text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). Se

text: skäl 13

text: i

text: dataskyddsförordningen

text: . Se

text: artikel 5.2 i dataskyddsförordningen

text: . Se t.ex. artiklarna

text: och

text: . En uppförandekod kan också användas av personuppgiftsbiträden för att i tillräcklig grad garantera att deras behandling uppfyller kraven i dataskyddsförordningen (se

text: artikel 28.5

text: ). Se skälen

text: och

text: samt artiklarna

text: och

text: i dataskyddsförordningen. Så är särskilt fallet när en uppförandekod avser behandling i flera medlemsstater. Koderna måste inte nödvändigtvis inskränka sig till eller vara begränsade till en viss sektor. Till exempel skulle en kod kunna vara tillämplig inom separata sektorer som har en gemensam bearbetningsverksamhet med samma bearbetningsegenskaper och behov. Om en kod används sektorsövergripande kan flera kontrollorgan knytas till den koden. I sådana fall bör dock koden otvetydigt visa hur pass omfattande övervakningsorganets funktioner är, närmare bestämt genom att ange de sektorer med avseende på vilka varje övervakningsorgan kommer att fullgöra sina funktioner enligt

text: artikel 41

text: och de tillsynsmekanismer som finns tillgängliga för varje övervakningsorgan. I detta avseende är de relevanta avsnitten i föreliggande riktlinjer som anger ansvar,

text: skyldigheter och ackrediteringskrav med avseende på övervakningsorganen individuellt tillämpliga för varje sådant övervakningsorgan som utsetts enligt koden.

text: Artikel 40.1 i dataskyddsförordningen

text: . Se artiklarna

text: och

text: samt

text: skäl 122

text: i

text: dataskyddsförordningen

text: . Se

text: artikel 40.1

text: och

text: skäl 98

text: i

text: dataskyddsförordningen

text: . Se t.ex. artikel

text: och

text: i dataskyddsförordningen. Antingen av nationella tillsynsmyndigheter för dataskydd eller av artikel 29-gruppen före den allmänna dataskyddsförordningen och dessa riktlinjer.

text: Ett övervakningsorgan kan dock ackrediteras för mer än en uppförandekod förutsatt att organet uppfyller ackrediteringskraven. Enligt

text: skäl 98

text: i

text: dataskyddsförordningen

text: . Se även punkterna 64–67 nedan.

text: Uppförandekoder och certifiering är frivilliga ansvarighetsverktyg, medan konsekvensbedömningar med inriktning på dataskydd kommer att vara obligatoriska i vissa fall. För mer information om andra ansvarighetsverktyg, se styrelsens allmänt vägledande webbplats (www.edpb.europa.eu). Se

text: artikel 42 i dataskyddsförordningen

text: och styrelsens

text: riktlinjer 1/2018

text: (Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the GDPR). Det faktum att en uppförandekod tillämpas ger dock i sig inga garantier för att dataskyddsförordningen följs eller för att personuppgiftsansvariga/personuppgiftsbiträden inte kan påföras sanktioner eller betalningsansvar enligt dataskyddsförordningen. Se

text: skäl 98

text: i

text: dataskyddsförordningen

text: beträffande

text: artikel 40.1

text: . En uppförandekod skulle t.ex. kunna anpassas på lämpligt sätt för att tillgodose behoven hos mikroföretag och inte bara hos små och medelstora företag. Framför allt i

text: artikel 40.1 i dataskyddsförordningen

text: fastställs uppförandekoder som en lösning för att tillgodose behoven hos sådana företag.

text: I

text: artikel 40.2 i dataskyddsförordningen

text: hänvisas det till koder som utarbetas av organisationer som företräder ”kategorier av personuppgiftsansvariga eller personuppgiftsbiträden”. Detta skulle därför kunna omfatta sektorsövergripande koder i fall där kriterierna för representativitet är uppfyllda när de tillhandahålls i praktiken. En snäv uppförandekod måste tillräckligt tydligt visa de registrerade (och en tillsynsmyndighet) att de personuppgiftsansvariga/personuppgiftsbiträden som följer uppförandekoden inte nödvändigtvis garanterar att hela lagstiftningen på området efterlevs. En lämplig skyddsåtgärd i detta fall kan vara att säkerställa lämplig öppenhet kring uppförandekodens begränsade tillämpningsområde gentemot dem som ansluter sig till den och gentemot de registrerade.

text: Se artikel

text: 40.2 j

text: och

text: i dataskyddsförordningen. Styrelsen kommer att utarbeta separata riktlinjer för tillämpningen av uppförandekoder som en mekanism för att underlätta internationella överföringar.

text: Se även artiklarna

text: och

text: i dataskyddsförordningen.

text: Artikel 32.3 i dataskyddsförordningen

text: Artikel 35.8 i dataskyddsförordningen

text: Artikel 83.2 j i dataskyddsförordningen

text: . Se även tillämpningen av uppförandekoder när det gäller WP 253/17, Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med förordning 2016/679, som styrelsen antagit. Ibidem. Detta gäller såväl samtliga uppförandekoder (nationella och transnationella) som ändrade eller utökade uppförandekoder. Bland annat följande kategorier kan vara tillämpliga: identifiering av medlemmar, behandling, registrerade, uppgifternas typ, jurisdiktion och berörda tillsynsmyndigheter (

text: artikel 4.22 i dataskyddsförordningen

text: ). Genom denna handling kan kodutfärdarna påvisa den logiska grunden uppförandekodens godkännande. Handlingen utgör en plattform för att kodutfärdarna ska kunna beskriva lämpligheten i de föreslagna skyddsåtgärderna och visa att de mekanismer som föreslagits är lämpliga för ändamålet. Detta kan till exempel göras genom en rådgivande sammanfattning, medlemskapsinformation eller forskning som påvisar att uppförandekoden behövs.

text: Enligt

text: artikel 55 i dataskyddsförordningen

text: är varje tillsynsmyndighet behörig att utföra de uppgifter och utöva de befogenheter som den enligt förordningen tilldelats på sin egen medlemsstats territorium. Se även

text: skäl 122

text: i

text: dataskyddsförordningen

text: Se

text: artikel 40.4 i dataskyddsförordningen

text: . Uppförandekoder som avser den offentliga sektorn måste fortfarande innehålla lämpliga mekanismer för övervakning av koden. Enligt

text: artikel 83.4 c i dataskyddsförordningen

text: ska administrativa sanktionsavgifter påföras om ett övervakningsorgan inte fullgör sina skyldigheter. Se avsnittet ”Ackrediteringskrav för övervakningsorgan” på sidan 24. Kodutfärdarna bör till exempel ange hur de har bedömt den dokumentation som mottagits till följd av samrådet.

text: I viss nationell lagstiftning kan det krävas att utkastet till uppförandekod lämnas in på det nationella språket, och kodutfärdarna rekommenderas kontakta relevant behörig tillsynsmyndighet angående detta innan de formellt lämnar in utkastet för godkännande. Styrelsens arbetsspråk är engelska, i enlighet med avsnitt 23 i styrelsens arbetsordning. Man kan till exempel förvänta sig hårdare och strängare skyddsåtgärder inom ”högrisksektorer”, däribland sektorer där uppgifter om barn eller hälsouppgifter behandlas, med tanke på personuppgifternas känsliga karaktär.

text: Till exempel kan sektorn för it-system för upptäckt av konsumtionskreditrisker konstatera att det behövs en uppförandekod som ger tillräckliga skyddsåtgärder och mekanismer för att säkerställa att de uppgifter som inhämtas är relevanta och korrekta samt att de enbart används för det särskilda och legitima ändamålet att skydda krediter. På samma sätt kan sektorn för hälsovetenskaplig forskning konstatera att det behövs en uppförandekod som ger en enhetlig metod genom fastställda standarder som på lämpligt sätt tillgodoser kraven om uttryckligt samtycke och ansvar enligt dataskyddsförordningen.

text: Tillämpningen av dataskyddsförordningen kan till exempel effektiviseras, om det finns en förteckning över definitioner som är specifika för sektorn och om lämpligt fokus läggs på frågor som är särskilt relevanta för den. Genom användning av sektorsspecifik terminologi för att förklara hur kraven i dataskyddsförordningen ska genomföras inom sektorn kan man också göra det lättare för branschen att förstå reglerna och därmed effektivisera tillämpningen av förordningen. I en uppförandekod bör fullständig hänsyn tas till de troliga riskerna med en viss behandling inom sektorn. Vidare bör de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter avpassas till sektorerna i fråga, nämligen genom att ge exempel på godtagbara villkor för att personuppgifter ska få användas för direkt marknadsföring. När det gäller utformningen bör uppförandekodens innehåll också presenteras på ett sätt som gör det lättare att förstå, praktiskt tillämpa och effektivisera tillämpningen av dataskyddsförordningen.

text: Se

text: artikel 40.1 i dataskyddsförordningen

text: En sådan standard tillämpades för första gången i

text: WP 13

text: GD XV D/5004/98 som antogs den 10 september 1998. Till exempel sådana som förtecknas i

text: artikel 40.2 i dataskyddsförordningen

text: . Detta krav återspeglar artikel 29-gruppens tidigare ståndpunkt som anges i arbetsdokumentet om uppförandekodexar,

text: WP 13

text: GD XV D/5004/98 som antogs den 10 september 1998. Metoder där man upprepar vad som sägs i dataskyddslagstiftningen har varit vanligt förekommande i de utkast till uppförandekoder som inte har godkänts av artikel 29-gruppen. Och ”oacceptabla metoder”. En uppförandekod bör helst inte vara alltför formalistisk. De måste även beakta relevant rättspraxis på medlemsstats- och EU-nivå. Se

text: skäl 98

text: i

text: dataskyddsförordningen

text: . Skyddsåtgärder kan också tillämpas på övervakningsorgan och deras förmåga att utöva sin roll på ett effektivt sätt.

