Riktlinjer 1/2019 om uppförandekoder och övervakningsorgan enligt förordning (EU) 2016/679

Den 4 juni 2019 Innehållsförteckning

TOC Antagen 3

Europeiska dataskyddsstyrelsen har antagit detta yttrande

med beaktande av artiklarna 70.1 n, 40 och 41 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (nedan kallad dataskyddsförordningen eller förordningen),

med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37 till detta, ändrat genom gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018,

med beaktande av artiklarna 12 och 22 i dess arbetsordning av den 25 maj 2018, och

av följande skäl:

1 INLEDNING

1. Förordning (EU) 2016/679 (dataskyddsförordningen) trädde i kraft den 25 maj 2018. Ett av de främsta målen med förordningen är att ge en enhetlig dataskyddsnivå i hela Europeiska unionen och att undvika avvikelser som hindrar den fria rörligheten för personuppgifter på den inre marknaden . Genom dataskyddsförordningen införs även en ansvarsprincip, som innebär att de personuppgiftsansvariga ska ansvara för och kunna visa att de fullgör sina skyldigheter enligt förordningen . Bestämmelserna om uppförandekoder i artiklarna 40 och 41 i förordningen är en praktisk, potentiellt kostnadseffektiv och meningsfull metod för att åstadkomma ett mer enhetligt skydd för dataskyddsrättigheterna. Uppförandekoder kan användas till att påvisa förenlighet med dataskyddsförordningen . De kan särskilt de bidra till att överbrygga eventuella harmoniseringsklyftor mellan medlemsstaterna i fråga om deras tillämpning av dataskyddslagstiftningen . De ger också särskilda sektorer en möjlighet att överväga gemensam personuppgiftsbehandling och samtycka till skräddarskydda och praktiska dataskyddsbestämmelser, som ska tillgodose behoven inom sektorn och uppfylla kraven i dataskyddsförordningen.

2. Medlemsstaterna, tillsynsmyndigheter, Europeiska dataskyddsstyrelsen (nedan kallad styrelsen) och Europeiska kommissionen (nedan kallad kommissionen) ska uppmuntra utarbetandet av uppförandekoder för att bidra till att förordningen genomförs korrekt . Dessa riktlinjer kommer att vara till hjälp och underlätta ”kodutfärdarnas” arbete med att utarbeta, ändra eller utöka uppförandekoder.

1.1 Riktlinjernas omfattning

3. Syftet med föreliggande riktlinjer är att ge praktisk rådgivning och tolkningsstöd vid tillämpningen av artiklarna 40 och 41 i dataskyddsförordningen. Avsikten är att klargöra vilka förfaranden och regler som gäller för inlämnande, godkännande och offentliggörande av uppförandekoder såväl nationellt som på EU-nivå. I vägledningen anges vilka minimikrav som ska vara uppfyllda för att en behörig tillsynsmyndighet ska godta att göra en ingående översyn och utvärdering av en uppförandekod. Dessutom är syftet att ange vilka innehållsfaktorer som ska beaktas när man utvärderar om en viss uppförandekod bidrar till eller faktiskt gör att dataskyddsförordningen tillämpas korrekt och faktiskt . Avslutningsvis anges vilka krav som gäller för en verklig övervakning av en uppförandekod .

4. Riktlinjerna bör också fungera som en tydlig ram för alla behöriga tillsynsmyndigheter, styrelsen och kommissionen, så att de kan göra en enhetlig utvärdering av uppförandekoderna och tillämpa samma förfaranden i bedömningsprocessen. Ramen bör också leda till ökad insyn så att de kodutfärdare som avser att ansöka om godkännande för sin uppförandekod blir förtrogna med processen och de formella krav och trösklar som gäller för ett godkännande.

5. Styrelsen kommer, i form av separata riktlinjer, att ge vägledning om uppförandekoder som ett verktyg för att överföra personuppgifter enligt artikel 40.3 i dataskyddsförordningen.

6. Alla tidigare godkända uppförandekoder kommer att behöva ses över och bedömas på nytt i enlighet med dataskyddsförordningen. Därefter ska de lämnas in för förnyat godkännande i enlighet med artiklarna 40 och 41 och enligt de förfaranden som anges i detta dokument.

2 DEFINITIONER

ackreditering: en försäkran om att det föreslagna övervakningsorganet uppfyller kraven i artikel 41 i dataskyddsförordningen för att tillåtas övervaka att en uppförandekod efterlevs. Denna kontroll ska utföras av den tillsynsmyndighet till vilken uppförandekoden inlämnats för

godkännande (artikel 41.1). Övervakningsorganets ackreditering gäller endast för en specifik uppförandekod . kodutfärdare: sammanslutningar eller andra organ som utarbetar och lämnar in uppförandekoder . De ska ha en rättslig ställning som uppfyller kraven i uppförandekoden och nationell rätt. tillsynsmyndighet: en tillsynsmyndighet som är behörig enligt artikel 55 i dataskyddsförordningen. övervakningsorgan: organ/kommitté eller organ/kommittéer (kodutfärdarnas interna eller externa organ/kommittéer ) som har en övervakningsroll för att förvissa sig om och säkerställa att uppförandekoden följs på det sätt som avses i artikel 41. berörda tillsynsmyndigheter: sådana myndigheter som avses i artikel 4.22 i dataskyddsförordningen. nationell uppförandekod: en uppförandekod för behandling i en medlemsstat. transnationell uppförandekod: en uppförandekod för behandling i mer än en medlemsstat.

3 VAD ÄR EN UPPFÖRANDEKOD?

7. Enligt dataskyddsförordningen är uppförandekoder frivilliga ansvarighetsverktyg med särskilda dataskyddsregler för olika kategorier av personuppgiftsansvariga och personuppgiftsbiträden. De kan vara ett användbart och effektivt ansvarighetsverktyg med anvisningar om vilket beteenden som ur ett rättsligt och etiskt perspektiv är lämpligast för en viss sektor. Från dataskyddssynpunkt kan uppförandekoderna därmed användas som regelbok för personuppgiftsansvariga och personuppgiftsbiträden i deras arbete med att utforma och genomföra personuppgiftsbehandling i enlighet med dataskyddsförordningen, vilket ger de dataskyddsprinciper som fastställs i europeisk och nationell rätt en praktisk innebörd.

8. Branschorganisationer eller organ som företräder en viss sektor kan skapa uppförandekoder för att hjälpa sektorn att följa dataskyddsförordningen på ett ändamålsenligt och potentiellt kostnadseffektivt sätt. Den icke uttömmande förteckningen i artikel 40.2 i dataskyddsförordningen vittnar om att uppförandekoderna kan omfatta en rad olika områden, till exempel:  Rättvis och öppen behandling.  Personuppgiftsansvarigas berättigade intressen i särskilda sammanhang.  Insamling av personuppgifter; pseudonymisering av personuppgifter.  Information till allmänheten och de registrerade samt registrerades hävdande av sina rättigheter.  Information till och skydd av barn (samt metoder för att erhålla föräldrarnas samtycke).  Tekniska och organisatoriska åtgärder, däribland inbyggt dataskydd och dataskydd som standard samt säkerhetsåtgärder.  Anmälan av överträdelser.  Överföring av personuppgifter till tredjeländer.  Tvistlösningsförfaranden.

