Code de conduite d'ExxonMobil applicable a la protection des donnees a caractere personnel

1.1 ExxonMobil s’engage à protéger les Données à Caractère Personnel, et notamment à :

i. Traiter de manière licite les Données à Caractère Personnel qui lui sont confiées, et

ii. à gérer les risques pour la vie privée résultant du Traitement des Données à Caractère Personnel de manière appropriée, en ligne avec les exigences opérationnelles.

1.2 ExxonMobil et ses salariés sont tenus de respecter le Code dans le cadre du Traitement des Données à Caractère Personnel. 

1.3 ExxonMobil veille au respect du présent Code et des programmes, outils et procédures de mise en œuvre du Code par le biais d’un organe de gouvernance mondiale de protection des données.

1.4 La Société affiliée ExxonMobil Petroleum & Chemicals BV, dont le siège social est sis Polderdijkweg, 2030 Anvers (Belgique), participe à la gouvernance mondiale de la protection des données d’ExxonMobil et joue un rôle prépondérant concernant la protection des Données à Caractère Européennes. La description de cette fonction et des droits spécifiques applicables aux Données à Caractère Personnel Européennes sont faits à l’article 19.

1.5 Le Code constitue les Règles d’Entreprise Contraignantes (ou Binding Corporate Rules (BCR)) d’ExxonMobil dans le cadre de la Législation Européenne sur la protection des Données Personnelles.

2.1 ExxonMobil applique le Code dans tous les pays où elle Traite des Données à Caractère Personnel. 

2.2 Le Code s’applique aux Données à Caractère Personnel des Personnes Physiques. Le terme Personnes Physiques inclue les salariés actuels et anciens salariés d’ExxonMobil, les candidats à un poste, le personnel des sociétés co-contractantes, les représentants de clients et d’autres partenaires commerciaux, et les clients.

2.3 Le Code ne s’applique pas aux Informations Anonymisées ou à toutes autres informations qui ne constituent pas des Données à Caractère Personnel.

2.4 ExxonMobil Traite des Données à Caractère Personnel pour les besoins de ses activités, ce qui inclue notamment:

i. l’administration du personnel et les activités de gestion des ressources humaines, telles que la paye et le développement de carrière,

ii. le contrôle de la conformité des pratiques des Personnes Physiques aux politiques d’ExxonMobil,

iii. la sûreté et l’accès des Personnes Physiques aux bâtiments et installations, 

iv. la gestion des technologies de l’information en ce qui concerne l’utilisation des systèmes informatiques par les Personnes Physiques, 

v. la gestion des relations avec les clients et autres partenaires commerciaux, ce qui inclue notamment le Traitement des coordonnées professionnelles et informations relatives aux transactions commerciales afin de permettre en particulier le suivi des commandes et des livraisons, la facturation et le développement de la relation commerciale, 

vi. la communication avec les agences at autorités gouvernementales afin d’assurer la conformité aux exigences réglementaires,

vii. la communication avec les parties prenantes externes concernant des questions et sujets afférents aux activités d’ExxonMobil.

3.1 Les Données à Caractère Personnel sont Traitées conformément à la loi.

3.2 Le présent Code établit un niveau minimal de protection des Données à Caractère Personnel. Lorsque la législation applicable exige un niveau de protection des Données à Caractère Personnel plus élevé que celui prévu par le Code, ExxonMobil se conformera à ce niveau de protection plus élevé. Par exemple, si le Traitement est autorisé uniquement à raison d’une ou plusieurs base(s) juridique(s) expressément prévue(s) par la loi, ExxonMobil se conformera à ces exigences.

3.3 Si ExxonMobil a des raisons de croire qu’une loi l’empêche de se conformer au Code, ExxonMobil prendra une décision responsable concernant les mesures à prendre en coordination avec l’organe de protection des Données à Caractère Personnel d’ExxonMobil (« Data Privacy Office » - « DPO »), et consultera l’autorité compétente en matière de protection des Données à Caractère Personnel si ExxonMobil l’estime nécessaire.

