Adatvédelmi Magatartási Kódex (Code of Conduct)

1.1 Az ExxonMobil elkötelezett a Személyes Adatok védelme mellett, ideértve különösen:

i. a Személyes Adatok jogszerű kezelését, valamint

ii. üzleti igényeivel összhangban, a Személyes Adatok kezelésével összefüggő adatvédelmi kockázatok megfelelő kezelését.

1.2 ExxonMobil és munkavállalói kötelesek a Személyes Adatok kezelése során a Kódex rendelkezéseinek megfelelni. A Kódex a Vállalati Eszközökre vonatkozó Szabályzatban meghatározott megfelelési kötelezettségek részét képezi. A munkavállaló köteles a rá vonatkozó szabályzatokat megismerni, azok tartalmát megérteni, és azokat a munkaviszonyból eredő kötelezettségei részeként maradéktalanul betartani. A szabályzatok listája elérhető itt: Code of ethics | ExxonMobil.

1.3 Az ExxonMobil a Kódex, valamint annak végrehajtását támogató programok, eszközök és eljárások betartását az alábbi módokon ellenőrzi és felügyeli:

i. a kijelölt adatvédelmi kapcsolattartók hálózatán keresztül;

ii. az ExxonMobil Adatvédelmi Iroda útján, amely adatvédelmi szakértőkből áll, és tanácsadást nyújt az üzleti területek által végzett kockázatalapú adatvédelmi hatásvizsgálatokhoz, továbbá felelős a Kódex 3.3, 8.2, 9.3, 15.1 és 18.2.x pontjaiban meghatározott feladatok ellátásáért;

iii. az egyes leányvállalatoknál kijelölt Adatvédelmi Tisztviselőkön keresztül (amennyiben kinevezésre kerültek), akik felügyelik az Alkalmazandó Jogi Előírások és a Kódex rendelkezéseinek betartását. Az Adatvédelmi Tisztviselők tanácsot adnak, jelentéseket készítenek, és szükség esetén az ügyeket az ExxonMobil felső vezetése – beleértve az igazgatóságot és az európai jogtanácsost – felé továbbítják, valamint kapcsolattartóként működnek az Érintettek és az Illetékes Felügyeleti Hatóságok irányába;

iv. egy globális vállalati struktúrán keresztül, amelyben az ExxonMobil felső vezetése felügyeli az Adatvédelmi Iroda működését.

1.4 Az ExxonMobil Petroleum & Chemical BV (székhelye: Polderdijkweg, 2030 Antwerpen, Belgium) aktívan részt vesz az ExxonMobil globális adatvédelmi irányításában, és kiemelt szerepet tölt be az európai személyes adatok védelmében. E szerepkör részletes ismertetését, valamint az európai személyes adatokkal kapcsolatos jogokat a Kódex 18. pontja tartalmazza.

1.5 A Kódex az ExxonMobil kötelező erejű vállalati szabályzata, amely az európai adatvédelmi jogszabályoknak megfelelően került kialakításra.

2.1 Az ExxonMobil a Kódex rendelkezéseit minden olyan országban alkalmazza, ahol személyes adatkezelésre sor kerül.

2.2 A Kódex az Érintettek személyes adataira vonatkozik. Érintettnek minősülnek különösen a jelenlegi és korábbi munkavállalók, álláskeresők, alvállalkozók, ügyfelek, üzleti partnerek képviselői, valamint a fogyasztók. Minden Érintett számára elérhetők olyan adatvédelmi tájékoztatók, amelyek megfelelnek az európai adatvédelmi jogszabályoknak, ismertetik a kezelt személyes adatok típusait és kategóriáit, és hozzáférhetők az ExxonMobil belső és külső weboldalain. Ahol releváns, a szerződések titoktartási kötelezettség hatálya alá esnek, és kizárólag a szerződő felek számára hozzáférhetők.

2.3 A Kódex nem alkalmazandó az olyan anonimizált adatokra vagy egyéb információkra, amelyek nem minősülnek személyes adatnak.

2.4 Az ExxonMobil üzleti célból kezel személyes adatokat, különösen az alábbi területeken:

i. humánerőforrás- és személyzeti adminisztráció, ideértve a bérszámfejtést és a karrierfejlesztést;

ii. az egyének vállalati szabályzatoknak és eszközhasználati előírásoknak való megfelelőségének ellenőrzése;

iii. az egyének fizikai biztonságának biztosítása, valamint az épületekhez való hozzáférés szabályozása;

iv. informatikai rendszerek működtetése, beleértve a szoftver- és hardverellátást, hozzáférés-szabályozást, valamint az információbiztonsági intézkedések fenntartását és frissítését;

v. ügyfelekkel és üzleti partnerekkel való kapcsolattartás, ideértve a kapcsolattartási és tranzakciós adatok kezelését megrendelés, szállítás, számlázás és üzletfejlesztés céljából;

vi. hatóságokkal való kommunikáció a jogszabályi kötelezettségek teljesítése érdekében;

vii. külső érintettekkel való kommunikáció az ExxonMobil üzleti tevékenységével összefüggésben.

