Gedragscode inzake gegevensbescherming van ExxonMobil

1.1 ExxonMobil verbindt zich ertoe Persoonsgegevens te beschermen, door bijvoorbeeld

i. de haar toevertrouwde Persoonsgegevens rechtmatig te Verwerken, en

ii. de risico’s die verband houden met de Verwerking van Persoonsgegevens adequaat te beheren in overeenstemming met de bedrijfsbehoeften.

1.2 ExxonMobil en haar medewerkers moeten de Code naleven bij het Verwerken van Persoonsgegevens. 

1.3 ExxonMobil houdt toezicht op de naleving van deze Code en de programma’s, tools en procedures die de Code implementeren via een wereldwijd orgaan voor het beheer van gegevensbescherming.

1.4 Dochteronderneming ExxonMobil Petroleum & Chemical BV, met maatschappelijke zetel te Polderdijkweg, 2030 Antwerpen, België maakt deel uit van dat wereldwijde orgaan voor het beheer van gegevensbescherming en speelt een belangrijke rol in het kader van de bescherming van Europese Persoonsgegevens. Informatie over deze rol en specifieke rechten met betrekking tot Europese persoonsgegevens is te vinden onder artikel 19.

1.5 De Code bestaat uit de bedrijfsvoorschriften van ExxonMobil die bindend zijn onder de Europese wetgeving inzake gegevensbescherming

2.1 ExxonMobil zal de code toepassen in elk land waar ze Persoonsgegevens Verwerkt.

2.2 De Code zal van toepassing zijn op Persoonsgegevens van natuurlijke Personen.  Onder natuurlijke Personen worden verstaan huidige en voormalige werknemers, sollicitanten, aannemers, vertegenwoordigers van klanten en andere zakenpartners, en consumenten.

2.3 De Code zal niet van toepassing zijn op Geanonimiseerde gegevens of andere gegevens die geen Persoonsgegevens zijn.

2.4 ExxonMobil Verwerkt Persoonsgegevens voor zakelijke doeleinden, zoals: 

i.personeelsadministratie en –beheer, zoals de loon- en loopbaanontwikkeling van de Persoon in kwestie

ii. controle van de naleving van de beleidslijnen van de vennootschap door de persoon in kwestie

iii. fysieke beveiliging en toegang van de persoon in kwestie tot gebouwen en faciliteiten, 

iv. IT-beheer met betrekking tothet gebruik van de systemen van de vennootschap door de Persoon in kwestie, 

v. beheer van de relatie met onze klanten en andere zakenpartners, waaronder de Verwerking van contactgegevens en transactionele gegevens om de opname van bestellingen, leveringen, facturatie en commerciële ontwikkeling mogelijk te maken, 

vi. communicatie met overheidsinstanties om te voldoen aan reglementaire vereisten, 

vii. communicatie met externe belanghebbenden met betrekking tot aangelegenheden die verband houden met de commerciële activiteiten van ExxonMobil. 

3.1 Persoonsgegevens zullen rechtmatig worden Verwerkt. 

3.2 Deze Code legt een minimumnorm voor gegevensbescherming vast. Indien de wet een hoger beschermingsniveau voor Persoonsgegevens vereist dan het in de Code voorziene niveau, zal ExxonMobil een dergelijk hoger beschermingsniveau toepassen.  Indien Verwerking bijvoorbeeld enkel is toegestaan op basis van een of meerdere gronden zoals nader omschreven in de wet, zal ExxonMobil aan die vereisten voldoen.

3.3 Indien ExxonMobil van mening is dat een wet haar belet de Code na te leven, zal ExxonMobil in overleg met het Data Privacy Office van ExxonMobil een verantwoordelijke beslissing over de te ondernemen actie nemen en een bevoegde gegevensbeschermingsautoriteit raadplegen  wanneer zij dit nodig acht.

Indien wettelijk vereist, zullen Persoonsgegevens voor specifieke en gerechtvaardigde doeleinden Verwerkt worden. De gegevens mogen niet verder worden verwerkt op een manier die onverenigbaar is met die doeleinden. Verdere Verwerking wordt niet beschouwd als onverenigbaar indien deze bijvoorbeeld gebeurt (i.) met de toestemming van de Persoon in kwestie, (ii.) in een noodsituatie zoals wanneer het leven of de vitale belangen van de Persoon in kwestie in het gedrang komen, of (iii.) om een wettelijke vordering in te stellen, uit te oefenen of te verdedigen.

