Samningur um vinnslu persónuupplýsinga (DPA)

Staðlaðar samningsákvæði

Opinber texti samkvæmt EUR-Lex (CELEX 32021D0915), viðauki við ákvörðunina. Valin valmöguleikar eru merktir með [Valmöguleiki: …], óvalin valmöguleikar eru strikaðir út; annars er textinn óbreyttur.

Kafli II: Skyldur aðila

Ákvæði 6: Lýsing á vinnslunni

Nákvæmar upplýsingar um vinnsluskeiðin, einkum flokka persónuupplýsinga og tilgang vinnslu þeirra fyrir hönd ábyrgðaraðila, koma fram í viðauka II.

Ákvæði 7: Skyldur aðila

7.1. Leiðbeiningar

(a) Vinnsluaðili skal vinna með persónuupplýsingar einungis samkvæmt skráðum leiðbeiningum ábyrgðaraðila, nema hann sé skyldugur til þess samkvæmt rétti ESB eða rétti aðildarríkis sem á við um hann. Í slíku tilviki skal vinnsluaðilinn upplýsa ábyrgðaraðilann um þær lagalegu kröfur fyrir vinnsluna, nema viðkomandi lög banni þetta á grundvelli mikilvægra almannahagsmuna. Ábyrgðaraðilinn getur gefið frekari leiðbeiningar á meðan á vinnslu persónuupplýsinga stendur. Slíkar leiðbeiningar skulu ávallt vera skráðar.

(b) Vinnsluaðili skal án tafar tilkynna ábyrgðaraðila ef hann telur að fyrirmæli ábyrgðaraðila brjóti í bága við reglugerð (ESB) 2016/679, Reglugerð (ESB) 2018/1725 eða viðeigandi ákvæði um persónuvernd sambandsins eða aðildarríkjanna.

7.2. Takmörkun tilgangs

Vinnsluaðilinn skal vinna úr persónuupplýsingunum einungis í þeim tiltekna tilgangi sem tilgreindur er í viðauka II, nema hann fái frekari fyrirmæli frá ábyrgðaraðila.

7.3. Lengd vinnslu persónuupplýsinga

Gögnin skulu unnin af vinnsluaðila einungis í þann tíma sem tilgreindur er í viðauka II.

7.4. Öryggi vinnslunnar

a) Vinnsluaðili skal innleiða að minnsta kosti þau tæknilegu og skipulagslegu úrræði sem tilgreind eru í viðauka III til að tryggja öryggi persónuupplýsinganna. Þetta felur í sér að vernda gögnin gegn öryggisbresti sem, hvort sem hann er fyrir slysni eða ólögmætur, leiðir til eyðingar, taps, breytingar eða óleyfilegrar birtingar gagna, eða óleyfilegs aðgangs að gögnum (hér eftir nefnt “öryggisbrestur persónuupplýsinga”). Við mat á viðeigandi verndarstigi skulu aðilar taka fullt tillit til tæknilegs framfara, kostnaðar við framkvæmd, eðlis, umfangs, samhengis og tilgangs vinnslunnar og áhættu fyrir skráð einstaklinga.

b) Vinnsluaðilinn skal veita starfsfólki sínu aðgang að persónuupplýsingum sem unnið er með einungis að því marki sem stranglega nauðsynlegt er til að framkvæma, stjórna og hafa eftirlit með samningnum. Vinnsluaðilinn skal tryggja að þeir sem heimilaðir eru til að vinna með persónuupplýsingarnar sem um ræðir hafi skuldbundið sig til að gæta trúnaðar eða sæti viðeigandi lagaskyldu til trúnaðar.

7.5. Viðkvæmar persónuupplýsingar

Þar sem vinnslan varðar persónuupplýsingar sem varða uppruna af kynþætti eða þjóðerni, pólitískar skoðanir, trúarlegar eða heimspekilegar skoðanir, eða aðild að stéttarfélagi, eða erfðaupplýsingar eða lífkennaupplýsingar í þeim tilgangi að auðkenna einstakling með einstaklingsbundnum hætti, upplýsingar um heilsu, kynlíf eða kynhneigð einstaklings, eða gögn sem varða sakfellingar og brot (hér eftir “viðkvæm gögn”), skal vinnsluaðilinn beita sértækum takmörkunum og/eða viðbótar öryggisráðstöfunum.

