Изисквания за акредитация на орган за наблюдение на кодекс за поведение съгласно чл. 41 от Регламент (ЕС) 2016/679, приети с решение на КЗЛД от 20.07.2022 г. и във връзка със Становище 14/2022 на ЕКЗД по чл. 64, пар. 1 от Регламент (ЕС) 2016/679

1. Независимост

(1) По смисъла на чл. 41, пар. 1 от Регламент (ЕС) 2016/679 кандидатът за акредитация трябва да демонстрира и докаже своята независимост и безпристрастност. „Независимост и безпристрастност“ са модел на поведение, който се изразява във вземането на решения по вътрешно убеждение и в съответствие със закона, при което засегнатите от тези решения лица се третират равнопоставено, при липса на правна, икономическа, финансова, организационна, лична, професионална или друга зависимост между вземащия решенията и засегнатите от тях лица.

(2) В производството пред компетентния надзорен орган кандидатът за акредитация предоставя информация за правноорганизационна си форма и правния си статут, включително цялата информация, необходима за установяване наличието на предпоставките за упражняване на функциите му и за носене на отговорност в случай на нарушение.

(3)  С изключение на случаите, в които информацията може да бъде получена служебно от компетентния надзорен орган, кандидатът предоставя имената на своите представители и, ако са различни, имената на лицата, отговорни за неговото управление и контрол. Целта е да се определи кой е отговорен за действията или бездействията на наблюдаващия орган и да се определи организационната структура, срещу която да се предприемат действия в случай на неспазване на нейните задължения, като същата следва да е установена в Европейското икономическо пространство (ЕИП). В случаите, когато кандидатът не е установен на територията на Република България, той определя представител, който да служи за точка за контакт с компетентния надзорен орган.

(4) В производството пред компетентния надзорен орган кандидатът за акредитация гарантира и демонстрира, чрез своята организационна структура и официалните правила за определянето му/конституирането му, че може да действа свободно, без да получава указания от други лица и по-специално, че при изпълнение на задачите му по чл. 41, пар. 1 от Регламент (ЕС) 2016/679 е защитен от всякакъв вид намеса, влияние или санкции от страна на издателя на кодекса, от администраторите или обработващите лични данни, спрямо които ще осъществява наблюдение (администраторите/обработващите, които ще прилагат кодекса) и от всяко друго образувание, което осъществява дейност в сектора/бранша, регулиран от кодекса.

(5) Без да се засягат правомощията на компетентния надзорен орган, решенията на органа за наблюдение не могат да подлежат на одобрение или преразглеждане от който и да било друг орган, структура или организация.

(6) Изискването за независимост и безпристрастност се демонстрира в следните основни области:

• правни процедури и процедури за вземане на решения;
• финансиране;
• организационна структура;
• човешки ресурси и експертен опит;
• отчетност.

1. Правни процедури и процедури за вземане на решения

(7) Приложимите за кандидата правни процедури и процедури за вземане на решения трябва да бъдат от такова естество, че да предотвратяват външна намеса и влияние.

Доказването на независимост и безпристрастност може да стане чрез представяне на компетентния надзорен орган на всяко от следните (което е приложимо): 

• учредителните актове на кандидата за акредитация и на издателя на кодекса;
• организационната структура на кандидата за акредитация, вкл. неговата органиграма;
• извлечения от  регистри, доказващи вписаните в тях обстоятелства;
• информация относно процеса на вземане на решения, свързани с наблюдението на кодекса за поведение (в случай, че не е предмет на регламентация в учредителния акт) и ангажираните в този процес лица и структури, включително чрез посочване на ролите, задълженията и отговорностите на всички страни, участващи в процеса по вземане на решения и/или свързани с процедурите за вземане на решение, мандатност на органа за наблюдение;
• характера на вземаните решения (обвързващи или необвързващи), свързани с наблюдението на кодекса за поведение и механизмите за тяхното прилагане, респ. правните последици от неизпълнението им;
• декларация(и), че не е налице правна, икономическа, финансова, организационна, лична, професионална или друга зависимост между вземащия решенията и засегнатите от тях лица;
• описание на наличните ресурси за изпълнение на дейността по наблюдение на кодекса за поведение;
• всяка друга относима информация, доказваща независимостта и безпристрастността на кандидата, напр. политика за изпълнение на задълженията като орган за наблюдение, в т.ч. информация относно предприетите мерки за намаляване на евентуалните рискове за независимостта и безпристрастността, мерки за защита срещу освобождаване от длъжност или налагане на наказания за изпълнение на функциите на орган за наблюдение.