5.1 ExxonMobil verbindt zich ertoe Persoonsgegevens te Verwerken die verband houden met een gerechtvaardigd bedrijfsdoel. 

5.2 Persoonsgegevens worden niet langer bewaard dan noodzakelijk om de doeleinden waarvoor de gegevens Verwerkt worden te verwezenlijken. Ze worden enkel langer bewaard in het kader van de naleving van de geldende wetgeving of om de gerechtvaardigde belangen van het bedrijf te beschermen.

5.3 Indien wettelijk vereist, zal ExxonMobil maatregelen nemen om de Verwerking van Persoonsgegevens te minimaliseren, bijvoorbeeld door middel van "privacy by design" (ingebouwde gegevensbescherming).

Met inachtneming van het doel waarvoor de Persoonsgegevens Verwerkt worden, zal ExxonMobil redelijke maatregelen nemen om (i) de juistheid van de Persoonsgegevens te garanderen en (ii) de Persoonsgegevens te actualiseren indien door de Persoon in kwestie of een Betrouwbare bron wordt aangegeven dat ze gewijzigd zijn.

ExxonMobil zal een duidelijke kennisgeving publiceren over de Verwerking van Persoonsgegevens in overeenstemming met de wettelijke voorschriften.

8.1 Op basis van een beoordeling van de betrokken risico’s zal ExxonMobil gepaste technische en organisatorische maatregelen nemen om de Persoonsgegevens te beschermen tegen onopzettelijk of onrechtmatig verlies, misbruik en ongeoorloofde toegang, verstrekking, wijziging en vernietiging. 

8.2 In geval van een inbreuk op Persoonsgegevens zal ExxonMobil (i) haar Data Privacy Office consulteren, dat een register van inbreuken op Persoonsgegevens bijhoudt, en (ii) de betrokken Personen inlichten over de inbreuk overeenkomstig de toepasselijke wetgeving.

9.1 Waar wettelijk vereist, zal ExxonMobil gehoor geven aan verzoeken van Personen: (i) (i) die willen weten of en welke categorieën van hen betreffende Persoonsgegevens ExxonMobil Verwerkt, (ii) die een kopie van hun Persoonsgegevens willen verkrijgen, (iii) die hun Persoonsgegevens willen verwijderen, beperken, wissen of de Verwerking ervan stopzetten en (iv) in verband met Gegevensoverdraagbaarheid. 

9.2 Personen kunnen ExxonMobil verzoeken om onjuiste hen betreffende Persoonsgegevens te corrigeren overeenkomstig Artikel 6.

9.3 Om deze rechten te kunnen uitoefenen of om een probleem of klacht in verband met niet-naleving door ExxonMobil te rapporteren, kunnen Personen contact opnemen met het Data Privacy Office van ExxonMobil om meer informatie te verkrijgen over de procedure die wordt toegepast om de klacht te behandelen

Wanneer ExxonMobil Persoonsgegevens doorgeeft tussen Dochterondernemingen, zal ExxonMobil die Persoonsgegevens behandelen en beschermen in overeenstemming met deze Code. 

Dochterondernemingen die Persoonsgegevens Verwerken namens andere Dochterondernemingen zullen alle relevante overeenkomsten tussen Dochterondernemingen naleven met inbegrip van verplichtingen inzake de Verwerking van Persoonsgegevens.

Persoonsgegevens worden enkel doorgegeven aan derden (met inbegrip van doorgifte over nationale grenzen heen) als geschikte maatregelen genomen zijn om de Persoonsgegevens adequaat te beschermen bij doorgifte.

ExxonMobil verbindt zich ertoe een passende opleiding in verband met de in de Code vermelde verplichtingen aan te bieden aan medewerkers die: (i) Persoonsgegevens Verwerken, of (ii) betrokken zijn bij het onderhoud of de ontwikkeling van tools die gebruikt worden om Persoonsgegevens te verwerken.