7.6. Skjalavistun og samræmi við ákvæðin

a) Aðilar skulu geta sýnt fram á að þeir fari eftir þessum ákvæðum.

b) Vinnsluvinnandi skal afgreiða fyrirspurnir frá ábyrgðaraðila varðandi vinnslu gagna í samræmi við þessi ákvæði tafarlaust og á viðeigandi hátt.

c) Vinnsluaðili skal veita ábyrgðaraðila allar upplýsingar sem nauðsynlegar eru til að sýna fram á að uppfylltar séu þær skyldur sem kveðið er á um í þessum ákvæðum og hvíla beint á reglugerð (ESB) 2016/679 og/eða reglugerð (ESB) 2018/1725. Að beiðni ábyrgðaraðila skal vinnsluaðili einnig heimila endurskoðun á vinnslustarfsemi sem fellur undir þessar ákvæði á sanngjörnum millibili eða þegar vísbendingar eru um brot á reglunum, og skal vinna með í slíkri endurskoðun. Við ákvörðun um hvort skuli framkvæma endurskoðun eða úttekt getur persónuupplýsingastjórinn tekið tillit til allra viðeigandi vottana sem vinnsluaðilinn hefur.

(d) Ábyrgðaraðilinn getur framkvæmt úttektina sjálfur eða tilnefnt óháðan endurskoðanda. Úttektir geta einnig falið í sér skoðanir á húsnæði eða aðstöðu vinnsluaðilans og skulu, þar sem við á, framkvæmdar með viðunandi fyrirvara.

(e) Aðilar skulu gera þær upplýsingar sem vísað er til í þessari grein, þar með talið niðurstöður endurskoðana, aðgengilegar viðeigandi eftirlitsstofnun eða -stofnunum að beiðni.

7.7. Notkun undirvinnsluaðila

a) VALKOSTUR 2: ALMENN SKRIFLEG HEIMILD: Vinnsluaðilinn hefur almenna heimild vinnsluaðilans til að nota undirvinnsluaðila sem taldir eru upp í samþykktum lista. Vinnsluaðilinn skal skýrt tilkynna ábyrgðaraðila skriflega, að minnsta kosti 30 dögum fyrirfram, um allar fyrirhugaðar breytingar á þessum lista sem fela í sér viðbót eða endurnýjun undirvinnsluaðila, þannig að ábyrgðaraðila gefist nægur tími kæra þær breytingar áður en viðkomandi undirvinnsluaðila er ráðinn. Vinnsluaðilinn skal veita ábyrgðaraðila persónuupplýsinga nauðsynlegar upplýsingar til að hann geti nýtt rétt sinn til að andæfa. [Val: Kostur 2, 30 daga fyrirvara; samþykktur listi er í viðauka IV]

(b) Þegar vinnsluaðilinn ræður undirvinnsluaðila til að framkvæma tilteknar vinnsluaðgerðir (fyrir hönd persónuupplýsingastjórans), slíkt samstarf skal stjórnað með samningi sem leggur á undirsinnara í meginatriðum sömu skyldur um persónuvernd og gilda um vinnsluna samkvæmt þessum ákvæðum. Vinnsluaðilinn skal tryggja að undirvinnsluaðilinn uppfylli þær skyldur sem hvíla á vinnsluaðilanum samkvæmt þessum ákvæðum og í samræmi við reglugerð (ESB) 2016/679 og/eða reglugerð (ESB) 2018/1725.

(c) Vinnsluaðilinn skal, að beiðni, veita ábyrgðaraðilanum afrit af slíkum undarvinnslusamningi og öllum síðar gerðum breytingum á honum. Að því marki sem nauðsynlegt er til að vernda viðskiptaleyndarmál eða aðrar trúnaðargögn, þar á meðal persónuupplýsingar, má vinnsluaðilinn skerða texta samningsins áður en afrit er afhent.

(d) Vinnsluaðilinn ber fulla ábyrgð gagnvart persónuupplýsingastjóranum á að tryggja að undirvinnsluaðilinn uppfylli skyldur sínar samkvæmt samningi sem gerður var við vinnsluaðilann. Vinnsluaðilinn skal tilkynna persónuupplýsingastjóranum ef undirvinnsluaðilinn vanrækir samningsbundnar skyldur sínar.

e) Gagnsmiðurinn skal semja við undirsmiðinn um ákvæði um þriðja aðila sem ávinningaraðila, þar sem gagnaðilinn - ef gagnsmiðurinn hættir að vera til de facto eða de jure eða verður gjaldþrota - hefur rétt til að segja upp undirsamningnum og krefja undirvinnslaraðilann um að eyða eða skila persónuupplýsingunum.