2. Финансиране

(8) Кандидатът трябва да разполага с финансови ресурси, които са достатъчни за независимо и ефективно изпълнение на задачите и отговорностите по чл. 41, пар. 1 от Регламент (ЕС) 2016/679. При преценката дали финансирането е достатъчно, се отчитат големината на сектора/бранша, очакваният брой, вид и „големина“ на администраторите на лични данни/обработващите лични данни, които се очаква да прилагат кодекса, рисковете за физическите лица, които обработването на лични данни поражда и неговите естество и обхват съобразно предмета на кодекса.

(9) Източниците на финансиране на кандидата не трябва да поставят под съмнение неговата независимост и безпристрастност при изпълнение на задълженията му като орган за наблюдение на кодекса за поведение.

(10) Кандидатът за акредитация демонстрира и доказва, че правилата и условията, свързани с неговото финансиране, гарантират устойчивост и непрекъснатост на дейностите по наблюдение на кодекса и отчитат рисковете, произтичащи от дейността като орган за наблюдение, като напр. отпадане на източник на финансиране (изключване на член на кодекса, когато органът за наблюдение се финансира чрез такси от неговите членове, спиране на финансовите вноски от страна на член на кодекса, за да избегне коригираща мярка, наложена от органа за наблюдение), носене на административнонаказателна отговорност от органа за наблюдение. Във връзка с това органът за наблюдение демонстрира и доказва, че източниците му на финансиране не зависят единствено от таксите, кумулирани от присъединилите се членове на наблюдавания кодекс за поведение.

Спазването на изискването за финансова независимост може да бъде доказано чрез предоставяне на информация относно източниците на финансиране, както и информация, свидетелстваща за финансовите договорености между органа за наблюдение и членовете на кодекса включително как се изчислява размерът на вноската, честотата, с която се плаща, и финансовите договорености в случай на оттегляне на член от кодекса за поведение.

Органът за наблюдение е финансово независим, ако правилата, уреждащи неговото финансиране, не позволяват на член на кодекса, който е обект на разследване/проверка от органа за наблюдение, да спре изплащането на дължимите такси към него, с цел да избегне потенциална санкция от същия (например: правила и процедури, учредяване на гаранционен депозит и т.н.).

3. Статут и организационна структура

(11) За да бъде акредитиран и да се гарантира в пълна степен носенето на административнонаказателна отговорност по Регламент (ЕС) 2016/679, кандидатът за акредитация трябва да има правосубектност по националното право, както и да бъде деликтоспособен. Той може да осъществява своята дейност като вътрешен или външен орган за наблюдение  спрямо издателя на кодекса, като изборът на конкретен подход е в преценката на издателя на кодекса. Вътрешен орган за наблюдение може да бъде създаван само в рамките на структурата на издателя на кодекса. Създаването на такъв орган в рамките на член на кодекса е недопустимо.

(12) Кандидатът за акредитация като вътрешен орган трябва да демонстрира и гарантира пълна автономност и независимост на управлението на специално определения си бюджет и на другите ресурси, с които ще разполага. В тази връзка, вътрешният орган следва да има собствен или нает персонал и управление, които, при изпълнение на функциите като орган за наблюдение, са независими от други дейности и задачи, които биха могли да изпълняват в свое друго функционално качество. В този случай, вътрешният орган следва да се въздържа от всякакви действия или бездействия, които са несъвместими с неговите задължения по см. на чл. 41 от Регламент (ЕС) 2016/679.

(13) Кандидатът за акредитация като вътрешен орган доказва, че задачите, които ще изпълнява като орган за наблюдение, са отделени от другите функционални области на издателя на кодекса. Той не трябва да получава никакви указания, нито да бъде освобождаван във връзка с изпълнението на функциите си като орган за наблюдение на кодекс за поведение. Вътрешният орган следва да бъде защитен от всякакъв вид санкции или намеси (преки или непреки) при изпълнението на своите задачи.

