Kodeks postępowania ExxonMobil w zakresie ochrony danych

1.1 ExxonMobil zobowiązuje się do ochrony Danych Osobowych, w tym:

i. Przetwarzania powierzonych mu Danych Osobowych zgodnie z prawem oraz

ii. Odpowiedniego, zgodnego z potrzebami biznesowymi, zarządzania ryzykiem naruszenia prywatności w związku z Przetwarzaniem Danych Osobowych.

1.2 ExxonMobil i jego pracownicy muszą przestrzegać Kodeksu podczas Przetwarzania Danych Osobowych.

1.3 ExxonMobil nadzoruje zgodność z niniejszym Kodeksem oraz z programami, narzędziami i procedurami wdrażającymi Kodeks za pośrednictwem globalnego organu nadzorującego ochronę danych.

1.4 Petroleum & Chemical BV, Spółka Stowarzyszona ExxonMobil, z siedzibą pod adresem Polderdijkweg, 2030 Antwerpia, Belgia, uczestniczy w globalnym nadzorze nad ochroną danych przez ExxonMobil i odgrywa wiodącą rolę w zakresie ochrony Europejskich Danych Osobowych. Szczegóły tej roli i szczególne uprawnienia odnośnie do Europejskich Danych Osobowych zostały opisane w Punkcie 19.

1.5 Kodeks stanowi Wiążące Reguły Korporacyjne ExxonMobil zgodnie z Europejskimi Przepisami o Ochronie Danych.

2.1 ExxonMobil będzie stosować Kodeks w każdym kraju, w którym Przetwarza Dane Osobowe. 

2.2 Kodeks obowiązuje w stosunku do Danych Osobowych Osób Fizycznych. Osoby Fizyczne obejmują obecnych i byłych pracowników, kandydatów do pracy, podwykonawców, przedstawicieli klientów i innych partnerów biznesowych oraz konsumentów. 

2.3 Kodeks nie obowiązuje w stosunku do Informacji Zanonimizowanych lub innych informacji, które nie stanowią Danych Osobowych.

2.4 ExxonMobil Przetwarza Dane Osobowe do celów biznesowych, które obejmują:

i.  administrowanie personelem i operacje w zakresie zasobów ludzkich, na przykład listy płac i ścieżki kariery Osób Fizycznych,

ii. weryfikację przestrzegania polityki firmy przez Osoby Fizyczne,

iii. Fizyczne bezpieczeństwo i dostęp Osób Fizycznych do budynków i terenu,

iv. Zarządzanie IT dotyczące użycia systemów firmy przez Osoby Fizyczne,

v. Zarządzanie relacjami z naszymi klientami i innymi partnerami biznesowymi, co obejmuje Przetwarzanie danych kontaktowych i danych transakcyjnych w celu przyjmowania zamówień, realizacji dostaw, wystawiania faktur i rozwoju firmy,

vi. Komunikację z agencjami rządowymi w celu spełnienia wymogów regulacyjnych,

vii. Komunikację z zewnętrznymi interesariuszami w kwestiach związanych z działalnością biznesową ExxonMobil.

3.1 Dane Osobowe będą Przetwarzane w sposób zgodny z prawem. 

3.2 Niniejszy Kodeks wyznacza minimalne standardy ochrony prywatności danych. Jeżeli obowiązujące przepisy wymagają wyższego poziomu ochrony Danych Osobowych niż poziom ochrony określony w Kodeksie, ExxonMobil zastosuje taki wyższy poziom ochrony. Przykładowo, jeżeli Przetwarzanie jest dozwolone wyłącznie na podstawie jednej lub więcej podstaw określonych w prawie, ExxonMobil spełni takie wymogi.

3.3 Jeżeli ExxonMobil ma powód przypuszczać, że dany przepis uniemożliwia mu zachowanie zgodności z Kodeksem, ExxonMobil podejmie odpowiedzialną decyzję dotyczącą podejmowanych działań w porozumieniu z Biurem Ochrony Danych ExxonMobil oraz skonsultuje się z właściwym urzędem ds. ochrony danych, jeżeli ExxonMobil uzna to za konieczne.

