Gedragscode voor Data Privacy

1.1 ExxonMobil zet zich in voor de bescherming van persoonsgegevens, waaronder:

i. het rechtmatig verwerken van persoonsgegevens die aan haar zijn toevertrouwd, en

ii. het, in overeenstemming met zakelijke behoeften, op passende wijze beheren van privacyrisico’s die gepaard gaan met het verwerken van persoonsgegevens.

1.2 ExxonMobil en haar medewerkers moeten zich houden aan deze Code bij het verwerken van persoonsgegevens. De Code maakt deel uit van de nalevingsverplichtingen zoals vastgelegd in het Corporate Asset Policy. Alle beleidsregels moeten worden gelezen, begrepen en nageleefd als onderdeel van de contractuele en/of arbeidsverplichtingen van een medewerker. Onze lijst met beleidsregels is beschikbaar via: Code of ethics | ExxonMobil.

1.3 ExxonMobil houdt toezicht op de naleving van deze Code en op de programma’s, hulpmiddelen en procedures die de Code implementeren via:

i. een netwerk van aangewezen privacycontactpersonen;

ii. het ExxonMobil Data Privacy Office, bestaande uit privacyprofessionals die advies geven over het beperken van risico’s op basis van privacy-effectbeoordelingen die door de bedrijfsafdelingen worden uitgevoerd in overeenstemming met interne gegevensbeschermingsbeleid. Dit team is verantwoordelijk voor de taken zoals beschreven in de secties 3.3, 8.2, 9.3, 15.1 en 18.2.x van de Code; 
Functionarissen voor gegevensbescherming bij dochterondernemingen (waar aangesteld) houden toezicht op de naleving van toepasselijke wetgeving en de Code. Alle functionarissen voor gegevensbescherming geven advies, rapporteren en escaleren waar nodig kwesties naar senior ExxonMobil-managers, waaronder op directieniveau en de Europese General Counsel, en fungeren als contactpunt voor betrokkenen en bevoegde autoriteiten;

iii. een wereldwijde bedrijfsstructuur bestaande uit senior ExxonMobil-managers die verantwoordelijk zijn voor het toezicht op de activiteiten van het ExxonMobil Data Privacy Office.

1.4 De dochteronderneming ExxonMobil Petroleum & Chemical BV, met statutaire zetel aan de Polderdijkweg, 2030 Antwerpen, België, neemt deel aan ExxonMobil’s wereldwijde governance voor gegevensbescherming en speelt een leidende rol bij de bescherming van Europese persoonsgegevens. Details over deze rol en specifieke rechten met betrekking tot Europese persoonsgegevens worden beschreven in sectie 18.

1.5 De Code vormt ExxonMobil’s Bindende Bedrijfsregels (“BCRs”) onder de Europese wetgeving inzake gegevensbescherming.

2.1 ExxonMobil past de Code toe in elk land waar zij persoonsgegevens verwerkt.

2.2 De Code is van toepassing op persoonsgegevens van betrokkenen. Betrokkenen omvatten huidige en voormalige werknemers, sollicitanten, aannemers, vertegenwoordigers van klanten en andere zakelijke partners, en consumenten. Alle betrokkenen hebben toegang tot privacyverklaringen die voldoen aan de Europese wetgeving inzake gegevensbescherming, waarin de categorieën en typen persoonsgegevens worden vermeld. Deze verklaringen zijn beschikbaar op de interne en externe websites van ExxonMobil. Waar relevant, zijn contracten onderworpen aan geheimhoudingsverplichtingen en alleen beschikbaar voor de contractpartijen.

2.3 De Code is niet van toepassing op geanonimiseerde informatie of andere gegevens die geen persoonsgegevens zijn.

2.4 ExxonMobil verwerkt persoonsgegevens voor zakelijke doeleinden, waaronder:

i. personeelsadministratie en HR-operaties, zoals salarisadministratie en loopbaanontwikkeling van een betrokkene;

ii. Controle op de naleving van het bedrijfsbeleid en het juiste gebruik van bedrijfsmiddelen door betrokkenen;

iii. Toezicht op fysieke beveiligingsmaatregelen en de toegang van betrokkenen tot bedrijfsgebouwen en terreinen;

iv. IT-beheer ten aanzien van het gebruik van bedrijfsapplicaties en -systemen door medewerkers en andere betrokkenen, waaronder het verstrekken van benodigde software en hardware, het uitvoeren van toegangsbeheer, en het waarborgen van actuele en effectieve informatiebeveiligingsmaatregelen;

v. relatiebeheer met klanten en andere zakelijke partners, waaronder het verwerken van contactgegevens en transactiegegevens ten behoeve van orderverwerking, levering, facturatie en zakelijke ontwikkeling;

vi. communicatie met overheidsinstanties om te voldoen aan wettelijke vereisten;

vii. communicatie met externe belanghebbenden over zaken die verband houden met de bedrijfsactiviteiten van ExxonMobil.

3.1 Persoonsgegevens zullen op een rechtmatige wijze worden verwerkt.

3.2 Deze Code stelt een minimumniveau van gegevensbescherming vast. Wanneer toepasselijke wetgeving een hoger niveau van bescherming vereist dan het niveau dat in deze Code is vastgelegd, zal ExxonMobil dat hogere beschermingsniveau toepassen. Bijvoorbeeld, wanneer verwerking alleen is toegestaan op basis van één of meer wettelijke gronden (zie secties 18.2.iv en v), zal ExxonMobil aan die vereisten voldoen.