(14) Преценката за структурирането на вътрешен орган за наблюдение е изцяло на издателя на кодекса. В този случай, издателят на кодекса за поведение отчита организационната си специфика и дейностите по обработване на лични данни, попадащи в приложното поле на кодекса за поведение. Такива могат да бъдат напр. ad hoc вътрешен комитет, отделно и независимо структурно звено в рамките на издателя на кодекса и др.

Доказването на горните обстоятелства, относими към вътрешен орган за наблюдение, може да се постигне по редица начини, например с вътрешни правила, които уреждат различни канали за информация и докладване и организационна обособеност (т.нар. организационни и информационни бариери между органа за наблюдение и останалите структури за управление на отчетността на  кандидата); оперативен персонал, нарочно определен за изпълнение на функциите и задачите на орган за наблюдение; отделни оперативни и управленски функции; отделен или определен за целите на наблюдението на кодекса бюджет, който му гарантира самостоятелност и независимост при изпълнение на функциите по отношение конкретния кодекс за поведение; самостоятелно лого или наименование на органа за наблюдение (ако е приложимо); отделен достъп до информационно-комуникационните системи и ресурси; анализ на рисковете за гарантиране на организационна и функционална независимост и мерките за предотвратяване или минимизиране на тези рискове.

(15) Независимо от избрания подход (вътрешен или външен орган), органът за наблюдение е длъжен да гарантира безпристрастно изпълнение на своите функции. За тази цел той трябва да докаже, че разполага с достатъчен брой подходящо квалифицирани служители (персонал), технически, материални и логистични ресурси за ефективно изпълнение на функциите си по чл. 41, пар. 1 от Регламент (ЕС) 2016/679. За доказване на организационната си независимост, кандидатът за акредитация представя информация относно организационно-структурната връзка и взаимоотношения, които има с издателя на кодекса, а при необходимост и с другите вътрешни звена в неговата организация.

(16) Органът за наблюдение (вътрешен или външен) доказва, че е в състояние свободно да избира, назначава и управлява персонала с цел безпристрастно изпълнение на задачите си. Независимо дали изборът на персонал се извършва от самия орган за наблюдение или чрез външен доставчик на услуги, процесът по набиране, подбор и назначаване, управлението и освобождаването на персонала не следва да се влияе от издателя на кодекса за поведение, нито от който и да е негов член. Персоналът на органа за наблюдение не трябва да бъде санкциониран или по какъвто и да е друг начин да търпи неблагоприятни последици, произтичащи от факта на изпълнението на служебните му задължения за целите на чл. 41, пар. 1 от Регламент (ЕС) 2016/679.

(17) Наблюдаващият орган не може изцяло да прехвърля функциите си на подизпълнители. В случай че наблюдаващият орган възлага на подизпълнители част от функциите си, той гарантира, че те отговарят на всички приложими условия, посочени в настоящите изисквания, по-специално независимост, липса на конфликт на интереси и наличие на експертни познания. Органът за наблюдение уточнява задачите и ролите, които подизпълнителите ще изпълняват. Органът за наблюдение е винаги отговорен за вземането на решения и за изпълнението на задълженията си, дори когато използва услугите на подизпълнители. В тази връзка органът за наблюдение трябва да осигури ефективно наблюдение върху дейността на неговите подизпълнители.

За целите на изпълнение на изискванията по т. I. 3 кандидатът за акредитация може да предостави на компетентния надзорен орган доказателства, които включват напр. организационно-щатна структура; приложимите правила, процедури и изисквания за наемане на членовете на персонала на кандидата, оправомощени да вземат решения, свързани с дейностите по наблюдение на кодекса за поведение и условията за изпълнение на възложените им функции или длъжности (трудови договори, заповеди, длъжностни характеристики, информация за разпределение на отговорностите, извлечение от трудови досиета на персонала); приложимите правила и процедури за определяне и изплащане на възнаграждението на членовете на персонала на кандидата, оправомощени да вземат решения, свързани с дейностите по наблюдение на кодекса за поведение; методологии за оценка на необходимостта от отделни кадри; риск регистър и всяка друга относима информация по преценка на кандидата.

4. Отчетност

(18) В производството пред компетентния надзорен орган кандидатът за акредитация обяснява и мотивира своята независимост и безпристрастност по отношение на:

• Администраторите на лични данни/обработващите данни, които ще прилагат конкретния кодекс за поведение; и
• Издателя на кодекса.