Jeżeli wymagają tego obowiązujące przepisy prawa, Dane Osobowe będą Przetwarzane do określonych i zgodnych z prawem celów i nie będą dalej Przetwarzane w sposób niezgodny z takimi celami. Dalsze Przetwarzanie nie zostanie uznane za niezgodne na przykład, gdy następuje (i) za zgodą lub zatwierdzeniem Osoby Fizycznej, (ii) w sytuacjach awaryjnych, na przykład gdy zagrożone jest życie lub istotny interes Osoby Fizycznej lub (iii) w celu ustanowienia, dochodzenia lub obrony roszczeń prawnych.

5.1 ExxonMobil zobowiązuje się Przetwarzać Dane Osobowe, które są istotne dla zgodnego z prawem celu biznesowego.

5.2 Dane Osobowe będą przechowywane jedynie tak długo, jak jest to konieczne dla osiągnięcia celów, dla których są Przetwarzane, lub dłużej dla zachowania zgodności z obowiązującymi przepisami bądź dla ochrony zgodnych z prawem interesów firmy.

5.3 Jeżeli jest to wymagane przez obowiązujące przepisy prawa, ExxonMobil podejmie kroki w celu zminimalizowania Przetwarzania Danych Osobowych, w tym poprzez domyślną ochronę prywatności.

8.1 Na podstawie oceny występującego ryzyka ExxonMobil zastosuje odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Osobowych przed przypadkową lub niezgodną z prawem utratą, nadużyciem i nieuprawnionym dostępem, ujawnieniem, zmianą lub zniszczeniem. 

8.2 W razie naruszenia Danych Osobowych ExxonMobil (i) skonsultuje się z Biurem Ochrony Danych ExxonMobil, które prowadzi rejestr naruszeń Danych Osobowych oraz (ii) poinformuje Osoby Fizyczne o naruszeniu zgodnie z obowiązującymi przepisami.

9.1 Jeżeli wymagają tego obowiązujące przepisy, ExxonMobil odpowie na żądania Osób Fizycznych: (i) chcących wiedzieć, czy i jakie kategorie Danych Osobowych ich dotyczących są Przetwarzane przez ExxonMobil, (ii.) o otrzymanie kopii swoich Danych Osobowych, (iii) o usunięcie, ograniczenie, skasowanie lub zaprzestanie Przetwarzania Danych Osobowych Osoby Fizycznej wysuwającej żądania oraz (iv) o Możliwość Przenoszenia Danych.

9.2 Osoby Fizyczne mogą zażądać od ExxonMobil poprawienia nieprawdziwych Danych Osobowych ich dotyczących, zgodnie z Punktem 6.

9.3 W celu realizacji swoich praw albo aby wnieść skargę lub zażalenie, że ExxonMobil nie przestrzega Kodeksu, Osoby Fizyczne mogą skontaktować się z Biurem Ochrony Danych ExxonMobil, aby uzyskać więcej informacji o procedurze, która zostanie zastosowana odnośnie do skargi: 

e-mailem na adres: data.privacy.office@exxonmobil.com
lub pisemnie na adres: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Hungary

Kiedy ExxonMobil przekazuje Dane Osobowe pomiędzy Spółkami Stowarzyszonymi, ExxonMobil będzie traktować i chronić Dane Osobowe zgodnie z niniejszym Kodem.

Co więcej, Spółki Stowarzyszone, które Przetwarzają Dane Osobowe w imieniu innych Spółki Stowarzyszone, będą przestrzegać wszelkich właściwych porozumień pomiędzy Spółkami Stowarzyszonymi, co obejmuje zobowiązania dotyczące Przetwarzania przez nie Danych Osobowych. 

ExxonMobil zobowiązuje się zapewnić odpowiednie szkolenie w zakresie obowiązków wyznaczonych w Kodeksie dla pracowników, którzy: (i) Przetwarzają Dane Osobowe lub (ii) uczestniczą w utrzymywaniu lub opracowywaniu narzędzi wykorzystywanych do przetwarzania Danych Osobowych.