text: Vid högriskbehandling, till exempel behandling av uppgifter om barn eller hälsotillstånd, profilering eller systematisk övervakning, förväntas uppförandekoden omfatta hårdare krav för personuppgiftsansvariga och personuppgiftsbiträden så att den återspeglar en lämplig skyddsnivå. Dessutom kan kodutfärdare vinna på att genomföra mer omfattande samråd i enlighet med

text: skäl 99

text: i

text: dataskyddsförordningen

text: för att få stöd för en uppförandekod för uppgiftsbehandling inom sådana högriskområden.

text: Artikel 29-gruppens arbetsdokument: Bedömning av branschers självreglering: när bidrar den på ett meningsfullt sätt till skyddsnivån för uppgifter i tredje land?, WP7, antaget den 14 januari 1998, är också ett informationsdokument som närmare visar hur man bedömer en uppförandekods värde och de allmänna förutsättningarna för att göra den effektiv. Detta dokument bör också (i tillämpliga fall) beaktas när en uppförandekod tas fram. Inbegripet ändring och utökning av uppförandekoder som tidigare godkänts.

text: Denna myndighet bör självklart vara den nationella tillsynsmyndigheten för de medlemmar som omfattas av uppförandekoden. Det är också viktigt att kodutfärdarna tydligt underrättar den behöriga tillsynsmyndigheten om att de formellt lämnar in ett utkast till uppförandekod för godkännande och att de tydligt anger vilken jurisdiktion uppförandekoden avser. Notera även tillägg 1 om skillnaden mellan nationella och transnationella uppförandekoder. Se även checklistan i tillägg 3. Ibidem. Det bör noteras att ett avslag i detta skede av godkännandeprocessen mest sannolikt kommer att grundas på allmänna eller förfaranderelaterade preliminära krav, snarare än på väsentliga eller centrala frågor som rör uppförandekodens bestämmelser. Därigenom kan de behöriga tillsynsmyndigheterna ge kodutfärdarna värdefull återkoppling, om dessa väljer att se över, ändra och lämna in ett nytt utkast framöver. Enligt

text: artikel 40.6 i dataskyddsförordningen

text: Inbegripet ändring och utökning av uppförandekoder som tidigare godkänts. Detta bör läsas mot bakgrund av det förfarande som anges nedan. Se även checklistan i tillägg 3. Detta är viktigt eftersom medgranskare av utkastet till uppförandekod skulle vara tillsynsmyndigheter som berörs av behandlingen av personuppgifter, i och med att den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerade i tillsynsmyndighetens medlemsstat eller i och med att ”registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen”. Det bör noteras att ett avslag i detta skede av godkännandeprocessen mest sannolikt kommer att grundas på allmänna eller förfarandemässiga preliminära krav, snarare än på väsentliga eller centrala frågor som rör själva utkastet till uppförandekod. Berörda tillsynsmyndigheter bör kunna identifieras utifrån det tillämpningsområde som utkastet till uppförandekod avser.

text: Begäran löper under tio arbetsdagar. Under arbetet med att fastställa medgranskarna fortsätter den behöriga tillsynsmyndigheten med sin bedömning. Som regel ska den behöriga tillsynsmyndigheten rådfråga två medgranskare så snart minst 14 medlemsstater berörs av uppförandekoden. Under detta tröskelvärde får en eller två medgranskare anlitas, beroende på ärendet i fråga. Så får endast ske om den behöriga tillsynsmyndigheten avser att godkänna utkastet till uppförandekod. Se artiklarna

text: och

text: . Se

text: artikel 64.4 i dataskyddsförordningen

text: , där det anges att synpunkter från övriga berörda tillsynsmyndigheter bör presenteras tillsammans med utkastet till den behöriga tillsynsmyndighetens beslut.

text: Se styrelsens uppgifter enligt

text: artikel 70.1 x i dataskyddsförordningen

text: . Se

text: artikel 64.7

text: och notera de förfaranden som ska åberopas om en behörig tillsynsmyndighet inte samtycker till styrelsens yttrande i enlighet med

text: artikel 64.8 i dataskyddsförordningen

text: . De behöriga tillsynsmyndigheterna får också ge råd och, i relevanta fall, avge rekommendationer till kodutfärdarna i fråga om utkastets innehåll och format.

text: Se artikel

text: och

text: . Ett sådant beslut skulle också innebära att personuppgiftsansvariga och personuppgiftsbiträden som inte omfattas av dataskyddsförordningen får göra bindande och verkställbara åtaganden i fråga om en giltig uppförandekod (se

text: artikel 40.3

text: ). Detta skulle möjliggöra överföringar av personuppgifter till tredjeländer eller internationella organisationer förutsatt att lämpliga skyddsåtgärder finns och att rättigheter och effektiva rättsmedel för registrerade finns tillgängliga (se även artikel

text: och

text: 46.2 e

text: Artikel 41.1 i dataskyddsförordningen

text: . Märk även att

text: artikel 41

text: inte är tillämplig på offentliga myndigheter eller organ.

text: Uppförandekodens kontext avgör vilken metod som bör tillämpas. Det kan till exempel räcka med ett förslag om en lämplig arbetsfördelning, så att övervakningsorganets personal inte skriver eller testar uppförandekoden. Opartisk till funktionen, dvs. förmåga att agera självständigt.

text: Organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden. Detta skulle även kunna bidra till att förhindra en situation där vissa medlemmar, men inte andra, övervakas gång på gång.

text: Även kodutfärdaren bör underrättas, om övervakningen utförs av ett externt organ till den sammanslutning/det organ som lämnar in uppförandekoden. Enligt

text: artikel 56 i dataskyddsförordningen

text: Se

text: artikel 41.4

text: Ändringar som kräver godkännande kan till exempel omfatta tillägg av en ny kodregel, men inte uppdatering av en hänvisning till namnet på en organisation, eller andra smärre ändringar som inte påverkar kodens funktion. I fråga om transnationella uppförandekoder måste den behöriga tillsynsmyndigheten se till att alla berörda tillsynsmyndigheter är medvetna om att en sådan åtgärd vidtas. På samma sätt bör även en berörd tillsynsmyndighet, när det gäller sådana uppförandekoder, underrätta de behöriga tillsynsmyndigheterna om det visar sig att en personuppgiftsansvarig (som ska tillämpa koden) inte följer denna. Ett sådant avslöjande kan nämligen föranleda oro över övervakningsorganets och uppförandekodens ändamålsenlighet. Det är varje medlemsstats uppgift att klassificera myndigheter eller organ i den offentliga sektorn.

text: Utifrån ovanstående exempel skulle det också stå kodutfärdarna fritt att överväga en utvidgning av uppförandekodens tillämpningsområde och ansöka om godkännande för en transnationell uppförandekod.

text: Se

text: artikel 55

text: tillsammans med

text: skäl 122

text: i

text: dataskyddsförordningen

text: . Förteckningen är varken uttömmande eller hierarkiskt uppställd. En tillsynsmyndighet kan till exempel ha offentliggjort ett utförligt och viktigt policydokument som direkt rör den behandling som ärendet avser. En behörig tillsynsmyndighet får inte vägra att ta emot ett utkast till uppförandekod som lämnas in för godkännande av det skälet att inget (eller endast vissa) av kriterierna på den icke-uttömmande förteckning över kriterier som anges i tillägg 2 uppfylls. Det kan vägras endast på grundval av att kriterierna i avsnittet ”Uppfyller utkastet till kod tillåtlighetskriterierna?” inte är uppfyllda.

identifier: Riktlinjer 1/2019

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Riktlinjer 1/2019 om uppförandekoder och övervakningsorgan enligt förordning (EU) 2016/679

text: Den 4 juni 2019 Innehållsförteckning

type: rubrik

text: TOC Antagen 3

type: stycke

text: Europeiska dataskyddsstyrelsen har antagit detta yttrande

text: med beaktande av artiklarna

text: 70.1 n

text: och

text: i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (nedan kallad dataskyddsförordningen eller förordningen),

text: med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37 till detta, ändrat genom gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018,

text: med beaktande av artiklarna 12 och 22 i dess arbetsordning av den 25 maj 2018, och

text: av följande skäl:

text: 1 INLEDNING

text: 1. Förordning

text: (EU) 2016/679

text: (dataskyddsförordningen) trädde i kraft den 25 maj 2018. Ett av de främsta målen med förordningen är att ge en enhetlig dataskyddsnivå i hela Europeiska unionen och att undvika avvikelser som hindrar den fria rörligheten för personuppgifter på den inre marknaden . Genom dataskyddsförordningen införs även en ansvarsprincip, som innebär att de personuppgiftsansvariga ska ansvara för och kunna visa att de fullgör sina skyldigheter enligt förordningen . Bestämmelserna om uppförandekoder i artiklarna

text: och

text: i förordningen är en praktisk, potentiellt kostnadseffektiv och meningsfull metod för att åstadkomma ett mer enhetligt skydd för dataskyddsrättigheterna. Uppförandekoder kan användas till att påvisa förenlighet med dataskyddsförordningen . De kan särskilt de bidra till att överbrygga eventuella harmoniseringsklyftor mellan medlemsstaterna i fråga om deras tillämpning av dataskyddslagstiftningen . De ger också särskilda sektorer en möjlighet att överväga gemensam personuppgiftsbehandling och samtycka till skräddarskydda och praktiska dataskyddsbestämmelser, som ska tillgodose behoven inom sektorn och uppfylla kraven i dataskyddsförordningen.

text: 2. Medlemsstaterna, tillsynsmyndigheter, Europeiska dataskyddsstyrelsen (nedan kallad styrelsen) och Europeiska kommissionen (nedan kallad kommissionen) ska uppmuntra utarbetandet av uppförandekoder för att bidra till att förordningen genomförs korrekt . Dessa riktlinjer kommer att vara till hjälp och underlätta ”kodutfärdarnas” arbete med att utarbeta, ändra eller utöka uppförandekoder.