3.1 A személyes adatok kezelése kizárólag jogszerű módon történhet.

3.2 A Kódex az adatvédelem minimálisan elvárt szintjét határozza meg. Amennyiben az alkalmazandó jogszabályok ennél magasabb szintű védelmet írnak elő, az ExxonMobil az adott országban az emelt szintű védelmet alkalmazza. Például, ha az adatkezelés kizárólag jogszabályban meghatározott jogalap(ok) alapján engedélyezett (lásd a Kódex 18.2.iv és v. pontjait), az ExxonMobil az ilyen követelményeknek megfelelően jár el.

3.3 Az ExxonMobil – az Adatvédelmi Iroda és az esetlegesen kijelölt Adatvédelmi Tisztviselők támogatásával – globális szinten nyomon követi a jogszabályi környezet változásait annak érdekében, hogy a Kódex rendelkezései minden esetben betarthatók legyenek. Ez a tevékenység magában foglalja a Kódex 18.8 pontjában meghatározott értékelési folyamatokat is. Amennyiben az ExxonMobil úgy ítéli meg, hogy valamely jogszabály akadályozza a Kódex alkalmazását, az Adatvédelmi Irodával (Data Privacy Office), valamint – szükség esetén – az Adatvédelmi Tisztviselőkkel egyeztetve felelős döntést hoz a szükséges intézkedésekről. Az Adatvédelmi Tisztviselő köteles tájékoztatni és konzultálni az illetékes felügyeleti hatósággal mind az alkalmazandó jogszabályok által előírt esetekben, mind akkor, ha az adott jogszabály jelentős hátrányt okozhat a Kódex által biztosított garanciák érvényesülésében.

Amennyiben az alkalmazandó jogszabályok előírják, a személyes adatokat kizárólag meghatározott, jogszerű célból lehet kezelni, minden esetben megfelelő jogalap megléte mellett. Az adatokat nem lehet olyan módon továbbkezelni, amely összeegyeztethetetlen az eredeti adatkezelési céllal. A továbbkezelés nem minősül összeegyeztethetetlennek különösen az alábbi esetekben:

i. ha az Érintett kifejezett hozzájárulását adta vagy felhatalmazást adott;

ii. sürgősségi helyzetben, például ha az Érintett élete vagy létfontosságú érdekei veszélyben vannak;

iii. jogi igény előterjesztése, érvényesítése vagy védelme érdekében.

5.1 Az ExxonMobil kizárólag olyan személyes adatokat kezel, amelyek az üzleti céljai szempontjából relevánsak (példák a Kódex 2.4 pontjában találhatók). Ahol lehetséges, az adatokat törli, aggregálja és/vagy álnevesíti annak érdekében, hogy az adatkezelés mértéke a cél eléréséhez szükséges minimális szintre korlátozódjon.

5.2 A személyes adatokat az ExxonMobil csak addig őrzi meg, ameddig az adatkezelés céljának eléréséhez feltétlenül szükséges.

5.3 Amennyiben az alkalmazandó jogszabályok előírják, az ExxonMobil intézkedéseket tesz az adatkezelés minimalizálása érdekében, ideértve az „adatvédelem alapértelmezés szerint” (privacy by design) elv alkalmazását is.

Az adatkezelés céljának figyelembevételével az ExxonMobil ésszerű intézkedéseket tesz annak érdekében, hogy:

i. a kezelt személyes adatok pontosak legyenek;

ii. az adatokat frissítse, amennyiben az Érintett vagy egy megbízható forrás adatváltozásról tájékoztatást ad.

Az ExxonMobil világos, egyértelmű és a jogszabályi előírásoknak megfelelő tájékoztatást nyújt a személyes adatok kezeléséről.

8.1 Az ExxonMobil az adatkezeléssel járó kockázatok értékelése alapján megfelelő technikai és szervezési intézkedéseket alkalmaz annak érdekében, hogy:

i. az európai személyes adatok kezelése megfeleljen az adatvédelmi jogszabályoknak, és

ii. a személyes adatok védelmet élvezzenek az adatsértésekkel szemben.

Ezen intézkedések részletes felsorolását egy információbiztonsági melléklet tartalmazza, amely nemzetközileg elismert biztonsági szabványokon alapul.

8.2 Adatsértés bekövetkezése esetén az ExxonMobil:

i. konzultál az Adatvédelmi Irodával, amely nyilvántartást vezet az adatsértésekről;

ii. jelentést tesz a szabályozó hatóságoknak és az illetékes felügyeleti hatóságnak;

iii. tájékoztatja az érintetteket az adatsértésről, minden esetben az alkalmazandó jogszabályi előírásoknak megfelelően.

9.1 Az alkalmazandó jogszabályok által előírt esetekben az ExxonMobil válaszol az érintettek azon kérelmeire, amelyek az alábbiakra irányulnak:

i. annak megismerése, hogy az ExxonMobil kezel-e rájuk vonatkozó személyes adatokat, és ha igen, milyen kategóriákban;

ii. a rájuk vonatkozó személyes adatok másolatának rendelkezésre bocsátása;

iii. a személyes adatok törlése, korlátozása, eltávolítása vagy az adatkezelés megszüntetése;

iv. a hozzájárulás visszavonása – amennyiben ezt az alkalmazandó jogszabály lehetővé teszi;

v. az adathordozhatósághoz való jog gyakorlása.

