlivce o způsobu nápravy problému, který vedl ke stížnosti. Pokud je stížnost zamítnuta nebo jednotlivec není spokojen s odpovědí společnosti ExxonMobil, může podat stížnost nebo zahájit řízení v souladu s oddíly 18.4.ii a 18.4.iii Kodexu. Dále, pokud se stížnost týká zpracování evropských osobních údajů přidruženými společnostmi se sídlem mimo evropský region, může jednotlivec podat stížnost nebo zahájit řízení také podle oddílu 18.4.iv.

18.8 ExxonMobil provádí a dokumentuje posouzení (Assessments), aby určila, zda je předání evropských osobních údajů příjemci údajů mimo evropský region na základě Kodexu dostatečně chráněno a zda je třeba zavést doplňková opatření na základě výsledků tohoto posouzení. Tato posouzení jsou průběžně aktualizována tak, aby odrážela změny právních předpisů, které mohou ovlivnit hodnocení rizik. Vývozci údajů sledují vývoj v cílové zemi ve spolupráci s příjemci údajů, pokud je to vhodné.

V souladu s oddílem 18.1 ExxonMobil neprodleně informuje vývozce údajů a společnost ExxonMobil Petroleum & Chemical BV, pokud již nemůže dodržovat Kodex v důsledku změny právních předpisů. Výsledky posouzení, včetně rozhodnutí o pozastavení nebo ukončení předání, jsou sdělovány přidruženým společnostem prostřednictvím Kanceláře pro ochranu osobních údajů. Zavedení doplňkových opatření je zaznamenáno spolu s posouzením.

Posouzení zkoumá všechny aspekty předání, včetně toho, zda místní zákony a praxe v cílové zemi:

• respektují podstatu základních práv a svobod

• nepřekračují to, co je nezbytné a přiměřené v demokratické společnosti k ochraně před požadavky na zpřístupnění nebo autorizovaný přístup k evropským osobním údajům

• vyžadují zpřístupnění evropských osobních údajů nebo umožňují přístup veřejným orgánům

a zda mají podstatný negativní dopad na záruky a závazky uvedené v Kodexu. V souladu s oddílem 18.1 ExxonMobil neprodleně informuje vývozce údajů a společnost ExxonMobil Petroleum & Chemical BV.

Pokud posouzení určí, že místní zákony a praxe mají takový negativní dopad, ExxonMobil ve spolupráci s ExxonMobil Petroleum & Chemical BV, Kanceláří pro ochranu osobních údajů a pověřenci pro ochranu osobních údajů přezkoumá stávající smluvní, technická a organizační bezpečnostní opatření a rozhodne, zda je třeba je doplnit ke snížení rizika. Tento proces se vztahuje i na stávající předání, která byla příjemcem údajů označena jako ovlivněná místními zákony. Tato předání jsou okamžitě pozastavena na pokyn ExxonMobil a případně na pokyn příslušného dozorového úřadu, dokud nebudou identifikována doplňková opatření.

Pokud nelze doplňková opatření identifikovat nebo pokud neposkytují dostatečnou ochranu, nebo pokud pozastavené předání není obnoveno do 1 měsíce, případně je pozastavení prodlouženo kvůli kontinuitě podnikání, stávající předání se ukončí a nová předání nejsou povolena. Všechny evropské osobní údaje, které měly být předány, včetně kopií, budou vráceny nebo zničeny podle volby vývozce údajů, pokud to místní zákon nezakazuje. V takovém případě zůstanou údaje u příjemce, který bude nadále dodržovat Kodex. Pokud vývozce údajů zvolí výmaz, příjemce údajů poskytne důkaz o trvalém výmazu, pokud o to bude požádán.

Všechna posouzení jsou na vyžádání dostupná příslušnému dozorovému úřadu.

18.9 Pokud příjemce údajů obdrží nebo se dozví o vládním požadavku na přístup k údajům (Government Access Request), neprodleně informuje vývozce údajů a jednotlivce, jehož evropské osobní údaje jsou předmětem požadavku.

Pokud je zcela nebo částečně zakázáno takové oznámení, příjemce údajů vynaloží maximální úsilí k získání výjimky z tohoto zákazu a toto úsilí zdokumentuje, včetně původního požadavku, aby jej mohl na vyžádání prokázat vývozci údajů, po dobu, kdy je předání chráněno Kodexem. Všechny požadavky a interní dokumentace budou uchovávány v souladu s pravidly pro správu záznamů společnosti ExxonMobil.

