ภาคผนวกที่ 4 ของข้อกําหนดในการใช้งาน ข้อสัญญามาตรฐาน

โมดูลที่สี่: การโอนข้อมูลจากผู้ประมวลผลข้อมูลไปยังผู้ควบคุมข้อมูล

มีผลบังคับใช้ ณ วันที่ 30 กันยายน 2026 | ดูข้อสัญญามาตรฐาน เวอร์ชันก่อนหน้า | เปรียบเทียบการเปลี่ยนแปลง

นอกเหนือจากข้อกำหนดแล้ว ข้อสัญญามาตรฐาน (Standard Contractual Clauses) เหล่านี้ (ซึ่งรวมถึงข้อสัญญามาตรฐานของคณะกรรมาธิการยุโรป (2021/914/EU)) ตามที่ระบุไว้ด้านล่าง จะมีผลบังคับใช้โดยไม่จำเป็นต้องมีการลงนามเพิ่มเติม หากคู่สัญญาจำเป็นต้องเข้าทำข้อสัญญาดังกล่าวในบริบทของการให้บริการที่เกี่ยวข้องกับการซื้อหรือการได้มาซึ่งการสมัครสมาชิก และเท่าที่มีการโอนข้อมูลส่วนบุคคลไปยังนิติบุคคลในประเทศที่สามนอกเขตเศรษฐกิจยุโรป หรือประเทศที่ไม่ได้รับการกำหนดว่ามีความคุ้มครองที่เพียงพอโดยคำวินิจฉัยของคณะกรรมาธิการยุโรป (ผู้นำเข้าข้อมูล)

เว้นแต่ข้อกำหนดใดโดยเฉพาะของข้อสัญญามาตรฐานเหล่านี้จะกำหนดไว้เป็นอย่างอื่น ความหมายของคำที่ขึ้นต้นด้วยอักษรตัวพิมพ์ใหญ่ทั้งหมดที่ปรากฏในเอกสารนี้ให้เป็นไปตามที่นิยามไว้ในข้อกำหนดและภาคผนวก 3 - ข้อตกลงการประมวลผลข้อมูล ("ข้อตกลงการประมวลผลข้อมูล")

ส่วนที่ 1

ข้อ 1 วัตถุประสงค์และขอบเขต

(a) วัตถุประสงค์ของข้อสัญญามาตรฐานเหล่านี้คือเพื่อให้มั่นใจว่ามีการปฏิบัติตามข้อกำหนดของระเบียบ (EU) 2016/679 ของรัฐสภายุโรปและคณะมนตรี ลงวันที่ 27 เมษายน 2016 ว่าด้วยการคุ้มครองบุคคลธรรมดาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลและการเคลื่อนย้ายข้อมูลดังกล่าวโดยเสรี (ระเบียบการคุ้มครองข้อมูลทั่วไป) (1) สำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม

(ข) คู่สัญญา:

(i) บุคคลธรรมดาหรือนิติบุคคล หน่วยงานภาครัฐ หน่วยงาน หรือองค์กรอื่น (ต่อไปนี้เรียกว่า "หน่วยงาน") ที่โอนข้อมูลส่วนบุคคล ตามที่ระบุไว้ในภาคผนวก I.A (ต่อไปนี้เรียกแต่ละรายว่า "ผู้ส่งออกข้อมูล") และ

(ii) นิติบุคคล/หน่วยงานในประเทศที่สามซึ่งได้รับข้อมูลส่วนบุคคลจากผู้ส่งออกข้อมูล ไม่ว่าโดยตรงหรือโดยอ้อมผ่านนิติบุคคล/หน่วยงานอื่นซึ่งเป็นคู่สัญญาตามข้อสัญญาเหล่านี้ด้วย ตามที่ระบุไว้ในภาคผนวก I.A (ต่อไปนี้เรียกแต่ละรายว่า "ผู้นำเข้าข้อมูล")

ได้ตกลงยอมรับข้อสัญญามาตรฐานเหล่านี้ (ต่อไปนี้เรียกว่า: "ข้อสัญญา")

(ค) ข้อสัญญาเหล่านี้ใช้บังคับกับการโอนข้อมูลส่วนบุคคลตามที่ระบุไว้ในภาคผนวก I.B

(d) ภาคผนวก (Appendix) ของข้อสัญญาฉบับนี้ซึ่งประกอบด้วยเอกสารแนบท้าย (Annexes) ที่อ้างถึงในภาคผนวกดังกล่าว ถือเป็นส่วนหนึ่งอันไม่อาจแยกออกได้ของข้อสัญญาฉบับนี้

ข้อ 2 ผลบังคับและความไม่อาจเปลี่ยนแปลงได้ของข้อสัญญา

(ก) ข้อสัญญาเหล่านี้กำหนดมาตรการคุ้มครองที่เหมาะสม ซึ่งรวมถึงสิทธิของเจ้าของข้อมูลที่สามารถบังคับใช้ได้และการเยียวยาทางกฎหมายที่มีประสิทธิผล ตามข้อ 46(1) และข้อ 46(2)(c) ของระเบียบ (EU) 2016/679 และในส่วนที่เกี่ยวกับการโอนข้อมูลจากผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล และ/หรือจากผู้ประมวลผลข้อมูลไปยังผู้ประมวลผลข้อมูล ถือเป็นข้อสัญญามาตรฐานตามข้อ 28(7) ของระเบียบ (EU) 2016/679 ทั้งนี้ โดยมีเงื่อนไขว่าข้อสัญญาดังกล่าวจะต้องไม่ถูกแก้ไขเปลี่ยนแปลง เว้นแต่เพื่อเลือกโมดูลที่เหมาะสม หรือเพื่อเพิ่มเติมหรือปรับปรุงข้อมูลในภาคผนวก ข้อกำหนดนี้ไม่ได้ห้ามคู่สัญญาในการรวมข้อสัญญามาตรฐานที่กำหนดไว้ในข้อสัญญาเหล่านี้ไว้ในสัญญาที่มีขอบเขตกว้างขึ้น และ/หรือการเพิ่มข้อสัญญาอื่น ๆ หรือมาตรการคุ้มครองเพิ่มเติม โดยมีเงื่อนไขว่าข้อสัญญาหรือมาตรการดังกล่าวต้องไม่ขัดแย้งกับข้อสัญญาเหล่านี้ไม่ว่าโดยตรงหรือโดยอ้อม หรือกระทบต่อสิทธิขั้นพื้นฐานหรือเสรีภาพของเจ้าของข้อมูล