7.8. Alþjóðlegar gagnaflutningar

a) Öll miðlun gagna af hálfu gagnaðgerðaraðila til þriðja ríkis eða alþjóðastofnunar skal fara fram eingöngu á grundvelli skráðra fyrirmæla frá gagnaðila eða til að uppfylla sérstaka skyldu samkvæmt lögum Bandalagsins eða lögum aðildarríkis sem gagnaðgerðaraðilinn er háður, og skal vera í samræmi við V. kafla reglugerðarinnar (ESB) 2016/679 eða reglugerð (ESB) 2018/1725.

b) Viðskiptavinurinn samþykkir að, í tilvikum þar sem vinnsluaðilinn ræður undirvinnsluaðila í samræmi við 7.7. mgr. til að framkvæma tilteknar vinnsluaðgerðir (fyrir hönd viðskiptavinarins) og þessar vinnsluaðgerðir fela í sér flutning persónuupplýsinga í skilningi V. kafla reglugerðarinnar (ESB) 2016/679, skulu vinnsluaðilinn og undirstöðlaðinn tryggja að farið sé eftir V. kafla reglugerðarinnar (ESB) 2016/679 með því að nota staðlaðar samningsákvæði sem framkvæmdastjórnin hefur samþykkt samkvæmt 2. mgr. 46. gr. reglugerðar (ESB) 2016/679, að því gefnu að skilyrði fyrir beitingu þeirra staðlaðu samningsákvæða séu uppfyllt.

8. grein: Aðstoð við ábyrgðaraðila

(a) Vinnsluvinnandi skal án tafar tilkynna ábyrgðaraðila um allar beiðnir sem hann hefur móttekið frá persónuupplýsingum. Hann skal ekki svara beiðninni sjálfur nema hann hafi fengið heimild til þess frá ábyrgðaraðila.

(b) Með hliðsjón af eðli vinnslunnar skal vinnsluaðilinn aðstoða ábyrgðaraðilann við að uppfylla skyldu sína til að svara beiðnum skráðra einstaklinga sem óska eftir að beita réttindum sínum. Við uppfyllingu skyldna sinna samkvæmt liðum (a) og (b) skal vinnsluaðilinn fara eftir fyrirmælum ábyrgðaraðilans.

c) Auk skyldu vinnsluaðilans til aðstoðar gagnastjóra samkvæmt lið 8(b), skal vinnsluaðilinn, með hliðsjón af eðli vinnslunnar og þeim upplýsingum sem hann hefur til umráða, einnig aðstoða gagnastjóra við að uppfylla eftirfarandi skyldur:

• 1) skylda til að framkvæma mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga (hér eftir “mat á áhrifum á persónuvernd”) þegar vinnsla er líkleg til að leiða til mikils áhættu fyrir réttindi og frelsi einstaklinga;
• 2) skylda til að leita álitunar hjá viðeigandi eftirlitsstofnun eða -stofnunum áður en unnið er með persónuupplýsingar, ef áhættumat persónuverndar bendir til þess að vinnslan muni leiða til mikillar áhættu nema persónuupplýsingastjórinn grípi til ráðstafana til að draga úr þeirri áhættu;
• 3) Skylda til að tryggja að persónuupplýsingar séu réttar og uppfærðar, með því að vinnsluaðili tilkynnir ábyrgðaraðila án tafar ef hann verður var við að persónuupplýsingarnar sem hann vinnur með séu ónákvæmar eða úreltar;
• 4) Skyldur samkvæmt 32. gr. reglugerðar (ESB) 2016/679. [Val: Valkostur 1]

(d) Aðilar skulu tilgreina í viðauka III viðeigandi tæknilegar og skipulagslegar ráðstafanir sem vinnsluaðili skal grípa til til aðstoðar ábyrgðaraðila við framkvæmd þessarar greinar, sem og umfang og mörk þeirrar aðstoðar sem krafist er.