text: 1.1 Riktlinjernas omfattning

text: 3. Syftet med föreliggande riktlinjer är att ge praktisk rådgivning och tolkningsstöd vid tillämpningen av artiklarna

text: och

text: i dataskyddsförordningen. Avsikten är att klargöra vilka förfaranden och regler som gäller för inlämnande, godkännande och offentliggörande av uppförandekoder såväl nationellt som på EU-nivå. I vägledningen anges vilka minimikrav som ska vara uppfyllda för att en behörig tillsynsmyndighet ska godta att göra en ingående översyn och utvärdering av en uppförandekod. Dessutom är syftet att ange vilka innehållsfaktorer som ska beaktas när man utvärderar om en viss uppförandekod bidrar till eller faktiskt gör att dataskyddsförordningen tillämpas korrekt och faktiskt . Avslutningsvis anges vilka krav som gäller för en verklig övervakning av en uppförandekod .

text: 4. Riktlinjerna bör också fungera som en tydlig ram för alla behöriga tillsynsmyndigheter, styrelsen och kommissionen, så att de kan göra en enhetlig utvärdering av uppförandekoderna och tillämpa samma förfaranden i bedömningsprocessen. Ramen bör också leda till ökad insyn så att de kodutfärdare som avser att ansöka om godkännande för sin uppförandekod blir förtrogna med processen och de formella krav och trösklar som gäller för ett godkännande.

text: 5. Styrelsen kommer, i form av separata riktlinjer, att ge vägledning om uppförandekoder som ett verktyg för att överföra personuppgifter enligt

text: artikel 40.3 i dataskyddsförordningen

text: 6. Alla tidigare godkända uppförandekoder kommer att behöva ses över och bedömas på nytt i enlighet med dataskyddsförordningen. Därefter ska de lämnas in för förnyat godkännande i enlighet med artiklarna

text: och

text: och enligt de förfaranden som anges i detta dokument.

text: 2 DEFINITIONER

text: ackreditering: en försäkran om att det föreslagna övervakningsorganet uppfyller kraven i

text: artikel 41 i dataskyddsförordningen

text: för att tillåtas övervaka att en uppförandekod efterlevs. Denna kontroll ska utföras av den tillsynsmyndighet till vilken uppförandekoden inlämnats för

text: godkännande (

text: artikel 41.1

text: ). Övervakningsorganets ackreditering gäller endast för en specifik uppförandekod . kodutfärdare: sammanslutningar eller andra organ som utarbetar och lämnar in uppförandekoder . De ska ha en rättslig ställning som uppfyller kraven i uppförandekoden och nationell rätt. tillsynsmyndighet: en tillsynsmyndighet som är behörig enligt

text: artikel 55 i dataskyddsförordningen

text: . övervakningsorgan: organ/kommitté eller organ/kommittéer (kodutfärdarnas interna eller externa organ/kommittéer ) som har en övervakningsroll för att förvissa sig om och säkerställa att uppförandekoden följs på det sätt som avses i

text: artikel 41

text: . berörda tillsynsmyndigheter: sådana myndigheter som avses i

text: artikel 4.22 i dataskyddsförordningen

text: . nationell uppförandekod: en uppförandekod för behandling i en medlemsstat. transnationell uppförandekod: en uppförandekod för behandling i mer än en medlemsstat.

text: 3 VAD ÄR EN UPPFÖRANDEKOD?

text: 7. Enligt dataskyddsförordningen är uppförandekoder frivilliga ansvarighetsverktyg med särskilda dataskyddsregler för olika kategorier av personuppgiftsansvariga och personuppgiftsbiträden. De kan vara ett användbart och effektivt ansvarighetsverktyg med anvisningar om vilket beteenden som ur ett rättsligt och etiskt perspektiv är lämpligast för en viss sektor. Från dataskyddssynpunkt kan uppförandekoderna därmed användas som regelbok för personuppgiftsansvariga och personuppgiftsbiträden i deras arbete med att utforma och genomföra personuppgiftsbehandling i enlighet med dataskyddsförordningen, vilket ger de dataskyddsprinciper som fastställs i europeisk och nationell rätt en praktisk innebörd.

text: 8. Branschorganisationer eller organ som företräder en viss sektor kan skapa uppförandekoder för att hjälpa sektorn att följa dataskyddsförordningen på ett ändamålsenligt och potentiellt kostnadseffektivt sätt. Den icke uttömmande förteckningen i

text: artikel 40.2 i dataskyddsförordningen

text: vittnar om att uppförandekoderna kan omfatta en rad olika områden, till exempel:  Rättvis och öppen behandling.  Personuppgiftsansvarigas berättigade intressen i särskilda sammanhang.  Insamling av personuppgifter; pseudonymisering av personuppgifter.  Information till allmänheten och de registrerade samt registrerades hävdande av sina rättigheter.  Information till och skydd av barn (samt metoder för att erhålla föräldrarnas samtycke).  Tekniska och organisatoriska åtgärder, däribland inbyggt dataskydd och dataskydd som standard samt säkerhetsåtgärder.  Anmälan av överträdelser.  Överföring av personuppgifter till tredjeländer.  Tvistlösningsförfaranden.

text: 9. Dataskyddsförordningen, som innebär att dataskyddsdirektivet (direktiv

text: ) upphävs, innehåller mer specifika och utförligare bestämmelser om uppförandekoder, vilka krav som måste uppfyllas, vilka förfaranden som krävs för att få en uppförandekod godkänd och hur uppförandekoderna ska registreras, offentliggöras och främjas när de väl har godkänts. Tillsammans med riktlinjerna kommer dessa bestämmelser att uppmuntra kodutfärdare att direkt bidra till fastställandet av standarder och regler dataskydd för deras personuppgiftsbehandlande sektorer.

text: 10. Det bör noteras att uppförandekoder är ett av flera användbara, men frivilliga, verktyg bland en rad ansvarighetsverktyg på dataskyddsområdet som erbjuds genom dataskyddsförordningen, till 15 16 exempel konsekvensbedömningar avseende dataskydd och certifiering . De utgör en mekanism som kan användas för att organisationer lättare ska kunna visa att de följer dataskyddsförordningen .

text: 4 VILKA FÖRDELAR HAR UPPFÖRANDEKODER?

text: 11. Uppförandekoder är ett praktiskt, insynsvänligt och potentiellt kostnadseffektivt sätt att fastställa en rad regler som kan bidra till att dataskyddsförordningen tillämpas korrekt, med hänsyn tagen till särdragen inom en viss sektor och/eller dess personuppgiftsbehandling. Mot bakgrund av detta kan uppförandekoder tas fram för personuppgiftsansvariga och personuppgiftsbiträden samtidigt som hänsyn tas till särdragen i behandlingen inom vissa sektorer och de särskilda behoven bland såväl mikroföretag som små och medelstora företag . De kan bli ett särskilt viktigt och fördelaktigt verktyg för sådana företag genom att dessa därigenom får en mekanism för att trygga dataskyddet på ett mer kostnadseffektivt sätt. Mikroföretag som arbetar med liknande forskningsuppgifter på hälsoområdet skulle till exempel kunna få kontakt med varandra genom sina sammanslutningar och gemensamt ta fram en uppförandekod för hur de ska samla in och behandla hälsouppgifter, i stället för att själva försöka göra en sådan omfattande dataskyddsanalys. Även tillsynsmyndigheter kan dra nytta av uppförandekoder för att få bättre kunskap om och inblick i personuppgiftsbehandlingen inom specifika yrken, industrier eller andra sektorer.

text: 12. Uppförandekoder kan underlätta för personuppgiftsansvariga och personuppgiftsbiträden att följa dataskyddsförordningen genom regler på områden som rättvis och transparent behandling, En ansökan om godkännande skulle t.ex. kunna avse en uppsättning regler för hur en viss välgörenhetssektor ska säkerställa en rättvis och öppen behandling. Alternativt skulle välgörenhetssektorn kunna besluta att utarbeta en uppförandekod, som innehåller flera olika bestämmelser i dataskyddsförordningen och tillämpas korrekt så att all behandling inom sektorn omfattas, från den rättsliga grunden för insamling av personuppgifter till anmälan av personuppgiftsincidenter. berättigade intressen, säkerhet samt inbyggt dataskydd och dataskydd som standard, standardåtgärder och skyldigheter för personuppgiftsansvariga. Uppförandekoder finns för alla de sektorer där uppgiftsbehandling sker och kan utarbetas så pass snävt eller omfattande att det gynnar den berörda sektorn , förutsatt att uppförandekoden bidrar till att dataskyddsförordningen tillämpas på ett korrekt och effektivt sätt .

text: 13. Uppförandekoder kan bidra till en viss samreglering och till att personuppgiftsansvariga och personuppgiftsbiträden i mindre utsträckning förlitar sig på datatillsynsmyndigheter för att få utförligare anvisningar om just den behandling som de utför.

text: 14. Uppförandekoder kan ge personuppgiftsansvariga och personuppgiftsbiträden en viss frihet och kontroll att ta fram och komma överens om bästa praxis för sina sektorer. Koderna kan ge tillfälle att konsolidera bästa praxis för personuppgiftsbehandling på särskilda områden. De kan också bli en viktig resurs för företag som måste hantera kritiska problem med sin personuppgiftsbehandling och uppnå bättre efterlevnad av dataskyddskraven.

text: 15. Uppförandekoder kan ge välbehövlig tillit och rättssäkerhet genom att praktiska lösningar ges på vissa sektorers problem med gemensam personuppgiftsbehandling. Vidare uppmuntras en gemensam och konsekvent strategi för att hantera behoven i samband med uppgiftsbehandling inom en viss sektor.