(b) ข้อสัญญาเหล่านี้ไม่กระทบต่อภาระหน้าที่ที่ผู้ส่งออกข้อมูลต้องปฏิบัติตามโดยผลของข้อบังคับ (สหภาพยุโรป) 2016/679

ข้อ 3 ผู้รับประโยชน์ที่เป็นบุคคลภายนอก

(ก) เจ้าของข้อมูลส่วนบุคคลอาจอ้างและบังคับใช้ข้อสัญญาเหล่านี้ในฐานะผู้รับประโยชน์ซึ่งเป็นบุคคลภายนอก ต่อผู้ส่งออกข้อมูลและ/หรือผู้นำเข้าข้อมูล โดยมีข้อยกเว้นดังต่อไปนี้:

(i) ข้อ 1, ข้อ 2, ข้อ 3, ข้อ 6, ข้อ 7;

(ii) ข้อ 8 – โมดูลหนึ่ง: ข้อ 8.5 (e) และข้อ 8.9(b); โมดูลที่สอง: ข้อ 8.1(b), 8.9(a), (c), (d) และ (e); โมดูลสาม: ข้อ 8.1(a), (c) และ (d) และข้อ 8.9(a), (c), (d), (e), (f) และ (g); โมดูลสี่: ข้อ 8.1 (b) และข้อ 8.3(b);

(iii) ข้อ 9 – โมดูลสอง: ข้อ 9(a), (c), (d) และ (e); โมดูลสาม: ข้อ 9(a), (c), (d) และ (e);

(iv) ข้อ 12 – โมดูลหนึ่ง: ข้อ 12(a) และ (d); โมดูลสองและโมดูลสาม: ข้อ 12(a), (d) และ (f);

(v) ข้อ 13;

(vi) ข้อ 15.1(c), (d) และ (e);

(vii) ข้อ 16(e);

(viii) ข้อ 18 – โมดูลที่หนึ่ง ที่สอง และที่สาม: ข้อ 18(a) และ (b); โมดูลที่สี่: ข้อ 18.

(b) วรรค (a) ไม่เป็นการกระทบกระเทือนต่อสิทธิของเจ้าของข้อมูลภายใต้ระเบียบ (EU) 2016/679

ข้อ 4 การตีความ

(ก) ในกรณีที่ข้อสัญญาเหล่านี้ใช้คำที่มีการนิยามไว้ในระเบียบ (EU) 2016/679 ให้คำดังกล่าวมีความหมายเช่นเดียวกับที่กำหนดไว้ในระเบียบฉบับนั้น

(b) ข้อสัญญาเหล่านี้จะต้องอ่านและตีความตามบทบัญญัติของระเบียบ (EU) 2016/679

(c) ข้อสัญญามาตรฐานเหล่านี้จะต้องไม่ถูกตีความในลักษณะที่ขัดแย้งกับสิทธิและหน้าที่ที่กำหนดไว้ในระเบียบ (EU) 2016/679

ข้อ 5 ลำดับชั้น

ในกรณีที่ข้อกำหนดเหล่านี้ขัดหรือแย้งกับบทบัญญัติของข้อตกลงที่เกี่ยวข้องระหว่างคู่สัญญา ไม่ว่าจะมีอยู่ ณ เวลาที่ตกลงยอมรับข้อกำหนดเหล่านี้หรือที่ได้ทำขึ้นภายหลังจากนั้น ให้ข้อกำหนดเหล่านี้มีผลบังคับเหนือกว่า

ข้อ 6 คำอธิบายการถ่ายโอนข้อมูล

รายละเอียดของการโอน และโดยเฉพาะอย่างยิ่งประเภทของข้อมูลส่วนบุคคลที่มีการโอน ตลอดจนวัตถุประสงค์ของการโอนดังกล่าว ได้ระบุไว้ในภาคผนวก I.B

ข้อ 7 ข้อสัญญาการเข้าร่วมเป็นภาคีเพิ่มเติม (ทางเลือก)

(a) นิติบุคคลที่มิได้เป็นคู่สัญญาตามข้อสัญญาเหล่านี้ อาจเข้าร่วมเป็นคู่สัญญาตามข้อสัญญาเหล่านี้เมื่อใดก็ได้ โดยความตกลงของคู่สัญญาทั้งหลาย ไม่ว่าในฐานะผู้ส่งออกข้อมูลหรือผู้นำเข้าข้อมูล ด้วยการกรอกข้อมูลในภาคผนวก (Appendix) และลงนามในเอกสารแนบ I.A

(ข) เมื่อได้จัดทำภาคผนวกเสร็จสมบูรณ์และลงนามในภาคผนวก I.A แล้ว นิติบุคคลที่เข้าร่วมภายหลังจะกลายเป็นคู่สัญญาของข้อสัญญาเหล่านี้ และมีสิทธิและหน้าที่ของผู้ส่งออกข้อมูลหรือผู้นำเข้าข้อมูลตามที่ได้ระบุกำหนดไว้ในภาคผนวก I.A</translation>

(c) นิติบุคคลที่เข้าร่วมภายหลังจะไม่มีสิทธิหรือหน้าที่ใด ๆ ที่เกิดขึ้นภายใต้ข้อสัญญาเหล่านี้สำหรับช่วงเวลาก่อนการเข้าเป็นคู่สัญญา

หมวด II – ข้อผูกพันของคู่สัญญา

ข้อ 8 มาตรการคุ้มครองข้อมูล

ผู้ส่งออกข้อมูลรับรองว่าตนได้ใช้ความพยายามตามสมควรในการตรวจสอบว่าผู้นำเข้าข้อมูลสามารถปฏิบัติตามภาระหน้าที่ของตนภายใต้ข้อสัญญาเหล่านี้ได้ โดยผ่านการดำเนินมาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสม

8.1 คำแนะนำ

(a) ผู้ส่งออกข้อมูลจะต้องประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่มีการบันทึกเป็นเอกสารจากผู้นำเข้าข้อมูลซึ่งทำหน้าที่เป็นผู้ควบคุมข้อมูลของตนเท่านั้น

(b) ผู้ส่งออกข้อมูลจะต้องแจ้งให้ผู้นำเข้าข้อมูลทราบโดยทันที หากไม่สามารถปฏิบัติตามคำสั่งดังกล่าวได้ รวมถึงในกรณีที่คำสั่งดังกล่าวละเมิดระเบียบ (EU) 2016/679 หรือกฎหมายคุ้มครองข้อมูลอื่นใดของสหภาพยุโรปหรือของรัฐสมาชิก

