Codice di condotta per la protezione dei dati di ExxonMobil

1.1 ExxonMobil si impegna a proteggere i Dati Personali come segue:

i. liceità del Trattamento dei Dati Personali ad essa affidati e

ii. coerentemente con le esigenze aziendali, opportuna gestione dei rischi della privacy associati al Trattamento dei Dati Personali.

1.2 ExxonMobil e i suoi dipendenti sono tenuti al rispetto del Codice durante il Trattamento dei Dati Personali.

1.3 ExxonMobil vigila sull'osservanza del presente Codice e dei programmi, degli strumenti e delle procedure di attuazione del Codice attraverso un organo di governance globale per la protezione dei dati.

1.4 L'Affiliata ExxonMobil Petroleum & Chemical BV, con sede legale in Polderdijkweg, 2030 Anversa, Belgio, partecipa alla governance globale in materia di protezione dei dati e ha un ruolo guida per quanto riguarda la protezione dei Dati Personali europei.  I dettagli di questo ruolo e i diritti specifici in relazione ai Dati Personali europei sono descritti nella Sezione 19.

1.5 Il Codice rappresenta le Binding Corporate Rules di ExxonMobil, ovvero le Norme vincolanti d'impresa, ai sensi delle leggi europee in materia di protezione dei dati.  

2.1 ExxonMobil applicherà il Codice in tutti i Paesi in cui tratta i Dati Personali. 

2.2 Il Codice si applicherà ai Dati Personali degli Interessati.  Per Interessati si intendono i dipendenti attuali e passati, i candidati a posti di lavoro, i contrattori, i rappresentanti di clienti e altri partner commerciali e i consumatori.

2.3 Il Codice non si applica alle Informazioni Anonimizzate o ad altre informazioni che non sono Dati Personali.

2.4 ExxonMobil tratta i Dati Personali per finalità aziendali, tra cui: 

i.  l'amministrazione del personale e le attività di gestione delle risorse umane, come le retribuzioni e lo sviluppo professionale di un Interessato,

ii. la verifica della conformità di un Interessato alle policy aziendali,

iii. la sicurezza fisica e l'accesso di un Interessato a edifici e locali,

iv. la gestione della tecnologia dell'informazione relativa all'utilizzo dei sistemi aziendali da parte di un Interessato,

v. la gestione dei rapporti con i nostri clienti e altri partner commerciali, che comprende il trattamento dei dati di contatto e dei dati relativi alle transazioni per permettere l'accettazione degli ordini, la consegna, la fatturazione e lo sviluppo dell'attività commerciale,

vi. la comunicazione con le autorità pubbliche per adempiere alle prescrizioni normative,

vii. la comunicazione con gli stakeholder esterni su questioni relative alle attività commerciali di ExxonMobil.

3.1 I Dati Personali saranno trattati in modo lecito.

3.2 Il Codice stabilisce uno standard minimo di protezione dei dati. Laddove la legge applicabile richieda un livello di protezione dei Dati Personali superiore rispetto al livello di protezione stabilito nel Codice, ExxonMobil applicherà tale livello di protezione superiore. Ad esempio, quando il Trattamento è giustificato solo da una o più basi giuridiche, ExxonMobil soddisferà tali requisiti.

3.3 Qualora ExxonMobil abbia motivo di ritenere che una legge le impedisca di attenersi al Codice, adotterà una decisione responsabile in merito alle azioni da intraprendere in consultazione con il Data Privacy Office ExxonMobil e, ove lo ritenga necessario, consulterà un'autorità competente in materia di protezione dei dati personali. 

Laddove richiesto dalla legge applicabile, i Dati Personali saranno trattati per finalità determinate e legittime e non saranno ulteriormente trattati in modo incompatibile con tali finalità. L'ulteriore trattamento non sarà considerato incompatibile ad esempio quando (i.) avviene con il consenso o l'autorizzazione dell'Interessato, (ii.) si verifica in una situazione di emergenza come nel caso in cui sono in gioco la vita o gli interessi vitali dell'Interessato o (iii.) è finalizzato a promuovere e ad esercitare un'azione giudiziaria o a difendersi in giudizio.

5.1 ExxonMobil si impegna a trattare solo Dati Personali pertinenti alla legittima finalità commerciale. 

5.2 I Dati Personali saranno conservati per il tempo strettamente necessario al conseguimento delle finalità per le quali sono trattati o, se per periodi più lunghi, al fine di adempiere a un obbligo legale o tutelare i legittimi interessi dell'azienda. 