(19) В производството по акредитация, кандидатът демонстрира, че носи отговорност и е в състояние да докаже вземането на решения и предприемането на действия в изпълнение на своите задължения по чл. 41, пар. 1 от Регламент (ЕС) 2016/679.

(20) Отчетността може да бъде демонстрирана чрез предоставяне на доказателства, че органът за наблюдение е въвел мерки за документиране на процеса по вземане на решения, по осъществяване на наблюдението върху спазването на приложимите правила и процедури и е установил процедури за докладване, за да осигури независимост и безпристрастност.

Такива доказателства могат да включват, но не се ограничават до извлечения от регистри, декларации, длъжностни и функционални характеристики, управленски доклади, политики за повишаване на осведомеността сред персонала относно управленските структури и съществуващите процедури (напр. обучения).

(21) Кандидатът за акредитация трябва да има вътрешни процедури за съхранение на документи и доказателства за спазването на всички изисквания за акредитация и да ги предоставя на компетентния надзорен орган със заявлението или при допълнително поискване.

(22) След акредитацията си, органът за наблюдение води регистър на предприетите действия в рамките на своите задачи, включително, когато е уместно, дата, продължителност, видове предприети действия, засегнати членове на наблюдавания кодекс за поведение и техните действия, както и резултат от действието. При поискване, този регистър се предоставя на компетентния надзорен орган.

1. Конфликт на интереси

(23) Конфликт на интереси е състояние, при което има конфликт между задължение(я) по чл. 41, пар. 1 от Регламент (ЕС) 2016/679 на органа за наблюдение, негов член или служител или наети от него физически или юридически лица, като подизпълнители, от една страна и техен частен интерес, от друга страна. Частен е всеки интерес, който води до облага от материален или нематериален характер и/или влияе върху безпристрастното и обективно изпълнение на задълженията и функциите по чл. 41, пар. 1 от Регламента. Наличието или липсата на конфликт на интереси се преценява съобразно конкретния сектор/бранш, по отношение на който се прилага кодексът за поведение и се осъществяват функциите по наблюдение (по-специално по отношение издателя на кодекса за поведение и/или членовете на кодекса).

(24) Кандидатът за акредитация доказва, че изпълнението на неговите функции няма да доведе до конфликт на интереси както за самия него, така и по отношение на неговите служители, като ограничава своите действия само в рамките на закона. При изпълнение на своите функции по чл. 41, пар. 1 от Регламента, органът за наблюдение действа по безпристрастен начин и не подлежи на пряко или непряко санкционно действие по отношение на изпълнение на задълженията си, както и не допуска пряко или непряко въздействие от търговски, финансов или друг характер, което компрометира неговата обективност и безпристрастност при вземане на решенията.

(25) Кандидатът за акредитация извършва преценка и идентифицира ситуации, които е вероятно да създадат конфликт на интереси, и установява вътрешни правила, за да се избегнат конфликти на интереси, предизвикани от неговите дейности, взаимоотношения, организация или процедури.

Доказването на липсата на конфликт на интереси може да стане чрез правила и процедури за предотвратяване, идентифициране, намаляване или елиминиране на риска от конфликт на интереси през времето на мандата на органа за наблюдение, напр. чрез стратегия за идентифициране и управление на риска от възникване на конфликт на интереси.

По отношение на вътрешните отношения в рамките на органа за наблюдение това може да се докаже с наличието на процедура, която да гарантира, че предишните трудови и други отношения и настоящите функции на неговите служители и управленски персонал не накърняват неговата обективност и безпристрастност. Липсата на конфликт на интереси на служителите и на управленския персонал на кандидата за акредитация може да се докаже чрез изясняване на организационната структура на кандидата, източниците на финансиране на неговата дейност, предишни и настоящи договорни и други отношения с издателя на кодекса или негови членове, процедурите за набиране на персонал и изискванията за заемане на съответните длъжности или изпълнението на задачи (напр. въвеждане на изисквания за несъвместимост), възнагражденията им, наложените дисциплинарни наказания, продължителността на техния трудов или друг вид договор, провеждането на обучения и повишаване на квалификацията, наличието на вътрешни правила за управление на персонала и договори за тяхната заетост (напр. задължения за конфиденциалност, забрана за извършване на определени дейности), както и задължение за докладване на ситуации, които водят до потенциален конфликт на интереси и въвеждане на процедура за отвод/самоотвод и/или евентуално заместване при потенциален конфликт на интереси на член на органа за наблюдение или на неговия персонал.