13.1 ExxonMobil hanteert programma’s om de implementatie en de naleving van de Code regelmatig te controleren.

13.2 De programma’s ter controle van de naleving bestaan uit 

i. een auditprogramma met regelmatige audits door de interne auditafdeling en opvolging van de nodige corrigerende maatregelen en toezicht op het auditprogramma en de auditresultaten door de Raad van Bestuur van ExxonMobil 

ii. een organisatie voor gegevensbescherming, bestaande uit: 

1. een netwerk van aangewezen contactpersonen voor gegevensbescherming, 

2. het Data Privacy Office van ExxonMobil, dat op risico gebaseerde gegevensbeschermingseffectbeoordelingen uitvoert en verantwoordelijk is voor de krachtens Artikels 3.3, 8.2, 9.3, 17, 19.2.ix, 19.3 en 19.4.i van de Code aan haar toevertrouwde taken. 

3. een algemeen orgaan voor het beheer van gegevensbescherming, bestaande uit senior managers van ExxonMobil, dat verantwoordelijk is voor en toezicht houdt op de naleving van de Code en dat toezicht houdt op de activiteiten van het Data Privacy Office van ExxonMobil. 

14.1 ExxonMobil zal met de bevoegde gegevensbeschermingsautoriteiten samenwerken voor verzoeken die verband houden met de toepassing van deze Code en hun advies zorgvuldig in overweging nemen. 

14.2 ExxonMobil zal de formele en rechtmatige beslissingen van bevoegde gegevensbeschermingsautoriteiten naleven die definitief zijn en waartegen geen verder beroep mogelijk is. 

14.3 Wanneer Persoonsgegevens worden doorgegeven aan Dochterondernemingen, zullen deze samenwerken en elkaar waar nodig helpen om te reageren op de verzoeken van bevoegde gegevensbeschermingsautoriteiten. 

15.1 De Code kan door ExxonMobil waar nodig gewijzigd worden, bijvoorbeeld om de naleving van wijzigingen in de toepasselijke wetgeving te garanderen of wijzigingen in de interne organisatie en processen te weerspiegelen.

15.2 ExxonMobil zal wijzigingen aan de Code als volgt doorgeven aan de Belgische Gegevensbeschermingsautoriteit:

• Belangrijke wijzigingen aan de Code en de Overeenkomst binnen de groep zullen binnen een redelijke termijn meegedeeld worden; en 
• ExxonMobil zal jaarlijks veranderingen aan de lijst van Dochterondernemingen die door de Code gebonden zijn, alsook niet-Belangrijke wijzigingen aan de Code en de Overeenkomst binnen de groep die betrekking hebben op Europese Persoonsgegevens, meedelen. 

15.3 ExxonMobil zal de Code en de wijzigingen aan de Code op de volgende manieren ter beschikking stellen:

• Extern, op Our privacy policies | ExxonMobil
• Op verzoek van de Persoon in kwestie, in overeenstemming met lid 9.3 
• Intern, op het intranet van ExxonMobil

De Code treedt in werking vanaf 17 december 2020.

“Dochteronderneming”: eender welk bedrijf of partnerschap dat de Code heeft aanvaard en waarin Exxon Mobil Corporation of een moedermaatschappij van Exxon Mobil Corporation nu of in de toekomst, rechtstreeks of onrechtstreeks, een eigendomsbelang van meer dan vijftig procent (50%)  bezit of controleert, waardoor Exxon Mobil Corporation of haar moedermaatschappij het recht heeft om op de bestuurders of functionele equivalenten ervan te stemmen of ze aan te stellen, alsook de rechtsopvolgers van een dergelijk bedrijf of partnerschap. 

“Geanonimiseerde informatie”: informatie die anoniem gemaakt is.

“Overdraagbaarheid van gegevens”: het recht om Persoonsgegevens te verkrijgen in een vorm waarin de gegevens rechtstreeks naar derden kunnen worden verzonden overeenkomstig de toepasselijke wetgeving.

“EER”: de Europese Economische Ruimte, opgericht krachtens de EER-overeenkomst van 1 januari 1994 die het vrije verkeer van personen, goederen, diensten en kapitaal binnen de interne markt van de Europese mogelijk maakt.

“Europese wetgeving inzake gegevensbescherming”: de Europese Richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Europese Algemene Verordening Gegevensbescherming) (zoals uitgevoerd in de nationale wetgeving van lidstaten van de EER en het VK, en zoals van tijd tot tijd gewijzigd), of de Zwitserse federale wet inzake gegevensbescherming.