9. Dataskyddsförordningen, som innebär att dataskyddsdirektivet (direktiv 95/46/EG) upphävs, innehåller mer specifika och utförligare bestämmelser om uppförandekoder, vilka krav som måste uppfyllas, vilka förfaranden som krävs för att få en uppförandekod godkänd och hur uppförandekoderna ska registreras, offentliggöras och främjas när de väl har godkänts. Tillsammans med riktlinjerna kommer dessa bestämmelser att uppmuntra kodutfärdare att direkt bidra till fastställandet av standarder och regler dataskydd för deras personuppgiftsbehandlande sektorer.

10. Det bör noteras att uppförandekoder är ett av flera användbara, men frivilliga, verktyg bland en rad ansvarighetsverktyg på dataskyddsområdet som erbjuds genom dataskyddsförordningen, till 15 16 exempel konsekvensbedömningar avseende dataskydd och certifiering . De utgör en mekanism som kan användas för att organisationer lättare ska kunna visa att de följer dataskyddsförordningen .

4 VILKA FÖRDELAR HAR UPPFÖRANDEKODER?

11. Uppförandekoder är ett praktiskt, insynsvänligt och potentiellt kostnadseffektivt sätt att fastställa en rad regler som kan bidra till att dataskyddsförordningen tillämpas korrekt, med hänsyn tagen till särdragen inom en viss sektor och/eller dess personuppgiftsbehandling. Mot bakgrund av detta kan uppförandekoder tas fram för personuppgiftsansvariga och personuppgiftsbiträden samtidigt som hänsyn tas till särdragen i behandlingen inom vissa sektorer och de särskilda behoven bland såväl mikroföretag som små och medelstora företag . De kan bli ett särskilt viktigt och fördelaktigt verktyg för sådana företag genom att dessa därigenom får en mekanism för att trygga dataskyddet på ett mer kostnadseffektivt sätt. Mikroföretag som arbetar med liknande forskningsuppgifter på hälsoområdet skulle till exempel kunna få kontakt med varandra genom sina sammanslutningar och gemensamt ta fram en uppförandekod för hur de ska samla in och behandla hälsouppgifter, i stället för att själva försöka göra en sådan omfattande dataskyddsanalys. Även tillsynsmyndigheter kan dra nytta av uppförandekoder för att få bättre kunskap om och inblick i personuppgiftsbehandlingen inom specifika yrken, industrier eller andra sektorer.

12. Uppförandekoder kan underlätta för personuppgiftsansvariga och personuppgiftsbiträden att följa dataskyddsförordningen genom regler på områden som rättvis och transparent behandling, En ansökan om godkännande skulle t.ex. kunna avse en uppsättning regler för hur en viss välgörenhetssektor ska säkerställa en rättvis och öppen behandling. Alternativt skulle välgörenhetssektorn kunna besluta att utarbeta en uppförandekod, som innehåller flera olika bestämmelser i dataskyddsförordningen och tillämpas korrekt så att all behandling inom sektorn omfattas, från den rättsliga grunden för insamling av personuppgifter till anmälan av personuppgiftsincidenter. berättigade intressen, säkerhet samt inbyggt dataskydd och dataskydd som standard, standardåtgärder och skyldigheter för personuppgiftsansvariga. Uppförandekoder finns för alla de sektorer där uppgiftsbehandling sker och kan utarbetas så pass snävt eller omfattande att det gynnar den berörda sektorn , förutsatt att uppförandekoden bidrar till att dataskyddsförordningen tillämpas på ett korrekt och effektivt sätt .

13. Uppförandekoder kan bidra till en viss samreglering och till att personuppgiftsansvariga och personuppgiftsbiträden i mindre utsträckning förlitar sig på datatillsynsmyndigheter för att få utförligare anvisningar om just den behandling som de utför.

14. Uppförandekoder kan ge personuppgiftsansvariga och personuppgiftsbiträden en viss frihet och kontroll att ta fram och komma överens om bästa praxis för sina sektorer. Koderna kan ge tillfälle att konsolidera bästa praxis för personuppgiftsbehandling på särskilda områden. De kan också bli en viktig resurs för företag som måste hantera kritiska problem med sin personuppgiftsbehandling och uppnå bättre efterlevnad av dataskyddskraven.

15. Uppförandekoder kan ge välbehövlig tillit och rättssäkerhet genom att praktiska lösningar ges på vissa sektorers problem med gemensam personuppgiftsbehandling. Vidare uppmuntras en gemensam och konsekvent strategi för att hantera behoven i samband med uppgiftsbehandling inom en viss sektor.

16. Uppförandekoder kan vara ett effektivt verktyg för att vinna de registrerades tillit och förtroende. De kan omfatta en rad olika problem, varav många kan bero på en oro bland allmänheten eller till och med inom den berörda sektorn. Detta gör dem till ett verktyg för förbättrad öppenhet gentemot enskilda personer i fråga om behandlingen av deras personuppgifter. Vid behandling av hälsouppgifter för forskningsändamål, till exempel, kan en fastställd och utförlig uppförandekod bidra till minskad osäkerhet kring vilka åtgärder som bör vidtas för att främja efterlevnad av de bestämmelser som gäller för behandling av känsliga hälsouppgifter. I en sådan uppförandekod skulle följande kunna anges med rimlig öppenhet:  Relevanta skyddsåtgärder att vidta i fråga om den information som lämnas till de registrerade.  Relevanta skyddsåtgärder att vidta när det gäller uppgifter som inhämtas från tredje part.  Delgivning eller spridning av uppgifterna.  Tillämpliga kriterier för att säkerställa respekten för principen om uppgiftsminimering.  Särskilda säkerhetsåtgärder.  Lämpliga tidsplaner för datalagring.  Mekanismer för hantering av uppgifterna som ett resultat av de registrerades utövande av sina rättigheter (enligt artiklarna 32 och 89 i dataskyddsförordningen).

17. Uppförandekoder kan också vara en viktig och användbar mekanism när det gäller internationella överföringar. I och med de nya bestämmelserna i dataskyddsförordningen kan tredje part tillämpa godkända uppförandekoder för att uppfylla de rättsliga kraven att vidta lämpliga skyddsåtgärder vid internationella överföringar av personuppgifter till tredjeländer . Dessutom kan sådana godkända uppförandekoder bidra till att främja och sprida dataskyddsförordningens skyddsnivå till det större internationella samfundet. Dessutom kan det resultera i hållbara och lagenliga internationella överföringar av personuppgifter. De kan också fungera som en mekanism för att stärka och främja de registrerades tillit till och förtroende för personuppgiftsbehandling utanför Europeiska ekonomiska samarbetsområdet (EES) .

18. Antagna uppförandekoder kan fungera som effektiva ansvarighetsverktyg för såväl personuppgiftsbiträden som personuppgiftsansvariga. I enlighet med skäl 77 och artikel 24.3 i dataskyddsförordningen ska tillämpningen av godkända uppförandekoder bland annat ses som en lämplig metod för en personuppgiftsansvarig eller ett personuppgiftsbiträde att påvisa efterlevnad av vissa delar av eller principer i förordningen eller hela förordningen . Huruvida en godkänd uppförandekod tillämpas eller ej är också en faktor som tillsynsmyndigheterna beaktar när de bedömer särskilda delar av personuppgiftsbehandlingen, till exempel säkerhetsaspekterna , när de bedömer behandlingens konsekvenser inom ramen för en konsekvensbedömning avseende 26 27 dataskydd eller när de påför administrativa sanktionsavgifter . Om någon av bestämmelserna i förordningen inte följs, kan det faktum att en aktör anslutit sig till en godkänd uppförandekod eller inte ge tillsynsmyndigheten en uppfattning om nödvändigheten i att påföra effektiva, proportionella och avskräckande administrativa sanktionsavgifter eller vidta andra korrigerande åtgärder .