5.3 Laddove richiesto dalla legge applicabile, ExxonMobil adotterà misure per ridurre al minimo il trattamento dei Dati Personali, anche attraverso la "privacy by design".

ExxonMobil, tenuto conto delle finalità per le quali i Dati Personali vengono trattati, adotterà misure ragionevoli per (i) mantenere i Dati Personali esatti e (ii) aggiornare i Dati Personali, se informata dall'Interessato o da una Fonte Attendibile di modifiche intervenute agli stessi. 

ExxonMobil predisporrà un'informativa sul trattamento dei Dati Personali, in linea con i requisiti legali.

8.1 Sulla base di una valutazione dei rischi connessi al trattamento, ExxonMobil metterà in atto misure tecniche e organizzative adeguate per proteggere i Dati Personali da perdita accidentale o illecita, uso improprio e accesso non autorizzato, divulgazione, alterazione e distruzione.

8.2 In caso di violazione dei Dati Personali, ExxonMobil (i.) si consulterà con il Data Privacy Office che conserva un registro delle violazioni dei Dati Personali e (ii.) informerà gli Interessati dell'avvenuta violazione ai sensi della legge applicabile.

9.1 ExxonMobil risponderà, ove richiesto dalla legge applicabile, alle richieste degli Interessati: (i) di sapere se e quali categorie di Dati Personali che li riguardano sono oggetto di Trattatamento da parte di ExxonMobil, (ii) di ricevere una copia dei propri Dati Personali, (iii) di cancellare, limitare o interrompere il trattamento dei Dati Personali e (iv) di esercitare il diritto alla portabilità dei dati.

9.2 Gli Interessati possono chiedere a ExxonMobil di rettificare i Dati Personali inesatti che li riguardano, ai sensi della Sezione 6.

9.3 Per esercitare tali diritti, esprimere dubbi o presentare reclami sull'inosservanza del Codice da parte di ExxonMobil, gli Interessati possono rivolgersi al Data Privacy Office di ExxonMobil per ottenere maggiori informazioni sulla procedura da seguire per la gestione del reclamo: 

Via e-mail all'indirizzo: data.privacy.office@exxonmobil.com
Oppure per posta ordinaria all'indirizzo: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Hungary

Ogniqualvolta ExxonMobil trasferisca Dati Personali tra Affiliate, li tratterà e li proteggerà in conformità al presente Codice. 

Inoltre, le Affiliate che trattano i Dati Personali per conto di altre Affiliate, saranno soggette agli stessi obblighi in relazione al Trattamento di Dati Personali  previsti dai pertinenti accordi inter-affiliata. 

I Dati Personali saranno trasferiti a terzi (compresi i trasferimenti oltre i confini nazionali) solo se sono state adottate misure adeguate per l'idonea protezione dei Dati Personali durante il trasferimento.

ExxonMobil si impegna a fornire una formazione adeguata in relazione agli obblighi previsti dal Codice, ai dipendenti che: (i) trattano i Dati Personali o (ii) sono coinvolti nella manutenzione o nello sviluppo degli strumenti utilizzati per il trattamento dei Dati Personali.

13.1 ExxonMobil attua programmi di verifica periodica dell'applicazione e del rispetto del Codice.

13.2 I programmi di verifica della conformità comprendono: 

i. un programma di audit che prevede verifiche periodiche da parte della funzione di internal audit e il monitoraggio delle eventuali misure correttive necessarie, nonché la supervisione del programma di audit e dei risultati delle verifiche da parte del Consiglio di Amministrazione di ExxonMobil.

ii. un'organizzazione per la privacy composta da:

1. una rete di contatti designati per la privacy,

2. il Data Privacy Office di ExxonMobil, che effettua valutazioni d'impatto sulla privacy basate sui rischi ed è responsabile dei compiti ad esso assegnati nelle Sezioni 3.3, 8.2, 9.3, 17, 19.2.ix, 19.3 e 19.4.i del Codice.

3. un organo di governance globale in materia di protezione dei dati, composto da alti dirigenti di ExxonMobil, che è titolare e vigila sul rispetto del Codice e che sovrintende alle attività del Data Privacy Office di ExxonMobil.