13.1 ExxonMobil stosuje programy w celu regularnej weryfikacji wrażania i przestrzegania Kodeksu.

13.2 Programy weryfikacji zgodności obejmują 

i. program audytów, który obejmuje regularne audyty przeprowadzane przez wydział audytu wewnętrznego oraz monitorowanie wszelkich wymaganych działań naprawczych, a także nadzór nad programem audytów i wynikami audytów przez Zarząd ExxonMobil 

ii. organizację ochrony danych, złożoną z:

1. sieci wyznaczonych osób kontaktowych w zakresie prywatności danych,

2. Biura Ochrony Danych ExxonMobil, które przeprowadza oceny wpływu na prywatność na podstawie ryzyka oraz odpowiada za zadania wyznaczone mu w Punktach 3.3, 8.2, 9.3, 17, 19.2.ix, 19.3 i 19.4.i Kodeksu,

3. Globalny organ nadzorujący ochronę danych, złożony z członków kadry zarządczej ExxonMobil, który wyznacza i nadzoruje zgodność z Kodeksem oraz nadzoruje działania Biura Ochrony Danych ExxonMobil.

14.1 ExxonMobil będzie współpracować i starannie rozważać zalecenia właściwych urzędów ochrony danych odnośnie do zapytań o stosowanie niniejszego Kodeksu.

14.2 ExxonMobil będzie przestrzegać formalnych i zgodnych z prawem decyzji właściwych urzędów ochrony danych, które są ostateczne i nie podlegają dalszemu odwołaniu. 

14.3 Gdy Dane Osobowe przekazywane są pomiędzy Spółkami Stowarzyszonymi, będą one współpracować i pomagać sobie nawzajem w razie potrzeby, aby odpowiedzieć na żądania właściwych urzędów ochrony danych.

15.1 Kodeks może być modyfikowany przez ExxonMobil w razie potrzeby, na przykład aby zapewnić zgodność ze zmianami obowiązujących przepisów prawa albo aby uwzględnić zmiany w wewnętrznej organizacji i procesach.

15.2 ExxonMobil będzie informować belgijski Urząd Ochrony Danych o zmianach w Kodeksie w następujący sposób:

• Istotne Zmiany Kodeksu oraz Umowy Wewnątrzgrupowej będą przekazywane bez nieuzasadnionej zwłoki oraz
• Co roku ExxonMobil będzie informować o zmianach w liście Spółek Stowarzyszonych zobowiązanych do przestrzegania Kodeksu oraz o zmianach Kodeksu oraz Umowy Wewnątrzgrupowej, które nie są Istotnymi Zmianami, a dotyczą Europejskich Danych Osobowych.

15.3 ExxonMobil udostępni Kodeks oraz zmiany w Kodeksie:

• Zewnętrznie na Our privacy policies | ExxonMobil 
• Na żądanie Osoby Fizycznej zgodnie z podpunktem 9.3
• Wewnętrznie w intranecie ExxonMobil 

Kodeks obowiązuje od dnia 17 grudina 2020r.

“Spółka Stowarzyszona” oznacza każdą spółkę, która przyjęła Kodeks i w której Exxon Mobil Corporation lub spółka-matka Exxon Mobil Corporation teraz lub później, bezpośrednio lub pośrednio, posiada lub kontroluje ponad 50 procent udziału we własności z prawem do głosowania lub mianowania dyrektorów lub ich funkcjonalnych odpowiedników, oraz każdego następcę w udziałach w takiej spółce.

“Informacje Zanonimizowane” oznaczają informacje, którym nadano anonimowość.

“Przenoszalność Danych” oznacza prawo do uzyskania Danych Osobowych w formacie gotowym do przekazania stronie trzeciej zgodnie z obowiązującym prawem.

“EOG” oznacza Europejski Obszar Gospodarczy ustanowiony zgodnie z umową o EOG z dnia 1 stycznia 1994 r., która ustanawia swobodny przepływ ludzi, towarów, usług i kapitału w ramach Jednolitego Rynku Europejskiego.

“Europejskie Przepisy o Ochronie Danych” oznaczają Rozporządzenie (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Europejskie Ogólne Rozporządzenie o Ochronie Danych) (wprowadzone w krajowym prawie krajów członkowskich EOG i Wielkiej Brytanii wraz z późniejszymi zmianami) lub Szwajcarską Ustawę Federalną o Ochronie Danych.

“Europejskie Dane Osobowe” oznaczają Dane Osobowe, które podlegają lub podlegały Europejskim Przepisom o Ochronie Danych.

“Obszar Europejski” oznacza kraje Europejskiego Obszaru Gospodarczego (EOG), Wielką Brytanię i Szwajcarię.