• Експертен опит

(26) Кандидатът за акредитация доказва, че неговите членове, служители или други ангажирани лица, които вземат решения във връзка с функциите по наблюдение по чл. 41, пар. 1 от Регламента, разполагат с подходяща правна, технически и одитни познания и експертиза по отношение на спецификите на кодекса за поведение, който той ще наблюдава и която поддържа чрез непрекъснато професионално развитие и обучение на своя персонал. За подходящи познания и експертиза на горепосочените лица, която е налична и се поддържа от кандидата, се счита:

• задълбочено разбиране на законодателството за защита на данните и опит в неговото прилагане; и
• задълбочени познания и опит в сектора, за които е предназначен кодекса за поведение; и
• знания и опит в одитната дейност, с оглед осигуряване на адекватно наблюдение на съответствието.

(27) По правило, експертизата на всеки кандидат за акредитация се оценява в съответствие със спецификите на конкретния кодекс за поведение, който той ще наблюдава. В този смисъл, самият кодекс за поведение може да въвежда допълнителни или специфични изисквания към експертните знания и опит на персонала на органа за наблюдение, напр. образователни изисквания, продължителност на професионалния опит и др. В тези случаи, в производството по акредитация кандидатът за акредитация доказва съответствие и с тези допълнителни или специфични изисквания.

(28) Кандидатът за акредитация доказва, че нивото на експертизата, включително броя на експертите, с които разполага, отговарят на необходимото за ефективното наблюдение на конкретен кодекс за поведение, като се има предвид очаквания брой членове на кодекса за поведение, естеството и обема на обработваните категории лични данни, сложността на конкретните процеси по обработване, засегнатите категории и брой субекти на данни, както и различните рискове за техните права, свободи и интереси.

Правните, техническите и одитните аспекти на експертните знания и опит може да бъдат демонстрирани например чрез:

–  дипломи, сертификати, удостоверения и др. документи, свидетелстващи за придобита квалификация или преминато обучение;

– доказателства за натрупан практически опит (напр. договори с предмет в областта на защитата на личните данни, дейности по мониторинг или одит и/или задачи, свързани с предмета на дейност на сектора/бранша, длъжностни характеристики и др.), знания и умения, включително  награди от конкурси, референции и др. подобни;

– професионални биографии на членовете на екипа, членство в професионални организации, доказателства за признати професионални и научни постижения, публикации в специализирани издания и т.н.;

– наличие на процедури и програми за постоянно обучение и усъвършенстване съобразно спецификата на конкретния кодекс за поведение.

1. Структури, ресурси и установени процедури за осъществяване на наблюдението на кодекса за поведение

(29) Кандидатът за акредитация трябва да разполага с подходяща рамка за управление, включваща процедури, структури и ресурси, за да докаже пред компетентния надзорен орган, че е в състояние да:

• оцени годността на администраторите и/или обработващите за присъединяване като членове към съответния кодекс на поведение (напр. принадлежност към сектора/бранша, за който се отнася кодексът и извършване на операции по обработване в неговия предметен обхват);
• наблюдава непрекъснато спазването на разпоредбите на кодекса за поведение;
• извършва периодичен преглед и оценка на приложението на кодекса.

(30) Наблюдението на кодекса за поведение се осъществява непрекъснато. Кандидатът представя доказателства за изпълнението на това изискване, като за целта отчита рисковете за правата и свободите на физическите лица, които обработването на данни поражда, получените жалби, установените нарушения на кодекса за поведение, териториалния му обхват и броя на членуващите в него администратори/обработващи.

(31) Кандидатът за акредитация демонстрира, че неговите човешки ресурси са подходящи за очаквания брой и големина на отделните членове на кодекса, както и сложността или степента на риск на съответните операции по обработване на данни в съответствие с абзац 73 от Насоки 1/2019.

(32) Органът за наблюдение отговаря за управлението на цялата придобита информация по време на изпълнение на възложената му функция, съобразно приложимите нормативни изисквания. За тази цел, в производството пред компетентния надзорен орган, той демонстрира, че служителите му са обвързани със задължение за поверителност при управление на информацията във връзка с изпълнението на възложените им задачи, вкл. при обработването на лични данни.