Si la loi applicable l’exige, les Données à Caractère Personnel seront Traitées pour des finalités spécifiques et légitimes et ne feront pas l’objet d’un Traitement ultérieur incompatible avec celles-ci. Le Traitement ultérieur ne sera pas considéré incompatible, par exemple, s’il est réalisé (i.) avec le consentement ou l’autorisation de la Personne Physique (ii.) dans une situation d’urgence, et notamment lorsque la vie ou les intérêts vitaux de la Personne Physique sont en jeu, ou (iii.) dans le but d’établir, exercer ou assurer la défense d’une recours juridique.

5.1 ExxonMobil s’engage à Traiter les Données à Caractère Personnel pertinentes en pour des finalités opérationnelles légitimes. 

5.2 Les Données à Caractère Personnel seront conservées uniquement le temps nécessaire pour atteindre les finalités pour lesquelles elles sont Traitées ou, si elles sont conservées plus longtemps, pour se conformer aux lois applicables ou pour protéger ses intérêts légitimes.

5.3 Lorsque la loi applicable l’exige, ExxonMobil prendra des mesures permettant de minimiser le Traitement des Données à Caractère Personnel, y compris en appliquant le principe de protection des Données à Caractère Personnel dès la conception.

En tenant compte de la finalité pour laquelle les Données à Caractère Personnel sont traitées, ExxonMobil prendra les mesures adaptées afin de (i) préserver l’exactitude des Données à Caractère Personnel, et (ii) mettre à jour les Données à Caractère Personnel dès qu’ExxonMobil sera informée par la Personne Physique ou une Source de Confiance de modifications apportées aux Données à Caractère Personnel.

ExxonMobil informera clairement les Personnes Physiques du Traitement des Données à Caractère Personnel, conformément aux exigences légales.

8.1 Sur la base d’une évaluation des risques encourus, ExxonMobil appliquera des mesures techniques et structurelles appropriées afin de protéger les Données à Caractère Personnel contre la perte accidentelle ou illicite, l’utilisation abusive ainsi que l’accès, la divulgation, la modification et la destruction non autorisés.

8.2 En cas de violation de Données à Caractère Personnel (« Data Breach »), ExxonMobil (i.) consultera l’organe de protection des Données à Caractère Personnel d’ExxonMobil qui tient le registre des violations de Données à Caractère Personnel, et (ii.) informera les Personnes Physiques conformément à la loi applicable.

9.1 Lorsque la loi applicable l’exige, ExxonMobil répondra aux demandes des Personnes Physiques souhaitant : (i) savoir si et quelles catégories de Données à Caractère Personnel  les concernant font l’objet d’un Traitement par ExxonMobil, (ii) recevoir une copie de leurs Données à Caractère Personnel, (iii) supprimer, limiter, effacer ou s’opposer au Traitement de leurs Données à Caractère Personnel  et (iv) opérer la Portabilité des Données à Caractère Personnel.

9.2 Les Personnes Physiques peuvent demander à ExxonMobil de rectifier toutes Données à Caractère Personnel inexactes les concernant conformément à l’Article 6.

9.3 Afin d’exercer ces droits ou de formuler une préoccupation ou une réclamation portant sur le non-respect du Code par ExxonMobil, les Personnes physiques peuvent contacter l’organe de protection des Données à Caractère Personnel d’ExxonMobil afin d’obtenir de plus amples informations sur la procédure de traitement des réclamations qui sera appliquée : 

Par courriel à : data.privacy.office@exxonmobil.com
ou par courrier postal à l’adresse suivante: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Hungary

En cas de transfert de Données à Caractère Personnel entre Affiliées, ExxonMobil Traitera et protégera les Données à Caractère Personnel conformément au Code.

De plus, les Affiliées traitant des Données à Caractère Personnel pour le compte d’autres Affiliées se conformeront à tous les accords inter-Affiliés, y compris aux obligations concernant le Traitement des Données à Caractère Personnel.

Les Données à Caractère Personnel ne seront transférées à des tiers (y compris dans  le cadre de transferts transfrontaliers) que si des mesures appropriées ont été mises en œuvre afin de garantir une protection adéquate des Données à Caractère Personnel lors du transfert.