3.3 ExxonMobil houdt, met ondersteuning van het ExxonMobil Data Privacy Office en functionarissen voor gegevensbescherming (waar aangesteld), wereldwijd toezicht op wetgeving om ervoor te zorgen dat aan de Code kan worden voldaan. Dit proces omvat de beoordelingen zoals beschreven in sectie 18.8 van deze Code. Wanneer ExxonMobil reden heeft om aan te nemen dat een wet naleving van de Code verhindert, zal ExxonMobil in overleg met het Data Privacy Office en de functionarissen voor gegevensbescherming (waar aangesteld) een verantwoorde beslissing nemen over de te nemen actie. De functionaris voor gegevensbescherming zal de bevoegde toezichthoudende autoriteit informeren en raadplegen, zowel wanneer toepasselijke wetgeving dit vereist als wanneer ExxonMobil vaststelt dat dergelijke wet waarschijnlijk een aanzienlijke negatieve invloed heeft op de waarborgen die door de Code worden geboden.

Wanneer vereist door toepasselijke wetgeving, zullen persoonsgegevens worden verwerkt voor specifieke en legitieme doeleinden, telkens met een wettelijke grondslag voor verwerking, en niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Verdere verwerking wordt niet als onverenigbaar beschouwd, bijvoorbeeld wanneer deze plaatsvindt:

i. met toestemming of autorisatie van de betrokkene,

ii. in een noodsituatie, zoals wanneer het leven of de vitale belangen van de betrokkene in gevaar zijn, of

iii. om een rechtsvordering vast te stellen, uit te oefenen of te verdedigen.

5.1 ExxonMobil verbindt zich ertoe alleen persoonsgegevens te verwerken die relevant zijn voor haar zakelijke doeleinden, zoals beschreven in sectie 2.4 hierboven. Waar mogelijk worden persoonsgegevens verwijderd, geaggregeerd en/of gepseudonimiseerd om ervoor te zorgen dat alleen de minimale hoeveelheid persoonsgegevens wordt verwerkt voor het doel waarvoor ze zijn verzameld.

5.2 Persoonsgegevens worden niet langer bewaard dan noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt.

5.3 Waar vereist door toepasselijke wetgeving, zal ExxonMobil maatregelen nemen om de verwerking van persoonsgegevens te minimaliseren, onder andere door middel van privacy by design.

Rekening houdend met het doel waarvoor persoonsgegevens worden verwerkt, zal ExxonMobil redelijke maatregelen nemen om:

i. persoonsgegevens accuraat te houden, en

ii. persoonsgegevens bij te werken wanneer de betrokkene of een andere betrouwbare bron wijzigingen doorgeeft.

ExxonMobil zal duidelijke informatie verstrekken over de verwerking van persoonsgegevens, in overeenstemming met wettelijke vereisten.

8.1 Op basis van een risicobeoordeling zal ExxonMobil passende technische en organisatorische maatregelen toepassen om:

i. ervoor te zorgen dat Europese persoonsgegevens worden verwerkt in overeenstemming met de wetgeving inzake gegevensbescherming, en

ii. persoonsgegevens te beschermen tegen een datalek. Deze maatregelen zijn opgenomen in een informatiebeveiligingsschema dat is gebaseerd op internationaal erkende beveiligingsnormen.

8.2 In geval van een datalek zal ExxonMobil:

i. overleg plegen met het ExxonMobil Data Privacy Office, dat een register bijhoudt van datalekken,

ii. melding doen aan een toezichthouder en bevoegde autoriteit, en

iii. betrokkenen informeren over het datalek, telkens in overeenstemming met toepasselijke wetgeving.

9.1 Waar vereist door toepasselijke wetgeving, zal ExxonMobil reageren op verzoeken van betrokkenen om:

i. te weten of en welke categorieën van persoonsgegevens over hen door ExxonMobil worden verwerkt,

ii. een kopie van hun persoonsgegevens te ontvangen,

iii. hun persoonsgegevens te verwijderen, beperken, wissen of de verwerking ervan stop te zetten,

iv. hun toestemming voor verwerking in te trekken (waar toegestaan door toepasselijke wetgeving), en

v. gebruik te maken van het recht op gegevensoverdraagbaarheid.

9.2 Betrokkenen kunnen ExxonMobil verzoeken om hun onjuiste persoonsgegevens te corrigeren, in overeenstemming met sectie 6. 

9.3 Om deze rechten uit te oefenen of om een zorg of klacht te uiten over het niet naleven van de Code door ExxonMobil, kunnen betrokkenen contact opnemen met het ExxonMobil Data Privacy Office voor meer informatie over de procedure die zal worden gevolgd bij het behandelen van de klacht:

Per e-mail: data.privacy.office@exxonmobil.com
Schriftelijk: Data Privacy Office, t.a.v. ExxonMobil Hungary Limited Liability Company, geregistreerde zetel: H-1134 Boedapest, Dózsa György út 61-63, Boedapest, H-1134, Hongarije

Betrokkenen kunnen ook contact opnemen met de functionarissen voor gegevensbescherming (waar aangesteld) via dezelfde contactgegevens, maar met “DP Officer” als onderwerpregel in de e-mail.