“Osoba Fizyczna” oznacza zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną, której informację są Przetwarzane przez lub w imieniu ExxonMobil; możliwa do zidentyfikowania osoba fizyczna to osoba, którą można zidentyfikować bezpośrednio lub pośrednio, w szczególności poprzez odniesienie do identyfikatora takiego jak imię, numer identyfikacyjny, dane lokalizacyjne, identyfikator online lub do jednego lub więcej czynników właściwych dla fizycznej, fizjologicznej, genetycznej, umysłowej, ekonomicznej, kulturowej lub socjalnej tożsamości takiej osoby fizycznej; Osoby Fizyczne obejmują obecnych i byłych pracowników, kandydatów do pracy, podwykonawców, przedstawicieli klientów lub innych partnerów biznesowych oraz konsumentów.

“Umowa Wewnątrzgrupowa” oznacza umowę pomiędzy Spółkami Stowarzyszonymi ExxonMobil, na podstawie której Spółki Stowarzyszone przyjmują Kodeks.

“Istotne Zmiany” oznaczają zmiany w Kodeksie, które mają niekorzystny wpływ na standard ochrony danych dla Europejskich Danych Osobowych zapewnionej zgodnie z Kodeksem lub które istotnie wpływają na zakres lub strukturę Kodeksu w stosunku do Europejskich Danych Osobowych.

“Dane Osobowe” oznaczają dane dotyczące Osoby Fizycznej.

“Przetwarzać”, “Przetwarzane”, “Przetwarza”, “Przetwarzanie” oznacza wykonywanie wszelkich operacji na Danych Osobowych, za pośrednictwem środków automatycznych lub w inny sposób, takich jak dostęp, gromadzenie, przechowywanie, zapisywanie, organizowanie, zmienianie, rozpowszechnianie, ujawnianie, przekazywanie, odzyskiwanie, niszczenie lub inne wykorzystywanie Danych Osobowych.

“Zaufane Źródło” oznacza osobę lub podmiot, które są upoważnione do reprezentowania Osoby Fizycznej bądź osobę lub podmiot, które w uznaniu ExxonMobil mają wyraźne uprawnienia do reprezentowania Osoby Fizycznej.

19.1 W stosunku do Europejskich Danych Osobowych ExxonMobil odpowiada za i będzie przestrzegać wszystkich zobowiązań podjętych w Kodeksie, a jeśli surowsze Europejskie Przepisy o Ochronie Danych narzucają wyższy poziom ochrony, ExxonMobil zastosuje taki wyższy poziom ochrony. 

19.2 Jeżeli Europejskie Dane Osobowe przekazywane są Spółkom Stowarzyszonym poza Obszarem Europejskim, ExxonMobil zastosuje poziom ochrony Europejskich Danych Osobowych, który nie zmniejsza poziomu ochrony przyznanego zgodnie z Europejskimi Przepisami o Ochronie Danych. ExxonMobil uczyni tak, nawet jeśli taka ochrona nie jest wymagana przez obowiązujące przepisy w krajach Spółek Stowarzyszonych poza Obszarem Europejskim, gdzie Europejskie Dane Osobowe są otrzymywane.

Oznacza to w szczególności odnośnie do praktyki w zakresie prywatności danych opisanej odpowiednio w Punktach 3, 4, 5, 7, 8, 9 i 11, że ExxonMobil:

i. Nie będzie Przetwarzać Europejskich Danych Osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, członkostwo w związkach zawodowych, stan zdrowia, życie seksualne, orientację seksualną, dane genetyczne lub biometryczne do celów jednoznacznej identyfikacji Osoby Fizycznej, chyba że takie Przetwarzanie jest dopuszczone zgodnie z artykułem 9.2 Europejskiego Ogólnego Rozporządzenia o Ochronie Danych,

ii. Przeprowadzi ocenę wpływu operacji Przetwarzania wysokiego ryzyka zgodnie z artykułem 35 Europejskiego Ogólnego Rozporządzenia o Ochronie Danych, a jeżeli ryzyko pozostanie wysokie po wprowadzeniu środków łagodzących określonych w ocenie, skonsultuje się z właściwym urzędem ochrony danych zgodnie z artykułem 36 Europejskiego Ogólnego Rozporządzenia o Ochronie Danych,

iii. Przetwarza Europejskie Dane Osobowe do określonych i zgodnych z prawem celów biznesowych,

iv. Przetwarza Europejskie Dane Osobowe, które są odpowiednie, istotne i ograniczone do tego, co niezbędne, w stosunku do zgodnych z prawem celów biznesowych, 

