Wersja 2.0 Obwiązuje d dnia: 10-04-2018 Standard chrny prywatnści w Allianz (SOPA) Klasyfikacja: Dkument wewnętrzny Allianz SE 2018 Autryzacja: Treść niniejszeg dkumentu zstała zweryfikwana i zatwierdzna w następujący spsób: Wersja Obwiązuje d dnia Autryzwany przez: Zespół Grupy ds. Plityki Człnek Zarządu Allianz SE 1.0 10-04-2018 - Dr. Helga Jung 13-04-2018 Kmitet Zarządu Przyjęta przez: Zarząd Allianz SE [ ]
Streszczenie I. Allianz jest silnie zaangażwany w prwadzenie działalnści przy pełnym pszanwaniu i w zgdnści ze stswnymi przepisami i regulacjami w zakresie prywatnści i chrny danych, a pstępując w ten spsób, stara się zabezpieczyć Dane Osbwe Osób Fizycznych, chrnić Grupę Allianz i prmwać Allianz jak gdneg zaufania dstawcę prduktów i usług finanswych. II. Ramy prywatnści i chrny danych w Allianz bejmują: Niniejszy Standard chrny prywatnści w Allianz ( SOPA ) zawierający minimalne wymgi glbalne mające zastswanie d Grupy Allianz w zakresie Przetwarzania i przekazywania Danych Osbwych w brębie Grupy Allianz, jak również wymgi ddatkwe wbec Przetwarzania Danych w EOG i Przekazywania Danych zgdnie z WRK. Jak taki, niniejszy SOPA stanwi, między innymi, prawnie uznany i stswany w Allianz mechanizm legalizacji i umżliwiania transgraniczneg przekazywania Danych Osbwych pchdzących z EOG lub tam przetwarzanych w ramach Grupy Allianz ( Wiążące Reguły Krpracyjne" lub WRK ); raz Zasady funkcjnalne bardziej szczegółw kreślające wymgi c d prywatnści i chrny danych, np. dnśnie dknywania Ocen Wpływu na Prywatnść czy też dkumentwania peracji przetwarzania danych III. Niniejszy SOPA ma zastswanie d Grupy Allianz. Dkument ten nie bejmuje kwestii bezpieczeństwa infrmacji, przechwywania dkumentacji, zarządzania incydentami ani gólnej chrny tajemnic handlwych, które pdlegają wymgm innych standardów bwiązujących w Allianz. IV. Zarząd Allianz SE przyjął niniejszy SOPA w kwietniu 2018 rku i wymaga prawneg związania wszystkich Pdmitów OE i Pracwników jeg wymgami. Niniejszy SOPA jest prawnie wiążący dla pdmitów prawnych Grupy Allianz, które zamierzają zawrzeć Umwę Międzyzakładwą. V. Pdmity OE mgą pracwać równważne zasady i prcedury mające na celu dstswanie wymgów niniejszeg SOPA, stswnie, d ich struktury lub mdelu biznesweg. Wszelkie isttne dchylenia d niniejszeg SOPA muszą zstać zakmunikwane Działwi Prywatnści i Ochrny Danych Grupy i wcześniej z nim uzgdnine, a także właściwie udkumentwane. VI. Niniejszy SOPA piera się na wydzielnej dpwiedzialnści człnka Zarządu Allianz SE kierująceg działem handlwym H6 i dpwiedzialneg za przestrzeganie prywatnści i chrny danych. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 2 z 45
Spis treści Akapit Nagłówek Str. A. Wprwadzenie 5 A.I. Uzasadnienie 5 A.II. Uprawnienia i aktualizacje 6 B. Zasady przestrzegania prywatnści i chrny danych 7 B.I. Należyta starannść 7 B.II. Jakść danych 7 B.III. Przejrzystść i twartść 8 B.IV. Legalnść przetwarzania danych 10 B.V. Stsunki z pdmitami przetwarzającymi dane 12 B.VI. Przekazywanie danych i dalsze przekazywanie danych 12 B.VII. Bezpieczeństw i pufnść danych 13 B.VIII. Utrata danych sbwych 14 B.IV. B.X. Ochrna prywatnści w fazie prjektwania I dmyślna chrna prywatnści Współpraca z właściwymi rganami chrny danych działającymi na terenie EOG w zakresie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK 15 16 C. Czynnści i prcesy dtyczące przestrzegania prywatnści i chrny danych C.I. Dkumentacja peracji przetwarzania danych 17 C.II. Szklenia 17 C.III. Wewnętrzny mechanizm rzpatrywania skarg 17 C.IV. Ocena wpływu na prywatnść (PIA) 18 C.V. Mnitrwanie i zapewnienie zgdnści 18 17 D Obwiązki wbec sób fizycznych 19 D.I. D.II. D.III. D.IV. Udzielanie dpwiedzi na wniski sób fizycznych uzyskanie dstępu, sprstwanie lub usunięcie danych Udzielanie dpwiedzi na wniski sób fizycznych dt. sprzeciwu wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Udzielanie dpwiedzi na wniski sób fizycznych graniczenie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Udzielanie dpwiedzi na wniski sób fizycznych umżliwienie przenszalnści danych dnśnie przetwarzania danych w EOG i przekazywanie danych zgdnie z WRK 19 20 21 22 Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 3 z 45
D. V. Udzielanie dpwiedzi na wniski sób fizycznych dtyczące sprzeciwu wbec zautmatyzwanych decyzji w sprawie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK 22 E. Pdział ról i bwiązków 24 E.I. Pzim Grupy Allianz 24 E.II. Pzim pdmitów OE Allianz 26 E.III. Grupa Allianz i kierwanie pdmitami OE 30 F. Odniesienia d innych dkumentów 31 Załącznik A Załącznik B Załącznik C Załącznik D Załącznik E Załączniki Słwnik terminów 32 Przekazywanie danych zgdnie z WRK bjęte niniejszym SOPA 35 Wymgi minimalne dnśnie umów zawieranych między administratrem danych a pdmitem przetwarzającym dane przetwarzanie danych w EOG i przekazywanie danych zgdnie z WRK Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK Przegląd wymgów zawartych w SOPA 42 37 39 Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 4 z 45
A. Wprwadzenie I. Uzasadnienie 1. Allianz angażuje się w chrnę prawa d prywatnści i chrny danych swich Pracwników, klientów, partnerów handlwych i strn trzecich ( Osób Fizycznych ). Niniejszy Standard chrny prywatnści w Allianz ( SOPA ) ma na celu umżliwienie przestrzegania stswnych przepisów i regulacji w zakresie prywatnści i chrny danych regulujących Przetwarzanie i przekazywanie Danych Osbwych. W szczególnści, niniejszy SOPA zapewnia ramy dla Danych Osbwych pdlegających przepism i regulacjm EOG w brębie Grupy Allianz raz dpwiednie zabezpieczenia wbec Danych EOG przekazywanych d pdmitów OE spza EOG, bardziej szczegółw kreślnych w Załączniku B. Jak taki, niniejszy SOPA stanwi, między innymi, prawnie uznany i stswany w Allianz mechanizm legalizacji i umżliwiania przekazywania Danych Osbwych pchdzących z EOG lub tam przetwarzanych w ramach Grupy Allianz ( Wiążące Reguły Krpracyjne" lub WRK ). 