9.2 Az érintettek kérhetik a rájuk vonatkozó pontatlan személyes adatok helyesbítését a Kódex 6. pontjában foglaltak szerint.

9.3 A jogok gyakorlása, valamint a Kódex megsértésével kapcsolatos aggály vagy panasz benyújtása érdekében az érintettek az alábbi elérhetőségeken keresztül léphetnek kapcsolatba az ExxonMobil Adatvédelmi Irodájával, ahol tájékoztatást kapnak az alkalmazott eljárásrendről:

E-mailben: data.privacy.office@exxonmobil.com
Postai úton: Data Privacy Office, c/o ExxonMobil Hungary Kft., H-1134 Budapest, Dózsa György út 61-63, Magyarország

Az érintettek az Adatvédelmi Tisztviselőkkel is kapcsolatba léphetnek ugyanazon elérhetőségeken, azzal, hogy az e-mail tárgyában a „DP Officer” megjelölést kell feltüntetni.

Amennyiben az ExxonMobil személyes adatokat továbbít leányvállalatai között, biztosítja, hogy az adatok a jelen Kódexben meghatározott védelemben részesüljenek.

Személyes adatok harmadik felek részére – ideértve a nemzetközi adattovábbítást is – kizárólag akkor továbbíthatók, ha az adattovábbítás során az alkalmazandó jogszabályoknak megfelelő, megfelelő védelmi intézkedések kerültek bevezetésre.

Az ExxonMobil kötelező képzést biztosít azon munkavállalók és alvállalkozók számára, akik

i. személyes adatokat kezelnek, vagy

ii. részt vesznek a személyes adatok kezelésére szolgáló rendszerek fejlesztésében vagy karbantartásában.

A képzés a munkaviszony vagy megbízás kezdetekor, majd háromévente ismétlődően történik. A folyamatos oktatást az Adatvédelmi Iroda támogatja, és az ExxonMobil meglévő képzési rendszerein keresztül érhető el.

13.1 Az ExxonMobil olyan ellenőrzési programokat működtet, amelyek rendszeresen vizsgálják a Kódex végrehajtását és betartását.

13.2 A megfelelőségi ellenőrzési programok az alábbi elemeket tartalmazzák:

i. auditprogram, amely rendszeres belső ellenőrzéseket foglal magában az ExxonMobil szervezeti egységeinél és üzleti területein, ideértve a szükséges korrekciós intézkedések nyomon követését, valamint az auditprogram és annak eredményeinek felügyeletét az ExxonMobil Corporation Igazgatósága által;

ii. az ExxonMobil belső ellenőrzési osztályának tagjai függetlenül végzik feladataikat, különös tekintettel az ellenőrzés terjedelmére, folyamatára és gyakoriságára. Ez biztosítja az audit funkciók és az audit eredmények objektivitását. Az audit eredményeit megosztják az ellenőrzött egység vagy üzleti terület felső vezetésével, az Adatvédelmi Tisztviselővel (ha van), valamint az ExxonMobil Petroleum & Chemical BV igazgatóságának kijelölt képviselőjével a javasolt intézkedések végrehajtásának biztosítása érdekében;

iii. a belső ellenőrzési osztály felelős az auditmegállapítások nyomon követéséért. Az auditprogram és az összes audit eredmény felügyeletét az ExxonMobil Corporation Igazgatóságának Audit Bizottsága látja el, ezzel biztosítva az audit funkciók tényleges függetlenségét;

iv. egy kiegészítő eljárás, amely lehetőséget biztosít arra, hogy bármely szervezeti egység vagy üzleti terület auditot kezdeményezzen a belső ellenőrzési osztálynál.

14.1 Az ExxonMobil együttműködik az illetékes felügyeleti hatóságokkal, válaszol az adatkezeléssel kapcsolatos megkeresésekre, és gondosan mérlegeli a hatóságok ajánlásait a Kódex alkalmazásával összefüggésben.

14.2 Az illetékes felügyeleti hatóság közfeladatainak ellátása során az ExxonMobil együttműködik, és eleget tesz minden jogszerű, végleges és további jogorvoslattal nem támadható határozatnak.

14.3 Amennyiben személyes adatok továbbítására kerül sor a leányvállalatok között, azok együttműködnek és szükség esetén támogatást nyújtanak egymásnak az illetékes felügyeleti hatóságok megkereséseire adott válaszadás során.

15.1 Az ExxonMobil szükség esetén módosítja a Kódexet, különösen az alkalmazandó jogszabályok változásai vagy a belső szervezeti és működési átalakulások miatt. A módosításokat az Adatvédelmi Iroda dokumentálja és archiválja, továbbá értesítést küld minden érintett ExxonMobil leányvállalat részére – kizárólag az érdemi változásokról.

15.2 Az ExxonMobil az alábbi módon tájékoztatja az illetékes felügyeleti hatóságot:

• az érdemi változásokat és a leányvállalatok közötti megállapodás módosításait indokolatlan késedelem nélkül közli;
• évente tájékoztatást ad a Kódex és/vagy a Kódex hatálya alá tartozó leányvállalatok listájának változásairól, beleértve a változások rövid ismertetését is. Amennyiben nem történt változás, erről is tájékoztatást ad az éves jelentés keretében.