v. stosuje domyślną prywatność i prywatność projektową, jeżeli dotyczy, 

vi. prowadzi rejestr czynności Przetwarzania, 

vii. zapewni Osobom Fizycznym informacje i transparentność o wykorzystaniu i celu Przetwarzania Europejskich Danych Osobowych zgodnie z artykułem 13 i 14 Europejskiego Ogólnego Rozporządzenia o Ochronie Danych, 

viii. stosuje ten sam poziom środków zabezpieczających w celu ochrony Europejskich Danych Osobowych, jaki określono w Europejskich Przepisach o Ochronie Danych, 

ix. w przypadku naruszenia Europejskich Danych Osobowych: 

1. skonsultuje się z Biurem Ochrony Danych ExxonMobil, które udokumentuje naruszenie w rejestrze i na żądanie udostępni odpowiednią dokumentację właściwemu urzędowi ochrony danych, oraz 

2. bez nieuzasadnionej zwłoki poinformuje ExxonMobil Petroleum & Chemical BV, która, jeżeli naruszenie może skutkować zagrożeniem dla praw i swobód Osoby Fizycznej, powiadomi z kolei bez nieuzasadnionej zwłoki właściwy urząd ochrony danych, jeżeli to możliwe, nie później niż w ciągu 72 godzin po pozyskaniu wiedzy o takim naruszeniu, oraz

3. bez nieuzasadnionej zwłoki poinformuje Osoby Fizyczne, jeśli naruszenie może skutkować wysokim zagrożeniem dla praw i swobód Osób Fizycznych, 

x. odpowiada na żądania i skargi Osób Fizycznych dotyczące Przetwarzania Europejskich Danych Osobowych zgodnie z punktem 19.7, 

xi. umożliwi Osobom Fizycznym wniesienie sprzeciwu wobec decyzji opartej wyłącznie na automatycznym Przetwarzaniu, która daje skutki prawne dotyczące Osoby Fizycznej lub w podobnie znaczący sposób wpływa na Osobę Fizyczną, chyba że decyzja jest dopuszczona zgodnie z artykułem 22 Europejskiego Ogólnego Rozporządzenia o Ochronie Danych, oraz 

xii. przekazuje Europejskie Dane Osobowe stronom trzecim poza Obszarem Europejskim, jeżeli odpowiednia ochrona jest zapewniona zgodnie z artykułem 28.3 oraz 45 do 48 bądź odstępstwem zgodnie z artykułem 49 Europejskiego Ogólnego Rozporządzenia o Ochronie Danych.

19.3 Właściwe urzędy ochrony danych na Obszarze Europejskim mogą weryfikować zgodność z Kodeksem, w tym poprzez przeprowadzenie audytów ExxonMobil zgodnie z uprawnieniami do przeprowadzenia audytu nadanymi zgodnie z obowiązującymi przepisami.

Spółki Stowarzyszone spoza Obszaru Europejskiego będą współpracować z ExxonMobil Petroleum & Chemical BV, jak jest to wymagane, aby odpowiedzieć na żądania urzędów ochrony danych na Obszarze Europejskim o przedstawienie odpowiednich wyników audytów odnośnie do Kodeksu. 

ExxonMobil poinformuje Biuro Ochrony Danych ExxonMobil o wynikach audytu w stosunku do Europejskich Danych Osobowych przekazywanych zgodnie z Kodeksem Spółkom Stowarzyszonym poza Obszarem Europejskim. 

ExxonMobil będzie przestrzegać zaleceń właściwych urzędów ochrony danych na Obszarze Europejskim odnośnie do Europejskich Danych Osobowych, z zastrzeżeniem wyczerpania wszelkich środków prawnych uznanych za stosowne przez ExxonMobil.