Persoonsgegevens zullen alleen worden overgedragen aan derden (inclusief grensoverschrijdende overdrachten) als passende maatregelen zijn genomen die voldoen aan toepasselijke wetgeving om de persoonsgegevens bij overdracht adequaat te beschermen.

ExxonMobil stelt zich ten doel om werknemers en aannemers met toegang tot bedrijfsystemen te voorzien van verplichte training inzake de in de Code opgenomen verantwoordelijkheden en die:

i. persoonsgegevens verwerken, of

ii. betrokken zijn bij het onderhoud of de ontwikkeling van systemen die worden gebruikt voor de verwerking van persoonsgegevens.
Deze training vindt plaats bij aanvang van het dienstverband en/of opdrachten bij ExxonMobil en vervolgens elke drie jaar. Voortdurende educatie wordt ondersteund door het Data Privacy Office en is beschikbaar via de bestaande trainingssystemen van ExxonMobil.

13.1 ExxonMobil voert programma’s uit om regelmatig de implementatie en naleving van de Code te controleren.

13.2 De programma’s voor toezicht op naleving omvatten:

i. een auditprogramma met regelmatige audits van ExxonMobil-eenheden en bedrijfsafdelingen door de interne auditafdeling, opvolging van eventuele noodzakelijke corrigerende maatregelen, en toezicht op het auditprogramma en de auditresultaten door de Raad van Bestuur van ExxonMobil Corporation.

ii. De leden van de interne auditafdeling van ExxonMobil hebben gegarandeerde onafhankelijkheid bij de uitvoering van hun taken, waaronder de reikwijdte, het proces en de frequentie van audits. Dit waarborgt de onafhankelijkheid van de interne auditafdeling en de uitkomsten van de audits. De resultaten worden gecommuniceerd aan het senior management van de eenheid of bedrijfsafdeling die is geaudit en aan de functionaris voor gegevensbescherming (waar aangesteld), en aan een vertegenwoordiger van de directie van ExxonMobil Petroleum & Chemical BV om ervoor te zorgen dat aanbevelingen worden geïmplementeerd.

iii. De interne auditafdeling zorgt voor opvolging van alle auditbevindingen. Toezicht op de interne auditafdeling en het auditprogramma, inclusief alle auditresultaten, wordt uitgevoerd door de leden van het Auditcomité van de Raad van Bestuur van ExxonMobil Corporation. Dit waarborgt de daadwerkelijke onafhankelijkheid van de functies van de auditafdeling.

iv. Er is een aanvullend proces waarbij een eenheid of bedrijfsafdeling een audit kan aanvragen, dat wordt uitgevoerd door de interne auditafdeling.

14.1 ExxonMobil zal samenwerken met en reageren op informatieverzoeken met betrekking tot verwerking onder deze Code, en het advies van bevoegde toezichthoudende autoriteiten zorgvuldig overwegen bij verzoeken over de toepassing van deze Code.

14.2 ExxonMobil werkt, in het kader van de uitvoering van publieke taken door bevoegde toezichthoudende autoriteiten, mee aan de naleving van formele en wettige besluiten die definitief zijn en niet meer voor beroep openstaan

14.3 Bij de overdracht van persoonsgegevens tussen dochterondernemingen zullen deze, indien nodig, samenwerken en elkaar ondersteunen bij het beantwoorden van verzoeken van bevoegde toezichthoudende autoriteiten.

15.1 De Code kan door ExxonMobil worden aangepast indien nodig, bijvoorbeeld om te voldoen aan wijzigingen in toepasselijke wetgeving of om veranderingen in interne organisatie en processen weer te geven. Wijzigingen in de Code worden geregistreerd en bewaard door het Data Privacy Office en meegedeeld aan alle ExxonMobil-dochterondernemingen (alleen materiële wijzigingen).

15.2 ExxonMobil zal de bevoegde toezichthoudende autoriteit als volgt informeren:

• Materiële wijzigingen in de Code en de interne groepsovereenkomst (“Intragroup Agreement”) worden zonder onredelijke vertraging gecommuniceerd; en
• Jaarlijks zal ExxonMobil wijzigingen communiceren in de Code en/of de lijst van dochterondernemingen die gebonden zijn aan de Code, inclusief een korte beschrijving van de wijzigingen. Indien er geen wijzigingen zijn geweest, zal dit ook worden meegedeeld als onderdeel van de jaarlijkse communicatie.

15.3 ExxonMobil zal de Code en de wijzigingen beschikbaar stellen:

• Extern via onze website  Our privacy policies | ExxonMobil
• Op verzoek van de betrokkene, in overeenstemming met subsectie 9.3; en
• Intern via het intranet van ExxonMobil.

De Code is van kracht vanaf de datum van ondertekening van het Bindende Bedrijfsregels Inter-Affiliate Agreement.

18.1 Met betrekking tot Europese persoonsgegevens is ExxonMobil verantwoordelijk voor en zal zij voldoen aan alle verplichtingen die in deze Code zijn opgenomen. Wanneer strengere Europese wetgeving inzake gegevensbescherming een hoger beschermingsniveau vereist, zal ExxonMobil dat hogere niveau toepassen.