9. grein: Tilkynning um öryggisbresti persónuupplýsinga

Ef öryggisbrestur ### persónuupplýsingaverður, skal vinnsluaðilinn vinna með og veita viðeigandi aðstoð til ábyrgðaraðila svo að ábyrgðaraðilinn geti uppfyllt skyldur sínar samkvæmt 33. og 34. grein reglugerðarinnar (ESB) 2016/679 eða, þar sem við á, 34. og 35. gr. reglugerðar (ESB) 2018/1725, með hliðsjón af eðli vinnslunnar og þeim upplýsingum sem vinnsluaðilanum standa til boða.

9.1. Öryggisbrestur sem varðar gögn sem vinnsluaðilinn vinnur fyrir stjórnanda 9.1. Öryggisbrestur sem varðar gögn sem vinnsluaðilinn vinnurfyrir stjórnanda

Ef persónuupplýsingaleki varðar þær upplýsingar sem vinnsluaðilinn vinnur með, skal vinnsluaðilinn aðstoða ábyrgðaraðilann með eftirfarandi hætti:

a) við að tilkynna persónuupplýsingalekann án óþarfa tafar til þeirrar eða þeirra persónuverndarstofnana sem ber/bera ábyrgð, um leið og vinnslustjórinn verður var við öryggisbrestinn, eftir því sem við á (nema ólíklegt sé að öryggisbresturinn leiði til áhættu fyrir réttindi og frelsi einstaklinga);

b) við öflun eftirfarandi upplýsinga, sem skulu vera hluti af tilkynningu ábyrgðaraðila í samræmi við 3. mgr. 33. gr. reglugerðar (ESB) 2016/679, og skulu að lágmarki innihalda eftirfarandi: [Val: Kostur 1]

• 1) eðli persónuupplýsinganna, þar sem unnt er, með tilgreiningu á flokkum og áætluðum fjölda skráðra einstaklinga sem um ræðir, sem og flokkum og áætluðum fjölda skráninga persónuupplýsinga sem um ræðir;
• 2) líklegar afleiðingar öryggisbrests persónuupplýsinga;
• 3) þær ráðstafanir sem ábyrgðaraðili hefur gripið til eða hyggst grípa til til að bregðast við öryggisbrestinum og, eftir því sem við á, ráðstafanir til að draga úr hugsanlegum neikvæðum áhrifum hans.

Ef ekki er unnt að veita allar þessar upplýsingar á sama tíma skal upphafleg tilkynning innihalda þær upplýsingar sem tiltækar eru á þeim tíma og frekari upplýsingar skulu veittar án óþarfar tafar um leið og þær verða tiltækar;

(c) við að uppfylla skyldu samkvæmt 34. grein reglugerðarinnar (ESB) 2016/679 um að tilkynna skráða aðila án óþarfar tafar um brot á persónuupplýsingum, þegar brotið er líklegt til að leiða til mikillar áhættu fyrir réttindi og frelsi einstaklinga. [Val: Kostur 1]

9.2. Öryggisbrestur á gögnum sem vinnsluaðili vinnur

Ef persónuupplýsingaöryggisbresturvarðargögn sem vinnsluaðili vinnur, skal vinnsluaðilinn tilkynna ábyrgðaraðila án óþarfar tafar eftir að hann varð brestsins meðvitaður. Þessi tilkynning skal að lágmarki innihalda eftirfarandi upplýsingar:

a) lýsing á eðli brotsins (ef mögulegt er skal tilgreina flokka og áætlaðan fjölda skráðra einstaklinga sem málið varðar og áætlaðan fjölda skrára sem brotið hefur áhrif á);

b) tengiliðsupplýsingar þar sem frekari upplýsingar um brotið á persónuvernd má fá;

c) líklegar afleiðingar og þær ráðstafanir sem gripið hefur verið til eða lagðar eru til til að bregðast við persónuupplýsingalawanum, þar með talið aðgerðir til að draga úr mögulegum neikvæðum áhrifum hans.

Ef og að því marki sem ekki er hægt að veita allar þessar upplýsingar á sama tíma, skal upphafleg tilkynning innihalda þær upplýsingar sem tiltækar eru á þeim tíma, og frekari upplýsingar skulu veittar án óþarfadrifs um leið og þær verða tiltækar.