ExxonMobil s’engage à dispenser une formation appropriée concernant les obligations du présent Code aux salariés qui: (i) Traitent les Données à Caractère Personnel, ou (ii) participent à la maintenance ou au développement des outils utilisés pour Traiter les Données à Caractère Personnel.

13.1 ExxonMobil applique des programmes permettant de vérifier régulièrement la mise en œuvre et le respect du Code.

13.2 Les programmes de contrôle de la conformité incluent :

(i.) un programme d’audit qui prévoit des audits réguliers par les services d’audit interne d’ExxonMobil ainsi que le suivi des éventuelles mesures correctives nécessaires, et la supervision du programme d’audit et des résultats d’audit par le Conseil d’Administration d’ExxonMobil,

(ii.) une organisation en en matière de protection des Données à Caractère Personnel qui consiste en :

1. un réseau de contacts dédiés en matière de protection de Données à Caractère Personnel,

2. l’organe de protection des Données à Caractère Personnel d’ExxonMobil qui conduit des analyses de risques d’impact sur la vie privée, et qui est responsable des missions qui lui sont assignées aux Articles 3.3, 8.2, 9.3, 17, 19.2.ix, 19.3 et 19.4.i du Code,

3. un organe de gouvernance mondiale composés de dirigeants seniors d’ExxonMobil, et qui supervise la conformité au Code et les activités  de l’organe de protection des Données à Caractère Personnel d’ExxonMobil.

14.1 ExxonMobil coopérera avec les autorités compétentes en matière de protection des Données à Caractère Personnel et examinera avec attention leurs recommandations dans le cadre des demandes relatives à l’application du Code.

14.2 ExxonMobil se conformera aux décisions officielles, définitives et en dernier ressort des autorités compétentes en matière de protection des Données à Caractère Personnel.

14.3 Si des Données à Caractère Personnel sont transférées entre Affiliées, celles ci seront tenues de coopérer et de s’entraider, le cas échéant, pour répondre aux demandes des autorités compétentes en matière de protection des Données à Caractère Personnel.

15.1 Le Code peut être modifié par ExxonMobil en tant que de besoin, par exemple pour assurer le respect des modifications de la législation applicable ou pour tenir compte de changements dans l’organisation et les processus internes.

15.2 ExxonMobil communiquera les modifications apportées au Code à l’Autorité de Protection de la Vie Privée belge, et ce comme suit :

• Les Modifications Importantes apportées au Code seront communiquées sans retard injustifié ; et
• Tous les ans, ExxonMobil communiquera les changements apportés à la liste des Affiliées tenues au respect du Code, et les modifications apportées au Code et à l’Accord Intragroupe autres que les Modifications Importantes.

15.3 ExxonMobil mettra à disposition le Code et les modifications qui y sont apportées :

• En externe, sur un site internet du groupe: Our privacy policies | ExxonMobil
• Sur demande de la Personne Physique conformément à l’Article 9.3,
• En interne, sur l’Intranet d’ExxonMobil.

Le Code prend effet le 17 décembre 2020.

Pour obtenir de plus amples informations sur le Code de Conduite, nous vous invitons à contacter l’organe de protection des Données à Caractère Personnel  d’ExxonMobil (« Data Privacy Office » - « DPO »)  à l’adresse suivante: data.privacy.office@exxonmobil.com.

« Accord Intragroupe » désigne l’accord inter-Affiliée d’ExxonMobil au terme duquel les Affiliées adoptent le Code de Conduite.

« Affiliée » désigne toute société ou société en participation qui a adopté le Code, dans laquelle Exxon Mobil Corporation ou toute société mère d’Exxon Mobil Corporation détient ou contrôle, à l’heure actuelle ou à l’avenir, et directement ou indirectement, plus de 50 pour cent des participations donnant le droit de voter ou de désigner ses administrateurs ou autres personnes occupant des fonctions équivalentes, et tout ayant droit d’une telle société ou société en participation. 