ExxonMobil zal de gegevensexporteur en ExxonMobil Petroleum & Chemical BV onmiddellijk informeren wanneer zij niet langer aan de Code kan voldoen, bijvoorbeeld als gevolg van een wetswijziging in een bestemmingsland of een verzoek tot toegang door een overheid.

18.2 In het geval dat Europese persoonsgegevens worden overgedragen aan dochterondernemingen buiten de Europese regio, zal ExxonMobil een beschermingsniveau bieden dat het niveau van bescherming onder de Europese wetgeving inzake gegevensbescherming niet ondermijnt.

ExxonMobil zal dit doen, zelfs als dergelijke bescherming niet wordt geboden door de toepasselijke wetgeving in de landen van de dochterondernemingen buiten de Europese regio waar de gegevens worden ontvangen.

Dit betekent in het bijzonder, met betrekking tot de privacypraktijken zoals beschreven in de secties 3, 4, 5, 7, 8, 9 en 11, dat ExxonMobil:

i. geen Europese persoonsgegevens zal verwerken die ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, gezondheid, seksueel gedrag, seksuele geaardheid, genetische gegevens of biometrische gegevens onthullen met het doel een individu uniek te identificeren, tenzij dergelijke verwerking is toegestaan volgens de Europese wetgeving inzake gegevensbescherming;

ii. geen Europese persoonsgegevens zal verwerken met betrekking tot strafrechtelijke veroordelingen en strafbare feiten, tenzij dit gebeurt in overeenstemming met de Europese wetgeving inzake gegevensbescherming;

iii. een effectbeoordeling zal uitvoeren voor verwerkingen met een hoog risico, in overeenstemming met de Europese wetgeving inzake gegevensbescherming.Indien de risico’s na het implementeren van mitigerende maatregelen – zoals aanbevolen door de functionarissen voor gegevensbescherming en geadviseerd door privacyjuristen per beoordeling – nog steeds hoog blijven, zal ExxonMobil overleg plegen met de bevoegde toezichthoudende autoriteit, in overeenstemming met de Europese wetgeving inzake gegevensbescherming.

iv. Verwerking van Europese persoonsgegevens voor specifieke en legitieme zakelijke doeleinden, op basis van een geldige rechtsgrond, met name (indien van toepassing):

• wanneer de verwerking noodzakelijk is voor de behartiging van gerechtvaardigde belangen van ExxonMobil of een derde, mits deze belangen niet zwaarder wegen dan de belangen, grondrechten en fundamentele vrijheden van de betrokkene die bescherming van persoonsgegevens;

• wanneer de betrokkene toestemming heeft gegeven voor de verwerking van zijn of haar persoonsgegevens voor één of meer specifieke doeleinden;

• wanneer de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene stappen te ondernemen voorafgaand aan het aangaan van een overeenkomst;

• wanneer de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting waaraan ExxonMobil is onderworpen; of

• in uitzonderlijke omstandigheden, wanneer de verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of een andere natuurlijke persoon.

v. Verwerking van Europese persoonsgegevens die vallen onder bijzondere categorieën persoonsgegevens volgens de Europese wetgeving inzake gegevensbescherming, voor specifieke en legitieme zakelijke doeleinden, en op basis van een geldige rechtsgrond, met name (indien van toepassing):

• wanneer de betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van zijn of haar persoonsgegevens voor één of meer specifieke doeleinden;

• wanneer de verwerking noodzakelijk is voor het nakomen van verplichtingen en het uitoefenen van specifieke rechten van ExxonMobil of de betrokkene op het gebied van arbeidsrecht, sociale zekerheid en sociale bescherming, voor zover dit wettelijk is toegestaan;

• wanneer de verwerking noodzakelijk is voor preventieve of arbeidsgeneeskunde, beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnose, het verstrekken van gezondheidszorg of sociale zorg of behandeling, of het beheer van systemen en diensten op het gebied van gezondheidszorg of sociale zorg, zoals toegestaan door de Europese wetgeving inzake gegevensbescherming.

vi. Europese persoonsgegevens verwerken die toereikend, relevant en beperkt zijn tot wat noodzakelijk is voor de legitieme zakelijke doeleinden;

vii. Privacy by design en privacy by default toepassen waar passend;

viii. Een digitaal, schriftelijk register van verwerkingsactiviteiten bijhouden dat op verzoek beschikbaar wordt gesteld aan de bevoegde toezichthoudende autoriteit;

ix. Betrokkenen informeren en transparantie bieden over het gebruik en doel van de verwerking van Europese persoonsgegevens, inclusief verwijzing naar deze Code, in overeenstemming met de Europese wetgeving inzake gegevensbescherming;

x. Hetzelfde niveau van beveiligingsmaatregelen toepassen ter bescherming van Europese persoonsgegevens als vereist onder de Europese wetgeving inzake gegevensbescherming;

xi. In geval van een datalek met betrekking tot Europese persoonsgegevens zal ExxonMobil:

1. Overleg plegen met het ExxonMobil Data Privacy Office en de functionaris voor gegevensbescherming, die ondersteuning bieden bij de risicobeoordeling, het datalek documenteren in een intern register en relevante documentatie beschikbaar stellen aan de bevoegde toezichthoudende autoriteit op verzoek;

2. Het datalek zonder onredelijke vertraging melden aan de bevoegde toezichthoudende autoriteit en, indien mogelijk, uiterlijk binnen 72 uur nadat het lek is ontdekt, tenzij het datalek waarschijnlijk geen risico vormt voor de rechten en vrijheden van natuurlijke personen;