text: 16. Uppförandekoder kan vara ett effektivt verktyg för att vinna de registrerades tillit och förtroende. De kan omfatta en rad olika problem, varav många kan bero på en oro bland allmänheten eller till och med inom den berörda sektorn. Detta gör dem till ett verktyg för förbättrad öppenhet gentemot enskilda personer i fråga om behandlingen av deras personuppgifter. Vid behandling av hälsouppgifter för forskningsändamål, till exempel, kan en fastställd och utförlig uppförandekod bidra till minskad osäkerhet kring vilka åtgärder som bör vidtas för att främja efterlevnad av de bestämmelser som gäller för behandling av känsliga hälsouppgifter. I en sådan uppförandekod skulle följande kunna anges med rimlig öppenhet:  Relevanta skyddsåtgärder att vidta i fråga om den information som lämnas till de registrerade.  Relevanta skyddsåtgärder att vidta när det gäller uppgifter som inhämtas från tredje part.  Delgivning eller spridning av uppgifterna.  Tillämpliga kriterier för att säkerställa respekten för principen om uppgiftsminimering.  Särskilda säkerhetsåtgärder.  Lämpliga tidsplaner för datalagring.  Mekanismer för hantering av uppgifterna som ett resultat av de registrerades utövande av sina rättigheter (enligt artiklarna

text: och

text: i dataskyddsförordningen).

text: 17. Uppförandekoder kan också vara en viktig och användbar mekanism när det gäller internationella överföringar. I och med de nya bestämmelserna i dataskyddsförordningen kan tredje part tillämpa godkända uppförandekoder för att uppfylla de rättsliga kraven att vidta lämpliga skyddsåtgärder vid internationella överföringar av personuppgifter till tredjeländer . Dessutom kan sådana godkända uppförandekoder bidra till att främja och sprida dataskyddsförordningens skyddsnivå till det större internationella samfundet. Dessutom kan det resultera i hållbara och lagenliga internationella överföringar av personuppgifter. De kan också fungera som en mekanism för att stärka och främja de registrerades tillit till och förtroende för personuppgiftsbehandling utanför Europeiska ekonomiska samarbetsområdet (EES) .

text: 18. Antagna uppförandekoder kan fungera som effektiva ansvarighetsverktyg för såväl personuppgiftsbiträden som personuppgiftsansvariga. I enlighet med

text: skäl 77

text: och

text: artikel 24.3 i dataskyddsförordningen

text: ska tillämpningen av godkända uppförandekoder bland annat ses som en lämplig metod för en personuppgiftsansvarig eller ett personuppgiftsbiträde att påvisa efterlevnad av vissa delar av eller principer i förordningen eller hela förordningen . Huruvida en godkänd uppförandekod tillämpas eller ej är också en faktor som tillsynsmyndigheterna beaktar när de bedömer särskilda delar av personuppgiftsbehandlingen, till exempel säkerhetsaspekterna , när de bedömer behandlingens konsekvenser inom ramen för en konsekvensbedömning avseende 26 27 dataskydd eller när de påför administrativa sanktionsavgifter . Om någon av bestämmelserna i förordningen inte följs, kan det faktum att en aktör anslutit sig till en godkänd uppförandekod eller inte ge tillsynsmyndigheten en uppfattning om nödvändigheten i att påföra effektiva, proportionella och avskräckande administrativa sanktionsavgifter eller vidta andra korrigerande åtgärder .

text: 5 UPPFYLLER UTKASTET TILL KOD TILLÅTLIGHETSKRITERIERNA?

text: 19. En rad villkor måste vara uppfyllda innan en tillsynsmyndighet kan göra en fullständig bedömning och se över en uppförandekod för de ändamål som anges i

text: artikel 40.5 i dataskyddsförordningen

text: . Syftet är att kunna genomföra en faktisk bedömning av alla uppförandekoder. Följande kriterier är tillämpliga:

text: 5.1 Motivering och styrkande handlingar

text: 20. Varje utkast till uppförandekod som lämnas in för godkännande ska innehålla en tydlig och kortfattad motivering, med utförlig information om uppförandekodens syfte, omfattning och hur den kommer att effektivisera tillämpningen av förordningen . Detta kommer att påskynda processen och ge sådana förtydliganden som krävs vid inlämningen. I tillämpliga fall måste också dokumentationen innehålla styrkande dokumentation för att underbygga utkastet till uppförandekod och motiveringen .

text: 5.2 Företrädare

text: 21. Uppförandekoden måste lämnas in av en sammanslutning eller ett konsortium av sammanslutningar eller andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden (kodutfärdare) i enlighet med

text: artikel 40.2

text: . En icke uttömmande lista med exempel på möjliga kodutfärdare skulle omfatta följande: fackförenings- och intresseorganisationer, sektorsorganisationer, akademiska organisationer och intressegrupper.

text: 22. Kodutfärdarna måste bevisa för tillsynsmyndigheten att de faktiskt är ett representativt organ och att de kan sätta sig in i medlemmarnas behov. Vidare måste de tydligt ange vilken behandling eller sektor som uppförandekoden avser. Beroende på hur den berörda sektorn definieras och avgränsas, kan representativiteten härledas från bland annat följande faktorer:  Antalet eller procentandelen potentiella kodmedlemmar från relevanta personuppgiftsansvariga eller personuppgiftsbiträden inom den sektorn.  Det representativa organets erfarenhet av den sektor och behandling som uppförandekoden avser.

text: 5.3 Behandlingens tillämpningsområde

text: 23. Utkastet till uppförandekod måste ha ett definierat tillämpningsområde som klart och tydligt avgränsar personuppgiftsbehandlingen (eller särdragen i behandlingen) samt vilka kategorier av personuppgiftsansvariga eller personuppgiftsbiträden som uppförandekoden omfattar. Detta inbegriper även behandlingsrelaterade problem som uppförandekoden är tänkt att avhjälpa och ge praktiska lösningar på.

text: 5.4 Territoriellt tillämpningsområde

text: 24. Utkastet till uppförandekod måste visa huruvida uppförandekoden är nationell eller transnationell. Vidare ska det innehålla uppgifter om det territoriella tillämpningsområdet och om alla de jurisdiktioner som uppförandekoden ska gälla i. Om det rör sig om transnationella uppförandekoder (samt ändrade eller utökade sådana), ska en förteckning över berörda tillsynsmyndigheter bifogas. I tillägg 1 förklaras skillnaden mellan nationella och transnationella uppförandekoder.

text: 5.5 Inlämning till behöriga tillsynsmyndigheter

text: 25. Kodutfärdarna måste säkerställa att den tillsynsmyndighet som valts för att pröva en uppförandekod är behörig i enlighet med

text: artikel 55 i dataskyddsförordningen

text: . I tillägg 2 ges ytterligare information som kan vara till stöd för kodutfärdarna när de väljer behörig tillsynsmyndighet för en transnationell uppförandekod.

text: 5.6 Översikt över mekanismer

text: 26. Utkastet till uppförandekod ska innehålla förslag till mekanismer för att övervaka att de berörda aktörer som ansluter sig till uppförandekoden följer bestämmelserna . Detta gäller uppförandekoder inom såväl offentlig som privat sektor.

text: 5.7 Övervakningsorgan

text: 27. I utkast till uppförandekoder som innefattar behandling som utförs av privata aktörer, icke-statliga myndigheter eller organ måste det också fastställas ett övervakningsorgan och mekanismer som gör att organet kan utföra sina uppgifter i enlighet med

text: artikel 41 i dataskyddsförordningen

text: . De fastställda övervakningsorganen måste ha den ställning som krävs för att uppfylla kravet att bära det fulla ansvaret för utförandet av sina uppgifter . Övervakningsorganen måste därför vara ackrediterade av den behöriga tillsynsmyndigheten i enlighet med

text: artikel 41.1 i dataskyddsförordningen

text: 5.8 Samråd

text: 28. Ett utkast till uppförandekod ska innehålla uppgifter om hur omfattande det genomförda samrådet är. Enligt

text: skäl 99

text: i

text: dataskyddsförordningen

text: bör samråd genomföras med berörda intressenter och, i möjligaste mån, med registrerade när en uppförandekod utformas (eller ändras/utvidgas). Vid inlämnandet av uppförandekoden för godkännande bör därför kodutfärdarna bekräfta och visa att ett lämpligt samråd har genomförts med berörda intressenter. I relevanta fall kommer detta att inbegripa information om andra uppförandekoder som potentiella kodmedlemmar kan omfattas av och visa hur deras koder kompletterar andra koder. Det bör även anges vilken typ av samråd – och på vilken nivå – som genomförts med medlemmarna, andra intressenter och registrerade eller med de sammanslutningar/organ som företräder dessa . I praktiken rekommenderas framför allt att samråd hålls med de medlemmar som ingår i den organisation eller det organ som fungerar som kodutfärdare och under beaktande också av sådan behandling som utförs tillsammans med medlemmarnas kunder. Om inga samråd har kunnat genomföras med berörda och särskilda intressenter, är det kodutfärdarens uppgift att ge en förklaring till detta.

text: 5.9 Nationell lagstiftning

text: 29. Kodutfärdarna måste bekräfta att utkastet till uppförandekod ligger i linje med relevant nationell lagstiftning. Detta gäller inte minst när uppförandekoden avser en sektor som omfattas av särskilda bestämmelser enligt nationell rätt eller om den rör behandling som måste bedömas, med hänsyn tagen till särskilda krav och relevanta rättsliga förpliktelser enligt nationell rätt.

text: 5.10 Språk

text: 30. Kodutfärdarna bör respektera de språkkrav som ställs av den behöriga tillsynsmyndighet som uppförandekoden ska lämnas in till. Generellt sett bör en uppförandekod lämnas in på det språk som används vid den behöriga tillsynsmyndigheten i medlemsstaten . Transnationella uppförandekoder bör lämnas in på den behöriga tillsynsmyndighetens språk och på engelska .