15.3 Az ExxonMobil a Kódexet és annak módosításait az alábbi módokon teszi elérhetővé:

• külsőleg, a vállalat hivatalos weboldalán;
• az érintett kérésére, a Kódex 9.3 pontja szerint;
• belsőleg, az ExxonMobil intranetes felületén.

A Kódex hatályba lépésének időpontja az a nap, amikor a Kötelező Vállalati Szabályzatokat rögzítő leányvállalatok közötti megállapodás aláírásra kerül.

További információért a Magatartási Kódex tartalmával kapcsolatban kérjük, forduljon az ExxonMobil Adatvédelmi Irodájához:

E-mail: data.privacy.office@exxonmobil.com.

18.1 Az európai személyes adatok tekintetében az ExxonMobil felelősséget vállal a Kódexben rögzített kötelezettségek teljesítéséért. Amennyiben az európai adatvédelmi jogszabályok szigorúbb előírásokat tartalmaznak, az ExxonMobil az ezek által biztosított magasabb szintű védelmet alkalmazza. Az ExxonMobil haladéktalanul értesíti az adatátadó felet és az ExxonMobil Petroleum & Chemical BV-t, ha a Kódex rendelkezéseinek betartása már nem biztosítható – ideértve különösen a célország jogszabályi környezetének változását vagy kormányzati hozzáférési kérelmet.

18.2 Amennyiben európai személyes adatok továbbításra kerülnek az Európai Unión kívüli leányvállalatok részére, az ExxonMobil olyan védelmi szintet biztosít, amely nem csökkenti az európai adatvédelmi jogszabályok által garantált védelmet – akkor sem, ha a célország jogszabályai nem írnak elő ilyen szintű biztosítékot.

Ez különösen azt jelenti, hogy az alábbi szakaszokban (3., 4., 5., 7., 8., 9. és 11.) meghatározott adatvédelmi gyakorlatokat az ExxonMobil az alábbiak szerint alkalmazza:

i. nem kezel olyan európai személyes adatokat, amelyek faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre, szakszervezeti tagságra, egészségi állapotra, szexuális életre vagy irányultságra, genetikai vagy biometrikus adatokra vonatkoznak, kivéve, ha az adatkezelés az európai adatvédelmi jogszabályokkal összhangban megengedett;

ii. nem kezel bűncselekményekkel és büntetőítéletekkel kapcsolatos adatokat, kivéve, ha az európai jogszabályok ezt lehetővé teszik;

iii. magas kockázatú adatkezelési műveletek esetén kockázatelemzést végez, és amennyiben a kockázat a mérséklő intézkedések ellenére is magas marad, konzultál az illetékes felügyeleti hatósággal;

iv. kizárólag meghatározott és jogszerű üzleti célból, érvényes jogalap alapján kezel európai személyes adatokat, különösen, ha:

• az adatkezelés az ExxonMobil vagy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha az érintett jogai és szabadságai elsőbbséget élveznek;

• az érintett hozzájárulását adta;

• az adatkezelés szerződés teljesítéséhez vagy szerződéskötést megelőző lépésekhez szükséges;

• az adatkezelés jogi kötelezettség teljesítéséhez szükséges;

• kivételes esetben az érintett vagy más természetes személy létfontosságú érdekeinek védelme érdekében szükséges;

v. különleges adatokat kizárólag meghatározott és jogszerű üzleti célból, érvényes jogalap alapján kezel, különösen, ha:

• az érintett kifejezett hozzájárulását adta;

• az adatkezelés a foglalkoztatási, szociális biztonsági vagy szociális védelmi jogszabályok alapján szükséges;

• az adatkezelés megelőző vagy foglalkozás-egészségügyi célból, orvosi diagnózis, egészségügyi vagy szociális ellátás nyújtása, illetve az ilyen rendszerek irányítása céljából történik;

vi. kizárólag olyan adatokat kezel, amelyek az üzleti célhoz szükségesek, relevánsak és arányosak;

vii. alkalmazza az „adatvédelem alapértelmezés szerint” (privacy by default) és „tervezés során” (privacy by design) elveket;

viii. digitális és írásos nyilvántartást vezet az adatkezelési tevékenységekről, amelyet kérésre az illetékes felügyeleti hatóság rendelkezésére bocsát;

ix. átlátható tájékoztatást nyújt az érintettek részére az adatkezelés céljáról és módjáról, beleértve a Kódexre való hivatkozást;

x. az európai adatvédelmi jogszabályok által előírt biztonsági intézkedéseket alkalmazza;

xi. adatsértés esetén:

1. konzultál az Adatvédelmi Irodával és az Adatvédelmi Tisztviselővel, akik értékelik a kockázatot, dokumentálják az esetet, és az illetékes hatóság kérésére rendelkezésre bocsátják;

2. haladéktalanul, de legkésőbb 72 órán belül bejelenti az adatsértést az illetékes hatóságnak, kivéve, ha az adatsértés valószínűsíthetően nem jár kockázattal az érintettek jogaira és szabadságaira nézve;

3. haladéktalanul tájékoztatja az ExxonMobil Petroleum & Chemical BV-t;

4. haladéktalanul tájékoztatja az érintetteket, ha az adatsértés magas kockázattal járhat számukra;