3. Zonder onredelijke vertraging ExxonMobil Petroleum & Chemical BV informeren;

4. Betrokkenen zonder onredelijke vertraging informeren indien het datalek waarschijnlijk een hoog risico vormt voor hun rechten en vrijheden;

5. Wanneer het datalek is veroorzaakt door een verwerker van ExxonMobil, zonder onredelijke vertraging de verantwoordelijke binnen ExxonMobil informeren.

xii. Reageren op verzoeken en klachten van betrokkenen met betrekking tot de verwerking van Europese persoonsgegevens in overeenstemming met sectie 18.7;

xiii. Betrokkenen toestaan bezwaar te maken tegen de verwerking van hun persoonsgegevens of tegen een besluit dat uitsluitend is gebaseerd op geautomatiseerde verwerking en dat rechtsgevolgen heeft of hen op vergelijkbare wijze aanzienlijk treft, tenzij het besluit is toegestaan onder de Europese wetgeving inzake gegevensbescherming;

xiv. Europese persoonsgegevens alleen overdragen aan derden buiten de Europese regio in overeenstemming met de Europese wetgeving inzake gegevensbescherming;

xv. Contracten aangaan met verwerkers die voldoen aan de Europese wetgeving inzake gegevensbescherming;

xvi. Functionarissen voor gegevensbescherming aanstellen in de Europese regio om specifiek toezicht te houden op de naleving van de Europese wetgeving inzake gegevensbescherming. In overeenstemming met deze wetgeving kunnen functionarissen voor gegevensbescherming een audit aanvragen ter ondersteuning van hun toezichthoudende taken.

18.3 Toezicht door bevoegde toezichthoudende autoriteiten (SAs)

Bevoegde toezichthoudende autoriteiten in de Europese regio mogen de naleving van deze Code controleren, onder meer door het uitvoeren van audits bij ExxonMobil, in overeenstemming met de auditrechten die zijn toegekend onder de Europese wetgeving inzake gegevensbescherming. De uitkomsten van audits met betrekking tot alle persoonsgegevens worden gecommuniceerd zoals beschreven in sectie 13.2 en zullen op verzoek ook worden verstrekt aan een bevoegde toezichthoudende autoriteit.

Eventuele geschillen met betrekking tot het toezicht op de naleving van deze Code vallen onder de jurisdictie van de bevoegde rechtbanken van het land waarin de toezichthoudende autoriteit is gevestigd, in overeenstemming met de geldende Europese wetgeving inzake gegevensbescherming. ExxonMobil stemt ermee in zich te onderwerpen aan de toepasselijke jurisdictie.

Alle dochterondernemingen zullen samenwerken met ExxonMobil Petroleum & Chemical BV indien nodig, om te reageren op verzoeken van bevoegde toezichthoudende autoriteiten om relevante auditresultaten en inspecties, inclusief audits op locatie, te verstrekken met betrekking tot deze Code. Met betrekking tot Europese persoonsgegevens zal ExxonMobil het advies van bevoegde toezichthoudende autoriteiten binnen de EU/EER opvolgen, behoudens het recht om beschikbare juridische stappen te ondernemen indien het bedrijf daartoe aanleiding ziet.

18.4 Rechten van betrokkenen ten aanzien van derden

De betrokkene, van wie persoonsgegevens worden doorgegeven aan een dochteronderneming buiten de Europese Economische Ruimte, verkrijgt rechten als derde-begunstigde op grond van de betreffende doorgifteovereenkomst en mag de volgende bepalingen rechtstreeks afdwingen: secties 15.3 en 18.2.i, iii, iv, v, vii, viii, ix.3, x, xi, xii, 18.3 t/m 18.8 van de Code, via één van de volgende manieren:

i. contact opnemen met het ExxonMobil Data Privacy Office zoals beschreven in sectie 9.3;

ii. een klacht indienen bij een bevoegde toezichthoudende autoriteit in het land waar de betrokkene gewoonlijk verblijft, werkt of waar de vermeende schending van de Code heeft plaatsgevonden;

iii. een procedure starten tegen de relevante dochteronderneming die gevestigd is in de Europese regio bij een bevoegde rechtbank in de Europese regio;

iv. een procedure starten tegen ExxonMobil Petroleum & Chemical BV, gevestigd aan de Polderdijkweg, 2030 Antwerpen, België, bij de Belgische Gegevensbeschermingsautoriteit of de rechtbanken in Brussel of andere bevoegde rechtbanken, waar toegestaan door de Europese wetgeving inzake gegevensbescherming.

18.5 Aansprakelijkheid bij schending

Indien een geldige claim of klacht wordt ingediend onder sectie 18.4, aanvaardt ExxonMobil Petroleum & Chemical BV de verantwoordelijkheid voor elke schending van de Code door een dochteronderneming buiten de Europese regio en stemt ermee in de nodige maatregelen te nemen om de schending te verhelpen en, indien van toepassing, schadevergoeding te betalen voor schade die voortvloeit uit de schending, in overeenstemming met een definitieve beslissing van een rechtbank of toezichthoudende autoriteit die niet meer vatbaar is voor beroep.