text: 5.11 Checklista

text: 31. I slutändan är det den utsedda behöriga tillsynsmyndighetens sak att avgöra huruvida utkastet till uppförandekod ska gå vidare till nästa steg i bedömningsförfarandet. Detta innebär att den behöriga tillsynsmyndigheten åtar sig att göra en fullständig bedömning av innehållet i enlighet med artiklarna

text: och

text: i dataskyddsförordningen och de förfaranden som anges nedan. Checklistan i tillägg 3 bör användas för referernsdokumentation som lämnats in till en behörig tillsynsmyndighet och för att skapa en ram för inlämnandet av utkastet.

text: 6 KRITERIER FÖR GODKÄNNANDE AV UPPFÖRANDEKODER

text: 32. Kodutfärdarna måste kunna visa hur deras uppförandekod kommer att bidra till en korrekt tillämpning av dataskyddsförordningen, med hänsyn till särdragen inom de olika sektorer där behandling sker och de särskilda kraven och skyldigheterna för de personuppgiftsansvariga eller personuppgiftsbiträden som uppförandekoden riktar sig till. Det finns en rad aspekter av detta övergripande krav. Kodutfärdarna bör kunna visa att utkastet till uppförandekod  tillgodoser ett visst behov inom sektorn eller för behandlingen i fråga,  underlättar tillämpningen av dataskyddsförordningen,  ger närmare information om hur dataskyddsförordningen ska tillämpas,  ger tillräckliga skyddsåtgärder , och  ger effektiva mekanismer för att övervaka efterlevnaden av uppförandekoden.

text: 6.1 Tillgodoseende av ett visst behov

text: 33. Kodutfärdarna måste påvisa behovet av en uppförandekod. Uppförandekoden ska behandla dataskyddsrelaterade problem som uppstår inom en viss sektor eller behandling.

text: 34. Kodutfärdarna bör kunna förklara och ange vilka problem uppförandekoden är tänkt att avhjälpa samt visa att de lösningar som uppförandekoden ger kommer att vara effektiva och gynna såväl medlemmarna som de registrerade.

text: 6.2 Effektivisering av förordningens tillämpning

text: 35. Enligt

text: skäl 98

text: i

text: dataskyddsförordningen

text: måste kodutfärdarna kunna visa att uppförandekoden effektiviserar tillämpningen av förordningen för att uppförandekoden ska kunna godkännas. I detta avseende måste det tydligt framgå av uppförandekoden vilken sektor som förordningen ska tillämpas på samt vilka de sektorsspecifika behoven är och hur de ska tillgodoses .

text: 6.3 Närmare information om hur dataskyddsförordningen ska tillämpas

text: 36. I uppförandekoderna måste det anges hur dataskyddsförordningen ska tillämpas i praktiken. Vidare måste behandlingstyp och sektor noggrant anges. De torde kunna leda till en tydlig förbättring av dataskyddslagstiftningen inom branschen. De koder som fastställs måste vara realistiska och uppnåeliga för samtliga medlemmar. Vidare måste de vara av en viss kvalitet och stämma överens sinsemellan för att ge tillräckligt mervärde . Med andra ord måste ett utkast till uppförandekod vara tillräckligt inriktat på särskilda dataskyddsområden och sektorsspecifika frågor. Vidare måste tillräckligt tydliga och effektiva lösningar ges med avseende på just dessa områden och problem .

text: 37. En uppförandekod bör inte bara vara en enkel upprepning av dataskyddsförordningen . Syftet bör i stället vara att på ett specifikt, praktiskt tillämpbart och exakt sätt reglera hur dataskyddsförordningen bör tillämpas. De överenskomna standarderna och reglerna måste vara entydiga, konkreta, uppnåeliga och verkställbara (mätbara). Fastställande av särskilda regler på området i fråga är en godtagbar metod genom vilken en uppförandekod kan ge mervärde. Användande av terminologi som är unik och relevant för branschen och angivande av konkreta 47 48 scenarier eller särskilda exempel på ”bästa praxis” kan bidra till uppfyllandet av detta krav .

text: 38. Utarbetandet av planer för att främja den godkända koden för att informera enskilda om att den finns och vad den innebär kan också bidra till standarden att ”specificera tillämpningen” av dataskyddsförordningen. Uppförandekoderna måste ge praktisk innebörd åt dataskyddsprinciperna, såsom anges i

text: artikel 5 i dataskyddsförordningen

text: . Uppförandekoderna måste också ta vederbörlig hänsyn till relevanta yttranden och ståndpunkter som offentliggjorts eller bekräftats av styrelsen med avseende på den specifika sektorn och behandlingen . Uppförandekoder som innehåller specifikationer för uppgiftsbehandling kan också göra det lättare att fastställa lämpliga rättsliga grunder för behandlingen i den medlemsstat som de är avsedda att tillämpas i.

text: 6.4 Ger tillräckliga garantier

text: 39. En uppförandekod bör också uppfylla kraven i

text: artikel 40.5

text: . En uppförandekod kommer endast att kunna godkännas om det konstateras att den ger tillräckligt med lämpliga skyddsåtgärder . I kodutfärdarna måste övertyga en behörig tillsynsmyndighet om att koderna innehåller lämpliga och effektiva skyddsåtgärder för att minska riskerna med uppgiftsbehandlingen samt för de enskildas rättigheter och friheter . Det blir kodutfärdarnas uppgift att tillhandahålla tydlig belägg för att uppförandekoderna uppfyller dessa krav.

text: 6.5 Mekanismer för en effektiv övervakning

text: 40. Enligt

text: artikel 40.4 i dataskyddsförordningen

text: måste en uppförandekod innehålla lämpliga mekanismer för att det ska kunna säkerställas att reglerna övervakas på lämpligt sätt och att effektiva och meningsfulla verkställighetsåtgärder införs för att säkerställa fullständig förenlighet med regelverket. En uppförandekod måste särskilt framhålla och föreslå strukturer och förfaranden för en effektiv övervakning och verkställighet när det gäller överträdelser. Ett utkast till uppförandekod måste även innehålla uppgifter om ett lämpligt organ som förfogar över mekanismer för faktisk övervakning av att uppförandekoden efterlevs. Sådana mekanismer kan vara krav på regelbunden revision och rapportering, tydliga och öppna förfaranden för klagomålshantering och tvistlösning, konkreta sanktioner och rättsmedel vid överträdelser av uppförandekoden samt strategier för att rapportera överträdelser av bestämmelserna.

text: 41. I ett utkast till uppförandekod måste ett övervakningsorgan anges om det hela rör behandling som utförs av icke-statliga myndigheter och organ. Väsentligen får en uppförandekod inte bara avse innehållet i de regler som gäller sektorns uppgiftsbehandling, utan måste också leda till övervakningsmekanismer som säkerställer en effektiv tillämpning av reglerna. Ett utkast till uppförandekod skulle mycket väl kunna innehålla en rad olika övervakningsmekanismer om det finns flera olika övervakningsorgan som utför den faktiska tillsynen. Alla de övervakningsmekanismer som föreslås för en lämplig övervakning av en uppförandekod måste dock vara tydliga, lämpliga, uppnåeliga, effektiva och verkställbara (mätbara). Kodutfärdarna måste ange den logiska grunden och visa varför deras övervakningsförslag är lämpliga och genomförbara i praktiken .

text: 7 INLÄMNING, TILLÅTLIGHET OCH GODKÄNNANDE (NATIONELL KOD)

text: 7.1 Inlämning

text: 42. Kodutfärdarna bör formellt lämna in utkastet till uppförandekod i elektronisk eller skriftlig (utskrift/kopia) form till den behöriga tillsynsmyndigheten . Den behöriga tillsynsmyndigheten ska förse kodutfärdarna med ett mottagningsbevis och pröva huruvida utkastet till uppförandekod uppfyller ovanstående tillåtlighetskriterier innan den gör en fullständig bedömning av innehållet.

text: 7.2 Kodens tillåtlighet

text: 43. Om utkastet till uppförandekod inte godtas därför att tillåtlighetskriterierna inte uppfylls , kommer den behöriga tillsynsmyndigheten att besvara kodutfärdarna skriftligen med en motivering till sitt beslut. Processen kommer att avslutas, och kodutfärdarna kommer att behöva lämna in nya utkast .

text: 44. Om utkastet uppfyller ovanstående kriterier, bör den behöriga tillsynsmyndigheten skriftligen underrätta kodutfärdarna om att den kommer att gå vidare till nästa steg i processen och bedöma innehållet i utkastet till uppförandekod, i enlighet med de relevanta förfaranden som anges i nationell lagstiftning.

text: 7.3 Godkännande

text: 45. Om ingen särskild tidsfrist anges i nationell rätt, bör de behöriga tillsynsmyndigheterna avge ett yttrande inom en rimlig tidsrymd, och de bör hålla dem som upprättat utkastet regelbundet uppdaterade om processen och den preliminära tidsplaneringen. I yttrandet bör de motivera sitt beslut i linje med ovanstående godkännandekriterier .

text: 46. Förfarandet avslutas om de behöriga tillsynsmyndigheterna beslutar att inte godkänna utkastet. Det är då kodutfärdarnas sak att utvärdera yttrandet och revidera utkastet i enlighet därmed. Om de väljer att göra detta, måste de formellt lämna in ett nytt uppdaterat utkast till uppförandekod i ett senare skede.

text: 47. Om de behöriga tillsynsmyndigheterna godkänner ett utkast till uppförandekod måste de registrera och offentliggöra uppförandekoden (på sin webbplats och/eller på andra lämpliga kommunikationssätt) . Enligt

text: artikel 40.11

text: måste dessutom styrelsen offentliggöra alla godkända uppförandekoder.