2. Niniejszy SOPA kreśla glbalne minimalne wymgi w zakresie prywatnści i chrny danych dnśnie Przetwarzania Danych Osbwych przez wszystkie Pdmity OE ( Glbalne wymgi minimalne", ikna nr 1 pniżej). Pnadt, SOPA przedstawia wymgi minimalne dtyczące Przetwarzania Danych Osbwych pdlegających przepism i regulacjm bwiązującym w EOG ( Wymgi wbec przetwarzania danych w EOG", ikna nr 2 pniżej) raz transgraniczneg przekazywania Danych Osbwych pdlegających przepism i regulacjm bwiązującym w EOG zachdząceg w brębie Grupy Allianz ( Wymgi wbec przekazywania danych zgdnie z WRK, ikna nr 3 pniżej). Wymgi wbec przetwarzania danych w EOG raz Wymgi wbec przekazywania danych zgdnie z WRK mają zastswanie jak ddatek d Glbalnych wymgów minimalnych. W niniejszym SOPA pniższe ikny mają następujące znaczenie: Stsuje się d Przetwarzania Danych Osbwych w góle ( Glbalne wymgi minimalne") Stsuje się d Przetwarzania Danych Osbwych pdlegających przepism regulacjm bwiązującym w EOG ( Wymgi wbec przetwarzania danych w EOG ) Stsuje się d Danych EOG przekazywanych w brębie Grupy Allianz ( Wymgi wbec przekazywania danych zgdnie z WRK"). Dla ułatwienia Załącznik E (Przegląd wymgów zawartych w SOPA) bejmuje zarys wszystkich wymgów). 3. Niniejszy SOPA zastępuje Standard chrny i prywatnści danych w Allianz z dnia 1 października 2013 rku. Niniejszy SOPA mże zstać uzupełniny Zasady funkcjnalne. Niniejszy SOPA i dpwiednie Zasady funkcjnalne razem twrzą Ramy prywatnści i chrny danych w Allianz ( Ramy"), 4. Niniejszy SOPA ma zastswanie d Grupy Allianz i wymaga prawneg związania wszystkich Pdmitów OE i Pracwników jeg wymgami. Niniejszy SOPA jest prawnie wiążący dla pdmitów prawnych Grupy Allianz, które zamierzają zawrzeć Umwę Międzyzakładwą. 5. Pdmity OE muszą skutecznie wdrżyć Ramy zgdnie z wymgami prawnymi ich jurysdykcji i przedstawić Ramy wszystkim stswnym adresatm. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 5 z 45
6. Niniejszy SOPA nie bejmuje kwestii bezpieczeństwa infrmacji, przechwywania dkumentacji, zarządzania incydentami ani gólnej chrny tajemnic handlwych, które pdlegają wymgm innych standardów bwiązujących w Allianz. 7. Jeżeli jakaklwiek część niniejszeg SOPA jest mniej rygrystyczna niż lkalne przepisy lub regulacje, pierwszeństw zachwują lkalne przepisy lub regulacje. W razie jakiejklwiek rzbieżnści pmiędzy Glbalnymi wymgami minimalnymi a Wymgami wbec przetwarzania danych w EOG i Wymgami wbec przekazywania danych zgdnie z WRK zawartymi w niniejszym SOPA, pierwszeństw zachwują Wymgi wbec przetwarzania danych w EOG i Wymgi wbec przekazywania danych zgdnie z WRK. W razie niepewnści Specjalista ds. Prywatnści Danych/lnspektr Ochrny Danych pszczególneg Pdmitu OE musi sknsultwać się z Działem Prywatnści i Ochrny Danych Grupy w celu rzwiązania knfliktu. II. Uprawnienia i aktualizacje Całkwita dpwiedzialnść za Dział Prywatnści i Ochrny Danych Grupy spczywa na człnku Zarządu Allianz SE kierującym działem handlwym H6. Dział Prywatnści i Ochrny Danych Grupy jest właścicielem niniejszeg SOPA i pwierzn mu dpwiedzialnść za utrzymanie i aktualizacji SOPA. Niniejszy SOPA pdlega weryfikacji przynajmniej raz na rk. Niniejszy SOPA musi być zatwierdzny przez człnka Zarządu Allianz SE kierująceg działem handlwym H6 i należycie dntwany przez Zarząd Allianz SE. Ramy i aktualny wykaz pdmitów prawnych Grupy Allianz, które zawarły Umwę Międzyzakładwą, są dstępne na Allianz Cnnect, Księga reguł krpracyjnych. Publiczna wersja niniejszeg SOPA, bejmująca streszczenie SOPA, wymgi egzekwwalne dla Osób Fizycznych raz prcedurę rzpatrywania skarg pisaną w Załączniku D, Dział II, a także aktualny wykaz pdmitów prawnych Grupy Allianz, które zawarły Umwę Międzyzakładwą, są dstępne na strnie www.allianz.cm. Niniejszy SOPA wchdzi w życie w dniu jeg przedstawienia Zarządwi Allianz SE. W zakresie, w jakim znajduje t zastswanie, Pdmity OE muszą zacząć stswać niniejszy SOPA d dnia 24 maja 2018 rku. Niniejszy SOPA zastępuje Standard chrny i prywatnści danych w Allianz z dnia 1 października 2013 rku. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 6 z 45
B. Zasady przestrzegania prywatnści i chrny danych I. Należyta starannść Pdmity OE działające jak Administratrzy Danych są zbwiązani d Przetwarzania Danych Osbwych z należytą starannścią, zgdnie z prawem, uczciwie i w przejrzysty spsób w dniesieniu d Osób Fizycznych. II. Jakść danych 1. Ograniczenie celu 1.1. Glbalne wymgi minimalne Pdmity OE działające jak Administratrzy Danych są zbwiązani d Przetwarzania Danych Osbwych dla kreślnych, jednznacznych i uzasadninych celów bizneswych i zgdnie ze stswnymi przepisami i regulacjami, bejmującymi tajemnicę zawdwą, a także minimalnymi wymgami Allianz dnśnie bezpieczeństwa infrmacji kreślnymi w Standardzie bezpieczeństwa infrmacji w Allianz i twarzyszących mu Dyrektywach bezpieczeństwa infrmacji w Allianz, jak również wymgami dnśnie przechwywania danych zawartymi w Standardzie zarządzania dkumentami w Allianz. Pdmity OE muszą Przetwarzać Dane Osbwe wyłącznie w zakresie, w jakim jest t niezbędne dla realizacji kreślnych celów bizneswych. Pdmity OE mgą wprwadzać późniejsze zmiany w kreślnych celach bizneswych pd warunkiem, że takie zmiany są kreślne, jednznaczne i uzasadnine. 1.2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych mgą wprwadzać późniejsze zmiany w kreślnych celach bizneswych, jeżeli nie są ne sprzeczne z celami pierwtnymi. 2. Minimalizacja i dkładnść danych Pdmity OE działające jak Administratrzy Danych muszą zapewnić: Aktualizację Danych Osbwych raz bezzwłczne usunięcie lub sprstwanie wszelkich nieścisłści, mając na uwadze cele, dla których są ne Przetwarzane; Uwzględnienie wszelkich aktualizacji Danych Osbwych we wszystkich, wewnętrznych i zewnętrznych, systemach i bazach danych; raz Dkładnść Danych Osbwych i ich graniczenie d treści niezbędnej dla celów, dla których są ne Przetwarzane. 3. Ograniczenie przechwywania Pdmity OE działające jak Administratrzy Danych muszą przechwywać Dane Osbwe tak dług, jak jest t niezbędne dla realizacji kreślnych celów bizneswych lub wymagane przez stswne przepisy i regulacje, raz zgdnie z wymgami Allianz dnśnie przechwywania danych zawartymi w Standardzie zarządzania dkumentami w Allianz. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 7 z 45