18.6 Bewijslast bij klachten

Indien een claim, klacht of procedure wordt ingediend onder sectie 18.4, hoeft de betrokkene geen daadwerkelijke schending van deze Code door de dochteronderneming buiten de Europese regio aan te tonen; het volstaat dat de betrokkene aantoont schade te hebben geleden en dat deze schade waarschijnlijk is veroorzaakt door een schending van deze Code door een dochteronderneming buiten de Europese regio.

De bewijslast ligt dan bij ExxonMobil Petroleum & Chemical BV om aan te tonen dat de dochteronderneming buiten de Europese regio de Code niet heeft geschonden. Indien ExxonMobil Petroleum & Chemical BV kan bewijzen dat de dochteronderneming niet aansprakelijk is voor de schending, kan zij zich ontheffen van verantwoordelijkheid.

18.7 Reactie op verzoeken en klachten

ExxonMobil zal zonder onredelijke vertraging en in ieder geval binnen één maand na ontvangst reageren op verzoeken of klachten met betrekking tot de verwerking van Europese persoonsgegevens. Deze termijn kan met twee maanden worden verlengd indien nodig en toegestaan door de Europese wetgeving inzake gegevensbescherming, mits dit schriftelijk aan de betrokkene wordt meegedeeld.

Het Data Privacy Office van ExxonMobil en de functionarissen voor gegevensbescherming fungeren als escalatiepunt voor medewerkers die verantwoordelijk zijn voor het afhandelen van verzoeken of klachten met betrekking tot gegevensbescherming.

Klachten kunnen door een betrokkene worden ingediend via e-mail of schriftelijk, zoals beschreven in sectie 9.3 van de Code. ExxonMobil erkent verzoeken en klachten die rechtstreeks door betrokkenen worden ingediend of via een vertegenwoordiger van een non-profitorganisatie, vereniging of stichting namens betrokkenen, indien toegestaan door de Europese wetgeving inzake gegevensbescherming.

Indien ExxonMobil de klacht gegrond acht, zal zij de betrokkene informeren over hoe zij het probleem zal verhelpen. Indien de klacht wordt afgewezen of de betrokkene niet tevreden is met de reactie van ExxonMobil, kan de betrokkene een klacht indienen of een procedure starten overeenkomstig secties 18.4.ii en 18.4.iii.

Indien de klacht betrekking heeft op de verwerking van Europese persoonsgegevens door dochterondernemingen buiten de Europese regio, kan de betrokkene ook een klacht indienen of een procedure starten overeenkomstig sectie 18.4.iv.

18.8 Beoordelingen van gegevensoverdrachten

ExxonMobil voert beoordelingen uit en documenteert deze om te bepalen of een overdracht van Europese persoonsgegevens aan een gegevensontvanger buiten de Europese regio, op basis van deze Code, voldoende wordt beschermd en of aanvullende maatregelen moeten worden genomen op basis van de bevindingen van de beoordeling.

Deze beoordelingen worden actueel gehouden om wijzigingen in wetgeving die de risicobeoordeling kunnen beïnvloeden te weerspiegelen. Dit omvat dat gegevensexporteurs ontwikkelingen in het bestemmingsland monitoren in samenwerking met gegevensontvangers waar passend.

In overeenstemming met sectie 18.1 zal ExxonMobil de gegevensexporteur en ExxonMobil Petroleum & Chemical BV onmiddellijk informeren wanneer zij niet langer aan de Code kan voldoen als gevolg van wetswijzigingen. Dochterondernemingen worden door het Data Privacy Office geïnformeerd over de uitkomsten van de beoordelingen, inclusief of dergelijke overdrachten worden opgeschort of beëindigd. De implementatie van aanvullende maatregelen wordt samen met de beoordeling gedocumenteerd.

Het beoordelingsproces kijkt naar alle aspecten van de overdracht, waaronder:

• of lokale wetten en praktijken in het bestemmingsland de essentie van fundamentele rechten en vrijheden respecteren;

• of deze wetten verder gaan dan wat noodzakelijk en proportioneel is in een democratische samenleving om het risico van openbaarmaking of toegang tot Europese persoonsgegevens te waarborgen;

• of deze wetten vereisen dat Europese persoonsgegevens worden verstrekt of toegang wordt verleend aan overheidsinstanties,zodanig dat zij een aanzienlijke negatieve invloed hebben op de waarborgen en verplichtingen die in deze Code zijn vastgelegd.

Wanneer uit een beoordeling blijkt dat lokale wetgeving en praktijken een substantiële negatieve invloed hebben, zal ExxonMobil, in samenwerking met ExxonMobil Petroleum & Chemical BV, het Data Privacy Office en de functionarissen voor gegevensbescherming, de bestaande contractuele, technische en organisatorische beveiligingsmaatregelen herzien en beslissen of aanvullende maatregelen nodig zijn om dit risico te beperken.

Het proces van beoordeling en implementatie van aanvullende maatregelen is ook van toepassing op bestaande overdrachten die door de gegevensontvanger zijn gemeld als beïnvloed door lokale wetgeving en maatregelen. Deze overdrachten worden onmiddellijk opgeschort op instructie van ExxonMobil en, indien vereist door de bevoegde toezichthoudende autoriteit, totdat aanvullende maatregelen zijn vastgesteld, indien mogelijk.