(c) ผู้นำเข้าข้อมูลจะต้องละเว้นจากการกระทำใด ๆ ที่จะขัดขวางมิให้ผู้ส่งออกข้อมูลปฏิบัติตามหน้าที่ของตนภายใต้ระเบียบ (EU) 2016/679 รวมถึงในบริบทของการประมวลผลช่วง (sub-processing) หรือในส่วนที่เกี่ยวกับความร่วมมือกับหน่วยงานกำกับดูแลที่มีอำนาจ

(ง) ภายหลังสิ้นสุดการให้บริการประมวลผลข้อมูล ผู้ส่งออกข้อมูลจะต้องดำเนินการตามที่ผู้นำเข้าข้อมูลเลือก โดยลบข้อมูลส่วนบุคคลทั้งหมดที่ประมวลผลในนามของผู้นำเข้าข้อมูล และรับรองต่อผู้นำเข้าข้อมูลว่าได้ดำเนินการดังกล่าวแล้ว หรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดที่ประมวลผลในนามของผู้นำเข้าข้อมูลให้แก่ผู้นำเข้าข้อมูล และลบสำเนาที่มีอยู่ทั้งหมด

8.2 ความมั่นคงปลอดภัยของการประมวลผล

(ก) คู่สัญญาจะต้องดำเนินมาตรการทางเทคนิคและทางองค์กรที่เหมาะสม เพื่อประกันความมั่นคงปลอดภัยของข้อมูล รวมถึงในระหว่างการส่งข้อมูล และเพื่อป้องกันการละเมิดความมั่นคงปลอดภัยอันนำไปสู่การทำลาย การสูญหาย การเปลี่ยนแปลงแก้ไข การเปิดเผย หรือการเข้าถึงโดยมิได้รับอนุญาต ไม่ว่าโดยอุบัติเหตุหรือโดยมิชอบด้วยกฎหมาย (ต่อไปนี้เรียกว่า "การละเมิดข้อมูลส่วนบุคคล") ในการประเมินระดับความมั่นคงปลอดภัยที่เหมาะสม คู่สัญญาจะต้องคำนึงถึงเทคโนโลยีที่ทันสมัยที่สุดในขณะนั้น ค่าใช้จ่ายในการดำเนินการ ลักษณะของข้อมูลส่วนบุคคล (2) ลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ตลอดจนความเสี่ยงที่เกี่ยวข้องกับการประมวลผลซึ่งมีต่อเจ้าของข้อมูลตามสมควร และโดยเฉพาะอย่างยิ่งต้องพิจารณาใช้การเข้ารหัสลับหรือการแปลงข้อมูลให้เป็นนามแฝง รวมถึงในระหว่างการส่งข้อมูล ในกรณีที่วัตถุประสงค์ของการประมวลผลสามารถบรรลุผลได้ด้วยวิธีการดังกล่าว

(ข) ผู้ส่งออกข้อมูลจะต้องให้ความช่วยเหลือแก่ผู้นำเข้าข้อมูลในการสร้างความมั่นใจว่าข้อมูลมีความมั่นคงปลอดภัยอย่างเหมาะสมตามวรรค (ก) ในกรณีที่เกิดการละเมิดข้อมูลส่วนบุคคลซึ่งเกี่ยวข้องกับข้อมูลส่วนบุคคลที่ผู้ส่งออกข้อมูลประมวลผลภายใต้ข้อสัญญาเหล่านี้ ผู้ส่งออกข้อมูลจะต้องแจ้งให้ผู้นำเข้าข้อมูลทราบโดยไม่ชักช้าเกินสมควรหลังจากที่ได้ทราบถึงเหตุการณ์ดังกล่าว และให้ความช่วยเหลือแก่ผู้นำเข้าข้อมูลในการจัดการกับการละเมิดนั้น

(ค) ผู้ส่งออกข้อมูลต้องตรวจสอบให้แน่ใจว่าบุคคลซึ่งได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลได้ให้คำมั่นว่าจะรักษาความลับ หรืออยู่ภายใต้หน้าที่ในการรักษาความลับตามกฎหมายที่เหมาะสม

8.3 เอกสารและการปฏิบัติตามข้อกำหนด

(ก) คู่สัญญาจะต้องสามารถแสดงให้เห็นถึงการปฏิบัติตามข้อสัญญาเหล่านี้ได้

(ข) ผู้ส่งออกข้อมูลจะต้องจัดเตรียมข้อมูลทั้งหมดที่จำเป็นต่อการแสดงให้เห็นถึงการปฏิบัติตามภาระผูกพันของตนภายใต้ข้อสัญญาเหล่านี้ให้แก่ผู้นำเข้าข้อมูล และต้องยินยอมให้มีการตรวจสอบ รวมทั้งให้ความร่วมมือในการตรวจสอบดังกล่าว

ข้อ 9 การใช้ผู้ประมวลผลข้อมูลช่วง

ไม่สามารถใช้ได้กับโมดูลที่เกี่ยวข้องและลักษณะของการถ่ายโอนข้อมูล

ข้อ 10 สิทธิของเจ้าของข้อมูล

คู่สัญญาจะให้ความช่วยเหลือซึ่งกันและกันในการตอบข้อซักถามและคำร้องขอที่ทำโดยเจ้าของข้อมูลภายใต้กฎหมายท้องถิ่นที่ใช้บังคับกับผู้นำเข้าข้อมูล หรือสำหรับการประมวลผลข้อมูลโดยผู้ส่งออกข้อมูลในสหภาพยุโรป ภายใต้ระเบียบ (สหภาพยุโรป) 2016/679

ข้อ 11 การเยียวยา

(ก) ผู้นำเข้าข้อมูลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงจุดติดต่อที่ได้รับมอบอำนาจให้ดำเนินการเกี่ยวกับข้อร้องเรียน ในรูปแบบที่โปร่งใสและเข้าถึงได้โดยง่าย ไม่ว่าจะโดยการแจ้งเป็นรายบุคคลหรือบนเว็บไซต์ของตน หน่วยงานดังกล่าวต้องดำเนินการกับข้อร้องเรียนใด ๆ ที่ได้รับจากเจ้าของข้อมูลโดยพลัน

ข้อ 12 ความรับผิด

(ก) คู่สัญญาแต่ละฝ่ายต้องรับผิดต่อคู่สัญญาอีกฝ่าย/อีกหลายฝ่าย สำหรับความเสียหายใด ๆ ที่ตนก่อให้เกิดแก่คู่สัญญาอีกฝ่าย/อีกหลายฝ่ายนั้น อันเนื่องมาจากการฝ่าฝืนข้อสัญญาเหล่านี้