14.1 ExxonMobil collaborerà e prenderà in attenta considerazione il parere delle autorità competenti in materia di protezione dei dati in relazione alle richieste relative all'applicazione del Codice. 

14.2 ExxonMobil rispetterà le decisioni formali e legittime delle autorità competenti in materia di protezione dei dati, che sono definitive e inapellabili. 

14.3 Quando i Dati Personali vengono trasferiti tra Affiliate, le stesse si presteranno reciproca collaborazione e assistenza, ove necessario, per rispondere alle richieste delle autorità competenti in materia di protezione dei dati.

15.1 Il Codice può essere modificato da ExxonMobil secondo necessità, ad esempio per garantirne la conformità alle modifiche legislative applicabili o per riflettere le variazioni intervenute nell'organizzazione e nelle procedure interne.

15.2 ExxonMobil informerà il Garante belga per la protezione dei dati personali in ordine alle modifiche apportate al Codice come segue:

• comunicazione senza indebito ritardo delle modifiche sostanziali apportate al Codice e all'Accordo Infragruppo; e 
• comunicazione con periodicità annuale delle modifiche apportate all'elenco delle Affiliate vincolate dal Codice e delle modifiche non sostanziali apportate al Codice e all'Accordo Infragruppo riguardanti i Dati Personali europei.

15.3 ExxonMobil renderà disponibili il Codice e le modifiche al Codice:

• Esternamente, su Our privacy policies | ExxonMobil
• Su richiesta dell'Interessato, ai sensi del punto 9.3
• Internamente, sulla Intranet di ExxonMobil

l Codice entra in vigore il 17 dicembre 2020.

Per ulteriori informazioni sul Codice di Condotta, si prega di contattare il Data Privacy Office di ExxonMobil: data.privacy.office@exxonmobil.com.

“Affiliata” indica una società o una partnership che ha adottato il Codice, in cui Exxon Mobil Corporation o una controllante di Exxon Mobil Corporation ora o in futuro possieda o controlli, direttamente o indirettamente, oltre il 50 percento delle azioni o delle quote aventi diritto di voto di nomina dei propri amministratori o funzionari equivalenti e un qualsiasi avente causa negli interessi di tale società o partnership. 

“Informazioni anonimizzate" indica le informazioni rese anonime.  

“Portabilità dei Dati" indica il diritto di ottenere i Dati Personali in un formato pronto per la trasmissione a terzi, ai sensi della legge applicabile.

“SEE" indica lo Spazio Economico Europeo, istituito dall'accordo SEE del 1° gennaio 1994, che prevede la libera circolazione di persone, merci, servizi e capitali all'interno del mercato unico europeo.

“Leggi europee sulla protezione dei dati" indica il Regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati dell'UE) (come recepito dalla legislazione nazionale degli Stati membri del SEE e dal Regno Unito e modificato di volta in volta) o la Legge federale svizzera sulla protezione dei dati.

"Dati Personali europei" indica i Dati Personali che sono o sono stati soggetti alle Leggi europee sulla protezione dei dati.

"Area europea" indica i paesi dello Spazio Economico Europeo (SEE), il Regno Unito e la Svizzera. 

"Interessato" indica ogni persona fisica identificata o identificabile le cui informazioni vengono trattate da o per conto di ExxonMobil; si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale; gli Interessati comprendono i dipendenti attuali e passati, i candidati a posti di lavoro, gli appaltatori, i rappresentanti di clienti e altri partner commerciali e i consumatori.

"Accordo Infragruppo" indica l'accordo interaffiliate di ExxonMobil con il quale le Affiliate adottano il Codice.

"Modifiche sostanziali" indica le modifiche al Codice che hanno un impatto negativo sullo standard di protezione dei Dati Personali europei previsto dal Codice o che influiscono in modo significativo sull'ambito di applicazioneo sulla struttura del Codice rispetto ai Dati Personali europei.

"Dati Personali" indica i dati relativi a un Interessato.

"Trattamento" indica l'esecuzione di qualsiasi operazione compiuta con o senza l’ausilio di processi automatizzati e applicata a dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione.

"Fonte Attendibile" indica una persona fisica o giuridica autorizzata a rappresentare l'Interessato o una persona fisica o giuridica che, a giudizio di ExxonMobil, abbia l'autorità apparente di rappresentare l'Interessato.