« Données à Caractère Personnel » désigne les données relatives à une Personne Physique.

« Données à Caractère Personnel  Européennes » désigne les Données à Caractère Personnel  qui sont ou ont été soumises à la Législation Européennes en matière de Protection des Données à Caractère Personnel.

« EEE » désigne l’Espace Economique Européen, établi en vertu de l’accord EEE du 1er janvier 1994, qui prévoit la libre circulation des personnes, des biens, des services et des capitaux à l’intérieur du marché unique européen.

« Informations Anonymisées » désigne des informations qui ont été rendues anonymes.

« Législation Européenne en matière de Protection des Données à Caractère Personnel » désigne le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement Général sur la Protection des Données de l’UE ) (sous sa forme transposée dans le droit national dans le cas des États membres de l’EEE et le Royaume-Uni, et tel que modifié) ou la Loi fédérale suisse sur la protection des Données à Caractère Personnel.

« Modifications Importantes » désigne les modifications apportées au Code qui ont une incidence négative sur le niveau de protection des Données à Caractère Personnel  Européennes prévu par le Code, ou qui ont une incidence significative sur le champ d’application ou la structure du Code à l’égard des Données à Caractère Personnel  Européennes.

« Portabilité des Données à Caractère Personnel » désigne le droit d’obtenir les Données à Caractère Personnel sous un format prêt à être transmis à un tiers conformément à la loi applicable.

« Personne Physique » désigne toute personne physique identifiée ou identifiable dont les informations sont Traitées par ExxonMobil ou pour son compte ; une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, en se référant notamment à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou un ou plusieurs facteurs propres à l’identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de cette Personne physique. Les Personnes Physiques incluent les salariés actuels et anciens passés d’ExxonMobil, les candidats à un emploi, le personnel de sociétés co-contractantes, les représentants des clients et d’autres partenaires commerciaux, ainsi que les consommateurs.

« Région Européenne » désigne les pays de l’Espace économique européen (EEE), le Royaume-Uni et la Suisse.

« Source de Confiance » désigne une personne physique ou morale qui est autorisée à représenter une Personne Physique, ou une personne physique ou morale qui, selon ExxonMobil, dispose en apparence de l’autorité de représenter une Personne Physique.

« Traiter », « Traité(e) » et « Traitement » désignent la réalisation de toute opération sur les Données à Caractère Personnel , qu’elle soit automatisée ou non, telle que l’accès, le recueil, le stockage, l’enregistrement, l’organisation, la modification, la diffusion, la divulgation, le transfert, l’extraction, la destruction ou toute autre utilisation des Données à Caractère Personnel.

19.1 En ce qui concerne les Données à Caractère Personnel Européennes, ExxonMobil s’engage à respecter tous les engagements prévus par le Code, et lorsque la Légalisation Européenne en matière de Protection des Données à Caractère Personnel est plus stricte et impose un niveau de protection plus élevé, ExxonMobil se conformera ce niveau de protection plus élevé.

19.2 En cas de transfert de Données à Caractère Personnel Européennes vers des Affiliées situées en dehors de la Région Européenne, ExxonMobil s’engage à offrir un niveau de protection qui ne remet pas en cause celui accordé par la Législation Européenne en matière de Protection des Données à Caractère Personnel, même si une telle protection n’est pas accordée par la loi applicable dans les pays des Affiliées situées hors Région Européenne dans lesquels sont reçues les Données à Caractère Personnel  Européennes. 

