1. Договірні Сторони передають персональні дані в межах цієї Угоди відповідно до вимог законодавства, що діє на території їх держав, ураховуючи також свої міжнародні зобов’язання в цій сфері.
У разі якщо є розбіжності в положеннях законодавства, що діє на території держав Договірних Сторін, у сфері захисту персональних даних, кожне таке питання вирішується в кожному конкретному випадку після консультацій між компетентними органами держав Договірних Сторін.
2. Персональні дані можуть передаватися тільки компетентним органам держав Договірних Сторін, визначеним у цій Угоді, та їх уповноваженим посадовим особам. Персональні дані можуть передаватися тільки для цілей, визначених у цій Угоді, та в обсязі, пропорційному цим цілям. Договірні Сторони не передають персональні дані для інших цілей, ніж ті, що визначені в цій Угоді.
Договірні Сторони враховують заборони на передачу даних, установлені законодавством, що діє на території їх держав. Передача персональних даних не здійснюється, якщо запитувана Договірна Сторона має підстави вважати, що вона суперечить вимогам законодавства, що діє на території її держави, її міжнародним зобов’язанням або може завдати шкоди правам і свободам суб’єктів даних. У разі передачі персональних даних, які не підлягають передачі, запитуюча Договірна Сторона негайно повідомляється про це, знищує такі дані та інформує про це запитувану Договірну Сторону.
3. Договірні Сторони гарантують дотримання принципу обмеженого зберігання даних, який полягає в тому, що персональні дані не будуть зберігатися у формі, яка дозволяє ідентифікувати суб’єкта даних довше, ніж це необхідно для досягнення цілей, визначених цією Угодою.
4. Запитуюча Договірна Сторона може поширювати персональні дані, отримані в межах цієї Угоди, третій Стороні тільки з письмового дозволу запитуваної Договірної Сторони та за умови, що третя Сторона забезпечує належний рівень захисту персональних даних у розумінні законодавства, що діє на території держави запитуваної Договірної Сторони. У запиті про такий письмовий дозвіл запитуюча Договірна Сторона надає інформацію про обсяг та категорію даних, якими вона має намір поширити третій Стороні, про третю Сторону, якій будуть передані дані, а також правові підстави та мету передачі.
Для цілей цієї статті «третя Сторона» означає будь-яку особу, орган, установу, організацію, у тому числі міжнародну, які не входять до переліку компетентних органів держав Договірних Сторін за цією Угодою, за винятком суб’єкта даних та контролюючих органів держав Договірних Сторін у сфері захисту персональних даних.
5. Передача особливих категорій персональних даних, зокрема тих, що стосуються расового чи етнічного походження, політичних, релігійних або світоглядних переконань, членства в політичних партіях та професійних спілках, а також даних, що стосуються здоров’я, статевого життя, біометричних абогенетичних даних, у межах цієї Угоди забороняється. Не підлягають також передачі персональні дані, пов’язані із судимістю. Такі категорії даних можуть передаватися та оброблятися лише у виняткових випадках, прямо передбачених законодавством, що діє на території держави запитуваної Договірної Сторони.
6. Договірні Сторони забезпечують належний рівень захисту персональних даних, що передані та отримані в межах цієї Угоди, шляхом ужиття конкретних та відповідних організаційних і технічних заходів безпеки, а також класифікації персональних даних на загальні та особливі категорії, суворого обмеження доступу до даних, установлення порядку зберігання даних відповідно до їх категорії та з ужиттям пропорційних заходів безпеки та конфіденційності, а також використання методів псевдонімізації або шифрування даних.
Договірні Сторони гарантують, що захист особливих категорій даних уключатиме забезпечення посилених організаційних та технічних заходів безпеки.
7. Договірні Сторони вживають усіх необхідних заходів для забезпечення достовірності, точності та актуальності переданих персональних даних, а також для їх пропорційності цілям. У разі якщо після передачі даних будь-якій Договірній Стороні стане відомо про їх недостовірність, непропорційність або неточність, вона невідкладно повідомляє про це іншу Договірну Сторону з метою внесення необхідних змін.
