Члан 67.

Повереник одобрава обавезујућа пословна правила, ако та правила заједно испуњавају следеће услове:

1. 1) правно су обавезујућа, примењују се на и спроводе се од стране сваког члана мултинационалне компаније или групе привредних субјеката, укључујући и њихове запослене;
2. 2) изричито обезбеђују остваривање права лица на које се подаци односе у вези са обрадом њихових података;
3. 3) испуњавају услове прописане ставом 2. овог члана.

Обавезујућим пословним правилима из става 1. овог члана најмање се мора одредити:

1. 1) структура и контакт подаци мултинационалне компаније или групе привредних субјеката, као и сваког од њених чланова;
2. 2) пренос или групе преноса података о личности, укључујући врсте података о личности, врсте радњи обраде и њихову сврху, врсте лица на које се подаци односе и назив државе у коју се подаци преносе;
3. 3) обавезност примене обавезујућих пословних правила, како у оквиру мултинационалне компаније или групе привредних субјеката, тако и изван њих;
4. 4) примена општих начела заштите података о личности, а нарочито ограничења сврхе обраде, минимизација података, ограничење чувања, интегритет података, мере сталне заштите података, правни основ за обраду, обраде посебних врста података о личности, мере безбедности и услове за даљи пренос података о личности другим лицима или телима која нису обавезана обавезујућим пословним правилима;
5. 5) права лица на које се подаци односе у односу на обраду и начине остваривања тих права, укључујући и права у вези са аутоматизованим доношењем појединачних одлука и профилисањем из члана 38. овог закона, право на подношење притужбе Поверенику, односно тужбе суду у складу са чл. 82. и 84. овог закона, као и право на накнаду штете због повреде обавезујућих пословних правила;
6. 6) прихватање одговорности руковаоца, односно обрађивача са пребивалиштем, боравиштем или седиштем на територији Републике Србије за повреду ових правила коју је учинио други члан групе који нема пребивалиште, боравиште или седиште на територији Републике Србије, осим ако руковалац или обрађивач докаже да тај други члан групе није одговоран за догађај који је проузроковао штету;
7. 7) начин на који се лицу на које се подаци односе пружају информације о обавезујућим пословним правилима, а посебно о одредбама тач. 4) до 6) овог става, уз пружање осталих информација из чл. 23. и 24. овог закона;
8. 8) овлашћења лица за заштиту података о личности, одређеног у складу са чланом 58. овог закона, или било ког другог лица које је овлашћено за надзор над применом обавезујућих пословних правила унутар мултинационалне компаније или групе привредних субјеката, укључујући и надзор над обуком и одлучивање о притужбама унутар мултинационалне компаније или групе;
9. 9) поступак који се спроводи по притужбама;
10. 10) механизам провере поступања у складу са обавезујућим пословним правилима унутар мултинационалне компаније или групе привредних субјеката. Овај механизам укључује ревизију заштите података о личности и корективне мере за заштиту права лица на које се подаци односе. Резултати провере морају бити саопштени лицу из тачке 8) овог става, као и управљачком органу мултинационалне компаније или групе привредних субјеката, а морају бити стављени на располагање и Поверенику, на његов захтев;
11. 11) начин извештавања и вођења евиденције о променама обавезујућих пословних правила и начин обавештавања Повереника о тим променама;
12. 12) начин сарадње са Повереником у циљу обезбеђења примене обавезујућих пословних правила од стране сваког члана мултинационалне компаније или групе привредних субјеката појединачно, а посебно начин на који се Поверенику стављају на располагање резултати провере из тачке 10) овог става;
13. 13) начин извештавања Повереника о правним обавезама које се примењују према члану мултинационалне компаније или групе привредних субјеката у другој држави, а који би могли имати значајан штетан утицај на гаранције прописане обавезујућим пословним правилима;
14. 14) одговарајућа обука за заштиту података о личности лица која имају трајан или редован приступ подацима о личности.

Повереник може ближе уредити начин размене информација између руковалаца, обрађивача и Повереника у примени става 2. овог члана.

Ако су испуњени услови из става 1. овог члана, Повереник одобрава обавезујућа пословна правила у року од 60 дана од дана подношења захтева за њихово одобрење.

Одредбе ст. 1. до 4. овог члана не примењују се на пренос података које обрађују надлежни органи у посебне сврхе.