19.1 Per quanto riguarda i Dati Personali europei, ExxonMobil sarà responsabile e rispetterà tutti gli impegni assunti nel Codice e laddove le leggi europee sulla protezione dei dati impongano un livello di protezione superiore, ExxonMobil applicherà tale livello di protezione superiore. 

19.2 Nel caso in cui i Dati Personali europei vengano trasferiti ad Affiliate al di fuori dell'Area europea, ExxonMobil garantirà un livello di protezione dei Dati personali europei che non pregiudichi il livello di protezione garantito dalle leggi europee sulla protezione dei dati. ExxonMobil provvederà in tal senso, anche se tale protezione non è prevista dalla legge applicabile nei paesi delle Affiliate al di fuori dell'Area europea in cui vengono ricevuti i Dati Personali europei.

Ciò significa, in particolare in relazione alle pratiche di riservatezza dei dati descritte rispettivamente nelle Sezioni 3, 4, 5, 7, 8, 9 e 11, che ExxonMobil:

i. non tratterà Dati Personali europei che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, la salute, la vita sessuale, l'orientamento sessuale, i dati genetici o biometrici al fine di identificare in modo univoco un individuo, a meno che tale trattamento non sia consentito ai sensi dell'articolo 9, paragrafo 2 del Regolamento generale sulla protezione dei dati dell'UE,

ii. effettuerà una valutazione dell'impatto delle operazioni di trattamento a rischio elevato, ai sensi dell'articolo 35 del Regolamento generale sulla protezione dei dati dell'UE e, se i rischi rimangono elevati dopo l'attuazione delle misure di attenuazione individuate dalla valutazione, consulterà l'autorità competente per la protezione dei dati, a norma dell'articolo 36 del Regolamento generale sulla protezione dei dati dell'UE,

iii. tratterà Dati Personali europei per finalità commerciali determinate e legittime, 

iv. tratterà Dati Personali europei che siano adeguati, pertinenti e non eccedenti rispetto alle finalità commerciali legittime, 

v. applicherà i principi della "privacy by design" e della "privacy by default" secondo opportunità,

vi. terrà un registro delle attività di Trattamento, 

vii. informerà gli Interessati sull'uso e la finalità del Trattamento dei Dati Personali europei, in adempimento dell'obbligo di trasparenza, a norma degli articoli 13 e 14 del Regolamento dell'UE sulla protezione dei dati, 

viii. applicherà lo stesso livello di misure di sicurezza per proteggere i Dati Personali europei previsto dalle leggi europee in materia di protezione dei dati, 

ix. in caso di violazione dei Dati Personali europei:

1. consulterà il Data Privacy Office di ExxonMobil, che dovrà verbalizzare e documentare la violazione in un registro e che, su richiesta, metterà la relativa documentazione a disposizione dell'autorità competente per la protezione dei dati e 

2. se la violazione è suscettibile di comportare un rischio per i diritti e le libertà dell'individuo, comunicherà senza indebito ritardo a ExxonMobil Petroleum & Chemical BV le generalità del soggetto, incaricato di informare a sua volta l'autorità competente per la protezione dei dati senza indebito ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione e

3. informerà senza indebito ritardo gli Interessati se la violazione è suscettibile di comportare un rischio elevato per i diritti e le libertà della persone fisiche, 

x. risponderà alle richieste e ai reclami delle persone fisiche in relazione al Trattamento dei Dati Personali europei ai sensi della Sezione 19.7, 

xi. consentirà agli Interessati di opporsi a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici che li riguardano o che incida in modo analogo significativamente sulla sua persona, a meno che la decisione non sia consentita dall'articolo 22 del Regolamento generale sulla protezione dei dati dell'UE e

xii. trasferirà i Dati Personali europei a terzi al di fuori dell'Area europea fermo restando che sia garantita un'adeguata protezione a norma dell'articolo 28, paragrafo 3 e degli articoli da 45 a 48 o che sia prevista una deroga a norma dell'articolo 49 del Regolamento generale sulla protezione dei dati dell'UE.

19.3 Le autorità competenti in materia di protezione dei dati nell'Area europea possono verificare la conformità al Codice, anche effettuando audit presso ExxonMobil in virtù dei diritti di audit conferiti dalle leggi applicabili.

Le Affiliate al di fuori dell'Area europea collaboreranno all'occorrenza con ExxonMobil Petroleum & Chemical BV per rispondere alle richieste delle autorità preposte alla protezione dei dati nell'Area europea di fornire i pertinenti risultati degli audit in relazione al Codice.