Pdmity OE działające jak Administratrzy Danych są zbwiązane d właściwej utylizacji i archiwizacji Danych Osbwych zgdnie ze stswnymi przepisami i regulacjami raz wymgami Allianz dnśnie przechwywania danych zawartymi w Standardzie zarządzania dkumentami w Allianz. Pdmity OE działające jak Administratrzy Danych zamiast utylizacji mgą zannimizwać Dane Osbwe. III. Przejrzystść i twartść 1. Glbalne wymgi minimalne Pdmity OE działające jak Administratrzy Danych muszą, zgdnie ze stswnymi przepisami i regulacjami, w czasie grmadzenia danych i w jasny i przystępny spsób, pinfrmwać Osby Fizyczne celach, dla których grmadzne są Dane Osbwe, spsbie, w jaki mają być ne Przetwarzane, i, jeśli dtyczy, sbach, którym zstaną ne przekazane. Pdmity OE działające jak Administratrzy Danych muszą zapewnić, że Dane Osbwe będą zbierane głównie bezpśredni d Osby Fizycznej, której ne dtyczą, raz, że będą zbierane d strn trzecich lub d innych źródeł pd warunkiem, że jest t uzasadnine i dzwlne przez stswne przepisy i regulacje. 2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK 2.1. Infrmacje zbierane d sób fizycznych Pdmity OE działające jak Administratrzy Danych muszą przekazać Osbm Fizycznym, na piśmie lub w inny spsób, bejmujący, w stswnych przypadkach, frmę elektrniczną, infrmacje przedstawine pniżej. Następujące infrmacje muszą zstać pdane w spsób zwięzły i przejrzysty, w łatw dstępnej frmie i w jasnym i prstym języku: Nazwa i dane kntaktwe Pdmitu OE działająceg jak Administratr Danych lub jeg przedstawiciel; Dane kntaktwe Specjalisty ds. Prywatnści Danych/Inspektra Ochrny Danych Pdmitu OE w stswnych przypadkach; Planwane cele Przetwarzania Danych Osbwych raz pdstawy prawne ich Przetwarzania; Uzasadnine interesy Administratra Danych lub strny trzeciej, gdy takie interesy zapewniają pdstawę prawną dla Przetwarzania Danych; Odbircy lub kategrie dbirców Danych Osbwych; W przypadku przekazywania danych d krajów spza EOG - zabezpieczenia wdrżne w celu chrny przekazywanych Danych Osbwych raz spsób, w jaki Osba Fizyczna mże uzyskać ich kpię lub infrmację, gdzie dane zstały udstępnine; Okres przechwywania Danych Osbwych lub, jeśli nie jest t mżliwe, kryteria stswane w celu ustalenia teg kresu; Istnienie prawa Osób Fizycznych d: Uzyskania dstępu, sprstwania i usunięcia Danych Osbwych; Ograniczenia Przetwarzania Danych; Przenszalnści danych; Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 8 z 45
Zgłszenia sprzeciwu wbec Przetwarzania Danych. Praw t musi zstać wyraźnie zakmunikwane Osbie Fizycznej, w jasny spsób i ddzielnie d wszelkich innych infrmacji, gdy Przetwarzanie piera się na uzasadninych interesach Administratra Danych lub gdy Dane Osbwe są Przetwarzane w celach marketingu bezpśrednieg; Wycfania zgdy w każdym czasie, gdy zapewnia na pdstawę prawną dla Przetwarzania Danych Osbwych lub Wrażliwych Danych Osbwych. Takie wycfanie zgdy nie wpływa na legalnść Przetwarzania Danych prwadzneg przed złżeniem przez Osbę Fizyczną wnisku wycfanie zgdy; raz Zgłszenia skargi d właściweg rganu chrny danych działająceg na terenie EOG; Infrmacje, czy przekazanie Danych Osbwych stanwi wymóg ustawwy lub umwny lub niezbędny d zawarcia umwy raz infrmacje, czy Osba Fizyczna jest zbwiązana d przekazania Danych Osbwych, a także mżliwe knsekwencje nieprzekazania danych; raz Istnienie zautmatyzwaneg prcesu pdejmwania decyzji bejmująceg Prfilwanie, a także isttne infrmacje dtyczące zastswanej lgiki raz znaczenie i przewidywane knsekwencje takieg Przetwarzania Danych dla Osby Fizycznej. Pdmity OE działające jak Administratrzy Danych zamierzający Przetwarzać Dane Osbwe w celu innym niż cel pierwtny muszą, przed dalszym Przetwarzaniem Danych, pdać Osbm Fizycznym, których t dtyczy, taki inny cel raz wszelkie inne isttne infrmacje wymienine pwyżej. 2.2. Infrmacje nie zbierane d sób fizycznych W przypadkach gdy Dane Osbwe nie są uzyskiwane d Osób Fizycznych, Pdmity OE działające jak Administratrzy Danych muszą, pza infrmacjami wymieninymi w Rzdziale B, Dział III. ust. 2 pkt. 2.1 pwyżej, dstarczyć im pniższe infrmacje: Kategrie Danych Osbwych, których t dtyczy; raz Źródł Danych Osbwych i, jeżeli dtyczy, infrmację, czy pchdzą ne z publicznie dstępnych źródeł. Pdmity OE działające jak Administratrzy Danych muszą przekazać Osbm Fizycznym pwyższe infrmacje: W ciągu 1 miesiąca d uzyskania Danych Osbwych z uwzględnieniem szczególnych klicznści Przetwarzania Danych Osbwych; Jeżeli Dane Osbwe mają być wykrzystywane w celu kmunikacji z Osbą Fizyczną, której dtyczą Dane Osbwe - najpóźniej w czasie pierwszeg kntaktu z taką Osbą Fizyczną; lub Jeśli przewidywane jest ujawnienie danych innemu dbircy - najpóźniej z chwilą pierwszeg ujawnienia Danych Osbwych. Pdmity OE działające jak Administratrzy Danych zamierzający Przetwarzać Dane Osbwe w celu innym niż cel pierwtny muszą, przed dalszym Przetwarzaniem Danych, pdać Osbm Fizycznym, których t dtyczy, taki inny cel raz wszelkie inne isttne infrmacje wymienine pwyżej. Pdmity OE działające jak Administratrzy Danych nie muszą przekazać Osbm Fizycznym pwyższych infrmacji, jeżeli: Są ne już w psiadaniu takich infrmacji; Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 9 z 45
Okazałby się t niemżliwe lub wiązałby się t z niewspółmiernym wysiłkiem; Stswne przepisy i regulacje bwiązujące w EOG wyraźnie wymagają uzyskania lub ujawnienia Danych Osbwych; lub Dane Osbwe muszą pzstać pufne zgdnie z bwiązkiem zachwania tajemnicy zawdwej wymaganym w stswnych przepisach i regulacjach bwiązujących w EOG. IV. Legalnść przetwarzania danych 1. Glbalne wymgi minimalne Pdmity OE działające jak Administratrzy Danych mgą przetwarzać Dane Osbwe wyłącznie, jeżeli istnieje jedna z pniższych pdstaw prawnych: Przetwarzanie Danych jest niezbędne w celu realizacji umwy, której strną jest Osba Fizyczna lub w celu pdjęcia krków na prśbę Osby Fizycznej przed zawarciem umwy; Przetwarzanie Danych jest niezbędne dla przestrzegania bwiązku prawneg, któremu pdlega Administratr Danych; Przetwarzanie Danych jest niezbędne dla chrny żywtnych interesów Osby Fizycznej lub innej sby fizycznej; Przetwarzanie Danych jest niezbędne dla wyknania zadania w interesie publicznym lub wyknywania ficjalnych uprawnień pwierznych Administratrwi Danych; Przetwarzanie Danych jest niezbędne dla uzasadninych interesów Administratra Danych lub strny trzeciej, pza sytuacją, gdy charakter nadrzędny w stsunku d takich uzasadninych interesów mają interesy Osby Fizycznej lub pdstawwe prawa i wlnści wymagające chrny, lub Osba Fizyczna udzieliła zgdy na warunkach kreślnych w Dziale IV ust. 2 pniżej. 