Załącznik X

A.

W instrumencie prawnym:

a) wymienia się zadania, które realizuje usługodawca zewnętrzny, zgodnie z art. 43 ust. 6 niniejszego rozporządzenia;

b) wskazuje się lokalizacje, w których usługodawca zewnętrzny ma prowadzić działalność, oraz zaznacza się, któremu konsulatowi podlega dany ośrodek składania wniosków;

c) wymienia się usługi objęte obowiązkową opłatą za usługę;

d) instruuje się usługodawcę zewnętrznego, aby w sposób jasny informował interesantów, że usługi dodatkowe wiążą się z innymi opłatami.

B.

W odniesieniu do wykonywania swoich czynności usługodawca zewnętrzny, jeśli chodzi o ochronę danych:

a) stale czuwa, aby dane nie były czytane, kopiowane, zmieniane lub usuwane bez upoważnienia, zwłaszcza podczas przekazywania ich konsulatowi państwa (państw) członkowskiego(-ich) odpowiedzialnego(-ych) za rozpatrzenie wniosku;

b) według instrukcji udzielonych przez dane państwo(-a) członkowskie przekazuje dane:

— elektronicznie, w zaszyfrowanej formie, lub

— fizycznie, w sposób zabezpieczony;

c) przekazuje dane niezwłocznie:

— w przypadku danych przekazywanych fizycznie – przynajmniej raz w tygodniu,

— w przypadku danych przekazywanych elektronicznie w postaci zaszyfrowanej – najpóźniej pod koniec dnia, w którym zostały one pobrane;

d) zapewnia odpowiednie środki służące śledzeniu obiegu akt każdego wniosku wysyłanych do i z konsulatu;

e) usuwa dane najpóźniej w terminie siedmiu dni po ich przekazaniu oraz zapewnia przechowanie jedynie imienia i nazwiska oraz danych kontaktowych osoby ubiegającej się o wizę (w celu ustalenia terminu spotkania), a także numeru paszportu do chwili zwrotu paszportu osobie ubiegającej się o wizę i usunięcie tych danych po pięciu dniach;

f) zapewnia wszelkie techniczne i organizacyjne środki bezpieczeństwa wymagane do ochrony danych osobowych przed przypadkowym lub niezgodnym z prawem zniszczeniem, przypadkowym utraceniem, zmodyfikowaniem, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem – w szczególności gdy współpraca wiąże się z przekazywaniem akt i danych konsulatowi danego(-ych) państwa (państw) członkowskiego(-ich) – oraz przed wszelkimi innymi formami niezgodnego z prawem przetwarzania danych osobowych;

g) przetwarza dane w imieniu danego(-ych) państwa (państw) członkowskiego(-ich) jedynie do celów przetwarzania danych osobowych osób ubiegających się o wizę;

h) stosuje standardy ochrony danych co najmniej równorzędne standardom określonym w rozporządzeniu (UE) 2016/679;

i) dostarcza osobom ubiegającym się o wizę informacje wymagane na mocy art. 37 rozporządzenia w sprawie VIS.

C.

W odniesieniu do wykonywania swoich czynności usługodawca zewnętrzny, jeśli chodzi o zachowanie personelu:

a) zapewnia odpowiednie przeszkolenie swojego personelu;

b) zapewnia, aby jego personel podczas wykonywania swoich obowiązków:

— w sposób uprzejmy odnosił się do osób ubiegających się o wizę,

— szanował godność ludzką i nietykalność osób ubiegających się o wizę, nie dyskryminował nikogo ze względu na płeć, pochodzenie rasowe lub etniczne, religię lub przekonania, niepełnosprawność, wiek lub orientację seksualną, oraz

— przestrzegał zasad poufności; zasady te obowiązują członków personelu także po odejściu ze stanowiska lub po zawieszeniu lub wygaśnięciu instrumentu prawnego;

c) w każdej chwili jest w stanie podać tożsamość pracujących dla niego osób;

d) wykazuje, że jego personel nie był wcześniej karany i dysponuje wymaganą wiedzą fachową.

D.

W odniesieniu do kontroli wykonywania czynności usługodawca zewnętrzny:

a) zapewnia stały, niewymagający uprzedniego powiadomienia, dostęp do swoich pomieszczeń personelowi upoważnionemu przez odnośne państwo(-a) członkowskie, zwłaszcza w celach kontrolnych;

b) zapewnia w celach kontrolnych możliwość zdalnego dostępu do swojego systemu ustalania terminów spotkań;

c) zapewnia stosowanie odpowiednich metod monitorujących (np. interesanci podstawiani w celach kontrolnych, kamery internetowe);

d) zapewnia dostęp krajowemu organowi nadzorczemu ds. ochrony danych państwa członkowskiego do dokumentacji potwierdzającej przestrzeganie wymogów ochrony danych, w tym wymogów dotyczących składania sprawozdań, audytów zewnętrznych i regularnych kontroli wyrywkowych;

e) niezwłocznie zgłasza na piśmie danemu(-ym) państwu(-om) członkowskiemu(-im) wszelkie naruszenia bezpieczeństwa lub skargi osób ubiegających się o wizę dotyczące nieprawidłowego korzystania z danych lub nieuprawnionego dostępu oraz koordynuje z danym(-i) państwem(-ami) członkowskim(-imi) działania służące znalezieniu rozwiązania i szybkiemu udzieleniu wyjaśnień osobom ubiegającym się o wizę, które występują ze skargą.

E.

W odniesieniu do wymogów ogólnych usługodawca zewnętrzny:

a) działa według instrukcji państwa (państw) członkowskiego(-ich) odpowiedzialnego(-ych) za rozpatrywanie wniosku wizowego;

b) przyjmuje odpowiednie środki zapobiegające korupcji (np. odpowiednie wynagrodzenie personelu; współpraca podczas selekcji personelu zatrudnianego do danego zadania; zasada współpodejmowania decyzji przez dwie osoby; zasada rotacji pracowników);

c) w pełni przestrzega postanowień instrumentu prawnego, który powinien zawierać klauzulę przewidującą zawieszenie lub rozwiązanie współpracy, zwłaszcza w razie naruszenia ustanowionych zasad, a także klauzulę przeglądową pozwalającą w tym instrumencie prawnym uwzględnić najlepsze praktyki.