Cet engagement implique, en ce qui concerne les Articles 4, 5, 7, 8, 9 et 11 respectivement du Code, qu’ExxonMobil :

(i.) ne Traitera pas de Données à Caractère Personnel Européennes qui révèleraient l'origine raciale ou ethnique, les opinions politiques, la religion ou les convictions philosophiques, l'appartenance syndicale, la santé, la vie sexuelle, l’orientation sexuelle, des données génétiques, des données biométriques aux fins d'identifier une Personne Physique de manière unique, sauf à ce que ce Traitement soit permis en application de l’Article 9.2 du Règlement Général sur la Protection des Données de l’UE, 

(ii.) procédera à une analyse d’impacts concernant les opérations de Traitement présentant un risque élevé, conformément à l’Article 35 du Règlement Général sur la Protection des Données de l’UE, et si des risques persistent après avoir mis en œuvre les mesures d’atténuation identifiées par l’analyse d’impacts, consultera l’autorité de protection des Données à Caractère Personnel compétente, conformément à l’Article 36 du Règlement Général sur la Protection des Données de l’UE,

(ii.) Traitera les Données à Caractère Personnel Européennes pour des finalités spécifiques et légitimes,

(iii.) Traitera des Données à Caractère Personnel Européennes qui sont pertinentes et qui ne sont pas excessives au regard des besoins légitimes d’ExxonMobil,

iv. appliquera les principes de protection des Données à Caractères Personnel dès la conception et par défaut, et ce de manière appropriée,

vi. conservera un registre des activités de Traitement,

vii. informera en toute transparence les Personnes Physiques de l’utilisation et de la finalité des Traitements de Données à Caractère Personnel Européennes, conformément aux Articles 13 et 14 du Règlement Général sur la Protection des Données de l’UE,

viii. appliquera un niveau de sécurité visant à protéger les Données à Caractère Personnel similaire à celui prévu par la Législation Européenne en matière de Protection des Données à Caractère Personnel, 

ix. En cas de violation des Données à Caractère Personnel Européennes :

1. consultera l’organe de protection des Données à Caractère Personnel d’ExxonMobil qui documentera la violation dans un registre prévu à cet effet et tiendra la documentation à la disposition de l’autorité de protection des Données à Caractère Personnel compétente en cas de demande de cette dernière,

2. informera sans retard injustifié ExxonMobil Petroleum & Chemicals BV qui, si la violation est susceptible d'engendrer un risque pour les droits et libertés des Personnes Physiques, informera à son tour l'autorité de contrôle compétente sans retard injustifié et, si possible, 72 heures au plus tard après en avoir pris connaissance, et

3. informera les Personnes Physiques sans retard injustifié lorsqu'une violation de Données à Caractère Personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des Personnes Physiques, 

x. répondra aux demandes et réclamations des Personnes Physiques concernant le traitement de Données Caractère Personnel Européennes conformément à l’Article 19.7,

xi. autorisera les Personnes Physiques à objecter à une décision fondée exclusivement sur un Traitement automatisé, produisant des effets juridiques les concernant ou les affectant de manière significative de façon similaire, sauf lorsque cette décision est prise conformément à l’Article 22 du Règlement Général sur la Protection des Données de l’UE,

vi. Transfèrera des Données à Caractère Personnel Européennes en dehors de la Région Européenne seulement lorsque lorsqu’un niveau de protection adéquat est garanti conformément aux Articles 28.3 et 45 à 48 du Règlement Général sur la Protection des Données de l’UE ou qu’une dérogation est applicable conformément de l’Article 49 du Règlement Général sur la Protection des Données de l’UE.

19.3 Les autorités compétentes en matière de protection des Données à Caractère Personnel au sein de la Région Européenne sont habilitées à vérifier la conformité au Code, y compris en conduisant des audits d’ExxonMobil conformément aux droits d’audit qui leur sont conférés par les lois applicables.

Les Affiliées situées en dehors de la Région Européenne coopéreront avec ExxonMobil Petroleum & Chemicals BV selon les besoins pour répondre à toute demande des autorités compétentes dans la Région Européenne et fournir les conclusions résultant des mesures de vérification de la conformité au Code.

ExxonMobil communiquera à l’organe de protection des Données à Caractère Personnel  d’ExxonMobil les conclusions concernant le transfert de Données à Caractère Personnel Européennes vers les Affiliées situées hors de la Région Européenne dans le cadre du Code. 

ExxonMobil se conformera aux recommandations des autorités compétentes en matière de protection des Données à Caractère Personnel au sein de la Région Européenne en ce qui concerne les Données à Caractère Personnel Européennes, sous réserve d’avoir épuisé les voies de recours existantes lorsque de tels recours sont considérés comme appropriés par ExxonMobil. 