5. ha az adatsértés egy adatfeldolgozó tevékenységéből ered, haladéktalanul értesíti az adatkezelő ExxonMobilt;

xii. válaszol az érintettek kérelmeire és panaszaikra a Kódex 18.7 pontjában foglaltak szerint;

xiii. lehetővé teszi az érintettek számára, hogy tiltakozzanak az adatkezelés vagy az automatizált döntéshozatal ellen, amennyiben az joghatással jár vagy hasonlóan jelentős hatással van rájuk – kivéve, ha az ilyen döntéshozatal jogszerű;

xiv. az európai személyes adatokat kizárólag az európai adatvédelmi jogszabályokkal összhangban továbbítja harmadik országokba;

xv. olyan adatfeldolgozói szerződéseket köt, amelyek megfelelnek az európai adatvédelmi jogszabályoknak;

xvi. az Európai Régióban Adatvédelmi Tisztviselőket nevez ki, akik felügyelik a jogszabályoknak való megfelelést, és jogosultak auditot kezdeményezni a megfelelőség ellenőrzése céljából.

18.3 Az Illetékes Felügyeleti Hatóságok ellenőrzési jogosultsága

Az Európai Régióban működő illetékes felügyeleti hatóságok jogosultak ellenőrizni a Kódex betartását, ideértve az ExxonMobil auditálását is, az európai adatvédelmi jogszabályok által biztosított jogkörök alapján. Az audit eredményeit a Kódex 13.2 pontjában foglaltak szerint közlik, és kérésre az illetékes hatóság részére is hozzáférhetővé teszik.

A Kódex betartásával kapcsolatos jogvitákban az illetékes hatóság országának bíróságai rendelkeznek joghatósággal, amelyet az ExxonMobil elismer és elfogad.

Minden leányvállalat köteles együttműködni az ExxonMobil Petroleum & Chemical BV-vel az illetékes hatóságok megkeresései során, ideértve az auditjelentések és helyszíni ellenőrzések biztosítását is.

Az ExxonMobil az európai személyes adatokkal kapcsolatban követi az illetékes hatóságok iránymutatásait, kivéve, ha úgy ítéli meg, hogy jogorvoslati lehetőségek kimerítése indokolt.

18.4 Azon érintett személy, akinek európai személyes adatai továbbításra kerülnek az Európai Régión kívül működő leányvállalathoz, harmadik félként jogosult az alábbi Kódex rendelkezéseiből eredő jogok gyakorlására, és azokat közvetlenül érvényesítheti: 15.3, valamint 18.2 i., iii., iv., v., vii., viii., ix.3, x., xi., xii., továbbá 18.3–18.8 szakaszok.

Az érintett az alábbi módokon élhet ezen jogaival:

i. kapcsolatfelvétel az ExxonMobil Adatvédelmi Irodájával a 9.3. albekezdésben foglaltak szerint;

ii. panasz benyújtása az illetékes felügyeleti hatósághoz (SA), amely joghatósággal rendelkezik azon országban, ahol az érintett szokásos tartózkodási hellyel rendelkezik, dolgozik, vagy ahol a Kódex állítólagos megsértése történt;

iii. kereset indítása az Európai Régióban bejegyzett, érintett leányvállalat ellen az Európai Régióban működő illetékes bíróság előtt;

iv. kereset indítása az ExxonMobil Petroleum & Chemical BV ellen (székhely: Polderdijkweg, 2030 Antwerpen, Belgium) a Belga Adatvédelmi Hatóság (Autorité de Protection des Données), a brüsszeli bíróságok vagy más, az európai adatvédelmi jog által megengedett illetékes bíróság előtt.

18.5 Felelősség az Európai Unión kívüli leányvállalatok jogsértéseiért

Amennyiben a Kódex 18.4 pontja alapján megalapozott igényt vagy panaszt nyújtanak be, az ExxonMobil Petroleum & Chemical BV felelősséget vállal az Európai Unión kívül letelepedett leányvállalat által elkövetett Kódex-sértésért. Vállalja, hogy megteszi a szükséges intézkedéseket a jogsértés orvoslása érdekében, valamint – amennyiben indokolt – kártérítést fizet a jogsértésből eredő károkért, egy olyan bírósági vagy illetékes felügyeleti hatóság által hozott jogerős határozat alapján, amely ellen további jogorvoslatnak nincs helye.

18.6 Bizonyítási teher megoszlása jogvita esetén

Ha a Kódex 18.4 pontja alapján igényt, panaszt vagy eljárást indítanak, az Érintettnek nem szükséges bizonyítania az Európai Unión kívüli leányvállalat általi Kódex-sértés tényleges megtörténtét. Elegendő, ha az Érintett igazolja, hogy kár érte, és hogy a kár valószínűsíthetően a Kódex megsértéséből ered, amelyet egy Európai Unión kívüli leányvállalat követett el.

Ezt követően a bizonyítási teher az ExxonMobil Petroleum & Chemical BV-t terheli, amelynek igazolnia kell, hogy az érintett leányvállalat nem sértette meg a Kódexet. Amennyiben ez sikerül, az ExxonMobil Petroleum & Chemical BV mentesülhet a felelősség alól.