5 UPPFYLLER UTKASTET TILL KOD TILLÅTLIGHETSKRITERIERNA?

19. En rad villkor måste vara uppfyllda innan en tillsynsmyndighet kan göra en fullständig bedömning och se över en uppförandekod för de ändamål som anges i artikel 40.5 i dataskyddsförordningen. Syftet är att kunna genomföra en faktisk bedömning av alla uppförandekoder. Följande kriterier är tillämpliga:

5.1 Motivering och styrkande handlingar

20. Varje utkast till uppförandekod som lämnas in för godkännande ska innehålla en tydlig och kortfattad motivering, med utförlig information om uppförandekodens syfte, omfattning och hur den kommer att effektivisera tillämpningen av förordningen . Detta kommer att påskynda processen och ge sådana förtydliganden som krävs vid inlämningen. I tillämpliga fall måste också dokumentationen innehålla styrkande dokumentation för att underbygga utkastet till uppförandekod och motiveringen .

5.2 Företrädare

21. Uppförandekoden måste lämnas in av en sammanslutning eller ett konsortium av sammanslutningar eller andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden (kodutfärdare) i enlighet med artikel 40.2. En icke uttömmande lista med exempel på möjliga kodutfärdare skulle omfatta följande: fackförenings- och intresseorganisationer, sektorsorganisationer, akademiska organisationer och intressegrupper.

22. Kodutfärdarna måste bevisa för tillsynsmyndigheten att de faktiskt är ett representativt organ och att de kan sätta sig in i medlemmarnas behov. Vidare måste de tydligt ange vilken behandling eller sektor som uppförandekoden avser. Beroende på hur den berörda sektorn definieras och avgränsas, kan representativiteten härledas från bland annat följande faktorer:  Antalet eller procentandelen potentiella kodmedlemmar från relevanta personuppgiftsansvariga eller personuppgiftsbiträden inom den sektorn.  Det representativa organets erfarenhet av den sektor och behandling som uppförandekoden avser.

5.3 Behandlingens tillämpningsområde

23. Utkastet till uppförandekod måste ha ett definierat tillämpningsområde som klart och tydligt avgränsar personuppgiftsbehandlingen (eller särdragen i behandlingen) samt vilka kategorier av personuppgiftsansvariga eller personuppgiftsbiträden som uppförandekoden omfattar. Detta inbegriper även behandlingsrelaterade problem som uppförandekoden är tänkt att avhjälpa och ge praktiska lösningar på.

5.4 Territoriellt tillämpningsområde

24. Utkastet till uppförandekod måste visa huruvida uppförandekoden är nationell eller transnationell. Vidare ska det innehålla uppgifter om det territoriella tillämpningsområdet och om alla de jurisdiktioner som uppförandekoden ska gälla i. Om det rör sig om transnationella uppförandekoder (samt ändrade eller utökade sådana), ska en förteckning över berörda tillsynsmyndigheter bifogas. I tillägg 1 förklaras skillnaden mellan nationella och transnationella uppförandekoder.

5.5 Inlämning till behöriga tillsynsmyndigheter

25. Kodutfärdarna måste säkerställa att den tillsynsmyndighet som valts för att pröva en uppförandekod är behörig i enlighet med artikel 55 i dataskyddsförordningen . I tillägg 2 ges ytterligare information som kan vara till stöd för kodutfärdarna när de väljer behörig tillsynsmyndighet för en transnationell uppförandekod.

5.6 Översikt över mekanismer

26. Utkastet till uppförandekod ska innehålla förslag till mekanismer för att övervaka att de berörda aktörer som ansluter sig till uppförandekoden följer bestämmelserna . Detta gäller uppförandekoder inom såväl offentlig som privat sektor.

5.7 Övervakningsorgan

27. I utkast till uppförandekoder som innefattar behandling som utförs av privata aktörer, icke-statliga myndigheter eller organ måste det också fastställas ett övervakningsorgan och mekanismer som gör att organet kan utföra sina uppgifter i enlighet med artikel 41 i dataskyddsförordningen . De fastställda övervakningsorganen måste ha den ställning som krävs för att uppfylla kravet att bära det fulla ansvaret för utförandet av sina uppgifter . Övervakningsorganen måste därför vara ackrediterade av den behöriga tillsynsmyndigheten i enlighet med artikel 41.1 i dataskyddsförordningen .

5.8 Samråd

28. Ett utkast till uppförandekod ska innehålla uppgifter om hur omfattande det genomförda samrådet är. Enligt skäl 99 i dataskyddsförordningen bör samråd genomföras med berörda intressenter och, i möjligaste mån, med registrerade när en uppförandekod utformas (eller ändras/utvidgas). Vid inlämnandet av uppförandekoden för godkännande bör därför kodutfärdarna bekräfta och visa att ett lämpligt samråd har genomförts med berörda intressenter. I relevanta fall kommer detta att inbegripa information om andra uppförandekoder som potentiella kodmedlemmar kan omfattas av och visa hur deras koder kompletterar andra koder. Det bör även anges vilken typ av samråd – och på vilken nivå – som genomförts med medlemmarna, andra intressenter och registrerade eller med de sammanslutningar/organ som företräder dessa . I praktiken rekommenderas framför allt att samråd hålls med de medlemmar som ingår i den organisation eller det organ som fungerar som kodutfärdare och under beaktande också av sådan behandling som utförs tillsammans med medlemmarnas kunder. Om inga samråd har kunnat genomföras med berörda och särskilda intressenter, är det kodutfärdarens uppgift att ge en förklaring till detta.

5.9 Nationell lagstiftning

29. Kodutfärdarna måste bekräfta att utkastet till uppförandekod ligger i linje med relevant nationell lagstiftning. Detta gäller inte minst när uppförandekoden avser en sektor som omfattas av särskilda bestämmelser enligt nationell rätt eller om den rör behandling som måste bedömas, med hänsyn tagen till särskilda krav och relevanta rättsliga förpliktelser enligt nationell rätt.

5.10 Språk

30. Kodutfärdarna bör respektera de språkkrav som ställs av den behöriga tillsynsmyndighet som uppförandekoden ska lämnas in till. Generellt sett bör en uppförandekod lämnas in på det språk som används vid den behöriga tillsynsmyndigheten i medlemsstaten . Transnationella uppförandekoder bör lämnas in på den behöriga tillsynsmyndighetens språk och på engelska .

5.11 Checklista

31. I slutändan är det den utsedda behöriga tillsynsmyndighetens sak att avgöra huruvida utkastet till uppförandekod ska gå vidare till nästa steg i bedömningsförfarandet. Detta innebär att den behöriga tillsynsmyndigheten åtar sig att göra en fullständig bedömning av innehållet i enlighet med artiklarna 40 och 41 i dataskyddsförordningen och de förfaranden som anges nedan. Checklistan i tillägg 3 bör användas för referernsdokumentation som lämnats in till en behörig tillsynsmyndighet och för att skapa en ram för inlämnandet av utkastet.