“Europese persoonsgegevens”: alle Persoonsgegevens die onderworpen zijn aan de Europese wetgeving inzake gegevensbescherming.

“Europese Regio”: landen in de Europese Economische Ruimte (EER), het VK en Zwitserland.

“Persoon” betekent iedere geïdentificeerde of identificeerbare natuurlijke persoon van wie de gegevens Verwerkt worden door of namens ExxonMobil; een identificeerbare natuurlijke persoon is een persoon die rechtstreeks of onrechtstreeks kan worden geïdentificeerd, in het bijzonder door middel van een verwijzing naar een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel of een of meerdere factoren specifiek gelinkt aan de fysieke, fysiologische, genetische, geestelijke, economische, culturele of sociale identiteit van die natuurlijke persoon; onder Personen vallen huidige en voormalige werknemers, sollicitanten, aannemers, vertegenwoordigers van klanten en andere zakenpartners, en consumenten.

“Overeenkomst binnen de groep”: de overeenkomst tussen ExxonMobil en haar Dochterondernemingen waarmee de Dochterondernemingen de Code  aanvaarden.

“Belangrijke wijzigingen”: wijzigingen aan de Code die een negatieve invloed hebben op de beschermingsnorm voor Europese persoonsgegevens die overeenkomstig de Code worden verstrekt, of die een aanzienlijke impact hebben op het toepassingsgebied of de structuur van de Code met betrekking tot Europese persoonsgegevens.

“Persoonsgegevens”: gegevens betreffende een Persoon.

”Verwerken”, “Verwerkt” of “Verwerking”: elke al dan niet geautomatiseerde bewerking van Persoonsgegevens, zoals het consulteren, verzamelen, opslaan, vastleggen, ordenen, wijzigen, verspreiden, openbaar maken, doorgeven, ophalen, vernietigen of op eender welke andere manier gebruiken van Persoonsgegevens.

“Betrouwbare bron”: een Persoon of entiteit die bevoegd is om de persoon te vertegenwoordigen, of een persoon of entiteit die, zoals bepaald door ExxonMobil, de kennelijke bevoegdheid heeft om de Persoon te vertegenwoordigen.

19.1 Met betrekking tot Europese persoonsgegevens zal ExxonMobil alle verbintenissen naleven die aangegaan zijn in de Code en verantwoordelijk zijn voor die naleving, en indien striktere Europese wetten op het gebied van gegevensbescherming een hoger beschermingsniveau vereisen, zal ExxonMobil een dergelijk hoger beschermingsniveau toepassen.

19.2 In het geval dat Europese persoonsgegevens doorgegeven worden aan buiten de Europese Regio gevestigde Dochterondernemingen, zal ExxonMobil een beschermingsniveau bieden dat in wezen hetzelfde is als het beschermingsniveau aangeboden krachtens de Europese wetgeving inzake gegevensbescherming. ExxonMobil zal hiervoor zorgen, ook als deze bescherming niet geboden wordt door de geldende wetgeving in de landen van de buiten de Europese Regio gevestigde Dochteronderneming die de Europese persoonsgegevens ontvangt.

Dit betekent met name, met betrekking tot de praktijken inzake gegevenbescherming beschreven in artikelen 3, 4, 5, 7, 8, 9 en 11, dat ExxonMobil: 

i. geen Europese persoonsgegevens zal Verwerken waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt of gegevens die de gezondheid, de seksuele geaardheid, de genetische data of biometrische betreffen, met het doel een Persoon individueel te identificeren, tenzij een dergelijke Verwerking is toegestaan overeenkomstig Artikel 9.2 van de Europese Algemene Verordening  Gegevensbescherming, 

ii. een beoordeling zal uitvoeren inzake de impact van Verwerkingsactivitieten met een hoog risico overeenkomstig Artikel 35 van de Europese Algemene Verordening Gegevensbescherming, en indien de risico’s hoog blijven na het nemen van de in de beoordeling bepaalde maatregelen, overleggen met de bevoegde gegevensbeschermingsautoriteit overeenkomstig Artikel 36 van de Europese Algemene Verordening Gegevensbescherming,