2. Warunki udzielenia zgdy na przetwarzanie danych w EOG i przekazywanie danych zgdnie z WRK W przypadkach gdy Dane Osbwe są Przetwarzane na pdstawie zgdy Osby Fizycznej Pdmity OE działające jak Administratrzy Danych muszą: Zapewnić, że zgda jest dbrwlna, knkretna i świadma i stanwi jednznaczne wskazanie zamiaru Osby Fizycznej (wyrażneg stwierdzeniem lub wyraźnym działaniem ptwierdzającym) udzielenia zgdy na Przetwarzanie Danych; Zapewnić, że Osba Fizyczna mże w łatwy spsób wycfać swją zgdę i trzyma infrmację takiej mżliwści przed udzieleniem zgdy; Wdrżyć i utrzymywać prcesy rejestracji udzielenia lub wycfania zgdy; raz Zapewnić, że jeśli zgda jest udzielana w ramach pisemneg świadczenia dtycząceg również innych spraw, jest przedstawina w spsób wyraźnie dróżniający się d innych kwestii w zrzumiałej frmie i w jasnym i prstym języku. 3. Legalnść przetwarzania wrażliwych danych sbwych w przypadku przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych muszą wdrżyć i utrzymywać prcesy służące identyfikacji miejsc Przetwarzania Wrażliwych Danych Osbwych raz zapewnić Przetwarzanie Wrażliwych Danych Osbwych wyłącznie, gdy: Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 10 z 45
Przetwarzanie Danych jest niezbędne: Dla Administratra Danych lub Osby Fizycznej w celu wyknania lub skrzystania ze szczególnych praw na mcy dpwiednieg stsunku pracy i ubezpieczenia spłeczneg raz prawa d chrny scjalnej w stpniu, w jakim zezwalają na t stswne przepisy i regulacje bwiązujące w EOG; W celu chrny żywtnych interesów Osby Fizycznej lub innej sby fizycznej w przypadkach gdy Osba Fizyczna jest fizycznie lub prawnie niezdlna d udzielenia zgdy; W celu ustalenia, realizacji lub brny rszczeń prawnych lub w każdym przypadku działania przez sądy w ramach ich jurysdykcji; Na ptrzeby medycyny prewencyjnej lub medycyny pracy, ceny zdlnści Pracwnika d pracy, diagnstyki medycznej, pieki zdrwtnej lub spłecznej lub leczenia lub zarządzania systemami i usługami pieki zdrwtnej lub spłecznej na mcy stswnych przepisów i regulacji bwiązujących w EOG lub na mcy umwy z pracwnikiem służby zdrwia bjętym bwiązkiem zachwania tajemnicy zawdwej lub w przypadku innej sby również bjętej równważnym bwiązkiem zachwania tajemnicy; W interesie publicznym w dziedzinie zdrwia publiczneg, np. chrny przed pważnymi transgranicznymi zagrżeniami zdrwia lub zapewnienia wyskich standardów jakści i bezpieczeństwa służby zdrwia i prduktów leczniczych czy wyrbów medycznych na pdstawie stswnych przepisów i regulacji bwiązujących w EOG, przewidujących dpwiednie i szczególne śrdki zabezpieczenia praw i wlnści Osby Fizycznej, szczególnie zachwanie tajemnicy zawdwej; W związku z ważnym interesem publicznym na mcy stswnych przepisów i regulacji bwiązujących w EOG, który t interes musi być prprcjnalny d wyznaczneg celu, wyrażać pszanwanie dla istty prawa d prywatnści i chrny danych raz przewidywać dpwiednie i szczególne śrdki zabezpieczenia pdstawwych praw i interesów Osby Fizycznej; lub W celu dknania archiwizacji w interesie publicznym, na ptrzeby badań naukwych lub histrycznych lub w celach statystycznych, zgdnie ze stswnymi przepisami i regulacjami bwiązującymi w EOG, które t cele muszą być prprcjnalne d wyznaczneg celu, wyrażać pszanwanie dla istty prawa d prywatnści i chrny danych raz przewidywać dpwiednie i szczególne śrdki zabezpieczenia pdstawwych praw i interesów Osby Fizycznej; Przetwarzanie Danych dtyczy Wrażliwych Danych Osbwych wyraźnie udstępninych publicznie przez Osbę Fizyczną; lub Osba Fizyczna udzieliła zgdy na Przetwarzanie Danych w jednym lub większej liczbie kreślnych celów z wyjątkiem sytuacji, gdy zabraniają teg stswne przepisy i regulacje bwiązujące w EOG. 4. Legalnść przetwarzania danych wyrkach skazujących i przestępstwach w przypadku przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych nie mgą przetwarzać Danych Osbwych dtyczących wyrków skazujących i przestępstw lub pwiązanych z nimi śrdków bezpieczeństwa inaczej niż pd kntrlą rganu władzy publicznej lub gdy Przetwarzanie Danych jest dzwlne stswnymi przepisami i regulacjami bwiązującymi w EOG i przewidującymi dpwiednie zabezpieczenie praw i wlnści Osób Fizycznych. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 11 z 45
V. Stsunki z pdmitami przetwarzającymi dane 1. Glbalne wymgi minimalne Dane Osbwe mgą być grmadzne wyłącznie przez Pdmity Przetwarzające Dane w imieniu Pdmitów OE działających jak Administratrzy Danych na pdstawie pisemnej umwy. 2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych muszą: Sprawdzać należytą starannść i dknywać cen ryzyka w celu ewaluacji Pdmitów Przetwarzających Dane, aby zapewnić, że takie Pdmity Przetwarzające Dane mgą udzielić wystarczających gwarancji c d śrdków technicznych i rganizacyjnych regulujących przewidywane Przetwarzanie Danych sprawiających, że Przetwarzanie Danych będzie spełniać wymgi bezpieczeństwa i pufnści kreślne w Rzdziale B, Dział VII ust. 2: Zawrzeć pisemną umwę z preferwanym Pdmitem Przetwarzającym Dane zawierającą wymgi minimalne kreślne w Załączniku C (Wymgi minimalne dnśnie umów zawieranych między administratrem danych a pdmitem przetwarzającym dane przetwarzaniu danych w EOG i przekazywaniu danych zgdnie z WRK); raz Okresw mnitrwać Pdmity Przetwarzające Dane w celu zweryfikwania bieżąceg przestrzegania ich zbwiązań umwnych i bwiązków dtyczących zachwania zgdnści. VI. Przekazywanie danych i dalsze przekazywanie danych 1. Glbalne wymagania minimalne Pdmity OE mgą ujawniać, wymieniać lub przekazywać Dane Osbwe innym Pdmitm OE lub Administratrm Danych lub Pdmitm Przetwarzającym Dane niebędącym człnkami Grupy Allianz wyłącznie zgdnie z niniejszym SOPA i na pdstawie pisemnych umów, chyba że stswne przepisy i regulacje wyraźnie zezwalają na taką wymianę lub przekazanie danych. Pdmity OE mgą ujawniać, wymieniać lub przekazywać Dane Osbwe dla celów innych niż kreślny cel bizneswy Administratrm Danych lub Pdmitm Przetwarzającym Dane niebędącym człnkami Grupy Allianz wyłącznie, jeżeli zezwalają na t stswne przepisy i regulacje lub w razie uzyskania wyraźnej zgdy Osby Fizycznej. 2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE mgą przekazywać Dane Osbwe Pdmitm OE spza EOG (działającym alb jak Administratrzy Danych alb jak Pdmity Przetwarzające Dane), które przestrzegają Wymgów wbec przekazywania danych zgdnie z WRK i które są strną Umwy Międzyzakładwej. Przekazywanie Danych Osbwych Pdmitm OE spza EOG, które nie są strną Umwy Międzyzakładwej, lub przekazywanie Danych Osbwych przez Pdmity OE z EOG na rzecz Administratrów Danych lub Pdmitów Przetwarzających Dane spza EOG niebędących człnkami Grupy Allianz, lub dalsze przekazywanie Danych Osbwych przez Pdmity OE spza EOG na rzecz Administratrów Danych lub Pdmitów Przetwarzających Dane niebędących człnkami Grupy Allianz, jest dzwlne na pdstawie: Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 12 z 45