6 KRITERIER FÖR GODKÄNNANDE AV UPPFÖRANDEKODER

32. Kodutfärdarna måste kunna visa hur deras uppförandekod kommer att bidra till en korrekt tillämpning av dataskyddsförordningen, med hänsyn till särdragen inom de olika sektorer där behandling sker och de särskilda kraven och skyldigheterna för de personuppgiftsansvariga eller personuppgiftsbiträden som uppförandekoden riktar sig till. Det finns en rad aspekter av detta övergripande krav. Kodutfärdarna bör kunna visa att utkastet till uppförandekod  tillgodoser ett visst behov inom sektorn eller för behandlingen i fråga,  underlättar tillämpningen av dataskyddsförordningen,  ger närmare information om hur dataskyddsförordningen ska tillämpas,  ger tillräckliga skyddsåtgärder , och  ger effektiva mekanismer för att övervaka efterlevnaden av uppförandekoden.

6.1 Tillgodoseende av ett visst behov

33. Kodutfärdarna måste påvisa behovet av en uppförandekod. Uppförandekoden ska behandla dataskyddsrelaterade problem som uppstår inom en viss sektor eller behandling.

34. Kodutfärdarna bör kunna förklara och ange vilka problem uppförandekoden är tänkt att avhjälpa samt visa att de lösningar som uppförandekoden ger kommer att vara effektiva och gynna såväl medlemmarna som de registrerade.

6.2 Effektivisering av förordningens tillämpning

35. Enligt skäl 98 i dataskyddsförordningen måste kodutfärdarna kunna visa att uppförandekoden effektiviserar tillämpningen av förordningen för att uppförandekoden ska kunna godkännas. I detta avseende måste det tydligt framgå av uppförandekoden vilken sektor som förordningen ska tillämpas på samt vilka de sektorsspecifika behoven är och hur de ska tillgodoses .

6.3 Närmare information om hur dataskyddsförordningen ska tillämpas

36. I uppförandekoderna måste det anges hur dataskyddsförordningen ska tillämpas i praktiken. Vidare måste behandlingstyp och sektor noggrant anges. De torde kunna leda till en tydlig förbättring av dataskyddslagstiftningen inom branschen. De koder som fastställs måste vara realistiska och uppnåeliga för samtliga medlemmar. Vidare måste de vara av en viss kvalitet och stämma överens sinsemellan för att ge tillräckligt mervärde . Med andra ord måste ett utkast till uppförandekod vara tillräckligt inriktat på särskilda dataskyddsområden och sektorsspecifika frågor. Vidare måste tillräckligt tydliga och effektiva lösningar ges med avseende på just dessa områden och problem .

37. En uppförandekod bör inte bara vara en enkel upprepning av dataskyddsförordningen . Syftet bör i stället vara att på ett specifikt, praktiskt tillämpbart och exakt sätt reglera hur dataskyddsförordningen bör tillämpas. De överenskomna standarderna och reglerna måste vara entydiga, konkreta, uppnåeliga och verkställbara (mätbara). Fastställande av särskilda regler på området i fråga är en godtagbar metod genom vilken en uppförandekod kan ge mervärde. Användande av terminologi som är unik och relevant för branschen och angivande av konkreta 47 48 scenarier eller särskilda exempel på ”bästa praxis” kan bidra till uppfyllandet av detta krav .

38. Utarbetandet av planer för att främja den godkända koden för att informera enskilda om att den finns och vad den innebär kan också bidra till standarden att ”specificera tillämpningen” av dataskyddsförordningen. Uppförandekoderna måste ge praktisk innebörd åt dataskyddsprinciperna, såsom anges i artikel 5 i dataskyddsförordningen. Uppförandekoderna måste också ta vederbörlig hänsyn till relevanta yttranden och ståndpunkter som offentliggjorts eller bekräftats av styrelsen med avseende på den specifika sektorn och behandlingen . Uppförandekoder som innehåller specifikationer för uppgiftsbehandling kan också göra det lättare att fastställa lämpliga rättsliga grunder för behandlingen i den medlemsstat som de är avsedda att tillämpas i.

6.4 Ger tillräckliga garantier

39. En uppförandekod bör också uppfylla kraven i artikel 40.5. En uppförandekod kommer endast att kunna godkännas om det konstateras att den ger tillräckligt med lämpliga skyddsåtgärder . I kodutfärdarna måste övertyga en behörig tillsynsmyndighet om att koderna innehåller lämpliga och effektiva skyddsåtgärder för att minska riskerna med uppgiftsbehandlingen samt för de enskildas rättigheter och friheter . Det blir kodutfärdarnas uppgift att tillhandahålla tydlig belägg för att uppförandekoderna uppfyller dessa krav.

6.5 Mekanismer för en effektiv övervakning

40. Enligt artikel 40.4 i dataskyddsförordningen måste en uppförandekod innehålla lämpliga mekanismer för att det ska kunna säkerställas att reglerna övervakas på lämpligt sätt och att effektiva och meningsfulla verkställighetsåtgärder införs för att säkerställa fullständig förenlighet med regelverket. En uppförandekod måste särskilt framhålla och föreslå strukturer och förfaranden för en effektiv övervakning och verkställighet när det gäller överträdelser. Ett utkast till uppförandekod måste även innehålla uppgifter om ett lämpligt organ som förfogar över mekanismer för faktisk övervakning av att uppförandekoden efterlevs. Sådana mekanismer kan vara krav på regelbunden revision och rapportering, tydliga och öppna förfaranden för klagomålshantering och tvistlösning, konkreta sanktioner och rättsmedel vid överträdelser av uppförandekoden samt strategier för att rapportera överträdelser av bestämmelserna.

41. I ett utkast till uppförandekod måste ett övervakningsorgan anges om det hela rör behandling som utförs av icke-statliga myndigheter och organ. Väsentligen får en uppförandekod inte bara avse innehållet i de regler som gäller sektorns uppgiftsbehandling, utan måste också leda till övervakningsmekanismer som säkerställer en effektiv tillämpning av reglerna. Ett utkast till uppförandekod skulle mycket väl kunna innehålla en rad olika övervakningsmekanismer om det finns flera olika övervakningsorgan som utför den faktiska tillsynen. Alla de övervakningsmekanismer som föreslås för en lämplig övervakning av en uppförandekod måste dock vara tydliga, lämpliga, uppnåeliga, effektiva och verkställbara (mätbara). Kodutfärdarna måste ange den logiska grunden och visa varför deras övervakningsförslag är lämpliga och genomförbara i praktiken .

7 INLÄMNING, TILLÅTLIGHET OCH GODKÄNNANDE (NATIONELL KOD)

7.1 Inlämning

42. Kodutfärdarna bör formellt lämna in utkastet till uppförandekod i elektronisk eller skriftlig (utskrift/kopia) form till den behöriga tillsynsmyndigheten . Den behöriga tillsynsmyndigheten ska förse kodutfärdarna med ett mottagningsbevis och pröva huruvida utkastet till uppförandekod uppfyller ovanstående tillåtlighetskriterier innan den gör en fullständig bedömning av innehållet.

7.2 Kodens tillåtlighet

43. Om utkastet till uppförandekod inte godtas därför att tillåtlighetskriterierna inte uppfylls , kommer den behöriga tillsynsmyndigheten att besvara kodutfärdarna skriftligen med en motivering till sitt beslut. Processen kommer att avslutas, och kodutfärdarna kommer att behöva lämna in nya utkast .

44. Om utkastet uppfyller ovanstående kriterier, bör den behöriga tillsynsmyndigheten skriftligen underrätta kodutfärdarna om att den kommer att gå vidare till nästa steg i processen och bedöma innehållet i utkastet till uppförandekod, i enlighet med de relevanta förfaranden som anges i nationell lagstiftning.