iii. Europese persoonsgegevens zal Verwerken voor specifieke en gerechtvaardigde bedrijfsdoeleinden,

iv. Europese persoonsgegevens zal Verwerken die geschikt en relevant zijn en beperkt zijn tot hetgeen noodzakelijk is voor de gerechtvaardigde bedrijfsdoeleinden,

v. op passende wijze ingebouwde gegevensbescherming en gegevensbescherming door standaardinstellingen zal toepassen,

vi. een register van Verwerkingsactiviteiten zal bijhouden,

vii. de Personen in kwestie op een transparante manier zal inlichten over het doel van de Verwerking van Europese persoonsgegevens overeenkomstig Artikels 13 en 14 van de Europese Algemene Verordening Gegevensbescherming.

viii. hetzelfde beveiligingsniveau zal toepassen om de Europese persoonsgegevens te beschermen zoals bepaald in de Europese wetgeving inzake gegevensbescherming,

ix. in geval van een inbreuk op Europese persoonsgegevens: 

1. met het Data Privacy Office van ExxonMobil zal overleggen, dat de inbreuk in een register zal documenteren en de relevante documentatie op verzoek ter beschikking zal stellen van de bevoegde gegevensbeschermingsautoriteit, en

2. ExxonMobil Petroleum & Chemical BV onmiddellijk zal inlichten; indien de inbreuk waarschijnlijk zal resulteren in een risico voor de rechten en vrijheden van de Persoon in kwestie, zal ExxonMobil Petroleum & Chemical BV op haar beurt de bevoegde gegevensbeschermingsautoriteit inlichten, indien mogelijk niet later dan 72 uur nadat ze van de inbreuk op de hoogte werd gebracht, en

3. de Personen in kwestie onmiddellijk zal inlichten indien de inbreuk waarschijnlijk zal resulteren in een risico voor de rechten en vrijheden van de Persoon in kwestie, 

x. zal reageren op verzoeken en klachten van Personen in verband met de Verwerking van Europese persoonsgegevens overeenkomstig Artikel 19.7, 

xi. de Personen in kwestie zal toelaten zich te verzetten tegen een beslissing die uitsluitend is gebaseerd op geautomatiseerde Verwerking die rechtsgevolgen of gelijkaardige aanzienlijke gevolgen heeft voor de betrokken Persoon, tenzij de beslissing toegestaan is overeenkomstig Artikel 22 van de Europese Algemene Verordening Gegevensbescherming, en 

xii. Europese persoonsgegevens zal doorgeven aan derden buiten de Europese Regio indien voldoende bescherming wordt voorzien overeenkomstig Artikel 28.3 en Artikels 45 tot 48 of een afwijking van Artikel 49 van de Europese Algemene Verordening Gegevensbescherming. 

19.3 De bevoegde gegevensbeschermingsautoriteiten in de Europese Regio kunnen de naleving van de Code controleren, bijvoorbeeld door het uitvoeren van audits van ExxonMobil overeenkomstig de krachtens de toepasselijke wetgeving toegekende auditrechten.

Dochterondernemingen buiten de Europese Regio zullen waar nodig samenwerken met ExxonMobil Petroleum & Chemical BV om gehoor te geven aan verzoeken door gegevensbeschermingsautoriteiten in de Europese Regio en de relevante auditresultaten met betrekking tot de Code te verstrekken. 

ExxonMobil zal het Data Privacy Office van ExxonMobil op de hoogte brengen van de auditresultaten met betrekking tot Europese persoonsgegevens die doorgegeven zijn in het kader van de code aan Dochterondernemingen buiten de Europese Regio.

ExxonMobil zal het advies van de bevoegde gegevensbeschermingsautoriteit in de Europese Regio met betrekking tot Europese persoonsgegeven naleven, behoudens uitputting van alle rechtsmiddelen die door ExxonMobil geschikt worden geacht.