Odpwiedniej decyzji wydanej przez Kmisję Eurpejską: lub Zapewnienia przez Administratra Danych lub Pdmit Przetwarzający Dane dpwiednich zabezpieczeń dnśnie przekazywanych Danych Osbwych (np. w drdze standardwych klauzul chrny danych przyjętych przez Kmisję Eurpejską lub rgan chrny danych działający na terenie EOG) zgdnie z art. 26 Dyrektywy 95/46M/E, który z dniem 25 maja 2018 rku zstanie zastąpiny przez art. 46 Rzprządzenia RODO; lub W szczególnych, granicznych przypadkach dzwlnych przez stswne przepisy i regulacje bwiązujące w EOG (np. wyraźna i świadma zgda Osby Fizycznej na przekazanie danych; kniecznść dknania przekazania danych na ptrzeby realizacji umwy zawartej między Osbą Fizyczną a Administratrem Danych) - zgdnie z art. 26 ust (1) Dyrektywy 95/46/WE, który z dniem 25 maja 2018 rku zstanie zastąpiny przez art. 49 Rzprządzenia RODO; lub Od dnia 25 maja 2018 rku i w statecznści - w przypadku gdy przekazanie danych jest niezbędne na ptrzeby isttnych uzasadninych interesów Administratra Danych pd warunkiem, że: Przekazywanie danych nie pwtarza się i dtyczy wyłącznie granicznej liczby Osób Fizycznych; Interes lub prawa i wlnści Osby Fizycznej nie mają nadrzędneg charakteru wbec uzasadninych interesów Administratra Danych; Administratr Danych ceni wszelkie klicznści twarzyszące przekazaniu danych i, na pdstawie takiej udkumentwanej ceny, zapewni dpwiednie zabezpieczenia dnśnie prywatnści i chrny danych; raz Administratr Danych pinfrmuje rgan chrny danych działający na terenie EOG raz Osbę Fizyczną przekazaniu danych i isttnych uzasadninych interesach. VII. Bezpieczeństw i pufnść danych 1. Glbalne wymgi minimalne Pdmity OE są zbwiązane d traktwania Danych Osbwych zgdnie ze Standardem bezpieczeństwa infrmacji w Allianz. 2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE muszą przyjąć śrdki zabezpieczające przed ryzykiem wynikającym z Przetwarzania Danych Osbwych, szczególnie przed utratą, przypadkwym lub bezprawnym zniszczeniem, zmianą, nieuprawninym ujawnieniem lub dstępem d przekazywanych, przechwywanych lub w inny spsób przetwarzanych Danych Osbwych. Birąc pd uwagę becny stan wiedzy, kszty wdrżenia, charakter, zakres, kntekst i cele Przetwarzania Danych raz dtkliwść i prawdpdbieństw zagrżeń dla praw i wlnści Osób Fizycznych, Pdmity OE muszą wdrżyć następujące dpwiednie śrdki techniczne i rganizacyjne zapewniające pzim bezpieczeństwa dpwiadający zagrżeniu: Annimizacja Danych Osbwych; Pseudnimizacja i zaszyfrwanie Danych Osbwych; Zdlnść d ciągłeg zapewnienia pufnści, integralnści, dstępnści i dprnść systemów i usług Przetwarzania Danych; Zdlnść d bezzwłczneg przywrócenia dstępnści Danych Osbwych Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 13 z 45
i dstęp d nich w razie incydentu fizyczneg lub techniczneg: Prcesy regularneg testwania, ceniania i szacwania skutecznści śrdków technicznych i rganizacyjnych zapewniających bezpieczeństw Przetwarzania Danych; Prcesy zapewniające, że jakaklwiek sba fizyczna działająca z upważnienia Administratra Danych lub Pdmitu Przetwarzająceg Dane i mająca dstęp d Danych Osbwych będzie Przetwarzać Dane Osbwe tylk na plecenie Administratra Danych lub gdy wymagają teg stswne przepisy i regulacje bwiązujące w EOG; lub Ciągłść działania raz plany przywrócenia gtwści d pracy i plany awaryjne. VIII. Utrata danych sbwych 1. Glbalne wymgi minimalne Pdmity OE muszą wdrżyć i utrzymywać skuteczne prcesy zapewniające terminwe pwiadamianie Specjalisty ds. Prywatnści Danych/Inspektra Ochrny Danych Pdmitu OE w razie incydentu utraty lub wycieku danych, który bejmuje lub mże bejmwać Dane Osbwe ( Utrata Danych Osbwych"). Dalsze wymgi zstały kreślne w Dyrektywach bezpieczeństwa infrmacji w Allianz i innych plitykach i standardach bwiązujących w Allianz i przekazywanych Pdmitm OE. 2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE muszą wdrżyć i utrzymywać prcesy dknywania ceny stswnych bwiązków dtyczących dknywania zgłszeń dnśnie prywatnści i chrny danych, w tym pwiadamiania właściwych rganów chrny danych działających na terenie EOG i Osób Fizycznych. 2.1. Pwiadamianie właściweg rganu chrny danych działająceg na terenie EOG: Pdmity OE działające jak Administratrzy Danych muszą, bez zbędnej zwłki i tam, gdzie jest t mżliwe, nie później niż w ciągu 72 gdzin d pwzięcia wiedzy incydencie Utraty Danych Osbwych, który mże skutkwać zagrżeniem dla praw i wlnści Osby Fizycznej, udkumentwać i zgłsić incydent Utraty Danych Osbwych d właściweg rganu chrny danych działająceg na terenie EOG i pdać mu: Charakter incydentu Utraty Danych Osbwych, w tym, tam, gdzie t mżliwe, kategrie i przybliżną liczbę Osób Fizycznych, których t dtyczy, raz kategrie i przybliżną liczbę zapisów Danych Osbwych, których t dtyczy; Imię i nazwisk raz dane kntaktwe Specjalisty ds. Prywatnści Danych/ lnspektra Ochrny Danych Pdmitu OE lub inneg punktu kntaktweg, który mże udzielić dalszych infrmacji; Mżliwe knsekwencje incydentu Utraty Danych Osbwych; raz Śrdki pdjęte lub prpnwane d pdjęcia przez Pdmit OE w celu zareagwania na incydent Utraty Danych Osbwych bejmujące, w stswnych przypadkach, śrdki łagdzące mżliwe negatywne skutki takieg incydentu. Jeżeli takie infrmacje nie mgą być przekazane jedncześnie, mgą zstać pdane etapami bez dalszej zbędnej zwłki. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 14 z 45