(33) Освен като елемент на независимостта, кандидатът доказва, че разполага с достатъчно финансови средства и финансова устойчивост, за да изпълнява ефективно задачите си и по линия на изискването за наличие на установени процедури и структури за наблюдение на кодекса за поведение.

Горните изисквания могат да бъдат изпълнени чрез разработване и представяне пред компетентния надзорен орган на:

– процедура за проверка на годността на администраторите и/или обработващите лични данни да се присъединят и да спазват изискванията на кодекса за поведение;

– органиграмата на органа за наблюдение, придружена с подробно описание на длъжностите и функциите на отделните служители в съответствие със задачите по наблюдение на конкретния кодекс за поведение и изискванията за изпълнение на съответните длъжности и задачи;

– наличие на методология за одитната дейност (напр. проверки/одити, докладване на хода на изпълнение на задълженията на членовете на кодекса, на срещани трудности, на идентифицирани нарушения на кодекса за поведение, на извършване на самооценка/самонаблюдение), определяща критериите за съответствие, чието спазване трябва да бъде оценено и документиране на изводите от тази дейност. Проверките/одитите могат да бъдат случайни, внезапни, по конкретен случай или при конкретен член на кодекса за поведение, планови, годишни, вкл. чрез попълване на въпросници и т.н.

– образци и бланки на документацията, която се поддържа за извършване на одитите, включително за констатациите, резултатите и отстраняването на несъответствията;

– процедура за превенция, установяване, разследване или отстраняване на нарушения на кодекса за поведение; задължение за оповестяване на обществеността на информация относно извършваното наблюдение, вкл. резюмета на одитните доклади или констатациите от мониторинга.

1. Прозрачно разглеждане на жалби

(34) Кандидатът за акредитация представя пред компетентния надзорен орган доказателства относно  наличието на процедура/процедури за независимо, безпристрастно и прозрачно разглеждане на жалби за нарушения на кодекса за поведение или за начина на прилагането му. Кандидатът демонстрира, че е създал адекватна организация за това и че е обезпечил с достатъчно ресурси извършването на тази дейност.

(35) Кандидатът за акредитация доказва, че разполага с ефективна, безпристрастна и прозрачна процедура за разглеждане на жалби (в т.ч. получаване, регистрация, разглеждане и решаване по същество) в рамките на разумен период от време.

(36) Информацията за процеса на разглеждане на жалби трябва да бъде ясна, публично достъпна и изготвена на език, лесно разбираем за субектите на данни. Процесът по разглеждане на жалби трябва да включва задължение за органа за наблюдение да направи своите решения или обща информация за тях публично достъпни.

(37) Процедурите, които трябва да бъдат ясни, прозрачни и лесно достъпни за субектите на данни, е необходимо да отговарят на следните принципи и критерии:

• Безплатно подаване на жалби срещу администраторите/обработващите, придържащи се към кодекса за поведение;
• Лесен и достъпен начин за подаване на жалба, вкл. по електронен път;
• Прозрачност и проследимост, позволяваща на заинтересованите страни да получават информация относно напредъка на разглежданите жалби;
• Състезателно производство, което гарантира равнопоставеност между страните и защита на техните права. След като жалбата бъде получена, тя се изпраща на съответния член на кодекса за поведение, срещу когото е подадена и му се дава възможност да изрази становище по повод твърдените в жалбата факти и нарушения, като за това се предвижда разумен срок, който не може да надвишава 1 (един) месец;
• Бързина. При разглеждането на жалбата трябва да се вземе решение в рамките на разумен период от време, не по-дълъг от 3 (три) месеца. Удължаване на срока е допустимо по изключение, като се вземат предвид конкретни особености (като напр. обем на дейностите по обработване на лични данни) и степента на фактическа и правна сложност на разглеждания спор. В случай на удължаване на този срок, наблюдаващият орган информира своевременно жалбоподателя за напредъка;
• Градация на прилаганите корективи мерки, които са предвидени в кодекса за поведение, напр. обучение, предупреждение, суспендиране на членството в кодекса или изключване от кодекса за поведение, което им позволява да бъдат адаптирани към степента на нарушението и наред с това са ефективни, пропорционални и възпиращи;
• Уведомяване на страните по спора за предприетите действия и решения;
• Осигуряване на публичност на приетите решения по постъпилите жалби;
• Периодично публикуване на статистически данни с резултатите от последващите дейности, като например броя и предмета на получените жалби, вида на установените нарушения и приложените корективи мерки.