(b) คู่สัญญาแต่ละฝ่ายต้องรับผิดต่อเจ้าของข้อมูลส่วนบุคคล และเจ้าของข้อมูลส่วนบุคคลมีสิทธิได้รับค่าสินไหมทดแทนสำหรับความเสียหายใด ๆ ไม่ว่าจะเป็นตัวเงินหรือไม่เป็นตัวเงิน ที่คู่สัญญาฝ่ายนั้นก่อให้เกิดแก่เจ้าของข้อมูลส่วนบุคคลโดยการละเมิดสิทธิของบุคคลภายนอกผู้รับประโยชน์ภายใต้ข้อสัญญาเหล่านี้ ทั้งนี้ ไม่กระทบต่อความรับผิดของผู้ส่งออกข้อมูล (data exporter) ภายใต้ระเบียบ (EU) 2016/679

(c) ในกรณีที่มีคู่สัญญามากกว่าหนึ่งฝ่ายต้องรับผิดชอบต่อความเสียหายใด ๆ ที่เกิดขึ้นแก่เจ้าของข้อมูลส่วนบุคคลอันเป็นผลมาจากการละเมิดข้อสัญญาเหล่านี้ คู่สัญญาที่ต้องรับผิดชอบทั้งหมดจะต้องรับผิดร่วมกันและแทนกัน และเจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะฟ้องร้องดำเนินคดีต่อศาลกับคู่สัญญาฝ่ายใดฝ่ายหนึ่งเหล่านี้

(d) คู่สัญญาตกลงว่า หากคู่สัญญาฝ่ายหนึ่งต้องรับผิดตามวรรค (c) คู่สัญญาฝ่ายนั้นย่อมมีสิทธิเรียกคืนจากคู่สัญญาอีกฝ่ายหนึ่ง/ฝ่ายอื่น ๆ ซึ่งส่วนของค่าสินไหมทดแทนที่สอดคล้องกับความรับผิดชอบของฝ่ายนั้น/ฝ่ายเหล่านั้นต่อความเสียหายดังกล่าว

(e) ผู้นำเข้าข้อมูลไม่อาจกล่าวอ้างการกระทำของผู้ประมวลผลข้อมูลหรือผู้ประมวลผลข้อมูลช่วงเพื่อหลีกเลี่ยงความรับผิดของตนเองได้

ข้อ 13 การกำกับดูแล

ไม่สามารถใช้ได้กับโมดูลที่เกี่ยวข้องและลักษณะของการโอนย้ายข้อมูล

ส่วนที่ III – กฎหมายภายในประเทศและข้อผูกพันในกรณีที่หน่วยงานภาครัฐเข้าถึงข้อมูล

ข้อ 14 กฎหมายและแนวปฏิบัติภายในประเทศที่ส่งผลต่อการปฏิบัติตามข้อสัญญามาตรฐาน

โมดูลที่สี่: การโอนข้อมูลจากผู้ประมวลผลข้อมูลไปยังผู้ควบคุมข้อมูล (ในกรณีที่ผู้ประมวลผลข้อมูลในสหภาพยุโรปนำข้อมูลส่วนบุคคลที่ได้รับจากผู้ควบคุมข้อมูลในประเทศที่สามมารวมเข้ากับข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลเก็บรวบรวมในสหภาพยุโรป)

(a) คู่สัญญารับรองว่าตนไม่มีเหตุผลที่จะเชื่อว่ากฎหมายและแนวปฏิบัติในประเทศที่สามซึ่งเป็นปลายทาง ที่ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลโดยผู้นำเข้าข้อมูล รวมถึงข้อกำหนดใด ๆ ที่ให้เปิดเผยข้อมูลส่วนบุคคลหรือมาตรการที่อนุญาตให้หน่วยงานของรัฐเข้าถึงข้อมูล จะขัดขวางมิให้ผู้นำเข้าข้อมูลปฏิบัติตามภาระหน้าที่ของตนภายใต้ข้อสัญญาเหล่านี้ ข้อนี้ตั้งอยู่บนความเข้าใจที่ว่า กฎหมายและแนวปฏิบัติที่เคารพต่อสาระสำคัญของสิทธิและเสรีภาพขั้นพื้นฐาน และไม่เกินกว่าสิ่งที่จำเป็นและได้สัดส่วนในสังคมประชาธิปไตยเพื่อคุ้มครองวัตถุประสงค์ข้อใดข้อหนึ่งที่ระบุไว้ในมาตรา 23(1) ของระเบียบ (EU) 2016/679 นั้น ไม่ขัดแย้งกับข้อสัญญาเหล่านี้

(b) คู่สัญญาขอประกาศว่า ในการให้การรับประกันตามวรรค (a) นั้น คู่สัญญาได้พิจารณาองค์ประกอบดังต่อไปนี้อย่างเหมาะสมเป็นการเฉพาะแล้ว:

(i) สถานการณ์เฉพาะของการถ่ายโอนข้อมูล รวมถึงความยาวของห่วงโซ่การประมวลผล จำนวนผู้มีส่วนเกี่ยวข้อง และช่องทางการส่งข้อมูลที่ใช้; การถ่ายโอนข้อมูลต่อที่ตั้งใจไว้; ประเภทของผู้รับข้อมูล; วัตถุประสงค์ของการประมวลผล; ประเภทและรูปแบบของข้อมูลส่วนบุคคลที่ถ่ายโอน; ภาคเศรษฐกิจที่เกิดการถ่ายโอนข้อมูล; สถานที่จัดเก็บข้อมูลที่ถ่ายโอน;

(ii) กฎหมายและแนวปฏิบัติของประเทศที่สามซึ่งเป็นปลายทาง– รวมถึงกฎหมายและแนวปฏิบัติที่กำหนดให้ต้องเปิดเผยข้อมูลต่อหน่วยงานของรัฐหรือที่อนุญาตให้หน่วยงานดังกล่าวเข้าถึงข้อมูล – ซึ่งเกี่ยวข้องเมื่อพิจารณาจากพฤติการณ์เฉพาะของการโอนข้อมูล ตลอดจนข้อจำกัดและมาตรการคุ้มครองที่ใช้บังคับ (3);

(iii) มาตรการคุ้มครองตามสัญญา ทางเทคนิค หรือเชิงองค์กรที่เกี่ยวข้องใด ๆ ซึ่งได้จัดให้มีขึ้นเพื่อเสริมมาตรการคุ้มครองภายใต้ข้อสัญญาเหล่านี้ รวมถึงมาตรการที่ใช้ในระหว่างการส่งข้อมูลและที่ใช้กับการประมวลผลข้อมูลส่วนบุคคลในประเทศปลายทาง