Indien aanvullende maatregelen niet kunnen worden vastgesteld, of indien vastgesteld maar onvoldoende bescherming bieden om de Code te handhaven bij de overdracht van Europese persoonsgegevens, of indien een opgeschorte overdracht niet binnen één maand wordt hervat (of langer indien nodig voor bedrijfscontinuïteit), worden bestaande overdrachten beëindigd en zijn nieuwe overdrachten niet toegestaan.

Alle Europese persoonsgegevens die zouden zijn overgedragen, inclusief kopieën, worden teruggegeven of vernietigd, naar keuze van de gegevensexporteur, tenzij lokale wetgeving dit verbiedt. In dat geval blijven de gegevens bij de gegevensontvanger, die de Code blijft naleven. Indien de gegevensexporteur kiest voor verwijdering, zal de gegevensontvanger op verzoek bewijs leveren dat alle Europese persoonsgegevens permanent zijn verwijderd.

Alle beoordelingen worden op verzoek beschikbaar gesteld aan de bevoegde toezichthoudende autoriteit.

18.9 Overheidsverzoeken inzake gegevensinzage

Wanneer een gegevensontvanger een overheidsverzoek tot toegang ontvangt of hiervan op de hoogte wordt gesteld, zal hij de gegevensexporteur en de betrokkene van wie de Europese persoonsgegevens onderwerp zijn van het verzoek, onmiddellijk informeren.

Indien volledige of gedeeltelijke kennisgeving verboden is, zal de gegevensontvanger zich inspannen om een vrijstelling van dit verbod te verkrijgen en deze inspanningen documenteren, inclusief het oorspronkelijke verzoek, zodat dit op verzoek van de gegevensexporteur kan worden aangetoond zolang de overdracht onder de Code valt.

Alle overheidsverzoeken en interne documentatie worden bewaard volgens ExxonMobil’s richtlijnen voor documentbeheer.

ExxonMobil zal de rechtmatigheid van het verzoek beoordelen – met name of het binnen de bevoegdheden van de verzoekende autoriteit valt – en het verzoek aanvechten indien er redelijke gronden zijn om aan te nemen dat het verzoek onwettig is volgens de wetgeving van het bestemmingsland, internationale verplichtingen en/of beginselen van internationale samenwerking.

ExxonMobil zal deze beoordeling delen met de gegevensexporteur en, indien van toepassing, beroep aantekenen. Bij het aanvechten van een verzoek zal ExxonMobil voorlopige maatregelen nastreven om de uitvoering van het verzoek op te schorten totdat een bevoegde rechter uitspraak heeft gedaan.

ExxonMobil zal haar juridische beoordeling en eventuele betwisting documenteren en, voor zover toegestaan door de wetgeving van het bestemmingsland, deze documentatie op verzoek beschikbaar stellen aan de bevoegde toezichthoudende autoriteit.

ExxonMobil zal geen persoonsgegevens verstrekken totdat dit verplicht is volgens de toepasselijke procedurele regels en zal bij het reageren het minimale toegestane aantal gegevens verstrekken, gebaseerd op een redelijke interpretatie van het verzoek.

ExxonMobil zal maatregelen nemen om te voorkomen dat overdrachten van Europese persoonsgegevens aan overheidsinstanties (of directe toegang door dergelijke instanties) massaal, onevenredig en willekeurig plaatsvinden op een wijze die verder gaat dan wat noodzakelijk is in een democratische samenleving.

De gegevensontvanger zal jaarlijks en op regelmatige basis algemene informatie over overheidsverzoeken verstrekken aan de gegevensexporteur, inclusief zoveel mogelijk relevante informatie over de ontvangen verzoeken (zoals aantal verzoeken, type gevraagde gegevens, verzoekende autoriteit(en), of verzoeken zijn aangevochten en de uitkomst daarvan).

18.10 Beperkingen op overdracht tussen dochterondernemingen

Dochterondernemingen zullen geen Europese persoonsgegevens onder deze Code overdragen aan andere dochterondernemingen, tenzij deze eveneens gebonden zijn aan de Code.

18.11 Beëindiging van naleving door gegevensontvanger

Wanneer een gegevensontvanger niet langer verplicht is om deze Code na te leven, mag hij de onder deze Code ontvangen persoonsgegevens bewaren, teruggeven of verwijderen.

Indien de gegevensexporteur en de gegevensontvanger overeenkomen dat de gegevens mogen worden bewaard, stemt de gegevensontvanger ermee in om de bescherming voort te zetten in overeenstemming met de Europese wetgeving inzake gegevensbescherming.

"Dochteronderneming" betekent elke onderneming of vennootschap die de Code heeft aangenomen door ondertekening van de intercompany-overeenkomst, en waarin Exxon Mobil Corporation of een moedermaatschappij van Exxon Mobil Corporation nu of in de toekomst, direct of indirect, meer dan 50 procent van het stemgerechtigde eigendomsbelang bezit of controleert, en elke rechtsopvolger van een dergelijke onderneming of vennootschap.

"Geanonimiseerde informatie" betekent informatie die geen betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon, of persoonsgegevens die zodanig zijn geanonimiseerd dat de betrokkene niet (meer) identificeerbaar is.