ExxonMobil posoudí zákonnost požadavku na zpřístupnění údajů, zejména zda je v souladu s pravomocemi veřejného orgánu, a požadavek napadne, pokud po pečlivém posouzení dospěje k závěru, že existují důvody se domnívat, že je požadavek nezákonný podle právních předpisů cílové země, mezinárodního práva nebo zásad mezinárodní zdvořilosti. Toto posouzení bude sdíleno s vývozcem údajů. ExxonMobil rovněž využije možnosti odvolání a bude usilovat o dočasná opatření k pozastavení účinků požadavku, dokud příslušný soud nerozhodne o jeho oprávněnosti.

ExxonMobil zdokumentuje právní posouzení a případné napadení požadavku a v rozsahu povoleném právními předpisy cílové země zpřístupní dokumentaci příslušnému dozorovému úřadu na vyžádání. Osobní údaje nebudou zpřístupněny, dokud to nebude vyžadováno podle příslušných procesních pravidel, a bude poskytnuto pouze nezbytné minimum informací na základě rozumného výkladu požadavku.

ExxonMobil přijme opatření k zabránění jakémukoli předání evropských osobních údajů veřejným orgánům (včetně přímého přístupu těchto orgánů), které by bylo hromadné, nepřiměřené a bez rozdílu, a překračovalo to, co je nezbytné v demokratické společnosti.

Příjemce údajů poskytne vývozci údajů obecné informace o vládních požadavcích na přístup jednou ročně a pravidelně, včetně co nejvíce relevantních informací (např. počet požadavků, typ požadovaných údajů, orgány, které požadavek vznesly, zda byly požadavky napadeny a jaký byl výsledek).

18.10 Přidružené společnosti nebudou předávat evropské osobní údaje podle Kodexu jiným přidruženým společnostem, pokud tyto nejsou Kodexem vázány.

18.11 Pokud příjemce údajů již není povinen dodržovat tento Kodex, může mu být povoleno údaje ponechat, vrátit nebo vymazat. Pokud se vývozce a příjemce údajů dohodnou, že údaje mohou být ponechány, příjemce se zavazuje zachovat jejich ochranu v souladu s evropskými zákony o ochraně osobních údajů.

„Přidružená společnost“ znamená jakoukoli společnost nebo partnerství, které přijalo Kodex podpisem vnitroskupinové dohody, a ve kterém Exxon Mobil Corporation nebo jakýkoli její mateřský subjekt nyní nebo v budoucnu přímo či nepřímo vlastní nebo ovládá více než 50 % vlastnického podílu s hlasovacím právem nebo právem jmenovat její ředitele či funkční ekvivalenty, včetně jakéhokoli právního nástupce takové společnosti nebo partnerství.

„Anonymizované informace“ znamenají informace, které se nevztahují k identifikované nebo identifikovatelné fyzické osobě, nebo osobní údaje, které byly anonymizovány takovým způsobem, že jednotlivec není nebo již není identifikovatelný.

„Platné právní předpisy“ znamenají:

(i) ve vztahu k evropským osobním údajům – evropské zákony o ochraně osobních údajů;

(ii) ve vztahu k jiným osobním údajům – příslušné národní, federální, státní a místní zákony a předpisy týkající se ochrany, soukromí a bezpečnosti osobních údajů, které mohou být čas od času aktualizovány, upraveny nebo nahrazeny a které se vztahují na zpracování prováděné společností ExxonMobil.

„Posouzení (Assessment)“ znamená právní přezkum:

(i) konkrétních okolností předání,

(ii) právních předpisů a praxe cílové země relevantních pro dané předání, včetně těch, které vyžadují zpřístupnění nebo přístup, jakož i těch, které mohou poskytovat omezení nebo záruky,

(iii) všech relevantních a existujících smluvních, technických nebo organizačních opatření, která doplňují ochranu podle Kodexu.

„Příslušný dozorový úřad (Competent SA)“ znamená dozorový orgán pro ochranu osobních údajů v EHP, který je příslušný pro vývozce údajů podle tohoto Kodexu.