(38) След акредитацията си органът за наблюдение регистрира и води отчет на всички жалби, предприетите корективи действия и резултатите от тях, които по всяко време са на разположение за проверка от компетентния надзорен орган.

Горните изисквания могат да се докажат пред компетентния надзорен орган с представяне на одобрена писмена процедура със съдържание съгласно посочените в т. V параметри.

1. Комуникация с компетентния надзорен орган

(39) Кандидатът за акредитация гарантира, че ще докладва ежегодно на компетентния надзорен орган (до края на месец януари) за извършените дейности по наблюдение от предходната година, включително както мерките и действията, предприети за проверка на спазването на кодекса за поведение, така и резултатите от тях, като напр. брой и вид на получените и разгледани жалби и резултатите от тях, брой администратори/обработващи, членуващи в кодекса, брой извършени проверки/одити и др. предприети действия в изпълнение на функциите на орган за наблюдение.

(40) Без да се засяга задължението за ежегодно докладване органът за наблюдение, във всички случаи, трябва да има процедура за по-честа комуникация с компетентния надзорен орган, когато е необходимо, в частност за случаи като: предприети действия при нарушение на кодекса и причините за тях, подходящи ad hoc или периодични доклади, прегледи или заключения от одити.

При настъпване на съществена промяна по отношение на наблюдаващия орган, която може да повлияе на независимостта, експертните знания или да породи конфликт на интереси, органът за наблюдение гарантира, че разполага с процедура за информиране на компетентния надзорен орган без ненужно забавяне, за да започне, ако е необходимо, нова процедура за акредитация. Такива съществени промени могат да включват, но не се ограничават до:

• Промени в правно, търговско или организационно състояние, както и промени, свързани със собствеността на органа за наблюдение;
• Структура, управление и/или персонал;
• Ресурсите и промяна на адреса/мястото на установяване на органа;
• Суспендиране/отмяна на суспендирането или изключване на член от кодекса за поведение (в този случай органът за наблюдение информира компетентния надзорен орган за мотивите за своето решение и критериите, по които е преценил тежестта на нарушението и взетото решение);
• Съществени нарушения на кодекса за поведение (в този случай докладът до компетентния надзорен орган включва и информация относно предприетите от органа за наблюдение действия във връзка с тези нарушения);
• Всички други обстоятелства, които биха могли да повлияят на способността на наблюдаващия орган да изпълни изискванията за акредитация (вкл. такива, които в  резултат на дейностите по наблюдение на кодекса засягат или могат да засегнат неговото действие/приложение).

За доказване на съответствието с т. VI в производството пред компетентния надзорен орган кандидатът може да представи процедурата, по която планира да докладва предприетите дейности по наблюдение на кодекса за поведение, както и принципното типово съдържание на този доклад, вкл. критериите, по които той прави извод за настъпили съществени промени в условията на акредитацията си.

• Механизъм за преглед

(41) Органът за наблюдение играе ключова роля при преразглеждането на съответния кодекс за поведение с цел гарантиране неговата добавена стойност по смисъла на чл. 40, пар. 1 от Регламент (ЕС) 2016/679. За тази цел, кандидатът за акредитация демонстрира пред компетентния надзорен орган, че има процедури за оценка на ефективността на кодекса, които позволяват да се оцени дали той остава относим за членовете му и дали продължава да бъде в съответствие с приложимото законодателство в областта на защитата на личните данни, или по друг начин следва да се преразгледа и да се адаптира към констатациите от извършените оценки. За тази цел, органът за наблюдение ежегодно информира издателя на кодекса или друга структура, ако такава е предвидена в кодекса, относно действието/приложението на кодекса и/или необходимостта за евентуална промяна/актуализация на кодекса за поведение. Такава необходимост може да възникне напр. при промяна в приложимото законодателство или с цел съобразяване с най-новите технологични развития, ако това може да има въздействие върху обработването в обхвата на кодекса или при промяна на приложението и интерпретацията на законодателството, което оказва въздействие върху процесите по обработване на лични данни, осъществявани от членовете на кодекса или от разпоредбите на самия кодекс. Ежегодната информация също така следва да включва данни относно: нови членове на кодекса; суспендиране или изключване на членове; установени нарушения; разгледани жалби; изводи на органа за наблюдение от извършени проверки/одити.