19.4 Osoba Fizyczna, której Europejskie Dane Osobowe przekazywane są bezpośrednio lub pośrednio Spółce Stowarzyszonej poza Obszarem Europejskim, czerpie z tego prawa beneficjenta będącego osobą trzecią i może bezpośrednio dochodzić punktów 15.3 i 19.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 19.3 do 19.8 Kodeksu poprzez:

i. Skontaktowanie się z Biurem Ochrony Danych ExxonMobil zgodnie z podpunktem 9.3 lub

ii. Wniesienie skargi do krajowego urzędu ochrony danych we właściwej jurysdykcji w kraju na Obszarze Europejskim, gdzie (i) Osoba Fizyczna m (a) swoje miejsce zamieszkania, (b) miejsce pracy lub (ii) nastąpiło rzekome naruszenie Kodeksu, lub

iii. Wniesienie o wszczęcie postępowania przeciw odpowiedniej Spółce Stowarzyszonej z siedzibą na Obszarze Europejskim przed właściwym sądem na Obszarze Europejskim, lub

iv. Wniesienie o wszczęcie postępowania przeciwko ExxonMobil Petroleum & Chemical BV z siedzibą pod adresem Polderdijkweg, 2030 Antwerpia, Belgia przed  Belgijskim Organem Ochrony Danych lub sądami w Brukseli bądź innym właściwymi sądami wymienionymi w artykule 79(2) Europejskiego Ogólnego Rozporządzenia o Ochronie Danych.

19.5 W przypadku wniesienia uzasadnionego roszczenia lub skargi zgodnie z 19.4 ExxonMobil Petroleum & Chemical BV akceptuje odpowiedzialność za wszelkie naruszenia Kodeksu przez Spółkę Stowarzyszoną z siedzibą poza Obszarem Europejskim i zgadza się podjąć niezbędne działania w celu naprawy naruszenia oraz, jeżeli dotyczy, wypłacić odszkodowanie za szkody wynikłe z takiego naruszenia zgodnie z ostateczną decyzją sądu lub urzędu nadzoru, niepodlegającą dalszemu odwołaniu.

19.6 Jeżeli roszczenie, skarga lub wniosek o postępowanie zostaną wniesione zgodnie z 19.4, Osoba Fizyczna nie musi udowodnić faktycznego naruszenia niniejszego Kodeksu przez Spółkę Stowarzyszoną spoza Obszaru Europejskiego, wystarczy, że Osoba Fizyczna wykaże, że doznała szkody i że taka szkoda wystąpiła prawdopodobnie w wyniku naruszenia niniejszego Kodeksu przez Spółkę Stowarzyszoną z siedzibą poza Obszarem Europejskim. Ciężar dowodu spoczywa wtedy na ExxonMobil Petroleum & Chemical BV, aby wykazać, że Spółka Stowarzyszona ustanowiona poza Obszarem Europejskim nie naruszyła Kodeksu. Jeżeli ExxonMobil Petroleum & Chemical BV zdoła udowodnić, że Spółka Stowarzyszona z siedzibą poza Obszarem Europejskim nie odpowiada za naruszenie, ExxonMobil Petroleum & Chemical BV może zwolnić się z wszelkiej odpowiedzialności.

19.7 ExxonMobil będzie odpowiadać na skargi dotyczące Europejskich Danych Osobowych bez nieuzasadnionej zwłoki i każdorazowo w ciągu miesiąca od otrzymania żądania lub skargi, co może zostać w razie potrzeby przedłużone o kolejne dwa miesiące.

Osoba Fizyczna może wnieść skargę do ExxonMobil e-mailem lub na piśmie zgodnie z punktem 9.3 Kodeksu.

Jeżeli ExxonMobil uzna skargę za uzasadnioną, poinformuje Osobę Fizyczną o tym, w jaki sposób naprawi sprawę, która stała się przyczyną skargi. Jeżeli skarga zostanie odrzucona lub Osoba Fizyczna nie jest usatysfakcjonowana odpowiedzią ExxonMobil, Osoba Fizyczna może wnieść skargę lub wszcząć postępowanie zgodnie z punktem 19.4.ii i 19.4.iii Kodeksu. Co więcej, jeżeli skarga dotyczy Przetwarzania Europejskich Danych Osobowych przez Spółki Stowarzyszone z siedzibą poza Obszarem Europejskim, Osoba Fizyczna może również wnieść skargę lub wszcząć postępowanie zgodnie z punktem 19.4.iv.

19.8 W przypadku konfliktu pomiędzy Kodeksem a wymogami prawnymi w kraju poza Obszarem Europejskim zgodnie z punktem 3.3, ExxonMobil powiadomi właściwy urząd ochrony danych na Obszarze Europejskim, jeżeli takie wymogi prawne, w tym wiążące prawnie żądanie ujawnienia Europejskich Danych Osobowych ze strony organów ścigania lub państwowych organów bezpieczeństwa w kraju spoza Obszaru Europejskiego może mieć istotny negatywny wpływ na gwarancje przedstawione w Kodeksie odnośnie Europejskich Danych Osobowych.