„Vývozce údajů“ znamená přidruženou společnost v evropském regionu, která předává evropské osobní údaje mimo evropský region příjemci údajů.

„Příjemce údajů“ znamená přidruženou společnost, která obdrží evropské osobní údaje předané vývozcem údajů mimo evropský region.

„Přenositelnost údajů“ znamená právo získat osobní údaje ve formátu vhodném pro předání třetí straně v souladu s platnými právními předpisy.

„Cílová země“ znamená zemi mimo evropský region, do které jsou osobní údaje předávány a která nemá aktuální rozhodnutí o odpovídající ochraně od Evropské komise.

„EHP“ znamená Evropský hospodářský prostor, založený dohodou z 1. ledna 1994, který umožňuje volný pohyb osob, zboží, služeb a kapitálu v rámci jednotného evropského trhu.

„Evropské zákony o ochraně osobních údajů“ znamenají nařízení (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR), jak je implementováno v národních právních předpisech členských států EHP a Spojeného království, včetně švýcarského federálního zákona o ochraně údajů, a všech odpovídajících nebo ekvivalentních národních zákonů, které mohou být čas od času aktualizovány, upraveny nebo nahrazeny.

„Evropské osobní údaje“ znamenají osobní údaje, které podléhají nebo podléhaly evropským zákonům o ochraně osobních údajů.

„Evropský region“ znamená země v rámci EHP, Spojené království a Švýcarsko.

„Vládní požadavek na přístup k údajům“ znamená:

(i) obdržení právně závazného požadavku na zpřístupnění evropských osobních údajů veřejným orgánem cílové země, nebo

(ii) zjištění přímého přístupu veřejných orgánů k těmto údajům v zemi mimo evropský region.

„Jednotlivec“ znamená jakoukoli identifikovanou nebo identifikovatelnou fyzickou osobu, jejíž údaje jsou zpracovávány společností ExxonMobil nebo jejím jménem; identifikovatelná fyzická osoba je taková, kterou lze přímo nebo nepřímo identifikovat zejména pomocí identifikátoru jako je jméno, identifikační číslo, lokalizační údaje, online identifikátor nebo jeden či více faktorů specifických pro fyzickou, fyziologickou, genetickou, mentální, ekonomickou, kulturní nebo sociální identitu této osoby. Jednotlivci zahrnují současné i bývalé zaměstnance, uchazeče o zaměstnání, dodavatele, zástupce zákazníků a dalších obchodních partnerů, a spotřebitele.

„Vnitroskupinová dohoda“ znamená dohodu mezi přidruženými společnostmi ExxonMobil, kterou se zavazují dodržovat Kodex.

„Podstatné změny“ znamenají změny Kodexu, které mají negativní dopad na úroveň ochrany evropských osobních údajů poskytovanou podle Kodexu, nebo které významně ovlivňují rozsah či strukturu Kodexu ve vztahu k evropským osobním údajům.

„Osobní údaje“ znamenají údaje týkající se jednotlivce.

„Porušení bezpečnosti osobních údajů“ znamená narušení bezpečnosti vedoucí k náhodnému nebo nezákonnému zničení, ztrátě, změně, neoprávněnému přístupu nebo zpřístupnění osobních údajů.

„Zpracování“ znamená jakoukoli operaci prováděnou s osobními údaji, ať už automatizovaně nebo neautomatizovaně, jako je přístup, shromažďování, uchovávání, zaznamenávání, organizace, změna, šíření, zpřístupnění, předání, vyhledávání, zničení nebo jiné použití osobních údajů.

„Předání“ znamená jedno nebo více předání osobních údajů, včetně prvního i následných předání v rámci téže cílové země nebo do jiné cílové země.

„Důvěryhodný zdroj“ znamená osobu nebo subjekt, který je oprávněn zastupovat jednotlivce, nebo který má podle posouzení společnosti ExxonMobil zjevné oprávnění jednotlivce zastupovat.

Přidružené společnosti jsou uvedeny podle země a zahrnují registrační číslo.

Adresa každé země a kontaktní údaje pověřence pro ochranu osobních údajů (pokud je vyžadován) jsou uvedeny v oznámení o ochraně soukromí dané země nebo na stránce „Kontaktujte nás“ dostupné na: Naše zásady ochrany osobních údajů | ExxonMobil