ExxonMobil comunicherà al Data Privacy Office di ExxonMobil i risultati degli audit relativi ai Dati personali europei trasferiti ai sensi del Codice alle Affiliate al di fuori dell'Area europea.

ExxonMobil si atterrà al parere dell'autorità competente in materia di protezione dei Dati Personali europei, fermo restando l'esaurimento dei rimedi giuridici, ove ritenuti opportuni da ExxonMobil.

19.4 L'Interessato i cui Dati Personali europei siano trasferiti direttamente o indirettamente ad un'Affiliata al di fuori dell'Area europea acquisisce diritti di terza parte beneficiaria e può far valere direttamente le Sezioni 15.3 e 19.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., da 19.3 a 19.8 del Codice:

i. contattando il Data Privacy Office di ExxonMobil ai sensi del punto 9.3, o

ii. proponendo reclamo presso l'autorità nazionale per la protezione dei dati di competente giurisdizione nel paese dell'Area europea in cui (i.) l'Interessato ha (a.) la propria residenza abituale, (b.) la sede di lavoro o (ii.) si è verificata la presunta violazione del Codice, o

iii. promuovendo un'azione contro l'Affiliata pertinente stabilita nell'Area europea, dinanzi a un tribunale competente nell'Area europea, o

iv. promuovendo un'azione contro ExxonMobil Petroleum & Chemical BV con sede legale a Polderdijkweg, 2030 Anversa, Belgio dinanzi all’Autorità per la Protezione dei Dati (Autorité de Protection des Données) o ai tribunali di Bruxelles o agli altri tribunali competenti di cui all'articolo 79, paragrafo 2 del Regolamento generale sulla protezione dei dati dell'UE.

19.5 In caso di valido reclamo o ricorso giurisdizionale promosso ai sensi del punto 19.4., ExxonMobil Petroleum & Chemical BV si assume la responsabilità di qualsiasi violazione del Codice commessa da un'Affiliata stabilita al di fuori dell'Area europea e si impegna a intraprendere le azioni necessarie per porre rimedio alla violazione e, se del caso, a risarcire i danni derivanti da tale violazione secondo la decisione definitiva pronunciata dall'autorità giudiziaria o dall'autorità di vigilanza, non soggetta ad ulteriore ricorso in appello.

19.6 In caso di reclamo, ricorso giurisdizionale o procedimento proposto ai sensi del punto 19.4, l'Interessato non è tenuto a dimostrare la violazione effettiva del Codice da parte dell'Affiliata al di fuori dell'Area europea; è sufficiente che l'Interessato dimostri di aver subito un danno e che tale danno si sia verificato presumibilmente a seguito dell'avvenuta violazione del Codice da parte di un'Affiliata stabilita al di fuori dell'Area europea. L'onere della prova ricade quindi su ExxonMobil Petroleum & Chemical BV, ossia spetta a quest'ultima dimostrare che l'Affiliata stabilita al di fuori dell'Area europea non abbia violato il Codice. Se ExxonMobil Petroleum & Chemical BV è in grado di dimostrare che l'Affiliata stabilita al di fuori della Regione europea non è responsabile della violazione, ExxonMobil Petroleum & Chemical BV può ritenersi esonerata da ogni responsabilità.

19.7 ExxonMobil risponderà alle richieste e ai reclami degli Interessati relativi ai Dati Personali europei senza indebito ritardo e comunque entro il termine di un mese dal ricevimento della richiesta o del reclamo, prorogabile di ulteriori due mesi ove necessario.

L'Interessato può presentare reclamo a ExxonMobil via e-mail o per iscritto ai sensi della Sezione 9.3 del Codice.

ExxonMobil, se ritiene il reclamo giustificato, informerà l'Interessato sulle modalità con cui porrà rimedio alla criticità che ha dato origine al reclamo.  Se il reclamo viene respinto o se l'Interessato non è soddisfatto della risposta di ExxonMobil, quest'ultimo può proporre reclamo o avviare un procedimento ai sensi delle Sezioni 19.4.ii e 19.4.iii del Codice. Inoltre, se il reclamo verte sul trattamento dei Dati Personali europei da parte di Affiliate stabilite al di fuori dell'Area europea, l'Interessato può anche proporre reclamo o avviare un procedimento ai sensi della Sezione 19.4.iv.