8. Передані персональні дані підлягають знищенню або виправленню в таких випадках:
а) у разі виявлення недостовірності, непропорційності або неточності персональних даних цілям обробки;
b) у разі якщо запитувана Договірна Сторона повідомила, що передача персональних даних раніше була визнана такою, що не відповідає вимогам законодавства, що діє на території її держави;
с) у разі якщо персональні дані більше не потрібні для досягнення цілей, визначених у цій Угоді;
d) у разі закінчення строку обробки, якщо він був безпосередньо встановлений запитуваною Договірною Стороною.
е) у разі припинення дії цієї Угоди.
9. Договірні Сторони гарантують ведення реєстру передачі та знищення персональних даних. Записи в реєстрі містять інформацію про обсяг переданих персональних даних, дату, час і цілі їх передачі, а також про компетентний орган / особу, які передають, отримують або знищують персональні дані.
10. Компетентні органи держав Договірних Сторін забезпечують суб’єктам даних право отримувати від компетентного органу інформацію про те, чи обробляються персональні дані, які його/її стосуються, і, якщо це так, доступ до персональних даних та інформацію про категорії персональних даних, яких вони стосуються; одержувачів або категорій одержувачів, яким було або буде розкрито персональні дані; найменування та контактні дані компетентних органів держав Договірних Сторін; контактні дані працівника, відповідального за захист даних; цілі обробки персональних даних; право на подання скарги до контролюючого органу та його контактні дані, якщо це можливо; передбачуваний строк зберігання персональних даних або, якщо це неможливо, критерії, що використовуються для визначення цього строку; наявність права вимагати від компетентного органу виправлення або знищення персональних даних чи обмеження обробки персональних даних, що стосуються суб’єкта даних; коли персональні дані не збираються в суб’єкта даних, будь-яку наявну інформацію про джерело їх походження.
11. На запит заінтересованого суб’єкта даних, чиї дані були передані відповідно до положень цієї Угоди компетентному органу держави іншої Договірної Сторони, такому суб’єкту даних протягом одного місяця після отримання запиту компетентним органом надається інформація про дії, ужиті за запитом. Компетентний орган кожної Договірної Сторони може стягнути адміністративний збір або відмовити у виконанні запиту, якщо запити суб’єкта даних є явно необґрунтованими або непропорційними, зокрема, через їх повторюваний характер.
12. Суб’єкт даних, дані якого передані відповідно до положень цієї Угоди, повинен мати можливість вимагати доповнення неповних персональних даних, що його/її стосуються, або виправлення, знищення неточних персональних даних, що його/її стосуються, а також вимагати обмеження обробки персональних даних у разі якщо їх передача порушує положення цієї Угоди. Компетентні органи держав Договірних Сторін інформують компетентний орган, від якого були отримані неточні персональні дані, про виправлення або знищення неточних чи доповнення неповних персональних даних, а також про обмеження обробки персональних даних на запит суб’єкта даних. Право заінтересованого суб’єкта даних на отримання такої інформації регулюється законодавством, що діє на території держави Договірної Сторони, на території якої подається такий запит.
13. Договірні Сторони забезпечують здійснення національним контролюючим органом у сфері захисту персональних даних, який діє згідно з відповідним законодавством, що діє на території Договірних Сторін, контролю за дотриманням вимог щодо захисту персональних даних, передбачених цією Угодою. У разі порушення права на захист персональних даних потерпілі фізичні особи повинні мати право подати скаргу до національного контролюючого органу у сфері захисту персональних даних та право на доступ до правосуддя згідно із законодавством, що діє на території держави відповідної Договірної Сторони.
14. Якщо компетентному органу однієї з Договірних Сторін стає відомо про порушення захисту персональних даних, він якнайшвидше інформує про це компетентний орган іншої Договірної Сторони та в координації із зазначеним компетентним органом застосовує розумні та належні засоби для виправлення порушення захисту персональних даних задля мінімізації потенційних негативних наслідків. Компетентний орган однієї з Договірних Сторін також без невиправданої затримки повідомляє суб’єкта даних про порушення безпеки захисту персональних даних, коли порушення безпеки захисту персональних даних може призвести до значного ризику для прав і свобод суб’єкта даних.