(ค) ผู้นำเข้าข้อมูลรับรองว่า ในการดำเนินการประเมินตามวรรค (ข) ตนได้ใช้ความพยายามอย่างดีที่สุดในการจัดหาข้อมูลที่เกี่ยวข้องให้แก่ผู้ส่งออกข้อมูล และตกลงว่าจะให้ความร่วมมือกับผู้ส่งออกข้อมูลต่อไปในการทำให้มั่นใจว่ามีการปฏิบัติตามข้อสัญญาเหล่านี้

(d) คู่สัญญาตกลงที่จะจัดทำเอกสารบันทึกการประเมินตามวรรค (b) และจัดเตรียมให้แก่หน่วยงานกำกับดูแลที่มีอำนาจเมื่อได้รับการร้องขอ

(e) ผู้นำเข้าข้อมูลตกลงที่จะแจ้งให้ผู้ส่งออกข้อมูลทราบโดยพลัน หากภายหลังจากที่ได้ตกลงยอมรับข้อสัญญาเหล่านี้แล้ว และตลอดระยะเวลาของสัญญา ผู้นำเข้าข้อมูลมีเหตุอันควรเชื่อได้ว่าตนอยู่ภายใต้ หรือได้ตกอยู่ภายใต้กฎหมายหรือแนวปฏิบัติที่ไม่สอดคล้องกับข้อกำหนดตามวรรค (a) รวมถึงกรณีที่เป็นผลจากการเปลี่ยนแปลงกฎหมายของประเทศที่สาม หรือมาตรการใด ๆ (เช่น คำร้องขอให้เปิดเผยข้อมูล) ที่บ่งชี้ถึงการบังคับใช้กฎหมายดังกล่าวในทางปฏิบัติซึ่งไม่สอดคล้องกับข้อกำหนดในวรรค (a)

(f) ภายหลังจากการแจ้งเตือนตามวรรค (e) หรือหากผู้ส่งออกข้อมูลมีเหตุอันควรเชื่อได้ว่าผู้นำเข้าข้อมูลไม่สามารถปฏิบัติตามภาระหน้าที่ของตนภายใต้ข้อสัญญาเหล่านี้ได้อีกต่อไป ผู้ส่งออกข้อมูลจะต้องกำหนดมาตรการที่เหมาะสมโดยพลัน (เช่น มาตรการทางเทคนิคหรือทางองค์กรเพื่อประกันความมั่นคงปลอดภัยและการรักษาความลับ) เพื่อให้ผู้ส่งออกข้อมูลและ/หรือผู้นำเข้าข้อมูลนำไปปฏิบัติใช้ในการจัดการกับสถานการณ์ดังกล่าว ผู้ส่งออกข้อมูลจะต้องระงับการโอนข้อมูล หากเห็นว่าไม่สามารถรับประกันการคุ้มครองที่เหมาะสมสำหรับการโอนดังกล่าวได้ หรือหากได้รับคำสั่งจากหน่วยงานกำกับดูแลที่มีอำนาจให้ดำเนินการเช่นนั้น ในกรณีนี้ ผู้ส่งออกข้อมูลมีสิทธิบอกเลิกสัญญา เฉพาะในส่วนที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อสัญญาเหล่านี้ หากสัญญาเกี่ยวข้องกับคู่สัญญามากกว่าสองฝ่าย ผู้ส่งออกข้อมูลอาจใช้สิทธิในการบอกเลิกสัญญานี้ได้เฉพาะกับคู่สัญญาฝ่ายที่เกี่ยวข้องเท่านั้น เว้นแต่คู่สัญญาจะตกลงกันเป็นอย่างอื่น ในกรณีที่สัญญาถูกบอกเลิกตามข้อสัญญานี้ ให้นำข้อ 16(d) และ (e) มาใช้บังคับ

ข้อ 15 ภาระหน้าที่ของผู้นำเข้าข้อมูลในกรณีที่หน่วยงานภาครัฐเข้าถึงข้อมูล

โมดูลที่สี่: การโอนจากผู้ประมวลผลข้อมูลไปยังผู้ควบคุมข้อมูล (ในกรณีที่ผู้ประมวลผลข้อมูลในสหภาพยุโรปนำข้อมูลส่วนบุคคลที่ได้รับจากผู้ควบคุมข้อมูลในประเทศที่สามมารวมกับข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลเก็บรวบรวมในสหภาพยุโรป)

15.1 การแจ้งเตือน

(ก) ผู้นำเข้าข้อมูลตกลงที่จะแจ้งให้ผู้ส่งออกข้อมูลทราบโดยพลัน และแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบด้วยในกรณีที่สามารถทำได้ (หากจำเป็น โดยอาศัยความช่วยเหลือจากผู้ส่งออกข้อมูล) ในกรณีที่ผู้นำเข้าข้อมูล:

(i) ได้รับคำร้องขอที่มีผลผูกพันทางกฎหมายจากหน่วยงานของรัฐ รวมถึงหน่วยงานตุลาการ ภายใต้กฎหมายของประเทศปลายทาง ให้เปิดเผยข้อมูลส่วนบุคคลที่ได้โอนไปตามข้อสัญญาเหล่านี้ โดยการแจ้งเตือนดังกล่าวต้องประกอบด้วยข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลที่ถูกร้องขอ หน่วยงานผู้ร้องขอ ฐานทางกฎหมายของคำร้องขอ และคำตอบที่ได้ให้ไป หรือ

(ii) รับทราบถึงการเข้าถึงโดยตรงของหน่วยงานภาครัฐต่อข้อมูลส่วนบุคคลที่มีการโอนตามข้อสัญญาเหล่านี้ ซึ่งเป็นไปตามกฎหมายของประเทศปลายทาง ทั้งนี้ การแจ้งเตือนดังกล่าวต้องรวมถึงข้อมูลทั้งหมดเท่าที่ผู้นำเข้าข้อมูลมีอยู่

(ข) ในกรณีที่ผู้นำเข้าข้อมูลถูกห้ามมิให้แจ้งผู้ส่งออกข้อมูลและ/หรือเจ้าของข้อมูลภายใต้กฎหมายของประเทศปลายทาง ผู้นำเข้าข้อมูลตกลงที่จะใช้ความพยายามอย่างดีที่สุดในการขอรับการยกเว้นข้อห้ามดังกล่าว โดยมีวัตถุประสงค์เพื่อสื่อสารข้อมูลให้ได้มากที่สุดเท่าที่จะเป็นไปได้ โดยเร็วที่สุดเท่าที่จะเป็นไปได้ ผู้นำเข้าข้อมูลตกลงที่จะจัดทำเอกสารบันทึกความพยายามอย่างดีที่สุดของตน เพื่อให้สามารถแสดงให้เห็นถึงความพยายามดังกล่าวได้เมื่อผู้ส่งออกข้อมูลร้องขอ