text: 8 INLÄMNING, TILLÅTLIGHET OCH GODKÄNNANDE (TRANSNATIONELL KOD)

text: 8.1 Inlämning

text: 48. Kodutfärdarna bör formellt lämna in utkastet till uppförandekod i elektronisk eller skriftlig form till den behöriga tillsynsmyndigheten, som kommer att vara den myndighet som är huvudansvarig för godkännadet av uppförandekoden . Den behöriga tillsynsmyndigheten ska bekräfta för kodutfärdarna att den mottagit dokumentationen och pröva huruvida utkastet till uppförandekod uppfyller ovanstående krav , innan den gör en fullständig bedömning av innehållet. Den behöriga tillsynsmyndigheten ska utan dröjsmål underrätta alla andra tillsynsmyndigheter om att en uppförandekod har lämnats in och tillhandahålla de viktigaste uppgifterna för att underlätta i identifierings- och referenssyfte. Alla tillsynsmyndigheter bör omgående bekräfta huruvida de är berörda tillsynsmyndigheter i enlighet med artikel 4.22

text: a

text: och

text: b

text: i dataskyddsförordningen .

text: 8.2 Kodens tillåtlighet

text: 49. Om utkastet till uppförandekod inte godtas därför att ovanstående tillåtlighetskriterier inte är uppfyllda, kommer den behöriga tillsynsmyndigheten att besvara kodutfärdarna skriftligen med en motivering till sitt beslut. Processen kommer att avslutas, och kodutfärdarna kommer då att behöva lämna in nya utkast . Den behöriga tillsynsmyndigheten kommer också att underrätta alla berörda tillsynsmyndigheter om sin ståndpunkt.

text: 50. Om utkastet till uppförandekod godtas av den behöriga tillsynsmyndigheten tack vare att tillåtlighetskriterierna är uppfyllda, bör den behöriga tillsynsmyndigheten skriftligen bekräfta för kodutfärdarna att den kommer att gå vidare till nästa steg i processen och bedöma innehållet i utkastet till uppförandekod. Detta kommer att utlösa nedanstående informella samarbetsförfarande för att bedöma den uppförandekod som lämnats in för godkännande.

text: 8.3 Samarbete

text: 51. Den behöriga tillsynsmyndigheten kommer att utfärda en underrättelse till alla tillsynsmyndigheter om sin ståndpunkt med angivande de berörda tillsynsmyndigheterna. Dessa kan välja att inkomma med en begäran om högst två medgranskare som ska bistå vid den materiella bedömningen av utkastet till uppförandekod. Medgranskarna ska utses enligt först-tillkvarn-principen . Medgranskarnas roll ska vara att bistå de behöriga tillsynsmyndigheterna vid bedömningen av utkastet till uppförandekod. Så snart medgranskarna har bekräftats, ska dessa (inom 30 dagar från den dag då de bekräftas som medgranskare) lämna synpunkter på uppförandekodens innehåll . De behöriga myndigheterna beaktar sedan dessa synpunkter vid bedömningen av den uppförandekod som lämnats in för godkännande. Enligt

text: artikel 40.7 i dataskyddsförordningen

text: ska den behöriga tillsynsmyndigheten få sista ordet om huruvida utkastet till beslut ska skickas till styrelsen, i enlighet med artiklarna

text: och

text: i dataskyddsförordningen .

text: 52. De behöriga tillsynsmyndigheterna bör eftersträva att nå fram till ett beslut inom rimlig tid, och de bör hålla kodutfärdarna regelbundet uppdaterade om utvecklingen och den preliminära tidsplaneringen. De bör motivera sitt beslut (att avslå eller godkänna uppförandekoden) i linje med de allmänna grunderna för godkännande och delge kodutfärdarna beslutet i god tid.

text: 8.4 Avslag

text: 53. Om de behöriga tillsynsmyndigheterna beslutar att inte hänskjuta ett utkast till uppförandekod till styrelsen, avslutas förfarandet. Det är då kodutfärdarnas sak att analysera beslutsinnehållet och överväga om utkastet ska revideras. Om de väljer det alternativet, måste de lämna in uppförandekoden för godkännande på nytt i ett senare skede. De behöriga tillsynsmyndigheterna bör även underrätta alla berörda tillsynsmyndigheter om sin ståndpunkt och skälen till att de inte godkänner uppförandekoden.

text: 8.5 Förberedelser inför inlämning till styrelser

text: 54. Om de behöriga tillsynsmyndigheterna avser att godkänna utkastet till uppförandekod, ska de delge alla berörda tillsynsmyndigheter sitt utkast till godkännande. Alla berörda tillsynsmyndigheter har 30 dagar på sig att svara och diskutera eventuella viktiga frågor med berörd undergrupp under styrelsen. Om de berörda tillsynsmyndigheterna inte svarar, förs uppförandekoden vidare till nästa steg i processen.

text: 8.6 Styrelsen

text: 55. Om det beslutas att ärendet ska överlämnas till styrelsen i enlighet med

text: artikel 40.7 i dataskyddsförordningen

text: , ska de behöriga tillsynsmyndigheterna underrätta alla tillsynsmyndigheter om detta enligt mekanismen för enhetlighet . De behöriga tillsynsmyndigheterna ska också överlämna ärendet till styrelsen i linje med deras arbetsordning och

text: artikel 40.7 i dataskyddsförordningen

text: 56. Enligt

text: artikel 64

text: ska styrelsen avge ett yttrande om sådana ärenden som avses i

text: artikel 40.7 i dataskyddsförordningen

text: . Styrelsen och de behöriga tillsynsmyndigheterna ska följa styrelsens arbetsordning och bestämmelserna i

text: artikel 64

text: , när de bedömer och delger ett beslut om godkännande av transnationella uppförandekoder.

text: 8.7 Godkännande

text: 57. Styrelsens yttrande ska delges de behöriga tillsynsmyndigheterna i enlighet med

text: artikel 64.5 i dataskyddsförordningen

text: , och det är de senares uppgift att bedöma om utkastet till beslut ska bibehållas eller ändras i enlighet med

text: artikel 40.5

text: . Styrelsen kan också lämna in ett yttrande till kommissionen enligt

text: artikel 40.8

text: , och styrelsen ska i enlighet med

text: artikel 40.11

text: samla alla godkända transnationella uppförandekoder och offentliggöra dem.

text: 9 DELTAGANDE

text: 58. Det bör noteras att bedömningsprocessen inte bör utnyttjas till att hålla ytterligare samråd med den behöriga tillsynsmyndigheten om bestämmelserna i den uppförandekod som inlämnats. Enligt

text: artikel 40.5

text: har den behöriga tillsynsmyndigheten i uppgift att yttra sig om huruvida utkastet till uppförandekod överensstämmer med dataskyddsförordningen . Kommunikationen mellan de behöriga tillsynsmyndigheterna och kodutfärdarna i detta skede av processen sker framför allt i klargörande syfte och för att bidra till en sådan bedömning som avses i artiklarna

text: och

text: . Man räknar med att kodutfärdarna, i tillämpliga fall, ska upprätthålla kontakter med tillsynsmyndigheterna innan de lämnar in sitt utkast till uppförandekod för godkännande. I princip bör godkännandeskedet inte inbjuda till ytterligare samråd från kodutfärdarnas sida om särskilda bestämmelser i utkastet till uppförandekod. Det bör inte heller ges möjlighet till någon utökad bedömning med ändringar som kontinuerligt lämnas in till de behöriga tillsynsmyndigheterna. Kodutfärdarna måste också finnas tillgängliga för att svara på frågor om förtydliganden av sina utkast till uppförandekoder och detta under en rimlig tidsperiod. Kodutfärdarna måste vara förberedda på och ha den organisation som krävs för att besvara frågor på ett effektivt och skickligt sätt. Det rekommenderas även att gemensamma eller särskilda kontaktpunkter upprättas för de behöriga tillsynsmyndigheterna. Det är de behöriga tillsynsmyndigheternas sak att avgöra huruvida de behöver mer information innan de beslutar om utkastet till uppförandekod. Det är också deras sak att bestämma hur eventuell kommunikation ska ske mellan parterna. Av kontinuitetsskäl ska de behöriga tillsynsmyndigheterna också förbli den huvudsakliga kontaktpunkten under hela godkännandeprocessen när det gäller transnationella uppförandekoder.

text: 10 KOMMISSIONENS ROLL

text: 59. Kommissionen får genom genomförandeakter besluta att en godkänd transnationell uppförandekod ska ha allmän giltighet inom unionen och ska dessutom se till att de offentliggörs på lämpligt sätt i förekommande fall .

text: 11 ÖVERVAKNING AV EN UPPFÖRANDEKOD

text: 60. För att en uppförandekod (nationell eller transnationell) ska godkännas måste ett (eller flera) övervakningsorgan utses inom ramen för uppförandekoden och ackrediteras av de behöriga tillsynsmyndigheterna för att faktiskt övervaka uppförandekoden . De behöriga tillsynsmyndigheterna ska lämna in sina förslag till krav för ackreditering av ett övervakningsorgan till styrelsen i enlighet med den mekanism för enhetlighet som avses i

text: artikel 63 i dataskyddsförordningen

text: . Så snart styrelsen godkänt kraven, kan de behöriga tillsynsmyndigheterna tillämpa dessa för ackreditering av övervakningsorganet.

text: 61. Någon definition av begreppet ”ackreditering” ges inte i dataskyddsförordningen. I

text: artikel 41.2

text: anges dock de allmänna kraven för ackreditering av övervakningsorgan. Det finns ett antal krav som måste vara uppfyllda för att de behöriga tillsynsmyndigheterna ska ackreditera ett övervakningsorgan. Kodutfärdarna måste förklara och visa att det övervakningsorgan som de föreslår uppfyller ackrediteringskraven i

text: artikel 41.2

text: 62. Dataskyddsförordningen ger en viss flexibilitet avseende typ och struktur, när det gäller det övervakningsorgan som ska ackrediteras enligt

text: artikel 41

text: . Kodutfärdarna får besluta att använda externa eller interna övervakningsorgan, förutsatt att organet i fråga uppfyller ackrediteringskraven i

text: artikel 41.2

text: , som delas upp i de åtta olika kraven nedan.