18.7 Panaszkezelés és válaszadási határidők

Az ExxonMobil az európai személyes adatok kezelésével kapcsolatos kérelmekre vagy panaszokra indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül válaszol. Ez a határidő további két hónappal meghosszabbítható, amennyiben az szükséges és az európai adatvédelmi jogszabályok ezt lehetővé teszik, feltéve, hogy az Érintettet erről írásban tájékoztatják.

Az ExxonMobil Adatvédelmi Iroda és az Adatvédelmi Tisztviselők támogatást nyújtanak az ilyen kérelmek vagy panaszok megválaszolásáért felelős munkavállalók számára.

Az Érintettek panaszt nyújthatnak be az ExxonMobil részére e-mailben vagy írásban a Kódex 9.3 pontjában meghatározott elérhetőségeken. Az ExxonMobil elismeri az Érintettek által benyújtott kérelmeket és panaszokat, akár közvetlenül, akár nonprofit szervezet, egyesület vagy testület képviseletében, amennyiben ezt az európai adatvédelmi jogszabályok lehetővé teszik.

Amennyiben az ExxonMobil a panaszt megalapozottnak találja, tájékoztatja az Érintettet arról, hogy milyen módon kívánja orvosolni a panasz alapjául szolgáló problémát. Ha a panaszt elutasítják, vagy az Érintett nem elégedett a válasszal, panaszt nyújthat be vagy eljárást indíthat a Kódex 18.4.ii és 18.4.iii pontjai szerint. Ha a panasz az Európai Unión kívüli leányvállalat adatkezelésére vonatkozik, az Érintett a 18.4.iv pont alapján is élhet jogorvoslattal.

18.8 Értékelések az adattovábbítás megfelelőségének vizsgálatára

Az ExxonMobil értékeléseket („Assessment”) végez és dokumentál annak megállapítása érdekében, hogy az európai személyes adatoknak az Európai Unión kívüli adatimportőr részére történő továbbítása a Kódex alapján megfelelő védelmet élvez-e, valamint hogy szükséges-e kiegészítő intézkedések bevezetése az értékelés eredményei alapján. Az értékeléseket naprakészen tartják, különösen jogszabályváltozás esetén, amely befolyásolhatja a kockázatértékelést.

Az értékelés során az adatexportőrök figyelemmel kísérik a célország jogi környezetének változásait, szükség esetén az adatimportőrökkel együttműködve. Az ExxonMobil a Kódex 18.1 pontja alapján haladéktalanul tájékoztatja az adatexportőrt és az ExxonMobil Petroleum & Chemical BV-t, ha a jogszabályváltozás miatt már nem tud megfelelni a Kódex előírásainak.

A leányvállalatokat az Adatvédelmi Iroda tájékoztatja az értékelések eredményeiről, ideértve azt is, ha az adattovábbítás felfüggesztésre vagy megszüntetésre kerül. A kiegészítő intézkedések végrehajtása dokumentálásra kerül.

Az értékelés során vizsgálják, hogy a célország jogszabályai és gyakorlatai:

• tiszteletben tartják-e az alapvető jogokat és szabadságokat;

• nem haladják-e meg a demokratikus társadalomban szükséges és arányos mértéket az európai személyes adatokhoz való hozzáférés vagy azok közzététele tekintetében;

• előírják-e az adatok közzétételét vagy lehetővé teszik-e a hatóságok hozzáférését, amely jelentős hátrányos hatással lehet a Kódex által biztosított garanciákra.

Ha az értékelés megállapítja, hogy a helyi jogszabályok ilyen hatással bírnak, az ExxonMobil – az ExxonMobil Petroleum & Chemical BV-vel, az Adatvédelmi Irodával és az Adatvédelmi Tisztviselőkkel együttműködve – felülvizsgálja a meglévő szerződéses, technikai és szervezési intézkedéseket, és dönt arról, hogy szükséges-e további intézkedések bevezetése a kockázat csökkentése érdekében.

Ez az eljárás a már meglévő adattovábbításokra is alkalmazandó, ha az adatimportőr jelzi, hogy a helyi jogszabályok és gyakorlatok érintik azokat. Az ilyen adattovábbításokat az ExxonMobil utasítására, illetve az illetékes hatóság kérésére azonnal felfüggesztik, amíg a kiegészítő intézkedések bevezetésre nem kerülnek.

Amennyiben:

• nem azonosíthatók megfelelő kiegészítő intézkedések;

• a bevezetett intézkedések nem biztosítanak megfelelő védelmet;

• a felfüggesztett adattovábbítás egy hónapon belül nem állítható helyre; vagy

• a meghosszabbított felfüggesztés lejár,

az adattovábbítást megszüntetik, és új adattovábbítás nem engedélyezhető.

Minden olyan európai személyes adatot, amelyet továbbítottak volna, az adatexportőr választása szerint vissza kell küldeni vagy meg kell semmisíteni, kivéve, ha a helyi jogszabályok ezt megtiltják. Ez esetben az adatok az adatimportőr birtokában maradnak, aki továbbra is köteles a Kódex rendelkezéseit betartani. Ha az adatexportőr a törlést választja, az adatimportőr kérésre igazolást szolgáltat a végleges törlésről.

Minden értékelés az illetékes felügyeleti hatóság rendelkezésére áll, ha azt kérik.