(ค) ในกรณีที่กฎหมายของประเทศปลายทางอนุญาต ผู้นำเข้าข้อมูลตกลงที่จะให้ข้อมูลที่เกี่ยวข้องแก่ผู้ส่งออกข้อมูลให้มากที่สุดเท่าที่จะเป็นไปได้เกี่ยวกับคำร้องขอที่ได้รับ (โดยเฉพาะอย่างยิ่ง จำนวนคำร้องขอ ประเภทของข้อมูลที่ร้องขอ หน่วยงานผู้ร้องขอ ว่ามีการโต้แย้งคำร้องขอหรือไม่ และผลของการโต้แย้งดังกล่าว เป็นต้น) เป็นระยะ ๆ อย่างสม่ำเสมอตลอดระยะเวลาของสัญญา

(ง) ผู้นำเข้าข้อมูลตกลงที่จะเก็บรักษาข้อมูลตามวรรค (ก) ถึง (ค) ไว้ตลอดระยะเวลาของสัญญา และจัดเตรียมข้อมูลดังกล่าวให้แก่หน่วยงานกำกับดูแลที่มีอำนาจเมื่อได้รับการร้องขอ

(e) วรรค (a) ถึง (c) ไม่กระทบต่อหน้าที่ของผู้นำเข้าข้อมูลตามข้อ 14(e) และข้อ 16 ในการแจ้งให้ผู้ส่งออกข้อมูลทราบโดยพลัน ในกรณีที่ผู้นำเข้าข้อมูลไม่สามารถปฏิบัติตามข้อสัญญาเหล่านี้ได้

15.2 การทบทวนความชอบด้วยกฎหมายและการลดปริมาณข้อมูลให้น้อยที่สุด

(ก) ผู้นำเข้าข้อมูลตกลงที่จะตรวจสอบความชอบด้วยกฎหมายของคำขอให้เปิดเผยข้อมูล โดยเฉพาะอย่างยิ่งว่าคำขอดังกล่าวยังอยู่ภายในขอบเขตอำนาจที่ให้ไว้แก่หน่วยงานของรัฐผู้ร้องขอหรือไม่ และจะโต้แย้งคำขอนั้น หากภายหลังการประเมินอย่างรอบคอบแล้ว ผู้นำเข้าข้อมูลสรุปได้ว่ามีเหตุอันสมควรที่จะพิจารณาว่าคำขอดังกล่าวไม่ชอบด้วยกฎหมายภายใต้กฎหมายของประเทศปลายทาง พันธกรณีที่ใช้บังคับภายใต้กฎหมายระหว่างประเทศ และหลักอัธยาศัยไมตรีระหว่างประเทศ ผู้นำเข้าข้อมูลจะต้องดำเนินการตามช่องทางที่เป็นไปได้ในการอุทธรณ์ภายใต้เงื่อนไขเดียวกัน เมื่อโต้แย้งคำร้องขอ ผู้นำเข้าข้อมูลจะต้องร้องขอมาตรการคุ้มครองชั่วคราวเพื่อให้ระงับผลของคำร้องขอดังกล่าวไว้ก่อน จนกว่าหน่วยงานตุลาการที่มีอำนาจจะได้มีคำวินิจฉัยในเนื้อหาแห่งคดี หน่วยงานดังกล่าวจะต้องไม่เปิดเผยข้อมูลส่วนบุคคลที่ได้รับการร้องขอ จนกว่าจะมีหน้าที่ต้องดำเนินการเช่นนั้นตามกฎว่าด้วยวิธีพิจารณาที่ใช้บังคับ ข้อกำหนดเหล่านี้ไม่กระทบต่อหน้าที่ของผู้นำเข้าข้อมูลภายใต้ข้อ 14(e)

(ข) ผู้นำเข้าข้อมูลตกลงที่จะจัดทำเอกสารบันทึกการประเมินทางกฎหมายของตนและการโต้แย้งคัดค้านใด ๆ ต่อคำร้องขอให้เปิดเผยข้อมูล และจัดเตรียมเอกสารดังกล่าวให้แก่ผู้ส่งออกข้อมูล เท่าที่กฎหมายของประเทศปลายทางอนุญาตให้กระทำได้ ทั้งนี้ จะต้องจัดเตรียมข้อมูลดังกล่าวให้แก่หน่วยงานกำกับดูแลที่มีอำนาจหน้าที่เมื่อมีการร้องขอด้วย

(c) ผู้นำเข้าข้อมูลตกลงที่จะเปิดเผยข้อมูลในปริมาณขั้นต่ำเท่าที่จะกระทำได้ตามที่กฎหมายอนุญาต เมื่อต้องตอบสนองต่อคำขอให้เปิดเผยข้อมูล โดยอาศัยการตีความคำขอดังกล่าวอย่างสมเหตุสมผล

หมวด IV – บทบัญญัติสุดท้าย

ข้อ 16 การไม่ปฏิบัติตามข้อสัญญาและการบอกเลิกสัญญา

(ก) ผู้นำเข้าข้อมูลจะต้องแจ้งให้ผู้ส่งออกข้อมูลทราบโดยทันที หากไม่สามารถปฏิบัติตามข้อสัญญาเหล่านี้ได้ ไม่ว่าด้วยเหตุผลใดก็ตาม

(b) ในกรณีที่ผู้นำเข้าข้อมูลฝ่าฝืนข้อสัญญาเหล่านี้หรือไม่สามารถปฏิบัติตามข้อสัญญาเหล่านี้ได้ ผู้ส่งออกข้อมูลจะต้องระงับการโอนข้อมูลส่วนบุคคลไปยังผู้นำเข้าข้อมูล จนกว่าจะมีการปฏิบัติตามข้อสัญญาอีกครั้งหรือจนกว่าสัญญาจะสิ้นสุดลง ทั้งนี้ ไม่เป็นการกระทบต่อข้อ 14(f)

(c) ผู้ส่งออกข้อมูลมีสิทธิบอกเลิกสัญญา เฉพาะในส่วนที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อสัญญาเหล่านี้ ในกรณีที่:

(i) ผู้ส่งออกข้อมูลได้ระงับการโอนข้อมูลส่วนบุคคลไปยังผู้นำเข้าข้อมูลตามวรรค (b) และไม่มีการกลับมาปฏิบัติตามข้อสัญญาเหล่านี้ภายในระยะเวลาอันสมควร และไม่ว่ากรณีใด ๆ ต้องภายในหนึ่งเดือนนับแต่วันที่ระงับ;