text: 12 KRAV FÖR ACKREDITERING AV ÖVERVAKNINGSORGAN

text: 12.1 Oberoende

text: 63. Kodutfärdarna måste visa att organet i fråga är vederbörligen oberoende med avseende på dess opartiska funktion i förhållande till uppförandekodens medlemmar och uppförandekodens omfattning (yrkesgrupp, bransch eller sektor). Oberoendet kan påvisas på flera olika sätt, till exempel genom hur övervakningsorganet finansieras, hur medlemmarna/personalen utses, hur beslutsfattandet går till och, mer generellt, hur organisationsstrukturen ser ut. Detta behandlas mer ingående nedan.

text: 64. Det finns två huvudmodeller för övervakning som kodutfärdarna kan använda för att uppfylla de krav som ställs i fråga om övervakningsorganen: externa och interna övervakningsorgan. Dessa båda övervakningsmetoder erbjuder en viss flexibilitet och andra varianter kan föreslås som är passande för uppförandekodens kontext. Interna övervakningsorgan kan till exempel vara en intern ad hoc-kommitté eller en separat, oberoende avdelning hos kodutfärdaren. Det ankommer på kodutfärdarna att redogöra för sin riskhanteringsmetod när det gäller organets opartiskhet och oberoende.

text: 65. Om ett internt övervakningsorgan föreslås, bör organets personal, förvaltning, ansvarighet och funktion separeras från övriga delar av organisationen. Detta kan ske på olika sätt, till exempel genom faktiska begränsningar avseende organisation eller information samt separata förvaltningsstrukturer för sammanslutningen och övervakningsorganet. Övervakningsorganet bör, på samma sätt som ett dataskyddsombud, kunna agera utan instruktioner och ska skyddas från alla slags sanktioner eller kränkningar (direkta som indirekta) till följd av att organet utför sina uppgifter.

text: 66. Oberoende kan innebära att ett externt rättsligt ombud, eller någon annan part som deltagit i utarbetandet av uppförandekoden, måste visa att lämpliga skyddsåtgärder har funnits tillgängliga för att minska risken för oberoende- eller intressekonflikter i tillräcklig grad. Övervakningsorganet måste styrka mekanismernas lämplighet för att på ett adekvat sätt identifiera och minska sådana risker på ett tillfredsställande sätt . Ett övervakningsorgan måste fortlöpande identifiera faktorer som riskerar dess opartiskhet, till exempel till följd av dess verksamhet eller förbindelser. Om en risk för övervakningsorganets opartiskhet identifieras, bör organet visa hur det undanröjer eller minimerar sådana risker och att det använder en lämplig mekanism för att trygga sin opartiskhet.

text: 67. Oberoendet kan också styrkas om fullständigt oberoende avseende förvaltningen av budgeten och andra resurser kan påvisas, framför allt i fall där det rör sig om ett internt övervakningsorgan. Ett övervakningsorgan måste också vara oberoende i beslut om påföljder för en personuppgiftsansvarig eller ett personuppgiftsbiträde som tillämpar uppförandekoden. I grund och botten måste organet – oavsett om det är internt eller externt – agera utan att låta sig påverkas av kodutfärdare och medlemmar inom ramen för uppförandekodens tillämpningsområde när det utför sina uppgifter och utövar sina befogenheter.

text: 12.2 Intressekonflikt

text: 68. Det måste kunna påvisas att övervakningsorganets fullgörande av sina uppgifter och uppdrag inte leder till intressekonflikt. Kodutfärdarna måste därför visa att det föreslagna övervakningsorganet kommer att avstå från alla slags åtgärder som är oförenliga med dess uppgifter och uppdrag, samt att skyddsåtgärder har införts för att säkerställa att det kommer att avstå från annan avlönad eller oavlönad yrkesverksamhet som står i strid med dess uppdrag. På samma sätt måste övervakningsorganet stå fritt från utomstående påverkan, direkt såväl som indirekt, och det får varken begära eller ta emot instruktioner av någon person, organisation eller sammanslutning. Organet bör förfoga över egen personal som det självt väljer eller som väljs av något annat oberoende organ och som ska ta instruktioner uteslutande från dessa organ. Interna övervakningsorgan ska skyddas från alla slags sanktioner eller kränkningar (direkta som indirekta) från kodutfärdaren, relevanta organ eller medlemmar som omfattas av uppförandekoden till följd av att de har utfört sina uppgifter.

text: 12.3 Expertis

text: 69. Kodutfärdarna måste kunna visa att övervakningsorganet besitter den expertis som krävs för att utföra sin uppgift på ett effektivt sätt. Dokumentationen måste därför innehålla uppgifter om organets kunskap och erfarenhet i fråga om dataskyddslagstiftningen samt den sektor eller behandling som avses. Detta krav kan till exempel uppfyllas om det kan visas att övervakningsorganet tidigare har haft en övervakande funktion för en viss sektor. Dessutom välkomnas fördjupade kunskaper om dataskyddsfrågor och expertkunskaper om den specifika behandling som uppförandekoden avser. Personalen vid det föreslagna övervakningsorganet bör dessutom ha lämplig operativ erfarenhet och utbildning för att övervaka förenligheten, till exempel inom området för revision, övervakning eller kvalitetssäkring.

text: 12.4 Upprättade förfaranden och strukturer

text: 70. Ett övervakningsorgan måste även ha lämpliga strukturer och förfaranden för sin egen styrning så att det på lämpligt sätt kan utföra följande uppgifter:  Bedöma personuppgiftsansvarigas och personuppgiftsbiträdens lämplighet att tillämpa uppförandekoden.  Övervaka att bestämmelserna följs.  Kontrollera att uppförandekoden fungerar.

text: 71. Det bör upprättas omfattande prövningsförfaranden för att på lämpligt sätt bedöma personuppgiftsansvarigas och personuppgiftsbiträdens lämplighet att ansluta sig till och följa uppförandekoden. Det bör också säkerställas att bestämmelserna i uppförandekoden kan följas av de personuppgiftsansvariga och personuppgiftsbiträdena.

text: 72. Det krävs förfaranden och strukturer för att aktivt och effektivt övervaka att medlemmarna följer uppförandekoden. Dessa skulle kunna omfatta slumpvisa eller oanmälda revisioner, årliga inspektioner, regelbunden rapportering och användning av frågeformulär . Övervakningsförfarandena kan utformas på olika sätt så länge hänsyn tas till sådana faktorer som de risker vilka uppkommer till följd av uppgiftsbehandlingen inom ramen för koden, inkomna klagomål eller specifika incidenter samt antalet medlemmar i koden osv. Offentliggörande av revisionsrapporter och resultaten av den regelbundna rapporteringen från registeransvariga och registerförare inom ramen för koden.

text: 73. Kodutfärdarna måste också visa att det föreslagna övervakningsorganet har de resurser och den personal som krävs för att utföra uppgifterna på lämpligt sätt. Resurserna bör stå i proportion till det förväntade antalet medlemmar som ansluter sig till uppförandekoden samt till behandlingens komplexitet eller risknivå.

text: 12.5 Öppen klagomålshantering

text: 74. Ett övervakningsorgan måste inrätta effektiva förfaranden och strukturer för att kunna hantera klagomål på ett opartiskt och öppet sätt. Därför måste övervakningsorganet ha ett klagomålshanteringsförfarande som är öppet för allmänheten och som förses med tillräckliga resurser för att hantera klagomål och garantera att organets beslut offentliggörs. Bevis på ett befintligt klagomålshanteringsförfarande kan till exempel vara en beskrivning av en process för att ta emot, bedöma, spåra, registrera och hantera klagomål. Detta kan beskrivas i en offentlig vägledning till uppförandekoden, så att en klagande kan förstå och följa klagomålsprocessen. Dessutom skulle oberoendet i sådana processer kunna främjas av att det finns separat operativ personal och separata ledningsfunktioner vid övervakningsorganet.

text: 75. Övervakningsorganen bör också tillämpa effektiva förfaranden för att säkerställa att personuppgiftsansvariga eller personuppgiftsbiträden följer uppförandekoden. Till exempel kan övervakningsorganet ges befogenheter att stänga av eller utesluta personuppgiftsansvariga eller personuppgiftsbiträden från uppförandekoden, om de inte håller sig inom uppförandekodens ramar (dvs. korrigerande åtgärder).

text: 76. Om en medlem bryter mot uppförandekodens regler, måste övervakningsorganet omedelbart vidta lämpliga åtgärder. Syftet med lämpliga korrigerande åtgärder är att stoppa överträdelsen och se till att den inte upprepas på nytt. Sådana avhjälpande åtgärder och sanktioner kan innefatta alltifrån utbildning till varningar, rapporter till medlemmens styrelse, en formell underrättelse med krav på att vissa åtgärder vidtas inom en viss tid, tillfällig uteslutning av medlemmen från uppförandekoden tills avhjälpande åtgärder vidtas och definitiv uteslutning. Åtgärderna kan offentliggöras av övervakningsorganet, framför allt när allvarliga överträdelser har gjorts av uppförandekoden.

text: 77. Övervakningsorganet bör i nödvändiga fall kunna underrätta medlemmen, kodutfärdaren, den behöriga tillsynsmyndigheten och alla berörda tillsynsmyndigheter om samtliga åtgärder som 78 79 vidtagits och skälet till detta utan onödigt dröjsmål . Om en ansvarig tillsynsmyndighet för en medlem som anslutit sig till en transnationell uppförandekod kan identifieras, bör övervakningsorganet underrätta denna myndighet om åtgärderna.