7.3 Godkännande

45. Om ingen särskild tidsfrist anges i nationell rätt, bör de behöriga tillsynsmyndigheterna avge ett yttrande inom en rimlig tidsrymd, och de bör hålla dem som upprättat utkastet regelbundet uppdaterade om processen och den preliminära tidsplaneringen. I yttrandet bör de motivera sitt beslut i linje med ovanstående godkännandekriterier .

46. Förfarandet avslutas om de behöriga tillsynsmyndigheterna beslutar att inte godkänna utkastet. Det är då kodutfärdarnas sak att utvärdera yttrandet och revidera utkastet i enlighet därmed. Om de väljer att göra detta, måste de formellt lämna in ett nytt uppdaterat utkast till uppförandekod i ett senare skede.

47. Om de behöriga tillsynsmyndigheterna godkänner ett utkast till uppförandekod måste de registrera och offentliggöra uppförandekoden (på sin webbplats och/eller på andra lämpliga kommunikationssätt) . Enligt artikel 40.11 måste dessutom styrelsen offentliggöra alla godkända uppförandekoder.

8 INLÄMNING, TILLÅTLIGHET OCH GODKÄNNANDE (TRANSNATIONELL KOD)

8.1 Inlämning

48. Kodutfärdarna bör formellt lämna in utkastet till uppförandekod i elektronisk eller skriftlig form till den behöriga tillsynsmyndigheten, som kommer att vara den myndighet som är huvudansvarig för godkännadet av uppförandekoden . Den behöriga tillsynsmyndigheten ska bekräfta för kodutfärdarna att den mottagit dokumentationen och pröva huruvida utkastet till uppförandekod uppfyller ovanstående krav , innan den gör en fullständig bedömning av innehållet. Den behöriga tillsynsmyndigheten ska utan dröjsmål underrätta alla andra tillsynsmyndigheter om att en uppförandekod har lämnats in och tillhandahålla de viktigaste uppgifterna för att underlätta i identifierings- och referenssyfte. Alla tillsynsmyndigheter bör omgående bekräfta huruvida de är berörda tillsynsmyndigheter i enlighet med artikel 4.22 a och b i dataskyddsförordningen .

8.2 Kodens tillåtlighet

49. Om utkastet till uppförandekod inte godtas därför att ovanstående tillåtlighetskriterier inte är uppfyllda, kommer den behöriga tillsynsmyndigheten att besvara kodutfärdarna skriftligen med en motivering till sitt beslut. Processen kommer att avslutas, och kodutfärdarna kommer då att behöva lämna in nya utkast . Den behöriga tillsynsmyndigheten kommer också att underrätta alla berörda tillsynsmyndigheter om sin ståndpunkt.

50. Om utkastet till uppförandekod godtas av den behöriga tillsynsmyndigheten tack vare att tillåtlighetskriterierna är uppfyllda, bör den behöriga tillsynsmyndigheten skriftligen bekräfta för kodutfärdarna att den kommer att gå vidare till nästa steg i processen och bedöma innehållet i utkastet till uppförandekod. Detta kommer att utlösa nedanstående informella samarbetsförfarande för att bedöma den uppförandekod som lämnats in för godkännande.

8.3 Samarbete

51. Den behöriga tillsynsmyndigheten kommer att utfärda en underrättelse till alla tillsynsmyndigheter om sin ståndpunkt med angivande de berörda tillsynsmyndigheterna. Dessa kan välja att inkomma med en begäran om högst två medgranskare som ska bistå vid den materiella bedömningen av utkastet till uppförandekod. Medgranskarna ska utses enligt först-tillkvarn-principen . Medgranskarnas roll ska vara att bistå de behöriga tillsynsmyndigheterna vid bedömningen av utkastet till uppförandekod. Så snart medgranskarna har bekräftats, ska dessa (inom 30 dagar från den dag då de bekräftas som medgranskare) lämna synpunkter på uppförandekodens innehåll . De behöriga myndigheterna beaktar sedan dessa synpunkter vid bedömningen av den uppförandekod som lämnats in för godkännande. Enligt artikel 40.7 i dataskyddsförordningen ska den behöriga tillsynsmyndigheten få sista ordet om huruvida utkastet till beslut ska skickas till styrelsen, i enlighet med artiklarna 63 och 64 i dataskyddsförordningen .

52. De behöriga tillsynsmyndigheterna bör eftersträva att nå fram till ett beslut inom rimlig tid, och de bör hålla kodutfärdarna regelbundet uppdaterade om utvecklingen och den preliminära tidsplaneringen. De bör motivera sitt beslut (att avslå eller godkänna uppförandekoden) i linje med de allmänna grunderna för godkännande och delge kodutfärdarna beslutet i god tid.

8.4 Avslag

53. Om de behöriga tillsynsmyndigheterna beslutar att inte hänskjuta ett utkast till uppförandekod till styrelsen, avslutas förfarandet. Det är då kodutfärdarnas sak att analysera beslutsinnehållet och överväga om utkastet ska revideras. Om de väljer det alternativet, måste de lämna in uppförandekoden för godkännande på nytt i ett senare skede. De behöriga tillsynsmyndigheterna bör även underrätta alla berörda tillsynsmyndigheter om sin ståndpunkt och skälen till att de inte godkänner uppförandekoden.

8.5 Förberedelser inför inlämning till styrelser

54. Om de behöriga tillsynsmyndigheterna avser att godkänna utkastet till uppförandekod, ska de delge alla berörda tillsynsmyndigheter sitt utkast till godkännande. Alla berörda tillsynsmyndigheter har 30 dagar på sig att svara och diskutera eventuella viktiga frågor med berörd undergrupp under styrelsen. Om de berörda tillsynsmyndigheterna inte svarar, förs uppförandekoden vidare till nästa steg i processen.

8.6 Styrelsen

55. Om det beslutas att ärendet ska överlämnas till styrelsen i enlighet med artikel 40.7 i dataskyddsförordningen, ska de behöriga tillsynsmyndigheterna underrätta alla tillsynsmyndigheter om detta enligt mekanismen för enhetlighet . De behöriga tillsynsmyndigheterna ska också överlämna ärendet till styrelsen i linje med deras arbetsordning och artikel 40.7 i dataskyddsförordningen.

56. Enligt artikel 64 ska styrelsen avge ett yttrande om sådana ärenden som avses i artikel 40.7 i dataskyddsförordningen . Styrelsen och de behöriga tillsynsmyndigheterna ska följa styrelsens arbetsordning och bestämmelserna i artikel 64, när de bedömer och delger ett beslut om godkännande av transnationella uppförandekoder.

8.7 Godkännande

57. Styrelsens yttrande ska delges de behöriga tillsynsmyndigheterna i enlighet med artikel 64.5 i dataskyddsförordningen, och det är de senares uppgift att bedöma om utkastet till beslut ska bibehållas eller ändras i enlighet med artikel 40.5 . Styrelsen kan också lämna in ett yttrande till kommissionen enligt artikel 40.8, och styrelsen ska i enlighet med artikel 40.11 samla alla godkända transnationella uppförandekoder och offentliggöra dem.