Aðilar skulu tilgreina í viðauka III allar aðrar upplýsingar sem vinnsluaðila er skylt að veita til aðstoðar ábyrgðaraðila við að uppfylla skyldur sínar samkvæmt 33. og 34. gr. reglugerðar (ESB) 2016/679. [Val: Kostur 1]

Viðauki I: Listi yfir aðila

Vinnsluaðili

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Sviss, virðisaukaskattsnúmer CHE-220.381.580, fyrir hönd stjórnarstjóra Günter Reichelt. Tengiliður: privacy@mail.transpareo.com.

Persónuverndarfulltrúi og fulltrúi í ESB samkvæmt 27. gr. GDPR: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Þýskaland, info@mail.dg-datenschutz.de.

Transpareo er staðsett í Sviss, sem hefur hlotið viðunarákvörðun um viðunhæfi frá framkvæmdastjórninni (2000/518/EB). Gögnin eru geymd í Þýskalandi.

Gagnastjórnendur

Transpareo gerir þessa klausu einstaklingsbundið við hvern gagnastjórnanda. Skráningaraðilinn er annað hvort:

1. viðskiptavinur sem notar Transpareo-vettvanginn í samræmi við almenna skilmála og skilyrði (GTC). Nafn, heimilisfang og tengiliður eru þær upplýsingar sem viðskiptavinurinn gefur upp við gerð samningsins í gegnum vettvanginn og viðheldur í aðgangi sínum; tengiliðurinn er reikningshafi. Skilmálunum er talið hafa verið samþykkt við gerð þessa samnings (skilmálar 14 í almennum viðskiptaskilmálum).
2. birgir sem sendir fyrirspurn á eigin birgja í gegnum birgjasíðuna. Gagnastjórinn er fyrirtækið sem hlekkurinn sem fyrirspurnin er send í gegnum vísar til, eins og tilgreint er í fyrirspurninni. Hafandi aðili er sá einstaklingur sem sendir fyrirspurnina áfram, með því að nota nafn og netfang sem hann gefur upp í því ferli. Birgirinn samþykkir ákvæðin með því að samþykkja þau fyrir hönd fyrirtækis síns þegar hann sendir fyrirspurnina áfram; Transpareo geymir samþykktu útgáfuna og tíma sendingarinnar ásamt tenglinum sem notaður var. Auk þess gilda Notkunarskilmálar fyrir birgja um þá.

Transpareo starfar sem persónuverndarfulltrúi fyrir persónuverndarstjóra um leið og sá síðarnefndi skipar einn slíkan.

Almennu skilmálarnir eða notkunarskilmálar fyrir birgja mynda aðal samninginn í hverju tilviki. Skilmálarnir eru gerðir rafrænt (28. mgr. 9. gr. GDPR); gildistökudagurinn er gerðartíminn.

Viðauki III: Tæknileg og skipulagsleg ráðstafanir

Dulkóðun og dulnefning

• Öll tengingar eru dulkóðaðar með TLS.
• Aðgangsauðkenni og önnur viðkvæm gögn (PIN-númer, lyklar fyrir einnota kóða, SMTP-aðgangsauðkenni, API-lyklar) eru geymd í gagnagrunninum dulkóðuð með AES-256-GCM, með einstökum lykli fyrir hvert vinnusvæði.
• Afrit eru dulkóðuð.
• Gestatölfræði geymir IP-tölur eingöngu sem hash-gildi með leynilykli. Heimsóknir á birgjasíðuna eru ekki innifaldar í þessari tölfræði.

Aðskilnaður

• Hver viðskiptavinur hefur sína eigin gagnagrunn.

Varnaröryggi

• Þjónar og gagnageymsla eru hýst í gagnaverum sem rekin eru af Hetzner Online GmbH í Falkenstein í Þýskalandi, sem eru vottaðir samkvæmt ISO 27001.