text: 12.6 Kommunikation med behörig tillsynsmyndighet

text: 78. Enligt ramen för det föreslagna övervakningsorganet måste alla de åtgärder som vidtas av övervakningsorganet kunna delges den behöriga tillsynsmyndigheten och andra tillsynsmyndigheter med avseende på uppförandekoden. Detta kan innefatta beslut om vilka åtgärder som vidtas om en medlem bryter mot uppförandekoden, regelbunden rapportering om uppförandekoden eller tillhandahållande av bedömnings- eller revisionsresultat beträffande denna .

text: 79. Dessutom måste det säkerställas att tillsynsmyndigheten inte påverkas eller hindras i utövandet av sin roll. En uppförandekod enligt vilken medlemmarna enhälligt kan godkänna, återkalla eller utesluta ett övervakningsorgan utan att underrätta eller utan överenskommelse med den behöriga tillsynsmyndigheten skulle strida mot

text: artikel 41.5 i dataskyddsförordningen

text: 12.7 Översynsmekanismer

text: 80. En uppförandekod måste innehålla lämpliga översynsmekanismer för att det ska kunna säkerställas att uppförandekoden förblir relevant och fortsätter bidra till en korrekt tillämpning av dataskyddsförordningen. Översynsmekanismer bör också inrättas för att justera uppförandekoden till eventuella förändringar i tillämpningen och nytolkningar av lagen eller om ny teknisk utveckling kan påverka den personuppgiftsbehandling som medlemmarna utför eller uppförandekodens bestämmelser.

text: 12.8 Rättslig ställning

text: 81. Det föreslagna övervakningsorganet (oavsett om det är internt eller externt) och dess styrningsstrukturer måste utformas på ett sådant sätt att kodutfärdarna kan visa att övervakningsorganet har erforderlig ställning för att utöva sin roll enligt

text: artikel 41.4

text: och kan påföras sanktionsavgifter i enlighet med

text: artikel 83.4 c i dataskyddsförordningen

text: 13 GODKÄNDA UPPFÖRANDEKODER

text: 82. Uppförandekodens typ och innehåll är avgörande för vilken roll berörda aktörer ska ha när det gäller att säkerställa efterlevnad av uppförandekoden och dataskyddsförordningen. De behöriga tillsynsmyndigheterna kommer dock fortfarande att ha en roll i att se till att uppförandekoden fortfarande tjänar sitt syfte.

text: 83. De behöriga tillsynsmyndigheterna ska därför bedriva ett nära samarbete med övervakningsorganet i fråga om de rapporteringskrav som följer av uppförandekoden. Övervakningsorganet ska vara den huvudsakliga kontaktpunkten och huvudsamordnaren i frågor som eventuellt kan uppstå kring uppförandekoden.

text: 84. De behöriga tillsynsmyndigheterna ska också godkänna senare ändringar eller utvidgningar som görs av uppförandekoden och ackreditera nya övervakningsorgan. Enligt

text: artikel 40.5 i dataskyddsförordningen

text: måste även ändringar eller utökningar av en befintlig uppförandekod lämnas in till en behörig tillsynsmyndighet, i linje med de förfaranden som anges i detta dokument.

text: 14 ÅTERKALLELSE AV ETT ÖVERVAKNINGSORGAN

text: 85. Om ett övervakningsorgan inte följer de tillämpliga bestämmelserna i dataskyddsförordningen, ska den behöriga tillsynsmyndigheten ha befogenhet att återkalla ackrediteringen av övervakningsorganet i enlighet med

text: artikel 41.5

text: . Det är viktigt att kodägaren i uppförandekoden anger lämpliga bestämmelser för att hantera en återkallelse.

text: 86. Det faktum att ackrediteringen av det enda övervakningsorganet för en uppförandekod återkallas kan dock leda till att uppförandekoden tillfälligt upphävs eller permanent dras tillbaka, eftersom efterlevnaden inte längre övervakas. Detta kan få negativ inverkan på medlemmarnas anseende eller företagsintressen och leda till ett lägre förtroende från de registrerades eller andra aktörers sida.

text: 87. Återkallelsen bör, när omständigheterna så tillåter, inte ske förrän den behöriga tillsynsmyndigheten har berett övervakningsorganet möjlighet att vidta åtgärder eller förbättra saker och ting beroende på vad som är lämpligt inom överenskommen tid. I ärenden som rör transnationella uppförandekoder bör den behöriga tillsynsmyndigheten kontakta berörda tillsynsmyndigheter i ärendet innan den och övervakningsorganet kommer överens om ramar för att åtgärda problemen. Beslutet att återkalla ett övervakningsorgan bör delges alla berörda tillsynsmyndigheter och styrelsen (för de ändamål som avses i

text: artikel 40.11

text: 15 UPPFÖRANDEKODER FÖR OFFENTLIG SEKTOR

text: 88. Enligt

text: artikel 41.6 i dataskyddsförordningen

text: ska övervakning av godkända uppförandekoder inte gälla behandling som utförs av offentliga myndigheter eller organ . Detta innebär väsentligen att en uppförandekod inte måste övervakas av ett ackrediterat organ. Undantaget innebär på intet sätt någon försvagning av kravet att införa effektiva mekanismer för att övervaka uppförandekoder. Detta kan uppnås genom att de befintliga revisionskraven justeras på så sätt att de även inbegriper övervakning av uppförandekoden. För Europeiska dataskyddsstyrelsen Ordförande (Andrea Jelinek)

text: TILLÄGG 1 – SKILLNADEN MELLAN NATIONELLA OCH TRANSNATIONELLA UPPFÖRANDEKODER

text: Med transnationell uppförandekod avses en uppförandekod för behandling i mer än en medlemsstat. En transnationell uppförandekod kan därför avse behandling som utförs av många olika personuppgiftsansvariga eller personuppgiftsbiträden i flera medlemsstater, utan att det nödvändigtvis rör sig om ”gränsöverskridande behandling” enligt definitionen i

text: artikel 4.23 i dataskyddsförordningen

text: Om en uppförandekod som antas av en nationell sammanslutning i en medlemsstat avser behandling som utförs av dess medlemmar i flera medlemsstater, uppfyller denna därför kraven för en transnationell uppförandekod.

text: Om en medlem som utför gränsöverskridande behandling ansluter sig till en sammanslutning med en uppförandekod som godkänts på nationell nivå, kan denna medlem endast dra nytta av uppförandekoden för behandling i den medlemsstat som godkände uppförandekoden . Mekanismer behöver då införas för att säkerställa att tillräcklig insyn ges i fråga om uppförandekodens faktiska territoriella tillämpningsområde.

text: TILLÄGG 2 – VAL AV BEHÖRIG TILLSYNSMYNDIGHET

text: Kodutfärdarna får själva välja till vilken behörig tillsynsmyndighet de ska skicka in sitt utkast till transnationell uppförandekod för godkännande . Dataskyddsförordningen innehåller inga särskilda regler om hur det ska fastställas vilken behörig tillsynsmyndighet som är mest lämpad att bedöma ett utkast till uppförandekod. För att kodutfärdarna lättare ska kunna identifiera den behöriga myndighet som är bäst lämpad för att bedöma deras uppförandekod kan några av följande faktorer beaktas :

text:  Platsen där den största delen av behandlingen sker eller sektorn finns.  Platsen där merparten registrerade som påverkas av behandlingen eller sektorn finns.  Platsen där kodutfärdarens huvudkontor ligger.  Platsen där det föreslagna övervakningsorganet har sitt huvudkontor.  De initiativ som en tillsynsmyndighet har tagit på ett visst område .

text: Dessa faktorer utgör inte några tvingande kriterier, men valet av behörig tillsynsmyndighet är viktigt och bör ske med omsorg . Den behöriga tillsynsmyndigheten har bland annat i uppgift att fungera som en gemensam kontaktpunkt för kodutfärdarna under godkännandeprocessen, hantera ansökningsförfarandet i samarbetsfasen, ackreditera övervakningsorganet (i tillämpliga fall) och ta rodret över tillsynen för att säkerställa att en godkänd uppförandekod övervakas på ett effektivt sätt.

text: TILLÄGG 3 – CHECKLISTA FÖR INLÄMNING

text: Innan ett utkast till uppförandekod lämnas in till den behöriga tillsynsmyndigheten måste följande uppgifter lämnas in/anges (i förekommande fall) och lämplig vägledning avseende dessa ges i dokumentationen: 1. Har ni lämnat en motivering och alla relevanta styrkande handlingar? (punkt 20) 2. Är ni en sammanslutning eller något annat organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden? (punkt 21) 3. Har ni lämnat uppgifter i dokumentationen som visar att ni faktiskt är ett representativt organ som kan sätta sig in i medlemmarnas behov? (punkt 22) 4. Har ni tydligt redogjort för behandlingen eller sektorn i fråga och de behandlingsrelaterade problem som uppförandekoden är tänkt att avhjälpa? (punkt 23) 5. Har ni fastställt uppförandekodens territoriella tillämpningsområde och bifogat en förteckning över alla berörda tillsynsmyndigheter (i förekommande fall)? (punkt 24) 6. Har ni lämnat uppgifter som motiverar identifieringen av den behöriga tillsynsmyndigheten? (punkt 25) 7. Har ni angett mekanismer som möjliggör en effektiv övervakning av att uppförandekoden följs? (punkt 26) 8. Har ni identifierat ett övervakningsorgan och redogjort för hur det ska uppfylla kraven när det gäller övervakningen av uppförandekoden? (punkt 27) 9. Har ni tagit med information om i vilken mån samråd genomfördes när uppförandekoden togs fram? (punkt 28) 10. Har ni bekräftat att utkastet till uppförandekod överensstämmer med medlemsstatens lagstiftning (i förekommande fall)? (punkt 29) 11. Har ni följt språkkraven? (punkt 30) Innehåller dokumentationen tillräckliga uppgifter för att visa att dataskyddsförordningen tillämpas korrekt? (punkterna 32–41)

text: TILLÄGG 4 – TRANSNATIONELL KOD FLÖDESSCHEMA