9 DELTAGANDE

58. Det bör noteras att bedömningsprocessen inte bör utnyttjas till att hålla ytterligare samråd med den behöriga tillsynsmyndigheten om bestämmelserna i den uppförandekod som inlämnats. Enligt artikel 40.5 har den behöriga tillsynsmyndigheten i uppgift att yttra sig om huruvida utkastet till uppförandekod överensstämmer med dataskyddsförordningen . Kommunikationen mellan de behöriga tillsynsmyndigheterna och kodutfärdarna i detta skede av processen sker framför allt i klargörande syfte och för att bidra till en sådan bedömning som avses i artiklarna 40 och 41. Man räknar med att kodutfärdarna, i tillämpliga fall, ska upprätthålla kontakter med tillsynsmyndigheterna innan de lämnar in sitt utkast till uppförandekod för godkännande. I princip bör godkännandeskedet inte inbjuda till ytterligare samråd från kodutfärdarnas sida om särskilda bestämmelser i utkastet till uppförandekod. Det bör inte heller ges möjlighet till någon utökad bedömning med ändringar som kontinuerligt lämnas in till de behöriga tillsynsmyndigheterna. Kodutfärdarna måste också finnas tillgängliga för att svara på frågor om förtydliganden av sina utkast till uppförandekoder och detta under en rimlig tidsperiod. Kodutfärdarna måste vara förberedda på och ha den organisation som krävs för att besvara frågor på ett effektivt och skickligt sätt. Det rekommenderas även att gemensamma eller särskilda kontaktpunkter upprättas för de behöriga tillsynsmyndigheterna. Det är de behöriga tillsynsmyndigheternas sak att avgöra huruvida de behöver mer information innan de beslutar om utkastet till uppförandekod. Det är också deras sak att bestämma hur eventuell kommunikation ska ske mellan parterna. Av kontinuitetsskäl ska de behöriga tillsynsmyndigheterna också förbli den huvudsakliga kontaktpunkten under hela godkännandeprocessen när det gäller transnationella uppförandekoder.

10 KOMMISSIONENS ROLL

59. Kommissionen får genom genomförandeakter besluta att en godkänd transnationell uppförandekod ska ha allmän giltighet inom unionen och ska dessutom se till att de offentliggörs på lämpligt sätt i förekommande fall .

11 ÖVERVAKNING AV EN UPPFÖRANDEKOD

60. För att en uppförandekod (nationell eller transnationell) ska godkännas måste ett (eller flera) övervakningsorgan utses inom ramen för uppförandekoden och ackrediteras av de behöriga tillsynsmyndigheterna för att faktiskt övervaka uppförandekoden . De behöriga tillsynsmyndigheterna ska lämna in sina förslag till krav för ackreditering av ett övervakningsorgan till styrelsen i enlighet med den mekanism för enhetlighet som avses i artikel 63 i dataskyddsförordningen. Så snart styrelsen godkänt kraven, kan de behöriga tillsynsmyndigheterna tillämpa dessa för ackreditering av övervakningsorganet.

61. Någon definition av begreppet ”ackreditering” ges inte i dataskyddsförordningen. I artikel 41.2 anges dock de allmänna kraven för ackreditering av övervakningsorgan. Det finns ett antal krav som måste vara uppfyllda för att de behöriga tillsynsmyndigheterna ska ackreditera ett övervakningsorgan. Kodutfärdarna måste förklara och visa att det övervakningsorgan som de föreslår uppfyller ackrediteringskraven i artikel 41.2.

62. Dataskyddsförordningen ger en viss flexibilitet avseende typ och struktur, när det gäller det övervakningsorgan som ska ackrediteras enligt artikel 41. Kodutfärdarna får besluta att använda externa eller interna övervakningsorgan, förutsatt att organet i fråga uppfyller ackrediteringskraven i artikel 41.2, som delas upp i de åtta olika kraven nedan.

12 KRAV FÖR ACKREDITERING AV ÖVERVAKNINGSORGAN

12.1 Oberoende

63. Kodutfärdarna måste visa att organet i fråga är vederbörligen oberoende med avseende på dess opartiska funktion i förhållande till uppförandekodens medlemmar och uppförandekodens omfattning (yrkesgrupp, bransch eller sektor). Oberoendet kan påvisas på flera olika sätt, till exempel genom hur övervakningsorganet finansieras, hur medlemmarna/personalen utses, hur beslutsfattandet går till och, mer generellt, hur organisationsstrukturen ser ut. Detta behandlas mer ingående nedan.

64. Det finns två huvudmodeller för övervakning som kodutfärdarna kan använda för att uppfylla de krav som ställs i fråga om övervakningsorganen: externa och interna övervakningsorgan. Dessa båda övervakningsmetoder erbjuder en viss flexibilitet och andra varianter kan föreslås som är passande för uppförandekodens kontext. Interna övervakningsorgan kan till exempel vara en intern ad hoc-kommitté eller en separat, oberoende avdelning hos kodutfärdaren. Det ankommer på kodutfärdarna att redogöra för sin riskhanteringsmetod när det gäller organets opartiskhet och oberoende.

65. Om ett internt övervakningsorgan föreslås, bör organets personal, förvaltning, ansvarighet och funktion separeras från övriga delar av organisationen. Detta kan ske på olika sätt, till exempel genom faktiska begränsningar avseende organisation eller information samt separata förvaltningsstrukturer för sammanslutningen och övervakningsorganet. Övervakningsorganet bör, på samma sätt som ett dataskyddsombud, kunna agera utan instruktioner och ska skyddas från alla slags sanktioner eller kränkningar (direkta som indirekta) till följd av att organet utför sina uppgifter.

66. Oberoende kan innebära att ett externt rättsligt ombud, eller någon annan part som deltagit i utarbetandet av uppförandekoden, måste visa att lämpliga skyddsåtgärder har funnits tillgängliga för att minska risken för oberoende- eller intressekonflikter i tillräcklig grad. Övervakningsorganet måste styrka mekanismernas lämplighet för att på ett adekvat sätt identifiera och minska sådana risker på ett tillfredsställande sätt . Ett övervakningsorgan måste fortlöpande identifiera faktorer som riskerar dess opartiskhet, till exempel till följd av dess verksamhet eller förbindelser. Om en risk för övervakningsorganets opartiskhet identifieras, bör organet visa hur det undanröjer eller minimerar sådana risker och att det använder en lämplig mekanism för att trygga sin opartiskhet.

67. Oberoendet kan också styrkas om fullständigt oberoende avseende förvaltningen av budgeten och andra resurser kan påvisas, framför allt i fall där det rör sig om ett internt övervakningsorgan. Ett övervakningsorgan måste också vara oberoende i beslut om påföljder för en personuppgiftsansvarig eller ett personuppgiftsbiträde som tillämpar uppförandekoden. I grund och botten måste organet – oavsett om det är internt eller externt – agera utan att låta sig påverkas av kodutfärdare och medlemmar inom ramen för uppförandekodens tillämpningsområde när det utför sina uppgifter och utövar sina befogenheter.

12.2 Intressekonflikt

68. Det måste kunna påvisas att övervakningsorganets fullgörande av sina uppgifter och uppdrag inte leder till intressekonflikt. Kodutfärdarna måste därför visa att det föreslagna övervakningsorganet kommer att avstå från alla slags åtgärder som är oförenliga med dess uppgifter och uppdrag, samt att skyddsåtgärder har införts för att säkerställa att det kommer att avstå från annan avlönad eller oavlönad yrkesverksamhet som står i strid med dess uppdrag. På samma sätt måste övervakningsorganet stå fritt från utomstående påverkan, direkt såväl som indirekt, och det får varken begära eller ta emot instruktioner av någon person, organisation eller sammanslutning. Organet bör förfoga över egen personal som det självt väljer eller som väljs av något annat oberoende organ och som ska ta instruktioner uteslutande från dessa organ. Interna övervakningsorgan ska skyddas från alla slags sanktioner eller kränkningar (direkta som indirekta) från kodutfärdaren, relevanta organ eller medlemmar som omfattas av uppförandekoden till följd av att de har utfört sina uppgifter.