"Toepasselijke wetgeving" betekent:

(i) met betrekking tot Europese persoonsgegevens: de Europese wetgeving inzake gegevensbescherming, en/of

(ii) met betrekking tot andere persoonsgegevens: de toepasselijke nationale, federale, staats- en lokale wet- en regelgeving inzake gegevensbescherming, privacy en beveiliging van persoonsgegevens, zoals van tijd tot tijd gewijzigd of vervangen en van toepassing op de verwerking door ExxonMobil.

"Beoordelingen" betekent een juridische beoordeling van:

(i) de specifieke omstandigheden van de overdracht,

(ii) de wetgeving en praktijken van het bestemmingsland die relevant zijn voor een specifieke overdracht, inclusief verplichtingen tot openbaarmaking of toegang, beperkingen of waarborgen, en

(iii) bestaande contractuele, technische of organisatorische waarborgen ter aanvulling op de bescherming onder de Code.

"Bevoegde toezichthoudende autoriteit (SA)" betekent de toezichthoudende autoriteit voor gegevensbescherming in de EER die bevoegd is voor de gegevensexporteur onder deze Code.

"Gegevensexporteur" betekent de dochteronderneming in de Europese regio die Europese persoonsgegevens overdraagt naar buiten de Europese regio aan een gegevensontvanger.

"Gegevensontvanger" betekent de dochteronderneming die Europese persoonsgegevens ontvangt die door een gegevensexporteur uit de Europese regio zijn overgedragen.

"Gegevensoverdraagbaarheid" betekent het recht om persoonsgegevens te verkrijgen in een formaat dat geschikt is om over te dragen aan een derde partij, in overeenstemming met toepasselijke wetgeving.

"Bestemmingsland" betekent een land buiten de Europese regio waar persoonsgegevens naartoe worden overgedragen en waarvoor geen adequaatheidsbesluit van de Europese Commissie geldt.

"EER" betekent de Europese Economische Ruimte, opgericht onder het EER-akkoord van 1 januari 1994, dat voorziet in het vrije verkeer van personen, goederen, diensten en kapitaal binnen de Europese interne markt.

"Europese wetgeving inzake gegevensbescherming" betekent Verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (AVG), zoals geïmplementeerd in nationale wetgeving van EER-lidstaten en het VK, en zoals van tijd tot tijd gewijzigd, evenals de Zwitserse federale wet op gegevensbescherming en alle overeenkomstige of gelijkwaardige nationale wetgeving.

"Europese persoonsgegevens" betekent persoonsgegevens die onderworpen zijn (geweest) aan Europese wetgeving inzake gegevensbescherming.

"Europese regio" betekent landen binnen de Europese Economische Ruimte (EER), het Verenigd Koninkrijk en Zwitserland.

"Overheidsverzoek tot toegang" betekent:

(i) de ontvangst van een juridisch bindend verzoek tot openbaarmaking van Europese persoonsgegevens door een overheidsinstantie van het bestemmingsland, of

(ii) het bekend worden van directe toegang door overheidsinstanties tot dergelijke gegevens in een land buiten de Europese regio.

"Betrokkene" betekent elke geïdentificeerde of identificeerbare natuurlijke persoon van wie informatie wordt verwerkt door of namens ExxonMobil. Een identificeerbare persoon is iemand die direct of indirect kan worden geïdentificeerd, bijvoorbeeld via een naam, identificatienummer, locatiegegevens, online identificator of via kenmerken die specifiek zijn voor de fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit. Betrokkenen omvatten huidige en voormalige werknemers, sollicitanten, aannemers, vertegenwoordigers van klanten en andere zakelijke partners, en consumenten.

"Intragroup Agreement” (interne groepsovereenkomst) betekent de intercompany-overeenkomst van ExxonMobil waarmee dochterondernemingen de Code aannemen en eraan gebonden zijn.

"Materiële wijzigingen" betekent wijzigingen in de Code die een negatieve invloed hebben op het niveau van gegevensbescherming voor Europese persoonsgegevens zoals geboden onder de Code, of die de reikwijdte of structuur van de Code met betrekking tot Europese persoonsgegevens aanzienlijk beïnvloeden.

"Persoonsgegevens" betekent gegevens die betrekking hebben op een betrokkene.

"Datalek" betekent een inbreuk op de beveiliging die leidt tot accidentele of onrechtmatige vernietiging, verlies, wijziging, ongeautoriseerde toegang tot of openbaarmaking van persoonsgegevens.

"Verwerken", "Verwerkt", "Verwerking" betekent elke handeling met betrekking tot persoonsgegevens, al dan niet geautomatiseerd, zoals toegang, verzameling, opslag, registratie, ordening, wijziging, verspreiding, overdracht, opvraging, vernietiging of ander gebruik van persoonsgegevens.

"Overdracht", "Overdrachten", "Overgedragen" betekent een enkele overdracht of een reeks overdrachten van persoonsgegevens, inclusief eerste en verdere overdrachten binnen hetzelfde of een ander bestemmingsland.

"Betrouwbare bron" betekent een persoon of entiteit die gemachtigd is om de betrokkene te vertegenwoordigen, of die volgens ExxonMobil kennelijk bevoegd is om de betrokkene te vertegenwoordigen.

Dochterondernemingen worden per land vermeld en bevatten het registratienummer.

Het adres per land en de contactgegevens van de functionaris voor gegevensbescherming (indien vereist) zijn opgenomen in de privacyverklaring per land of op de contactpagina beschikbaar via: Onze privacyverklaringen | ExxonMobil.