2.2. Pwiadamianie sób fizycznych Pdmity OE działające jak Administratrzy Danych muszą, bez zbędnej zwłki, infrmwać Osbę Fizyczną, której t dtyczy, incydencie Utraty Danych Osbwych, jeśli taki incydent mże skutkwać wyskim pzimem zagrżenia dla praw i wlnści Osby Fizycznej, i w takim pwiadmieniu w jasnym i prstym języku piszą: Charakter incydentu Utraty Danych Osbwych; Imię i nazwisk raz dane kntaktwe Specjalisty ds. Prywatnści Danych/Inspektra Ochrny Danych Pdmitu OE lub inneg punktu kntaktweg, który mże udzielić dalszych infrmacji; Mżliwe knsekwencje incydentu Utraty Danych Osbwych; raz Śrdki pdjęte lub prpnwane d pdjęcia przez Pdmit OE w celu zareagwania na incydent Utraty Danych Osbwych bejmujące, w stswnych przypadkach, śrdki łagdzące mżliwe negatywne skutki takieg incydentu. Pdmity OE działające jak Administratrzy Danych nie muszą przekazać pwiadmienia, jeżeli: Pdmit OE wdrżył dpwiednie techniczne i rganizacyjne śrdki chrnne i śrdki te zastswan wbec Danych Osbwych bjętych incydentem Utraty Danych Osbwych, a szczególnie śrdki sprawiające, że Dane Osbwe stają się nieczytelne dla każdeg, kt nie jest uprawniny d dstępu d nich (np. szyfrwanie); Pdmit OE pdjął dalsze śrdki zapewniające, że wystąpienie wyskieg pzimu zagrżenia dla praw i wlnści Osby Fizycznej jest mał prawdpdbne; lub Wiązałby się t z niewspółmiernym wysiłkiem, w którym t przypadku Pdmit OE musi wydać publiczny kmunikat lub zastswać pdbny śrdek, za pmcą któreg w równie skuteczny spsób pinfrmuje Osby Fizyczne, których t dtyczy. 2.3. Pwiadamianie Administratra Danych Pdmity OE działające jak Pdmity Przetwarzające Dane muszą, bez zbędnej zwłki p pwzięciu wiedzy incydencie Utraty Danych Osbwych, pwiadmić tym Administratra Danych. IX. Ochrna prywatnści w fazie prjektwania i dmyślna chrna prywatnści 1. Ochrna prywatnści w fazie prjektwania 1.1. Glbalne wymgi minimalne Pdmity OE muszą zapewnić metdyczne włączenie prywatnści i chrny danych we właściwe prcesy i prcedury bizneswe raz w systemy infrmatyczne i aplikacje, których t dtyczy. 1.2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych są zbwiązane d wdrżenia dpwiednich śrdków technicznych i rganizacyjnych (np. pseudnimizacji) skutecznie wdrażających zasady dtyczące prywatnści i chrny danych (np. minimalizacja danych) w nwych prduktach, usługach i prcesach i prcedurach bizneswych, w stswnych przypadkach, raz włączających niezbędne Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 15 z 45
zabezpieczenia w Przetwarzanie Danych Osbwych. Pdmity OE muszą wdrżyć takie śrdki zarówn w czasie ustalania spsbów Przetwarzania Danych, jak i w trakcie sameg Przetwarzania Danych. Pdmity OE muszą uwzględnić stan wiedzy, kszty wdrżenia raz charakter, zakres, kntekst i cele Przetwarzania Danych, a także dtkliwść i prawdpdbieństw zagrżeń dla praw i wlnści Osób Fizycznych spwdwanych Przetwarzaniem Danych. 2. Ochrna prywatnści w fazie prjektwania Pdmity OE działające jak Administratrzy Danych muszą wdrżyć dpwiednie śrdki techniczne i rganizacyjne w celu zapewnienia, że dmyślnie przetwarzane będą wyłącznie Dane Osbwe niezbędne dla każdeg kreślneg celu Przetwarzania Danych. Wymóg ten ma zastswanie d ilści zgrmadznych Danych Osbwych, stpnia Przetwarzania Danych, kresu ich przechwywania i dstępu d danych. W szczególnści, Dane Osbwe nie mgą być dmyślnie dstępne dla niegranicznej liczby sób fizycznych bez ingerencji Osby Fizycznej (np. infrmacje zwrtne lub kmentarze przekazane przez Internet nie pwinny być dmyślnie upubliczniane). X. Współpraca z właściwymi rganami chrny danych działającymi na terenie EOG w zakresie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE muszą współpracwać z rganami chrny danych działającymi na terenie EOG w zakresie wyknywanych przez nie bwiązków i stswać się d ich rad dnśnie wszelkich kwestii w zakresie Wymgów dtyczących przekazywania danych zgdnie z WRK. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 16 z 45
C. Zasady przestrzegania prywatnści i chrny danych Pniższe czynnści i prcesy dtyczące przestrzegania prywatnści i chrny danych zstały pracwane w celu umżliwienia przestrzegania zasad kreślnych w Rzdziale B i udzielenia Pdmitwi OE wsparcia przy wypełnianiu zbwiązań wbec Osób Fizycznych przedstawinych w Rzdziale D. I. Dkumentacja peracji przetwarzania danych Pdmity OE muszą ustanwić i utrzymywać pisemną ewidencję bejmującą wszystkie wyknywane przez siebie peracje Przetwarzania Danych. Dalsze wymgi zstały pisane w dpwiedniej Zasadzie funkcjnalnej dkumentwania peracji przetwarzania danych. II. Szklenia 1. Glbalne wymgi minimalne Pdmity OE muszą ustanwić i przeprwadzać kreswe szklenia z dziedziny prywatnści i chrny danych dla Pracwników w celu zapewnienia dpwiednieg pzimu ich wiedzy i świadmści. 2. Wymgi ddatkwe wbec przekazywania danych zgdnie z WRK Pdmity OE muszą zapewnić Pracwnikm stale lub regularnie zaangażwanym w Przetwarzanie Danych lub pracwywanie narzędzi używanych d Przetwarzania Danych Osbwych w EOG dpwiednie szklenia z dziedziny prywatnści i chrny danych bejmujące szklenia dtyczące Wymgów w zakresie przetwarzania danych w EOG i Wymgów w zakresie przekazywania danych zgdnie z WRK. Pdmity OE mgą skrzystać ze szklenia z wykrzystaniem kmputera, z crcznym przypmnieniem wiedzy, które, dla Grupy Allianz, przygtwuje i realizuje Allianz SE. W ramach szklenia zstanie sprawdzny pzim znajmści wiedzy przekazanej Pracwnikm. W zakresie dzwlnym przez stswne przepisy i regulacje pdmity OE muszą mnitrwać pzim i wyniki ukńcznych testów. III. Wewnętrzny mechanizm rzpatrywania skarg 1. Glbalne wymgi minimalne Pdmity OE są zbwiązane d wdrżenia i utrzymywania skutecznych prcesów zajmujących się kwestią prywatnści i chrny danych w dniesieniu d skarg, zapytań i incydentów. 2. Wymgi ddatkwe wbec przekazywania danych zgdnie z WRK W przypadku skarg złżnych przez Osby Fizyczne i dtyczących Przekazywania Dany zgdnie z WRK Pdmity OE muszą przestrzegać prcedury kreślnej w Załączniku D Dział II. (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 17 z 45