(42) Органът за наблюдение прилага механизми, които да способстват за уведомяването на издателя на кодекса за необходимостта от неговото преразглеждане, за да гарантира, че той остава подходящ за целите на правилното прилагане на законодателството за защита на личните данни. Органът за наблюдение информира издателя на кодекса и препоръчва съответните негови части да бъдат преразгледани в съответствие с извършения преглед и оценка. Задължението за актуализация на кодекса остава на издателя на кодекса.

Задължението за периодичен преглед на кодекса за поведение може да бъде доказано от кандидата за акредитация в производството пред компетентния надзорен орган чрез писмени процедури или планове, приети от кандидата. Тези процедури могат да включват задължение за органа за наблюдение да предоставя ежегодна информация на издателя на кодекса, като напр.:

– потвърждение, че е извършен преглед на кодекса, оценките и заключенията на органа за наблюдение в резултат на този преглед, както и анализ дали е необходима актуализация (изменения и допълнения), в т.ч. конкретни препоръки за изменения;

– информация относно възникнали нарушения на сигурността на личните данни по отношение на членовете на кодекса и свързания с това анализ с цел предприемане на действия за ограничаване на рисковете, разгледаните жалби и извършените действия по наблюдение, ако е приложимо;

 – потвърждение, че няма съществени промени, касаещи органа за наблюдение;   

– информация относно членството в кодекса, в т.ч. нови членове, суспендирани, изключени.

VIII.       Отговорност

(43) Органът за наблюдение не носи отговорност за нарушения на изискванията за защита на личните данни, извършени от членовете, прилагащи кодекса. Той може да бъде санкциониран от компетентния надзорен орган за неспазване на задълженията си или за непредприемане на подходящи мерки, когато правилата на кодекса за поведение са нарушени. Затова кандидат за акредитация, независимо дали е външен или вътрешен, може да бъде само лице или структура, която покрива изискванията на чл. 41, пар. 4 от Регламент (ЕС) 2016/679 и чийто правен статут позволява носенето на административнонаказателна отговорност по чл. 83, пар. 4, б. „в“ от същия.

1. Език на производството по акредитация

(44) Производството по акредитация на орган за наблюдение на кодекс за поведение се води на български език. Документи, издадени на чужд език, трябва да бъдат представени от кандидата и с точен превод на български, удостоверен от заклет преводач.

1. Акредитация

(45) Акредитацията, нейното подновяване и отнемането ѝ се извършват с решение на компетентния надзорен орган.

(46) Вследствие на извършената акредитация компетентния надзорен орган издава удостоверение  на акредитирания орган за наблюдение на кодекс за поведение.

(47) Акредитацията, в т.ч. подновяването ѝ, се издава за срок от 5 години, освен ако кодексът за поведение предвижда по-кратък срок за изпълнение на функциите на орган за наблюдение.

1. Приложимост на изискванията по т. I–X

(48) Предвидените с настоящия документ изисквания за акредитация, обособени в т. I–X по-горе, се отнасят за целия период на акредитация на даден орган за наблюдение (вътрешен или външен). Когато самият кодекс за поведение въвежда допълнителни или специфични изисквания към органа за наблюдение, кандидатът доказва съответствие и с тях.

(49) При изпълнение на своите задачи акредитираният орган за наблюдение мотивира всички свои решения, вкл. и за суспендиране на членството или за изключване на член на кодекса за поведение.

(50) При подаване на заявление за акредитация пред компетентния надзорен орган, кандидатът представя всички относими документи, които доказват съответствието с настоящите изисквания, вкл. при поискване от компетентния надзорен орган.

(51) Задълженията на кандидата да гарантира и/или да демонстрира изпълнението на определени изисквания, дължими в рамките на производството по акредитация пред компетентния надзорен орган, се изпълняват и по време на нейното действие. Компетентният надзорен орган може да изисква периодично информация от акредитираните органи за наблюдение, за да провери дали те продължават да отговарят на изискванията, както и сама да инициира проверки за тази цел.

Изисквания за акредитация на орган за наблюдение на кодекс за поведение

Последна редакция: 08.07.2026