19.4 Personen van wie de Europese persoonsgegevens rechtstreeks of onrechtstreeks aan een Dochteronderneming buiten de Europese Regio worden doorgegeven, ontlenen rechten van derden aan Artikels 15.3 en 19.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 19.3 tot 19.8 van de Code en kan deze Artikels rechtstreeks afdwingen, door:

i. contact op te nemen met het Data Privacy Office van ExxonMobil overeenkomstig lid 9.3, of

ii. een klacht in te dienen bij een nationale gegevensbeschermingsautoriteit van een bevoegde jurisdictie in het land in de Europese Region waar (i)  de berokken Persoon (a.) zijn of haar gebruikelijke woonplaats of (b.) werkplaats heeft of (ii.) de vermeende inbreuk op de Code werd gepleegd, of 

iii. een procedure in te leiden tegen de relevante in de Europese Regio gevestigde Dochteronderneming voor een bevoegde rechtbank in de Europese Regio, of iv. een procedure in te leiden tegen ExxonMobil Petroleum & Chemical BV met maatschappelijke zetel te Polderdijkweg, 2030 Antwerpen, België voor de Belgische Gegevensbeschermingsautoriteit of de rechtbanken van Brussel of andere bevoegde rechtbanken zoals bedoeld in artikel 79(2) van de Europese Algemene Verordening Gegevensbescherming.

19.5 Indien er overeenkomstig 19.4 een geldige klacht of vordering wordt ingesteld, aanvaardt ExxonMobil Petroleum & Chemical BV verantwoordelijkheid voor elke schending van de Code door een buiten de Europese Regio gevestigde Dochteronderneming, en stemt ze ermee in de nodige maatregelen te nemen om de schending te verhelpen en, in voorkomend geval, een vergoeding te betalen voor de schade die voortvloeit uit een dergelijke schending overeenkomstig een definitief besluit van een rechtbank of toezichthoudende autoriteit waartegen geen verder beroep mogelijk is.

19.6 Indien er overeenkomstig 19.4 een vordering, klacht of procedure wordt ingesteld, moet de Persoon in kwestie de schending van deze Code door de buiten de Europese Regio gevestigde Dochteronderneming niet bewijzen; het volstaat dat de Persoon in kwestie aantoont dat hij/zij schade geleden heeft en dat die schade waarschijnlijk voortvloeit uit een schending van deze Code door een Dochteronderneming die gevestigd is buiten de Europese Regio. De bewijslast ligt vervolgens bij ExxonMobil Petroleum & Chemical BV om te bewijzen dat de buiten de Europese Regio gevestigde Dochteronderneming de Code niet geschonden heeft. Indien ExxonMobil Petroleum & Chemical BV kan bewijzen dat de buiten de Europese Regio gevestigde Dochteronderneming niet aansprakelijk is voor de schending, kan ExxonMobil Petroleum & Chemical BV zichzelf van elke verantwoordelijkheid ontslaan.

19.7 ExxonMobil zal onmiddellijk op klachten met betrekking tot Europese persoonsgegevens reageren, uiterlijk binnen één maand na ontvangst van het verzoek of de klacht, periode die indien nodig met twee maanden kan worden verlengd.

Klachten kunnen door de Persoon via e-mail of schriftelijk bij ExxonMobil worden gemeld overeenkomstig Artikel 9.3 van de Code.

Indien ExxonMobil oordeelt dat de klacht gegrond is, zal zij de betrokken Persoon inlichten over de manier waarop zal worden verholpen aan het probleem dat aanleiding heeft gegeven tot de klacht.  Als de klacht wordt verworpen of als de betrokken Persoon niet tevreden is met de reactie van ExxonMobil, kan deze Persoon een klacht indienen of een procedure opstarten overeenkomstig Artikelen 19.4.ii en 19.4.iii van de Code. Als de klacht betrekking heeft op de Verwerking van Europese persoonsgegevens door buiten de Europese Regio gevestigde Dochterondernemingen, kan de betrokken Persoon ook een klacht indienen of een procedure opstarten overeenkomstig Artikel 19.4.iv.

19.8 In geval van tegenstrijdigheid tussen de Code en een wettelijke vereiste in een land buiten de Europese Regio, zoals beschreven in Artikel 3.3, zal ExxonMobil de bevoegde gegevensbeschermingsautoriteit in de Europese Regio inlichten indien dergelijke wettelijke vereiste, zoals een bindend verzoek tot bekendmaking van Europese persoonsgegevens door een wethandhavingsinstantie of een orgaan van de staatsveiligheid van een land buiten de Europese Regio, waarschijnlijk aanzienlijke gevolgen zal hebben voor de in de Code voorziene garanties met betrekking tot Europese persoonsgegevens.