IV. Oceny wpływu na prywatnść Pdmity OE dzialające jak Administratrzy Danych muszą, za pmcą Oceny Wpływu na Prywatnść, cenić legalnść i wpływ Przetwarzania Danych Osbwych na wszystkie prcesy i prcedury stanwiące zagrżenie d średnieg d wyskieg stpnia dla prywatnści i chrny danych przed ich wdrżeniem. Specjalista ds. Prywatnści Danych/Inspektr Ochrny Danych Pdmitu OE mże, w parciu swój prfesjnalny sąd, dradzić przeprwadzenie Oceny Wpływu na Prywatnść w stsunku d prcesów wywlujących niski stpień zagrżenia dla prywatnści i chrny danych (np. typwe prcesy biurwe). Dalsze wymgi dtyczące Ocen Wpływu na Prywatnść kreśln w Zasadzie funkcjnalnej prwadzenia i dkumentwania cen wplywu na prywatnść. V. Mnitrwanie i zapewnienie zgdnści 1. Glbalne wymgi minimalne Pdmity OE, glbalne linie i reginy muszą prwadzić party na ryzyku nadzór (który mże bejmwać mnitring, testwanie i inne elementy) nad dpwiednim prjektem, wdrżeniem i skutecznścią Ram i pwiązanych z nimi prcesów i kntrli. Pdmity OE muszą, przez kres 5 lat, pddawać Ramy testm bejmującym próbki, ankiety i przeglądy. Wyniki muszą zstać terminw zatwierdzne przez Zarząd Pdmitu OE i przekazane Dyrektrwi Grupy ds. Prywatnści (lub jeg Specjaliście ds. Prywatnści Danych/lnspektrwi Ochrny Danych w reginie lub glbalnej linii). Pdmity OE muszą przedstawić sprawzdanie ze zgdnści z Ramami, gdy wymaga teg Dyrektr Grupy ds. Prywatnści. 2. Wymgi ddatkwe wbec przekazywania danych zgdnie z WRK Pdmity OE muszą regularnie lub na knkretną prśbę Dyrektra Grupy ds. Prywatnści alb inneg Pdmitu OE brać udział w audytach z zakresu prywatnści i chrny danych (przynajmniej c 5 lat). Takie audyty muszą być przeprwadzane przez akredytwanych prfesjnalistów (wewnętrznych lub zewnętrznych) i muszą bejmwać Wymgi wbec przekazywania danych zgdnie z WRK, w tym metdy zapewniające skuteczną kntynuację i wdrażanie działań naprawczych. Wyniki audytu muszą zstać przekazane Specjaliście ds. Prywatnści Danych/lnspektrwi Ochrny Danych Pdmitu OE, Zarządwi Pdmitu OE, Dyrektrwi Grupy ds. Prywatnści, Zarządwi Allianz SE raz, na wnisek, dwlnemu rganwi chrny danych, działającemu na terenie EOG. Pdmit OE mże być pddany audytwi przeprwadzanemu przez rgan chrny danych działający na terenie EOG i musi bezzwłcznie pinfrmwać Specjalistę ds. Prywatnści Danych/Inspektra Ochrny Danych Pdmitu OE i Dyrektra Grupy ds. Prywatnści (i Specjalisty ds. Prywatnści Danych/Inspektra Ochrny Danych Pdmitu OE w reginie lub glbalnej linii), jeżeli jakiklwiek rgan chrny danych działający na terenie EOG zażąda przedstawienia wyników audytu lub ma zamiar przeprwadzić audyt z zakresu prywatnści i chrny danych. Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 18 z 45
D. Obwiązki wbec sób fizycznych I. Udzielanie dpwiedzi na wniski sób fizycznych uzyskanie dstępu, sprstwanie lub usunięcie danych 1. Glbalne wymgi frmalne Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść przeglądu, sprstwania lub usunięcia swich Danych Osbwych na wnisek i zgdnie ze stswnymi przepisami i regulacjami, jeżeli Osby Fizyczne najpierw uwierzytelnią w dpwiednim stpniu swją tżsamść. Jeżeli Pdmit OE drzuci taki wnisek, musi pdać Osbm Fizycznym pwdy takiej dmwy raz zapewnić im mżliwść zakwestinwania takiej decyzji. 2. Wymgi ddatkwe wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Odpwiadając na wniski Osób Fizycznych uzyskanie dstępu, sprstwanie lub usunięcie danych, Pdmity OE muszą przestrzegać prcedury kreślnej w Załączniku D, Dział I. (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). 2.1. Wnisek uzyskanie dstępu d danych Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść uzyskania, na wnisek, dstępu d pniższych infrmacji: Ptwierdzenia, czy Administratr Danych psiada dtyczące ich Dane Osbwe; Kpii swich Danych Osbwych; Celu(-ów) Przetwarzania Danych; Kategrii przechwywanych Danych Osbwych Osbie Fizycznej; Odbirców lub kategrii dbirców, którym ujawniane są Dane Osbwe (szczególnie dbirców w krajach spza EOG) raz dpwiednich zabezpieczeń stswanych przy takim przekazywaniu danych; Tam, gdzie t mżliwe, kresu przechwywania Danych Osbwych lub, jeśli nie jest t mżliwe, kryteriów stswanych w celu ustalenia teg kresu; Istnienia prawa d wniskwania d Administratra Danych sprstwanie lub usunięcie Danych Osbwych lub graniczenie Przetwarzania Danych Osbwych dtyczących Osby Fizycznej lub d wniesienia sprzeciwu wbec takieg Przetwarzania Danych; Prawa d złżenia skargi d rganu chrny danych działająceg na terenie EOG; W przypadkach gdy Dane Osbwe nie są zbierane d Osby Fizycznej - wszelkich dstępnych infrmacji dnśnie źródła; raz Istnienia zautmatyzwaneg prcesu pdejmwania decyzji bejmująceg Prfilwanie, którym mwa w Rzdziale D, Dział V, raz, przynajmniej w takich przypadkach, isttnych infrmacji dtyczących zastswanej lgiki raz znaczenia i przewidywanych knsekwencji takieg Przetwarzania Danych dla Osby Fizycznej. Pdmity OE działające jak Administratrzy Danych mgą drzucić takie wniski w przypadkach wymieninych w Załączniku D, Dział I. ust. 5 (Rzpatrywanie wnisków sób fizycznych, dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 19 z 45
2.2. Wnisek sprstwanie danych Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść wniskwania, bez zbędnej zwłki, sprstwanie Danych Osbwych niezgdnych ze stswnymi przepisami i regulacjami bwiązującymi w EOG, w szczególnści z pwdu ich niekmpletnści lub niedkładnści, w tym w drdze przedstawienia ddatkweg świadczenia uwzględniająceg cei(-e) Przetwarzania Danych. Pdmity OE działające jak Administratrzy Danych mgą drzucić takie wniski w przypadkach wymieninych w Załączniku D, Dział I, ust. 5 (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). 2.3. Wnisek usunięcie danych Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść wniskwania usunięcie swich Danych Osbwych, jeżeli: Dane Osbwe nie są już niezbędne w dniesieniu d ceiu(-ów), d jakich zstały ne zgrmadzne lub w inny spsób Przetwrzne; Osba Fizyczna cfnie zgdę, na której piera się Przetwarzanie Danych, i nie istnieje żadna inna pdstawa prawna dla Przetwarzania Danych; Osba Fizyczna zgłsi sprzeciw wbec Przetwarzania Danych prwadzneg na pdstawie uzasadninych interesów Administratra Danych, gdy nie istnieją żadne nadrzędne, uzasadnine pdstawy Przetwarzania Danych lub gdy Osba Fizyczna wniesie sprzeciw wbec Przetwarzania Danych prwadzneg w celach marketingu bezpśrednieg; Dane Osbwe zstały przetwrzne bezprawnie; Dane Osbwe muszą zstać usunięte na ptrzeby przestrzegania stswnych przepisów i regulacji bwiązujących w EOG, którym pdlega Administratr Danych, lub; Dane Osbwe dtyczą dziecka lub Osby Fizycznej, której Dane Osbwe zstały zgrmadzne, gdy taka sba była dzieckiem, jak kreśln w stswnych przepisach i regulacjach bwiązujących w EOG, i zstały zgrmadzne w dniesieniu d ferty usług spłeczeństwa infrmacyjneg. W przypadkach gdy Dane Osbwe pdlegające wniskwi usunięcie zstały upublicznine przez Administratra Danych Administratr Danych musi pdjąć uzasadnine śrdki, bejmujące śrdki techniczne, w celu pinfrmwania Administratrów Danych Przetwarzających Dane Osbwe wnisku Osby Fizycznej usunięcie wszelkich dnśników d takich Danych Osbwych lub ich kpii. Pdmity OE działające jak Administratrzy Danych mgą drzucić wnisek Osby Fizycznej usunięcie swich Danych Osbwych w przypadkach wymieninych w Załączniku D, Dział I, ust. 5 (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). W takim przypadku Pdmity OE mgą graniczyć Przetwarzanie Danych Osbwych pdlegających wniskwi usunięcie w razie złżenia przez Osbę Fizyczną dalszeg wnisku zgdnie z Rzdziałem D, Dział III. II. Udzielanie dpwiedzi na wniski sób fizycznych dtyczące sprzeciwu wbec przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść zgłszenia, w każdym czasie, sprzeciwu wbec Przetwarzania Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 20 z 45