18.9 Kormányzati hozzáférési kérelmek kezelése

Amennyiben az adatimportőr kormányzati hozzáférési kérelemről („Government Access Request”) értesül vagy azt kézhez kapja, haladéktalanul tájékoztatja az adatkivivőt, valamint azt az érintettet, akinek az európai személyes adata a kérelem tárgyát képezi.

Ha az adatimportőr jogilag akadályozva van az ilyen értesítések megtételében, minden tőle telhetőt megtesz annak érdekében, hogy e tilalom alól felmentést szerezzen, és dokumentálja ezen erőfeszítéseit – beleértve az eredeti kormányzati kérelmet is – annak érdekében, hogy kérésre az adatkivivő felé igazolni tudja azokat, mindaddig, amíg a kérelem tárgyát képező személyes adatok továbbítása a Kódex védelme alatt áll.

Minden kormányzati hozzáférési kérelmet és a kapcsolódó belső dokumentációt az ExxonMobil iratkezelési irányelveinek megfelelően kell megőrizni.

Az ExxonMobil értékeli a kérelem jogszerűségét – különösen azt, hogy az a kérelmező hatóság hatáskörén belül történt-e –, és megtámadja a kérelmet, ha alapos mérlegelést követően úgy ítéli meg, hogy megalapozottan feltételezhető, hogy az ellentétes a célország jogával, a nemzetközi jogból eredő kötelezettségekkel és/vagy a nemzetközi udvariasság elveivel. Az értékelést az ExxonMobil megosztja az adatkivivővel.

Ugyanezen feltételek mellett az ExxonMobil jogorvoslati lehetőségeket is igénybe vesz. A kérelem megtámadása során ideiglenes intézkedés iránti kérelmet is benyújt annak érdekében, hogy a kérelem hatályát felfüggesszék, amíg az illetékes bíróság érdemben dönt. Az ExxonMobil dokumentálja jogi értékelését és a kérelem megtámadását, és – amennyiben a célország joga ezt lehetővé teszi – ezen dokumentációt az illetékes felügyeleti hatóság kérésére rendelkezésre bocsátja.

Az ExxonMobil nem adja ki a kért személyes adatokat, amíg erre az alkalmazandó eljárási szabályok alapján kötelezve nem lesz, és válaszadáskor kizárólag a kérelem ésszerű értelmezése alapján megengedett minimális információt szolgáltatja.

Az ExxonMobil intézkedéseket tesz annak érdekében, hogy megakadályozza az európai személyes adatok olyan továbbítását bármely állami hatóság részére – valamint az ilyen hatóságok közvetlen hozzáférését –, amely tömeges, aránytalan és válogatás nélküli módon történik, és túllépi a demokratikus társadalomban szükséges mértéket.

Az adatimportőr évente és rendszeres időközönként általános tájékoztatást nyújt az adatkivivő részére a kormányzati hozzáférési kérelmekről, amely tartalmazza a lehető legtöbb releváns információt (különösen: a kérelmek száma, a kért adatok típusa, a kérelmező hatóság(ok), történt-e jogi kifogás, és annak eredménye).

18.10 A leányvállalatok nem továbbíthatnak európai Személyes Adatokat a Kódex alapján más leányvállalatok részére, kivéve, ha a fogadó leányvállalat szintén kötelező érvénnyel alá van vetve a Kódex rendelkezéseinek.

18.11 Amennyiben az Adatimportőr már nem köteles a Kódex rendelkezéseinek betartására, az Adatkivivő engedélyezheti számára, hogy a Kódex alapján átvett Személyes Adatokat megőrizze, visszaküldje vagy törölje. Ha az Adatkivivő és az Adatimportőr megállapodnak abban, hogy az Adatimportőr megtarthatja az adatokat, az Adatimportőr vállalja, hogy azokat továbbra is az európai adatvédelmi jogszabályoknak megfelelő védelem alatt tartja.

„Leányvállalat”: olyan társaság vagy társulás, amely a Kódexet elfogadta a leányvállalatok közötti megállapodás aláírásával, és amelyben az Exxon Mobil Corporation vagy annak bármely anyavállalata – közvetlenül vagy közvetve – jelenleg vagy a jövőben a szavazati joggal vagy igazgatók (vagy azok funkcionális megfelelői) kinevezésének jogával rendelkező tulajdoni hányad több mint 50%-át birtokolja vagy ellenőrzi, valamint az ilyen társaság vagy társulás jogutódja.

„Anonimizált információ”: olyan információ, amely nem kapcsolódik azonosított vagy azonosítható természetes személyhez, illetve olyan módon anonimizált személyes adat, amely alapján az Érintett nem, vagy már nem azonosítható.

„Alkalmazandó jogszabályok”:

(i) európai Személyes Adatok tekintetében az európai adatvédelmi jogszabályok, és/vagy

(ii) minden egyéb Személyes Adat esetén az alkalmazandó nemzeti, szövetségi, állami és helyi adatvédelmi, adatbiztonsági és magánélet védelmére vonatkozó jogszabályok és rendeletek, azok mindenkori módosított, frissített vagy helyébe lépő változatai, amelyek az ExxonMobil által végzett adatkezelésre vonatkoznak.