12.3 Expertis

69. Kodutfärdarna måste kunna visa att övervakningsorganet besitter den expertis som krävs för att utföra sin uppgift på ett effektivt sätt. Dokumentationen måste därför innehålla uppgifter om organets kunskap och erfarenhet i fråga om dataskyddslagstiftningen samt den sektor eller behandling som avses. Detta krav kan till exempel uppfyllas om det kan visas att övervakningsorganet tidigare har haft en övervakande funktion för en viss sektor. Dessutom välkomnas fördjupade kunskaper om dataskyddsfrågor och expertkunskaper om den specifika behandling som uppförandekoden avser. Personalen vid det föreslagna övervakningsorganet bör dessutom ha lämplig operativ erfarenhet och utbildning för att övervaka förenligheten, till exempel inom området för revision, övervakning eller kvalitetssäkring.

12.4 Upprättade förfaranden och strukturer

70. Ett övervakningsorgan måste även ha lämpliga strukturer och förfaranden för sin egen styrning så att det på lämpligt sätt kan utföra följande uppgifter:  Bedöma personuppgiftsansvarigas och personuppgiftsbiträdens lämplighet att tillämpa uppförandekoden.  Övervaka att bestämmelserna följs.  Kontrollera att uppförandekoden fungerar.

71. Det bör upprättas omfattande prövningsförfaranden för att på lämpligt sätt bedöma personuppgiftsansvarigas och personuppgiftsbiträdens lämplighet att ansluta sig till och följa uppförandekoden. Det bör också säkerställas att bestämmelserna i uppförandekoden kan följas av de personuppgiftsansvariga och personuppgiftsbiträdena.

72. Det krävs förfaranden och strukturer för att aktivt och effektivt övervaka att medlemmarna följer uppförandekoden. Dessa skulle kunna omfatta slumpvisa eller oanmälda revisioner, årliga inspektioner, regelbunden rapportering och användning av frågeformulär . Övervakningsförfarandena kan utformas på olika sätt så länge hänsyn tas till sådana faktorer som de risker vilka uppkommer till följd av uppgiftsbehandlingen inom ramen för koden, inkomna klagomål eller specifika incidenter samt antalet medlemmar i koden osv. Offentliggörande av revisionsrapporter och resultaten av den regelbundna rapporteringen från registeransvariga och registerförare inom ramen för koden.

73. Kodutfärdarna måste också visa att det föreslagna övervakningsorganet har de resurser och den personal som krävs för att utföra uppgifterna på lämpligt sätt. Resurserna bör stå i proportion till det förväntade antalet medlemmar som ansluter sig till uppförandekoden samt till behandlingens komplexitet eller risknivå.

12.5 Öppen klagomålshantering

74. Ett övervakningsorgan måste inrätta effektiva förfaranden och strukturer för att kunna hantera klagomål på ett opartiskt och öppet sätt. Därför måste övervakningsorganet ha ett klagomålshanteringsförfarande som är öppet för allmänheten och som förses med tillräckliga resurser för att hantera klagomål och garantera att organets beslut offentliggörs. Bevis på ett befintligt klagomålshanteringsförfarande kan till exempel vara en beskrivning av en process för att ta emot, bedöma, spåra, registrera och hantera klagomål. Detta kan beskrivas i en offentlig vägledning till uppförandekoden, så att en klagande kan förstå och följa klagomålsprocessen. Dessutom skulle oberoendet i sådana processer kunna främjas av att det finns separat operativ personal och separata ledningsfunktioner vid övervakningsorganet.

75. Övervakningsorganen bör också tillämpa effektiva förfaranden för att säkerställa att personuppgiftsansvariga eller personuppgiftsbiträden följer uppförandekoden. Till exempel kan övervakningsorganet ges befogenheter att stänga av eller utesluta personuppgiftsansvariga eller personuppgiftsbiträden från uppförandekoden, om de inte håller sig inom uppförandekodens ramar (dvs. korrigerande åtgärder).

76. Om en medlem bryter mot uppförandekodens regler, måste övervakningsorganet omedelbart vidta lämpliga åtgärder. Syftet med lämpliga korrigerande åtgärder är att stoppa överträdelsen och se till att den inte upprepas på nytt. Sådana avhjälpande åtgärder och sanktioner kan innefatta alltifrån utbildning till varningar, rapporter till medlemmens styrelse, en formell underrättelse med krav på att vissa åtgärder vidtas inom en viss tid, tillfällig uteslutning av medlemmen från uppförandekoden tills avhjälpande åtgärder vidtas och definitiv uteslutning. Åtgärderna kan offentliggöras av övervakningsorganet, framför allt när allvarliga överträdelser har gjorts av uppförandekoden.

77. Övervakningsorganet bör i nödvändiga fall kunna underrätta medlemmen, kodutfärdaren, den behöriga tillsynsmyndigheten och alla berörda tillsynsmyndigheter om samtliga åtgärder som 78 79 vidtagits och skälet till detta utan onödigt dröjsmål . Om en ansvarig tillsynsmyndighet för en medlem som anslutit sig till en transnationell uppförandekod kan identifieras, bör övervakningsorganet underrätta denna myndighet om åtgärderna.

12.6 Kommunikation med behörig tillsynsmyndighet

78. Enligt ramen för det föreslagna övervakningsorganet måste alla de åtgärder som vidtas av övervakningsorganet kunna delges den behöriga tillsynsmyndigheten och andra tillsynsmyndigheter med avseende på uppförandekoden. Detta kan innefatta beslut om vilka åtgärder som vidtas om en medlem bryter mot uppförandekoden, regelbunden rapportering om uppförandekoden eller tillhandahållande av bedömnings- eller revisionsresultat beträffande denna .

79. Dessutom måste det säkerställas att tillsynsmyndigheten inte påverkas eller hindras i utövandet av sin roll. En uppförandekod enligt vilken medlemmarna enhälligt kan godkänna, återkalla eller utesluta ett övervakningsorgan utan att underrätta eller utan överenskommelse med den behöriga tillsynsmyndigheten skulle strida mot artikel 41.5 i dataskyddsförordningen.

12.7 Översynsmekanismer

80. En uppförandekod måste innehålla lämpliga översynsmekanismer för att det ska kunna säkerställas att uppförandekoden förblir relevant och fortsätter bidra till en korrekt tillämpning av dataskyddsförordningen. Översynsmekanismer bör också inrättas för att justera uppförandekoden till eventuella förändringar i tillämpningen och nytolkningar av lagen eller om ny teknisk utveckling kan påverka den personuppgiftsbehandling som medlemmarna utför eller uppförandekodens bestämmelser.

12.8 Rättslig ställning

81. Det föreslagna övervakningsorganet (oavsett om det är internt eller externt) och dess styrningsstrukturer måste utformas på ett sådant sätt att kodutfärdarna kan visa att övervakningsorganet har erforderlig ställning för att utöva sin roll enligt artikel 41.4 och kan påföras sanktionsavgifter i enlighet med artikel 83.4 c i dataskyddsförordningen.

13 GODKÄNDA UPPFÖRANDEKODER

82. Uppförandekodens typ och innehåll är avgörande för vilken roll berörda aktörer ska ha när det gäller att säkerställa efterlevnad av uppförandekoden och dataskyddsförordningen. De behöriga tillsynsmyndigheterna kommer dock fortfarande att ha en roll i att se till att uppförandekoden fortfarande tjänar sitt syfte.