ich Danych Osbwych pierająceg się na uzasadninych interesach Administratra Danych, w tym wbec Prfilwania. W takim przypadku Pdmity OE muszą zaprzestać Przetwarzania Danych Osbwych, chyba że są w stanie wykazać isttne uzasadnine pdstawy dla kntynuacji Przetwarzania Danych, które mają charakter nadrzędny wbec interesów, praw i wlnści Osby Fizycznej, lub isttne uzasadnine pdstawy dla ustalenia, realizacji lub brny rszczeń prawnych. Pdmity OE działające jak Administratrzy Danych muszą także zapewnić Osbm Fizycznym mżliwść zgłszenia, w każdym czasie, sprzeciwu wbec Przetwarzania ich Danych Osbwych dla celów marketingu bezpśrednieg (w tym Prfilwania, w stpniu, w jakim dnsi się n d marketingu bezpśrednieg). W takim przypadku Pdmity OE zaprzestaną Przetwarzania Danych dla celów marketingu bezpśrednieg. Odpwiadając na sprzeciw zgłaszany przez Osbę Fizyczną, Pdmit OE musi przestrzegać prcedury kreślnej w Załączniku D, Dział I. (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). Pdmity OE mgą drzucić takie wniski w przypadkach wymieninych w Załączniku D, Dział I. ust. 5. III. Udzielanie dpwiedzi na wniski sób fizycznych graniczenie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Z dniem 25 maja 2018 rku Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść graniczenia Przetwarzania ich Danych Osbwych raz ich dpwiednieg pgrupwania, jeżeli: Dkładnść Danych Osbwych zstanie zakwestinwana przez Osby Fizyczne - przez kres umżliwiający Administratrwi Danych weryfikację dkładnści Danych Osbwych; Przetwarzanie Danych jest bezprawne, a Osby Fizyczne sprzeciwią się usunięciu Danych Osbwych i w zamian złżą wnisek graniczenie ich wykrzystania; Administratr Danych już nie ptrzebuje Danych Osbwych dla celów Przetwarzania Danych, ale wymagają ich Osby Fizyczne na ptrzeby ustalenia, realizacji lub brny rszczeń prawnych; lub Osby Fizyczne zgłsiły sprzeciw wbec Przetwarzania Danych prwadzneg w na pdstawie uzasadninych interesów Administratra Danych - w czekiwaniu na weryfikację nadrzędneg charakteru uzasadninych pdstaw Administratra Danych w stsunku d pdstaw Osób Fizycznych. W przypadkach gdy Przetwarzanie Danych jest graniczne Pdmity OE mgą, z wyjątkiem przechwywania, Przetwarzać Dane Osbwe wyłącznie: Za zgdą Osby Fizycznej; Na ptrzeby ustalenia, realizacji lub brny rszczeń prawnych; W celu chrny praw innej sby fizycznej lub prawnej; lub Z uwagi na ważny interes publiczny kreślny w stswnych przepisach i regulacja bwiązujących w EOG. Jeżeli Pdmity OE działające jak Administratrzy Danych w większym stpniu graniczą Przetwarzanie Danych na wnisek Osby Fizycznej, muszą pinfrmwać Osbę Fizyczną takim graniczenia Przetwarzania Danych przed jeg zniesieniem. Odpwiadając na wniski Osób Fizycznych graniczenie Przetwarzania Danych, Pdmity OE muszą przestrzegać prcedury kreślnej w Załączniku D, Dział I. (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 21 z 45
EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). Pdmity OE mgą drzucić takie wniski w przypadkach wymieninych w Załączniku D, Dział I. ust. 5. IV. Udzielanie dpwiedzi na wniski sób fizycznych umżliwienie przenszalnści danych dnśnie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Z dniem 25 maja 2018 rku, w przypadkach gdy Przetwarzanie Danych piera się na zgdzie lub umwie i jest przeprwadzane w spsób zautmatyzwany, Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść wniskwania : Otrzymanie Danych Osbwych przekazanych Pdmitwi OE działającemu jak Administratr Danych w ustrukturyzwanym, pwszechnie używanym i nadającym się d przetwarzania maszynweg frmacie; raz Przekazanie Danych Osbwych innemu Administratrwi Danych bez przeszkód ze strny pierwtneg Administratra Danych lub ich bezpśrednie przekazanie przez jedneg d drugieg Administratra Danych, tam, gdzie jest t technicznie wyknalne. Wnisek Osby Fizycznej przeniesienie swich Danych Osbwych pzstaje bez uszczerbku dla prawa Osby Fizycznej d wniskwania usunięcie danych i nie ma n negatywneg wpływu na prawa i wlnści innych sób. Odpwiadając na wniski Osób Fizycznych przeniesienie danych, Pdmity OE muszą przestrzegać prcedury kreślnej w Załączniku D, Dział I. (Rzpatrywanie wnisków sób fizycznych dtyczących przetwarzania danych w EOG raz skarg dtyczących przekazywania danych zgdnie z WRK). Pdmity OE mgą drzucić takie wniski w przypadkach wymieninych w Załączniku D, Dział l. ust. 5. V. Udzielanie dpwiedzi na wniski sób fizycznych dtyczące sprzeciwu wbec zautmatyzwanych decyzji w sprawie przetwarzania danych w EOG i przekazywania danych zgdnie z WRK Pdmity OE działające jak Administratrzy Danych muszą zapewnić Osbm Fizycznym mżliwść zgłszenia sprzeciwu wbec jakiejklwiek decyzji wywłującej skutek prawny dtyczący takiej Osby Fizycznej lub decyzji, która w inny spsób znacząc wpływa na taką Osbę Fizyczną, a która piera się wyłącznie na zautmatyzwanym Przetwarzaniu Danych Osbwych takiej Osby Fizycznej, a z dniem 25 maja 2018 rku - decyzji partej na Prfilwaniu. Pdmity OE mgą drzucić taki wnisek, jeżeli decyzja: Jest niezbędna dla zawarcia lub realizacji umwy zawartej pmiędzy Osbą Fizyczną a Pdmitem OE działającym jak Administratr Danych; Jest dzwlna w stswnych przepisach i regulacjach bwiązujących w EOG, którym pdlega Pdmit OE działający jak Administratr Danych i które ustanawiają właściwe śrdki zabezpieczające prawa i wlnści raz uzasadnine interesy Osby Fizycznej; lub Opiera się na wyraźnej zgdzie Osby Fizycznej. Pdmity OE działające jak Administratrzy Danych mgą pdejmwać decyzje parte jedynie na zautmatyzwanym Przetwarzaniu Wrażliwych Danych Osbwych Osby Fizycznej, jeżeli wdrżyły właściwe śrdki zabezpieczające prawa i wlnści raz uzasadnine interesy Osby Fizycznej, raz: Standard Ochrny Prywatnści w Allianz V 2.0, 10-04-2018 22 z 45