19.4 Les Personnes Physiques européennes dont les Données à Caractère Personnel sont transférées directement ou indirectement à une Affiliée située en dehors de la Région Européenne bénéficieront des droits reconnus des tiers qui sont prévus aux Articles15.3 et 19.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 19.3 à 19.8 du Code, et pourront directement faire appliquer lesdits Articles en :

i. contactant l’organe de protection des Données à Caractère Personnel  d’ExxonMobil conformément à l’Article 9.3, ou

ii. en introduisant une réclamation auprès de l’autorité nationale compétente en matière de protection des Données à Caractère Personnel , dans le pays de la région Européenne dans lequel la personne Physique a (i.) (a) son lieu de résidence habituel, (b.) son lieu de travail habituel ou (ii.) ou dans lequel la violation du Code a été commise, ou

iii. en engageant une procédure à l’encontre de l’Affiliée établie dans la Région Européenne auprès du tribunal compétent au sein de la Région Européenne  ou

iv. en engageant une procédure à l’encontre d’ExxonMobil Petroleum & Chemicals BV dont le siège social est sis Polderdijkweg, 2030 Anvers, Belgique, par-devant l’Autorité belge de Protection des Données (APD) ou par-devant les tribunaux de Bruxelles ou tout autre tribunal compétent en référence à l’article 79(2) Règlement Général sur la Protection des Données de l’UE.

19.5 En cas d’introduction d’une réclamation fondée en vertu de l’article 19.4., ExxonMobil Petroleum & Chemicals BV supportera la responsabilité de toute violation du Code par une Affiliée établie en dehors de la Région Européenne, et s’engage à prendre les mesures néceéssaires pour remédier à la violation et, le cas échéant, à verser une indemnité à raison des dommages résultant directement de cette violation, conformément à une décision finale et en dernier ressort d’un tribunal ou d’une autorité de surveillance.

19.6 En cas d’introduction d’une réclamation ou d’une procédure en vertu de l’article 19.4, il n’incombera pas à la Personne Physique européenne de prouver une violation effective du présent Code par l’Affiliée située en dehors de la Région Européenne ; il suffira que la Personne Physique européenne démontre qu’elle a subi un préjudice et que ce préjudice s’est probablement produit en raison d’une violation du présent Code par une Affiliée établie en dehors de la Région Européenne. La charge de la preuve incombera alors à ExxonMobil Petroleum & Chemicals BV qui devra démontrer que l’Affiliée établie en dehors de la Région Européenne  n’a pas violé le présent Code. Si ExxonMobil Petroleum & Chemical BVBA peut prouver que l’Affiliée située en dehors de la Région Européenne n’est pas responsable de la violation, ExxonMobil Petroleum & Chemicals BV pourra être déchargée de toute responsabilité.

19.7 Concernant les Données à Caractère Personnel Européennes, ExxonMobil répondra aux réclamations sans retard injustifié et, en tout état de cause, dans le délai d’un mois à compter de la réception de la demande, délai qui peut toutefois être étendu de deux mois supplémentaires si nécessaire. 

Les réclamations peuvent être soumises par une Personne Physique par email ou par courrier postal conformément à l’Article 9.3 du Code. 

Si ExxonMobil considère que la réclamation est fondée, elle informera la Personne Physique de la manière dont elle envisage de remédier au problème ayant donné lieu à la réclamation. Si la réclamation est rejetée ou que la Personne Physique n’est pas satisfaite de la réponse apportée par ExxonMobil, elle pourra introduite une réclamation ou engager une procédure conformément aux Articles 19.4.ii et 19.4.iii du Code. De plus si la réclamation concerne le Traitement de Données à Caractère Personnel Européennes par des Affiliées situées en dehors de la Région Européenne, la Personne Physique pourra introduire une réclamation ou engager une procédure conformément à l’Article 19.4.iv.