83. De behöriga tillsynsmyndigheterna ska därför bedriva ett nära samarbete med övervakningsorganet i fråga om de rapporteringskrav som följer av uppförandekoden. Övervakningsorganet ska vara den huvudsakliga kontaktpunkten och huvudsamordnaren i frågor som eventuellt kan uppstå kring uppförandekoden.

84. De behöriga tillsynsmyndigheterna ska också godkänna senare ändringar eller utvidgningar som görs av uppförandekoden och ackreditera nya övervakningsorgan. Enligt artikel 40.5 i dataskyddsförordningen måste även ändringar eller utökningar av en befintlig uppförandekod lämnas in till en behörig tillsynsmyndighet, i linje med de förfaranden som anges i detta dokument.

14 ÅTERKALLELSE AV ETT ÖVERVAKNINGSORGAN

85. Om ett övervakningsorgan inte följer de tillämpliga bestämmelserna i dataskyddsförordningen, ska den behöriga tillsynsmyndigheten ha befogenhet att återkalla ackrediteringen av övervakningsorganet i enlighet med artikel 41.5 . Det är viktigt att kodägaren i uppförandekoden anger lämpliga bestämmelser för att hantera en återkallelse.

86. Det faktum att ackrediteringen av det enda övervakningsorganet för en uppförandekod återkallas kan dock leda till att uppförandekoden tillfälligt upphävs eller permanent dras tillbaka, eftersom efterlevnaden inte längre övervakas. Detta kan få negativ inverkan på medlemmarnas anseende eller företagsintressen och leda till ett lägre förtroende från de registrerades eller andra aktörers sida.

87. Återkallelsen bör, när omständigheterna så tillåter, inte ske förrän den behöriga tillsynsmyndigheten har berett övervakningsorganet möjlighet att vidta åtgärder eller förbättra saker och ting beroende på vad som är lämpligt inom överenskommen tid. I ärenden som rör transnationella uppförandekoder bör den behöriga tillsynsmyndigheten kontakta berörda tillsynsmyndigheter i ärendet innan den och övervakningsorganet kommer överens om ramar för att åtgärda problemen. Beslutet att återkalla ett övervakningsorgan bör delges alla berörda tillsynsmyndigheter och styrelsen (för de ändamål som avses i artikel 40.11).

15 UPPFÖRANDEKODER FÖR OFFENTLIG SEKTOR

88. Enligt artikel 41.6 i dataskyddsförordningen ska övervakning av godkända uppförandekoder inte gälla behandling som utförs av offentliga myndigheter eller organ . Detta innebär väsentligen att en uppförandekod inte måste övervakas av ett ackrediterat organ. Undantaget innebär på intet sätt någon försvagning av kravet att införa effektiva mekanismer för att övervaka uppförandekoder. Detta kan uppnås genom att de befintliga revisionskraven justeras på så sätt att de även inbegriper övervakning av uppförandekoden. För Europeiska dataskyddsstyrelsen Ordförande (Andrea Jelinek)

TILLÄGG 1 – SKILLNADEN MELLAN NATIONELLA OCH TRANSNATIONELLA UPPFÖRANDEKODER

Med transnationell uppförandekod avses en uppförandekod för behandling i mer än en medlemsstat. En transnationell uppförandekod kan därför avse behandling som utförs av många olika personuppgiftsansvariga eller personuppgiftsbiträden i flera medlemsstater, utan att det nödvändigtvis rör sig om ”gränsöverskridande behandling” enligt definitionen i artikel 4.23 i dataskyddsförordningen.

Om en uppförandekod som antas av en nationell sammanslutning i en medlemsstat avser behandling som utförs av dess medlemmar i flera medlemsstater, uppfyller denna därför kraven för en transnationell uppförandekod.

Om en medlem som utför gränsöverskridande behandling ansluter sig till en sammanslutning med en uppförandekod som godkänts på nationell nivå, kan denna medlem endast dra nytta av uppförandekoden för behandling i den medlemsstat som godkände uppförandekoden . Mekanismer behöver då införas för att säkerställa att tillräcklig insyn ges i fråga om uppförandekodens faktiska territoriella tillämpningsområde.

TILLÄGG 2 – VAL AV BEHÖRIG TILLSYNSMYNDIGHET

Kodutfärdarna får själva välja till vilken behörig tillsynsmyndighet de ska skicka in sitt utkast till transnationell uppförandekod för godkännande . Dataskyddsförordningen innehåller inga särskilda regler om hur det ska fastställas vilken behörig tillsynsmyndighet som är mest lämpad att bedöma ett utkast till uppförandekod. För att kodutfärdarna lättare ska kunna identifiera den behöriga myndighet som är bäst lämpad för att bedöma deras uppförandekod kan några av följande faktorer beaktas :

 Platsen där den största delen av behandlingen sker eller sektorn finns.  Platsen där merparten registrerade som påverkas av behandlingen eller sektorn finns.  Platsen där kodutfärdarens huvudkontor ligger.  Platsen där det föreslagna övervakningsorganet har sitt huvudkontor.  De initiativ som en tillsynsmyndighet har tagit på ett visst område .

Dessa faktorer utgör inte några tvingande kriterier, men valet av behörig tillsynsmyndighet är viktigt och bör ske med omsorg . Den behöriga tillsynsmyndigheten har bland annat i uppgift att fungera som en gemensam kontaktpunkt för kodutfärdarna under godkännandeprocessen, hantera ansökningsförfarandet i samarbetsfasen, ackreditera övervakningsorganet (i tillämpliga fall) och ta rodret över tillsynen för att säkerställa att en godkänd uppförandekod övervakas på ett effektivt sätt.

TILLÄGG 3 – CHECKLISTA FÖR INLÄMNING

Innan ett utkast till uppförandekod lämnas in till den behöriga tillsynsmyndigheten måste följande uppgifter lämnas in/anges (i förekommande fall) och lämplig vägledning avseende dessa ges i dokumentationen: 1. Har ni lämnat en motivering och alla relevanta styrkande handlingar? (punkt 20) 2. Är ni en sammanslutning eller något annat organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden? (punkt 21) 3. Har ni lämnat uppgifter i dokumentationen som visar att ni faktiskt är ett representativt organ som kan sätta sig in i medlemmarnas behov? (punkt 22) 4. Har ni tydligt redogjort för behandlingen eller sektorn i fråga och de behandlingsrelaterade problem som uppförandekoden är tänkt att avhjälpa? (punkt 23) 5. Har ni fastställt uppförandekodens territoriella tillämpningsområde och bifogat en förteckning över alla berörda tillsynsmyndigheter (i förekommande fall)? (punkt 24) 6. Har ni lämnat uppgifter som motiverar identifieringen av den behöriga tillsynsmyndigheten? (punkt 25) 7. Har ni angett mekanismer som möjliggör en effektiv övervakning av att uppförandekoden följs? (punkt 26) 8. Har ni identifierat ett övervakningsorgan och redogjort för hur det ska uppfylla kraven när det gäller övervakningen av uppförandekoden? (punkt 27) 9. Har ni tagit med information om i vilken mån samråd genomfördes när uppförandekoden togs fram? (punkt 28) 10. Har ni bekräftat att utkastet till uppförandekod överensstämmer med medlemsstatens lagstiftning (i förekommande fall)? (punkt 29) 11. Har ni följt språkkraven? (punkt 30) Innehåller dokumentationen tillräckliga uppgifter för att visa att dataskyddsförordningen tillämpas korrekt? (punkterna 32–41)

TILLÄGG 4 – TRANSNATIONELL KOD FLÖDESSCHEMA