Wypełniając ten obowiązek, ExxonMobil zobowiązuje się do przeprowadzenia oceny, która należycie uwzględnia: (i) szczególne okoliczności transferów; (ii) przepisy i praktyki docelowych państw trzecich (istotne w świetle szczególnych okoliczności przemieszczeń oraz mających zastosowanie ograniczeń i zabezpieczeń); oraz (iii) odpowiednie umowne, techniczne i organizacyjne środki bezpieczeństwa wprowadzone na mocy Kodeksu. Spółki Stowarzyszone spoza Regionu Europejskiego otrzymujące Europejskie Dane Osobowe dołożą wszelkich starań, aby dostarczyć odpowiednich informacji, które pomogą w tej ocenie, które ExxonMobil udokumentuje i udostępni właściwemu organowi ochrony danych na żądanie. Jeśli ExxonMobil dowie się, że Podmiot Stowarzyszony spoza Regionu Europejskiego nie może już wypełniać swoich zobowiązań wynikających z Kodeksu, ExxonMobil niezwłocznie określi odpowiednie środki uzupełniające, które zostaną przyjęte przez odpowiednią Spółkę Stowarzyszoną (Spółki Stowarzyszone) w celu zaradzenia tej sytuacji. Odpowiednia Spółka Stowarzyszona zawiesi przekazanie, jeśli ExxonMobil uzna, że nie można zapewnić odpowiednich zabezpieczeń dla takiego przekazania lub jeśli zostanie to nakazane przez właściwy organ ochrony danych.

Jeżeli powiadomienie właściwego urzędu ochrony danych na Obszarze Europejskim jest zabronione, ExxonMobil dołoży wszelkich starań, w uzasadnionym zakresie, aby uzyskać prawo do zniesienia tego zakazu i udokumentuje te działania. Jeżeli pomimo najlepszych starań, w uzasadnionym zakresie, ExxonMobil nie będzie mógł poinformować właściwego urzędu ochrony danych na Obszarze Europejskim o otrzymanym żądaniu, co roku dostarczy ogólne informacje o takich żądaniach.

ExxonMobil oceni legalność wniosku o ujawnienie w sposób opisany powyżej – w szczególności, czy mieści się on w uprawnieniach przyznanych wnioskującemu organowi publicznemu – i zaskarży wniosek, jeżeli po dokładnej ocenie stwierdzi, że istnieją uzasadnione podstawy, aby uznać, że wniosek jest niezgodny z prawem zgodnie z prawem kraju przeznaczenia,  mające zastosowanie zobowiązania wynikające z prawa międzynarodowego i/lub zasad wzajemnego poszanowania praw międzynarodowych. ExxonMobil, na tych samych warunkach, będzie poszukiwać możliwości odwołania. Kwestionując wniosek, ExxonMobil będzie ubiegać się o zastosowanie środków tymczasowych w celu zawieszenia skutków wniosku do czasu podjęcia przez właściwy organ sądowy decyzji co do jego zasadności. ExxonMobil dokumentuje swoją ocenę prawną i wszelkie zakwestionowanie wniosku o ujawnienie oraz, w zakresie dozwolonym przez prawo kraju przeznaczenia, udostępnia dokumentację właściwemu organowi ochrony danych na żądanie. ExxonMobil nie ujawni żądanych Danych Osobowych, dopóki nie będzie to wymagane zgodnie z obowiązującymi przepisami proceduralnymi, i dostarczy minimalną ilość informacji dozwoloną podczas udzielania odpowiedzi, w oparciu o rozsądną interpretację żądania.

ExxonMobil podejmie środki w celu zapobieżenia wszelkim transferom Europejskich Danych Osobowych do jakichkolwiek organów publicznych (a także bezpośredniemu dostępowi takich organów do Danych Osobowych przekazywanych na mocy Kodeksu), które są masowe, nieproporcjonalne i bezkrytyczne w sposób, który wykraczałby poza to, co jest konieczne w demokratycznym społeczeństwie.

19.9 Spółki Stowarzyszone nie będą przekazywać Europejskich Danych Osobowych zgodnie z Kodeksem innym Spółkom Stowarzyszonym, o ile te ostatnie nie są związane Kodeksem.