19.8 En cas de conflit ente le Code et une exigence légale dans un pays situé en dehors de la Région Européenne tel que décrit à l’Article 3.3, ExxonMobil informera l’autorité de protection des données compétente de la Région Européenne si cette exigence légale, cela incluant toute demande contraignante de divulguer des Données à Caractère Personnel Européennes à des autorités chargées de l'application de la loi ou agence de sécurité étatique d’un pays situé en dehors de la Région Européenne, est susceptible d’avoir une incidence négative significative sur les garanties attribuées par le Code aux Données à Caractère Personnel Européennes.

En s’acquittant de cette obligation, ExxonMobil s’engage à procéder à une évaluation qui tient dûment compte : (i) des circonstances spécifiques des transferts ; ii) les lois et pratiques des pays tiers de destination (pertinentes compte tenu des circonstances spécifiques de ces transferts, ainsi que des limitations et garanties applicables) ; et (iii) des mesures de sécurité contractuelles, techniques et organisationnelles pertinentes mises en place en vertu du Code de conduite. Les Sociétés Affiliées en dehors de la Région Européenne recevant des Données à Caractère Personnel Européennes s’efforceront de fournir des informations pertinentes afin de faciliter cette évaluation, qu’ExxonMobil documentera et mettra à la disposition de l’autorité compétente en matière de protection des données à sa demande. Si ExxonMobil apprend qu’une Société Affiliée en dehors de la Région Européenne ne peut plus remplir ses obligations en vertu du Code de conduite, ExxonMobil identifiera rapidement les mesures supplémentaires appropriées à adopter par la ou les Sociétés Affiliées concernées afin de remédier à la situation. La ou les Sociétés Affiliées concernées suspendront le transfert si ExxonMobil estime qu’aucune garantie appropriée pour un tel transfert ne peut être assurée, ou si l’autorité compétente en matière de protection des données en donne l’instruction.

Si l’information de l’autorité de protection des données compétente de la Région Européenne est interdite, ExxonMobil fera ses meilleurs efforts, raisonnables d’un point de vue pratique, afin d’obtenir la faculté de passer outre cette interdiction, et documentera les mesures qu’elle a entreprises à cet égard. Si en dépit de ces meilleurs efforts, raisonnables d’un point de vue pratique, ExxonMobil n’est pas autorisé à informer l’autorité de protection des données compétente de la Région Européenne de ces demandes, elle fournira une information annuelle générale concernant ces demandes.

ExxonMobil appréciera la légalité d’une demande de divulgation telle que décrite ci-dessus – en particulier, si elle relève des pouvoirs conférés à l’autorité publique requérante – et contestera la demande si, après une évaluation minutieuse, elle conclut qu’il existe des motifs raisonnables de considérer que la demande est illégale au regard des lois du pays de destination et des obligations applicables en vertu du droit international. ExxonMobil exercera, dans les mêmes conditions, les voies de recours possibles. En cas de contestation d’une demande, ExxonMobil demandera des mesures provisoires en vue de suspendre les effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur son bien-fondé. ExxonMobil documentera son évaluation juridique et toute contestation de la demande de divulgation et, dans la mesure permise par les lois du pays de destination, mettra la documentation à la disposition de l’autorité compétente en matière de protection des données à la demande de cette dernière. ExxonMobil ne divulguera pas les Données à Caractère Personnel demandées jusqu’à ce qu’elle soit tenue de le faire en vertu des règles de procédure applicables, et fournira le minimum d’informations autorisé dans sa réponse, en faisant une interprétation raisonnable de la demande.

ExxonMobil prendra des mesures afin de prévenir des transferts de Données à Caractère Personnel Européennes à toute autorité publique (ainsi que tout accès direct par ces autorités aux Données à Caractère Personnel transférées en vertu du Code de conduite) massifs, disproportionnés et indiscriminés d’une manière qui irait au-delà de ce qui est nécessaire dans une société démocratique. 

19.9 Les Affiliées ne transféreront pas de Données à Caractère Personnel Européennes à d’autres Affiliées dans le cadre Code sauf si ces dernières sont liées par le Code.