(ii) ผู้นำเข้าข้อมูลกระทำการฝ่าฝืนข้อสัญญาเหล่านี้อย่างมีนัยสำคัญหรืออย่างต่อเนื่อง; หรือ

(iii) ผู้นำเข้าข้อมูลไม่ปฏิบัติตามคำวินิจฉัยอันมีผลผูกพันของศาลหรือหน่วยงานกำกับดูแลที่มีอำนาจ อันเกี่ยวกับหน้าที่ของตนภายใต้ข้อสัญญาเหล่านี้

ในกรณีเหล่านี้ จะต้องแจ้งการไม่ปฏิบัติตามดังกล่าวให้หน่วยงานกำกับดูแลที่มีอำนาจทราบ ในกรณีที่สัญญามีคู่สัญญามากกว่าสองฝ่าย ผู้ส่งออกข้อมูลอาจใช้สิทธิในการบอกเลิกสัญญานี้ได้เฉพาะกับคู่สัญญาฝ่ายที่เกี่ยวข้องเท่านั้น เว้นแต่คู่สัญญาจะได้ตกลงกันเป็นอย่างอื่น

(d) ข้อมูลส่วนบุคคลที่ผู้ส่งออกข้อมูลเก็บรวบรวมในสหภาพยุโรปและได้มีการโอนไปก่อนการสิ้นสุดของสัญญาตามวรรค (c) จะต้องถูกลบทิ้งทั้งหมดโดยทันที รวมถึงสำเนาใด ๆ ของข้อมูลดังกล่าวด้วย ผู้นำเข้าข้อมูลจะต้องรับรองการลบข้อมูลดังกล่าวต่อผู้ส่งออกข้อมูล จนกว่าข้อมูลจะถูกลบหรือส่งคืน ผู้นำเข้าข้อมูลจะต้องดำเนินการให้มีการปฏิบัติตามข้อสัญญาเหล่านี้ต่อไป ในกรณีที่กฎหมายภายในประเทศที่ใช้บังคับกับผู้นำเข้าข้อมูลห้ามมิให้ส่งคืนหรือลบข้อมูลส่วนบุคคลที่ได้โอนไป ผู้นำเข้าข้อมูลรับรองว่าจะยังคงดำเนินการให้มีการปฏิบัติตามข้อสัญญาเหล่านี้ต่อไป และจะประมวลผลข้อมูลดังกล่าวเพียงเท่าที่และตราบเท่าที่กฎหมายภายในประเทศนั้นกำหนดไว้เท่านั้น

(จ) คู่สัญญาฝ่ายใดฝ่ายหนึ่งอาจเพิกถอนความยินยอมของตนที่จะผูกพันตามข้อสัญญาเหล่านี้ได้ ในกรณีที่ (i) คณะกรรมาธิการยุโรปออกคำวินิจฉัยตามมาตรา 45(3) ของระเบียบ (สหภาพยุโรป) 2016/679 ซึ่งครอบคลุมการโอนข้อมูลส่วนบุคคลที่ข้อสัญญาเหล่านี้ใช้บังคับ หรือ (ii) ระเบียบ (สหภาพยุโรป) 2016/679 กลายเป็นส่วนหนึ่งของกรอบกฎหมายของประเทศที่มีการโอนข้อมูลส่วนบุคคลไปยังประเทศนั้น ทั้งนี้ ไม่กระทบต่อพันธกรณีอื่น ๆ ที่ใช้บังคับกับการประมวลผลดังกล่าวภายใต้ระเบียบ (EU) 2016/679

ข้อ 17 กฎหมายที่ใช้บังคับ

ข้อสัญญาเหล่านี้ให้อยู่ภายใต้บังคับของกฎหมายของประเทศที่รับรองสิทธิของบุคคลภายนอกผู้รับประโยชน์ คู่สัญญาตกลงว่าให้ใช้กฎหมายแห่งสาธารณรัฐสโลวัก

ข้อ 18 การเลือกศาลที่พิจารณาคดีและเขตอำนาจศาล

ข้อพิพาทใด ๆ ที่เกิดขึ้นจากข้อสัญญามาตรฐานเหล่านี้จะต้องได้รับการระงับโดยศาลแห่งสาธารณรัฐสโลวัก

ภาคผนวก

ภาคผนวก I

ก. รายชื่อคู่สัญญา

ผู้ส่งออกข้อมูล: ผู้ส่งออกข้อมูลคือ ESET (ตามที่ระบุไว้ในข้อกำหนด) ในฐานะผู้ประมวลผลข้อมูลตามข้อตกลงการประมวลผลข้อมูล

ผู้นำเข้าข้อมูล: ผู้นำเข้าข้อมูลคือท่าน (ตามที่ระบุไว้ในข้อกำหนด) ในกรณีที่ท่านเป็นผู้ควบคุมข้อมูลตามข้อตกลงการประมวลผลข้อมูล

ข. คำอธิบายการถ่ายโอนข้อมูล

ประเภทของเจ้าของข้อมูลที่มีการโอนข้อมูลส่วนบุคคล: ตามที่กำหนดไว้ในนโยบายความเป็นส่วนตัวและ/หรือข้อตกลงการประมวลผลข้อมูล

ประเภทของข้อมูลส่วนบุคคลที่มีการโอน: ตามที่กำหนดไว้ในนโยบายความเป็นส่วนตัวและ/หรือข้อตกลงการประมวลผลข้อมูล

ข้อมูลอ่อนไหวที่มีการโอน (หากมี) และข้อจำกัดหรือมาตรการคุ้มครองที่นำมาใช้ซึ่งคำนึงถึงลักษณะของข้อมูลและความเสี่ยงที่เกี่ยวข้องอย่างครบถ้วน เช่น การจำกัดวัตถุประสงค์อย่างเคร่งครัด การจำกัดการเข้าถึง (รวมถึงการอนุญาตให้เข้าถึงได้เฉพาะเจ้าหน้าที่ที่ผ่านการฝึกอบรมเฉพาะทางแล้วเท่านั้น) การจัดเก็บบันทึกการเข้าถึงข้อมูล ข้อจำกัดในการโอนข้อมูลต่อ หรือมาตรการรักษาความปลอดภัยเพิ่มเติม: ตามที่กำหนดไว้ในนโยบายความเป็นส่วนตัวและ/หรือข้อตกลงการประมวลผลข้อมูล

ความถี่ของการถ่ายโอนข้อมูล (เช่น ข้อมูลถูกถ่ายโอนเพียงครั้งเดียวหรือถ่ายโอนอย่างต่อเนื่อง): อย่างต่อเนื่อง