19.8 In caso di conflitto tra il Codice e un obbligo legale vigente in un paese al di fuori dell'Area europea come descritto nella Sezione 3.3, ExxonMobil comunicherà all'autorità competente per la protezione dei dati nell'Area europea se tale obbligo legale, tra cui anche le richiesta di carattere giuridicamente cogente di comunicazione dei Dati Personali europei formulate da autorità di polizia o da organi di pubblica sicurezza di un paese al di fuori dell'Area europea, sia suscettibile di produrre un effetto sostanzialmente pregiudizievole per le garanzie previste dal Codice in relazione ai Dati Personali europei. 

Nell'affrontare tale obbligo, ExxonMobil si impegna a condurre una valutazione che tenga debitamente conto di: (i) circostanze specifiche dei trasferimenti; (ii) leggi e prassi (pertinenti alla luce delle circostanze specifiche dei trasferimenti e delle limitazioni e garanzie applicabili) dei paesi terzi di destinazione; e (iii) misure di sicurezza contrattuali, tecniche e organizzative pertinenti poste in essere ai sensi del Codice. Le affiliate al di fuori dell’Area europea che ricevono Dati Personali europei faranno del loro meglio per fornire informazioni pertinenti per contribuire a questa valutazione, che ExxonMobil documenterà e metterà a disposizione su richiesta dell'autorità competente per la protezione dei dati. Nel caso in cui ExxonMobil venisse a conoscenza del fatto che un'Affiliata al di fuori dell’Area europea non può più adempiere ai propri obblighi ai sensi del Codice, ExxonMobil individuerà tempestivamente le opportune misure supplementari che dovranno essere adottate dalle relative Affiliate per affrontare la situazione. Le Affiliate interessate sospenderanno il trasferimento se ExxonMobil riterrà che non possano essere assicurate garanzie adeguate per tale trasferimento, o se ciò sarà richiesto dall'autorità preposta per la protezione dei dati.

Qualora la notifica all'autorità preposta alla protezione dei dati nell'Area europea sia vietata, ExxonMobil si adopererà per quanto ragionevolmente possibile al fine di ottenere il diritto di derogare a tale divieto e documenterà di avervi provveduto. Nel caso in cui ExxonMobil, nonostante gli sforzi profusi per quanto ragionevolmente possibile, non sia in grado di notificare le richieste ricevute all'autorità preposta alla protezione dei dati nella regione europea, provvederà a comunicare informazioni di carattere generale su tali richieste con periodicità annuale.

ExxonMobil valuterà la legittimità di una richiesta di divulgazione come sopra descritto – in particolare, se rientra nei poteri conferiti all'autorità pubblica richiedente – e contesterà la richiesta se, dopo un'attenta valutazione, concluderà che vi sono ragionevoli motivi per ritenere che la richiesta sia illegale ai sensi delle leggi del paese di destinazione, degli obblighi applicabili ai sensi del diritto internazionale e/o dei principi di cortesia internazionale. ExxonMobil perseguirà, alle stesse condizioni, ogni possibilità di ricorso. Nel caso di contestazione di una richiesta, ExxonMobil richiederà misure provvisorie al fine di sospendere gli effetti della richiesta, fino a quando l'autorità giudiziaria competente non avrà deciso nel merito. ExxonMobil potrà documentare la sua valutazione legale e qualsiasi contestazione alla richiesta di divulgazione e, nella misura consentita dalle leggi del paese di destinazione, e su richiesta, metterà la documentazione a disposizione dell'autorità preposta per la protezione dei dati. ExxonMobil non divulgherà i Dati Personali richiesti fino a quando non sarà tenuta a farlo ai sensi delle norme procedurali applicabili e fornirà la quantità minima di informazioni consentita al momento della risposta, sulla base di una ragionevole interpretazione della richiesta.

ExxonMobil adotterà misure volte a prevenire i trasferimenti di Dati Personali europei ad autorità pubbliche in misura massiccia, sproporzionata e indiscriminata e tale da eccedere quanto necessario in una società democratica, nonché l'eventuale accesso diretto da parte di tali autorità ai Dati Personali trasferiti ai sensi del Codice.

19.9 Le Affiliate non trasferiranno Dati Personali europei previsti dal Codice ad altre Affiliate, a meno che queste ultime non siano a loro volta vincolate dal Codice.