„Értékelések”: jogi felülvizsgálat, amely kiterjed

(i) az adattovábbítás konkrét körülményeire,

(ii) a célország jogszabályaira és gyakorlatára, különösen azokra, amelyek adatközlést vagy hozzáférést írnak elő, illetve korlátozásokat vagy biztosítékokat tartalmaznak, valamint

(iii) a meglévő szerződéses, technikai vagy szervezeti biztosítékokra, amelyek a Kódex által nyújtott védelem kiegészítésére szolgálnak.

„Illetékes Felügyeleti Hatóság(ok)”: az EGT-n belüli adatvédelmi felügyeleti hatóság, amely a Kódex alapján az Adatkivivő tekintetében illetékes.

„Adatkivivő”: az európai régióban működő Leányvállalat, amely európai Személyes Adatokat továbbít az európai régión kívülre egy Adatimportőr részére.

„Adatimportőr”: az a Leányvállalat, amely az Adatkivivő által az európai régión kívülre továbbított európai Személyes Adatokat fogadja.

„Adathordozhatóság”: az Érintett azon joga, hogy Személyes Adatait olyan formátumban kapja meg, amely lehetővé teszi azok harmadik fél részére történő továbbítását az alkalmazandó jogszabályoknak megfelelően.

„Célország”: olyan ország az európai régión kívül, ahová Személyes Adatokat továbbítanak, és amelyre az Európai Bizottság nem hozott hatályos megfelelőségi határozatot.

„EGT”: az Európai Gazdasági Térség, amelyet az 1994. január 1-jén hatályba lépett EGT-megállapodás hozott létre, és amely biztosítja a személyek, áruk, szolgáltatások és tőke szabad mozgását az egységes európai piacon belül.

„Európai adatvédelmi jogszabályok”: az (EU) 2016/679 rendelet (általános adatvédelmi rendelet – GDPR), valamint annak az EGT tagállamaiban és az Egyesült Királyságban történő nemzeti végrehajtása, továbbá a Svájci Szövetségi Adatvédelmi Törvény és minden egyéb kapcsolódó vagy egyenértékű nemzeti jogszabály, azok mindenkori módosított vagy helyébe lépő változatai, amelyek az ExxonMobil által végzett adatkezelésre alkalmazandók.

„Európai Személyes Adat”: olyan Személyes Adat, amelyre az európai adatvédelmi jogszabályok vonatkoznak vagy vonatkoztak.

„Európai régió”: az Európai Gazdasági Térség (EGT), az Egyesült Királyság és Svájc.

„Kormányzati hozzáférési kérelem”:

(i) jogilag kötelező erejű kérelem kézhezvétele európai Személyes Adatok kiadására egy célországbeli állami hatóság részéről, vagy

(ii) tudomásszerzés arról, hogy egy állami hatóság közvetlenül hozzáfért ilyen adatokhoz az európai régión kívüli országban.

„Érintett”: bármely azonosított vagy azonosítható természetes személy, akinek adatait az ExxonMobil vagy annak nevében kezelik; az azonosítható természetes személy az, aki közvetlenül vagy közvetve azonosítható, különösen név, azonosítószám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, mentális, gazdasági, kulturális vagy társadalmi azonosságára jellemző egy vagy több tényező alapján. Érintettek lehetnek jelenlegi és volt munkavállalók, álláskeresők, alvállalkozók, ügyfelek és üzleti partnerek képviselői, valamint fogyasztók.

„Leányvállalatok közötti megállapodás”: az ExxonMobil leányvállalatai közötti megállapodás, amely alapján a Leányvállalatok elfogadják és magukra nézve kötelezőnek ismerik el a Kódexet.

„Érdemi Változások”: a Kódex olyan módosításai, amelyek hátrányosan érintik az európai Személyes Adatok védelmi szintjét, vagy jelentősen befolyásolják a Kódex hatályát vagy szerkezetét az európai Személyes Adatok tekintetében.

„Személyes Adat”: az Érintettre vonatkozó bármely adat.

„Személyes Adat megsértése”: a biztonság olyan sérülése, amely véletlen vagy jogellenes megsemmisítéshez, elvesztéshez, megváltoztatáshoz, jogosulatlan hozzáféréshez vagy nyilvánosságra hozatalhoz vezet.

„Kezelés”, „Kezeli”, „Kezelt”, „Adatkezelés”: bármely művelet vagy műveletsorozat, amelyet Személyes Adatokon végeznek, akár automatizált módon, akár nem, például: hozzáférés, gyűjtés, tárolás, rögzítés, rendszerezés, módosítás, terjesztés, továbbítás, visszakeresés, megsemmisítés vagy bármilyen egyéb felhasználás.

„Továbbítás”, „Továbbít”, „Továbbított”: egy vagy több Személyes Adat továbbítása, ideértve az első és az azt követő továbbításokat is, akár ugyanazon célországon belül, akár más célországba.
„Megbízható Forrás”: olyan személy vagy szervezet, amely jogosult az Érintett képviseletére, vagy amely az ExxonMobil megítélése szerint nyilvánvalóan jogosult az Érintett képviseletére.

A leányvállalatok országonkénti bontásban, cégjegyzékszámmal kerülnek felsorolásra.

Minden ország esetében az adatvédelmi tisztviselő elérhetősége (amennyiben szükséges) és a cím megtalálható az adott országra vonatkozó adatvédelmi tájékoztatóban vagy a „Kapcsolat” oldalon: Our privacy policies | ExxonMobil