ลักษณะของการประมวลผล: อัตโนมัติ

วัตถุประสงค์ของการโอนข้อมูลและการประมวลผลเพิ่มเติม: การให้บริการในบริบทของการซื้อหรือการได้รับการสมัครสมาชิกตามที่กำหนดไว้ในข้อกำหนดและที่ระบุไว้ในภาคผนวก นโยบายความเป็นส่วนตัว และเอกสารประกอบ

ระยะเวลาที่จะเก็บรักษาข้อมูลส่วนบุคคลไว้ หรือหากไม่สามารถระบุได้ ให้ระบุเกณฑ์ที่ใช้ในการกำหนดระยะเวลาดังกล่าว: ตามที่กำหนดไว้ในนโยบายความเป็นส่วนตัวและ/หรือข้อตกลงการประมวลผลข้อมูล

ข้อมูลอ้างอิง:

(1) ในกรณีที่ผู้ส่งออกข้อมูลเป็นผู้ประมวลผลข้อมูลซึ่งอยู่ภายใต้บังคับของระเบียบ (EU) 2016/679 และดำเนินการในนามของสถาบันหรือองค์กรของสหภาพในฐานะผู้ควบคุมข้อมูล การอาศัยข้อสัญญาเหล่านี้เมื่อว่าจ้างผู้ประมวลผลข้อมูลรายอื่น (การประมวลผลช่วง) ซึ่งไม่อยู่ภายใต้บังคับของระเบียบ (EU) 2016/679 ย่อมเป็นการประกันการปฏิบัติตามมาตรา 29(4) ของระเบียบ (EU) 2018/1725 ของรัฐสภายุโรปและคณะมนตรี ลงวันที่ 23 ตุลาคม 2018 ว่าด้วยการคุ้มครองบุคคลธรรมดาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลโดยสถาบัน องค์กร สำนักงาน และหน่วยงานของสหภาพ และว่าด้วยการเคลื่อนย้ายข้อมูลดังกล่าวโดยเสรี และยกเลิกระเบียบ (EC) ฉบับที่ 45/2001 และคำวินิจฉัยที่ 1247/2002/EC (OJ L 295, 21.11.2018, น. 39) ด้วยเช่นกัน เท่าที่ข้อสัญญาเหล่านี้และหน้าที่ด้านการคุ้มครองข้อมูลตามที่กำหนดไว้ในสัญญาหรือนิติกรรมอื่นระหว่างผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลตามมาตรา 29(3) ของระเบียบ (EU) 2018/1725 มีความสอดคล้องกัน กรณีดังกล่าวจะเกิดขึ้นโดยเฉพาะอย่างยิ่งเมื่อผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลอาศัยข้อสัญญามาตรฐาน (standard contractual clauses) ที่กำหนดไว้ใน Decision 2021/915

(2) ซึ่งรวมถึงกรณีที่การถ่ายโอนและการประมวลผลต่อเนื่องเกี่ยวข้องกับข้อมูลส่วนบุคคลที่เปิดเผยถึงเชื้อชาติหรือเผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนาหรือปรัชญา หรือการเป็นสมาชิกสหภาพแรงงาน ข้อมูลพันธุกรรมหรือข้อมูลชีวมาตรเพื่อวัตถุประสงค์ในการระบุตัวบุคคลธรรมดาได้โดยเฉพาะเจาะจง ข้อมูลเกี่ยวกับสุขภาพ หรือชีวิตทางเพศหรือรสนิยมทางเพศของบุคคล หรือข้อมูลที่เกี่ยวข้องกับการพิพากษาลงโทษทางอาญาหรือความผิดอาญา

(3) ในส่วนที่เกี่ยวกับผลกระทบของกฎหมายและแนวปฏิบัติดังกล่าวต่อการปฏิบัติตามข้อสัญญาเหล่านี้ อาจนำองค์ประกอบต่าง ๆ มาพิจารณาเป็นส่วนหนึ่งของการประเมินโดยรวม องค์ประกอบดังกล่าวอาจรวมถึงประสบการณ์เชิงปฏิบัติที่เกี่ยวข้องและมีการจัดทำเอกสารไว้เกี่ยวกับกรณีการร้องขอให้เปิดเผยข้อมูลจากหน่วยงานภาครัฐที่เกิดขึ้นก่อนหน้านี้ หรือการไม่มีคำร้องขอดังกล่าว ซึ่งครอบคลุมกรอบระยะเวลาที่เป็นตัวแทนได้อย่างเพียงพอ โดยเฉพาะอย่างยิ่ง ข้อนี้หมายถึงบันทึกภายในหรือเอกสารอื่น ๆ ที่จัดทำขึ้นอย่างต่อเนื่องตามหลักการตรวจสอบสถานะอย่างรอบคอบ (due diligence) และได้รับการรับรองในระดับผู้บริหารระดับสูง ทั้งนี้ โดยมีเงื่อนไขว่าข้อมูลดังกล่าวสามารถเปิดเผยต่อบุคคลภายนอกได้โดยชอบด้วยกฎหมาย ในกรณีที่มีการอาศัยประสบการณ์เชิงปฏิบัติดังกล่าวเพื่อสรุปว่าผู้นำเข้าข้อมูลจะไม่ถูกขัดขวางมิให้ปฏิบัติตามข้อสัญญาเหล่านี้ ประสบการณ์ดังกล่าวจำเป็นต้องได้รับการสนับสนุนด้วยองค์ประกอบอื่นที่เกี่ยวข้องและเป็นภววิสัย และเป็นหน้าที่ของคู่สัญญาที่จะพิจารณาอย่างรอบคอบว่าองค์ประกอบเหล่านี้เมื่อรวมกันแล้วมีน้ำหนักเพียงพอในแง่ของความน่าเชื่อถือและความเป็นตัวแทนที่จะสนับสนุนข้อสรุปดังกล่าวหรือไม่ โดยเฉพาะอย่างยิ่ง คู่สัญญาต้องคำนึงถึงว่าประสบการณ์ในทางปฏิบัติของตนได้รับการยืนยันสนับสนุนและไม่ขัดแย้งกับข้อมูลที่น่าเชื่อถือซึ่งเปิดเผยต่อสาธารณะหรือเข้าถึงได้โดยประการอื่น เกี่ยวกับการมีอยู่หรือไม่มีอยู่ของคำร้องขอภายในภาคส่วนเดียวกัน และ/หรือการบังคับใช้กฎหมายในทางปฏิบัติ เช่น แนวคำพิพากษาและรายงานโดยองค์กรกำกับดูแลอิสระ หรือไม่