Auðkenning og heimild

• Öryggisnúmer eru geymd eingöngu sem bcrypt-hasar.
• Tvíþáttastaðfesting með einnota kóða eða öryggislykli er í boði fyrir alla notendur; viðskiptavinur getur krafist þess fyrir vinnusvæði sitt.
• Fundur lýkur eftir óvirkni í ákveðinn tíma sem viðskiptavinur setur (staðlað gildi: átta klukkustundir).
• Hlutverk og heimildir sem viðskiptavinur úthlutar gilda innan vinnusvæðisins.
• Starfsfólk Transpareo má eingöngu fá aðgang að vinnusvæði með því að skrá sig inn fyrir hönd viðskiptavinar; þetta er skráð í dagbók vettvangsins og í öryggisdagbók vinnusvæðisins.
• Frá sjónarhóli birgis: Hlekkurinn inniheldur handahófskenndan 16 stafa lykil (80 bitar); án PIN-númers birtir síðunni engan hluta af gagnaskránni. Eftir fimm rangar PIN-kóða er hlekkurinn lokaður í 15 mínútur. Síðan tekur við hámarki 120 beiðnum á mínútu á IP-tölu. Þegar lokun er aflétt er lotunni úthlutað nýju auðkenni. Síðan er lokuð fyrir leitarvélum og gefur ekki upp heimilisfang sitt til utanaðkomandi vefsíðna.

Skráning

• Breytingar á gagnaskrám og athafnir á birgjasíðunni eru skráðar með tíma, notanda og IP-tölu og geymdar í fimm ár; innskráningar og aðrir öryggisatburðir eru geymdir í eitt ár.
• Þjónustulogar eru eytt eftir 14 daga.

Heilleiki

• Myndir frá birgjum eru geymdar án lýsigagna á vernduðu svæði utan almenns geymslu þar til þær hafa verið samþykktar eftir yfirferð. Aðgerðin breytir aðeins gagnaskránni eftir yfirferðina.
• Útgáfur lykilorða sem birtar eru eru dulkóðaðar með öruggri undirskrift.

Aðgengi og endurheimt

• Á fjögurra klukkustunda fresti er afrit af gagnagrunninum og skrám hvers virks vinnusvæðis tekið, dulkóðað og geymt aðskilið frá netþjónum í hlutageymslu í Þýskalandi. Staðbundnar afritanir eru eytt eftir fjóra daga. Afritin í hlutageymslu eru geymd í 90 daga og eytt varanlega innan frekari 30 daga.
• Þjónustum og netþjónum er fylgst með stöðugt; öryggisuppfærslur eru settar upp reglulega.
• Transpareo endurskoðar þessar ráðstafanir reglulega og aðlagar þær að nýjustu tækni.

Þjónusta við gagnaábyrgðaraðila (greinar 8 og 9)

• Viðskiptavinur getur skoðað, leiðrétt og eytt gögnum sem tengjast vinnusvæði hans á vettvangi. Birgir getur skoðað svör við gagnaupplýsingum sínum á birgjasíðunni og getur afturkallað hlekk sem hann hefur deilt.
• Transpareo skal tafarlaust koma áfram öllum beiðnum frá gagnaaðilum sem berast Transpareo til ábyrgðaraðila gagna.
• Tilkynningar samkvæmt liðum 7.7 og 9.2 eru sendar með tölvupósti til reikningshafa viðskiptavinar og á netfang sem birgir gefur upp þegar hann deilir tengli. Sambandspunktur samkvæmt lið 9.2(b) er privacy@mail.transpareo.com.
• Tilkynning samkvæmt 9.2. lið skal einnig tilgreina tíma brotsins og uppgötvun þess, sem og þau vinnusvið eða tengla sem urðu fyrir áhrifum.

Svissneskt viðauki

Þessi viðbót felur í sér frekari ákvæði sem bætist við ákvæði 2(b). Að því marki sem vinnslan fellur undir svissneska alríkislögin um persónuvernd (DSG):

1. tilvísanir til reglugerðar (ESB) 2016/679 skulu einnig teljast tilvísanir í samsvarandi ákvæði DSG, þ.e. 28. gr. GDPR til 9. gr. DSG, 32. gr. til 8. gr., greinar 33 og 34 til greinar 24, greinar 35 og 36 til greina 22 og 23, kafli V til greina 16 til 18, réttindi skráðra aðila til greina 25 til 32 í DSG, og viðkvæm gögn samkvæmt 7.5. mgr. til persónuupplýsinga sem krefjast sérstakrar verndar samkvæmt 5. gr. c-liðar DSG;
2. hæf eftirlitsyfirvald er alríkisfulltrúi um persónuvernd og upplýsingaöflun (FDPIC); lögmæti eftirlitsyfirvalda samkvæmt GDPR skerðist ekki;
3. svissnesk lög skulu einnig teljast lög aðildarríkis.

Gildir til: 8. október 2026