Bij het nakomen van deze verplichting verbindt ExxonMobil zich ertoe een beoordeling uit te voeren waarin naar behoren rekening wordt gehouden met: (i) de specifieke omstandigheden van de overdrachten; ii) de wetten en praktijken van de derde landen van bestemming (relevant in het licht van de specifieke omstandigheden van de overdrachten en de toepasselijke beperkingen en waarborgen); en (iii) de relevante contractuele, technische en organisatorische beveiligingsmaatregelen die krachtens de Code zijn getroffen. Gelieerde ondernemingen buiten de Europese regio die Europese Persoonsgegevens ontvangen, zullen alles in het werk stellen om relevante informatie te verstrekken om te helpen bij deze beoordeling, die ExxonMobil zal documenteren en op verzoek beschikbaar zal stellen aan de bevoegde gegevensbeschermingsautoriteit. Als ExxonMobil zich ervan bewust wordt dat een Gelieerde Onderneming buiten de Europese Regio niet langer aan haar verplichtingen onder de Code kan voldoen, zal ExxonMobil onmiddellijk passende aanvullende maatregelen vaststellen die door de relevante Gelieerde Onderneming(en) moeten worden genomen om de situatie aan te pakken. De relevante Gelieerde onderneming(en) zullen de overdracht opschorten als ExxonMobil van mening is dat er geen passende waarborgen voor een dergelijke overdracht kunnen worden gewaarborgd, of als de bevoegde gegevensbeschermingsautoriteit daartoe opdracht geeft.

Als een kennisgeving aan de bevoegde gegevensbeschermingsautoriteit in de Europese Regio verboden is, zal ExxonMobil alles doen wat redelijk mogelijk is om het recht te verwerven van dit verbod af te zien, en in dat verband de nodige documenten opstellen. Als ExxonMobil ondanks alle redelijke inspanningen de bevoegde gegevensbeschermingsautoriteit in de Europese Regio niet mag inlichten over de ontvangen verzoeken, zal ze jaarlijks algemene informatie verstrekken over de ontvangen verzoeken.

ExxonMobil zal de wettigheid van een verzoek om openbaarmaking beoordelen zoals hierboven beschreven – in het bijzonder of het binnen de bevoegdheden valt die aan de verzoekende overheidsinstantie zijn verleend – en het verzoek aanvechten indien zij, na zorgvuldige beoordeling, concludeert dat er redelijke gronden zijn om aan te nemen dat het verzoek onwettig is volgens de wetgeving van het land van bestemming,  toepasselijke verplichtingen uit hoofde van het internationaal recht en/of de beginselen van internationale courtoisie. ExxonMobil zal onder dezelfde voorwaarden beroepsmogelijkheden nastreven. Bij het aanvechten van een verzoek zal ExxonMobil om voorlopige maatregelen vragen om de gevolgen van het verzoek op te schorten totdat de bevoegde rechterlijke instantie over de gegrondheid ervan heeft beslist. ExxonMobil documenteert haar juridische beoordeling en elke betwisting van het verzoek om openbaarmaking, en stelt, voor zover toegestaan volgens de wetten van het land van bestemming, de documentatie op verzoek beschikbaar aan de bevoegde gegevensbeschermingsautoriteit. ExxonMobil zal de gevraagde Persoonsgegevens niet openbaar maken totdat dit vereist is volgens de toepasselijke procedureregels, en zal de minimale hoeveelheid informatie verstrekken die is toegestaan bij het reageren, op basis van een redelijke interpretatie van het verzoek.

ExxonMobil zal maatregelen nemen om elke overdracht van Europese Persoonsgegevens aan een overheidsinstantie (evenals elke directe toegang door dergelijke autoriteiten tot Persoonsgegevens die onder de Code worden overgedragen) te voorkomen die massaal, onevenredig en willekeurig zijn op een manier die verder gaat dan wat nodig is in een democratische samenleving.

19.9 Dochterondernemingen zullen overeenkomstig de Code geen Europese persoonsgegevens aan andere Dochterondernemingen doorgeven, tenzij deze laatste gebonden zijn door de Code.