REGULAMENTUL (UE) 2016/679 (RGPD 2018) privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date

(c) colectarea datelor cu caracter personal;
(d) pseudonimizarea datelor cu caracter personal;
(e) informarea publicului si a persoanelor vizate;
(f) exercitarea drepturilor persoanelor vizate;
(g) informarea si protejarea copiilor si modalitatea in care trebuie obtinut consimtamantul titularilor raspunderii parintesti asupra copiilor;
(h) masurile si procedurile mentionate la articolele 24 si 25 si masurile de asigurare a securitatii prelucrarii, mentionate la articolul 32;
(i) notificarea autoritatilor de supraveghere cu privire la incalcarile securitatii datelor cu caracter personal si informarea persoanelor vizate cu privire la aceste incalcari;
(j) transferul de date cu caracter personal catre tari terte sau organizatii internationale; sau
(k) proceduri extrajudiciare si alte proceduri de solutionare a litigiilor pentru solutionarea litigiilor intre operatori si persoanele vizate in ceea ce priveste prelucrarea, fara a aduce atingere drepturilor persoanelor vizate, in temeiul articolelor 77 si 79.
(3) La codurile de conduita aprobate in temeiul alineatului (5) din prezentul articol si care au o valabilitate generala in temeiul alineatului (9) din prezentul articol pot adera nu numai operatorii sau persoanele imputernicite de operatori care fac obiectul prezentului regulament, ci si operatorii sau persoanele imputernicite de operatori care nu fac obiectul prezentului regulament in temeiul articolului 3, in scopul de a oferi garantii adecvate in cadrul transferurilor de date cu caracter personal catre tari terte sau organizatii internationale in conditiile mentionate la articolul 46 alineatul (2) litera (e). Acesti operatori sau persoane imputernicite de operatori isi asuma angajamente cu caracter obligatoriu si executoriu, prin intermediul unor instrumente contractuale sau al altor instrumente obligatorii din punct de vedere juridic, in scopul aplicarii garantiilor adecvate respective, inclusiv cu privire la drepturile persoanelor vizate.
(4) Codul de conduita prevazut la alineatul (2) din prezentul articol cuprinde mecanisme care permit organismului mentionat la articolul 41 alineatul (1) sa efectueze monitorizarea obligatorie a respectarii dispozitiilor acestuia de catre operatorii sau persoanele imputernicite de operatori care se angajeaza sa il aplice, fara a aduce atingere sarcinilor si competentelor autoritatilor de supraveghere care sunt competente in temeiul articolului 55 sau 56.
(5) Asociatiile si alte organisme mentionate la alineatul (2) din prezentul articol care intentioneaza sa pregateasca un cod de conduita sau sa modifice sau sa extinda un cod existent transmit proiectul de cod, de modificare sau de extindere autoritatii de supraveghere care este competenta in temeiul articolului 55. Autoritatea de supraveghere emite un aviz cu privire la conformitatea cu prezentul regulament a proiectului de cod, de modificare sau de extindere si il aproba in cazul in care se constata ca acesta ofera garantii adecvate suficiente.
(6) In cazul in care proiectul de cod, de modificare sau de extindere este aprobat in conformitate cu alineatul (5), iar codul de conduita in cauza nu are legatura cu activitatile de prelucrare din mai multe state membre, autoritatea de supraveghere inregistreaza si publica codul .
(7) In cazul in care un proiect de cod de conduita, de modificare sau de extindere are legatura cu activitatile de prelucrare din mai multe state membre, inainte de aprobare, autoritatea de supraveghere competenta in temeiul articolului 55 il transmite, prin procedura mentionata la articolul 63, comitetului, care emite un aviz cu privire la conformitatea cu prezentul regulament a proiectului respectiv, sau, in situatia mentionata la alineatul (3) din prezentul articol, ofera garantii adecvate.
(8) In cazul in care avizul mentionat la alineatul (7) confirma conformitatea cu prezentul regulament a proiectului de cod, de modificare sau de extindere sau in cazul in care, in situatia mentionata la alineatul (3), ofera garantii adecvate, comitetul transmite avizul sau Comisiei.
(9) Comisia poate adopta acte de punere in aplicare pentru a decide ca codul de conduita, modificarea sau extinderea aprobate care i-au fost prezentate in temeiul alineatului (8) din prezentul articol au valabilitate generala in Uniune. Actele de punere in aplicare respective se adopta in conformitate cu procedura de examinare prevazuta la articolul 93 alineatul (2).
(10) Comisia asigura publicitatea adecvata pentru codurile aprobate asupra carora s-a decis ca au valabilitate generala in conformitate cu alineatul (9).
(11) Comitetul regrupeaza toate codurile de conduita, modificarile si extinderile aprobate intr-un registru si le pune la dispozitia publicului prin mijloace corespunzatoare.

Articolul 41
Monitorizarea codurilor de conduita aprobate
(1) Fara a aduce atingere sarcinilor si competentelor autoritatii de supraveghere competente in temeiul articolelor 57 si 58, monitorizarea respectarii unui cod de conduita in temeiul articolului 40 poate fi realizata de un organism care dispune de un nivel adecvat de expertiza in legatura cu obiectul codului si care este acreditat in acest scop de autoritatea de supraveghere competenta .
(2) Un organism mentionat la alineatul (1) poate fi acreditat pentru monitorizarea respectarii unui cod de conduita daca:
(a) a demonstrat autoritatii de supraveghere competente, intr-un mod satisfacator, independenta si expertiza sa in legatura cu obiectul codului;
(b) a instituit proceduri care ii permit sa evalueze eligibilitatea operatorilor si a persoanelor imputernicite de operatori in vederea aplicarii codului, sa monitorizeze respectarea de catre acestia a dispozitiilor codului si sa revizuiasca periodic functionarea acestuia;
(c) a instituit proceduri si structuri pentru tratarea plangerilor privind incalcari ale codului sau privind modul in care codul a fost sau este pus in aplicare de un operator sau o persoana imputernicita de operator, precum si pentru asigurarea transparentei acestor proceduri si structuri pentru persoanele vizate si pentru public; si
(d) a demonstrat autoritatii de supraveghere competente, intr-un mod satisfacator, ca sarcinile si atributiile sale nu creeaza conflicte de interese.
(3) Autoritatea de supraveghere competenta transmite proiectul de criterii pentru acreditarea unui organism mentionat la alineatul (1) din prezentul articol comitetului, in conformitate cu mecanismul pentru asigurarea coerentei mentionat la articolul 63.
(4) Fara a aduce atingere sarcinilor si competentelor autoritatii de supraveghere competente si dispozitiilor capitolului VIII, un organism mentionat la alineatul (1) din prezentul articol ia masuri corespunzatoare, sub rezerva unor garantii adecvate, in cazul incalcarii codului de catre un operator sau o persoana imputernicita de operator, inclusiv prin suspendarea sau excluderea respectivului operator sau a respectivei persoane din cadrul codului. Organismul in cauza informeaza autoritatea de supraveghere competenta cu privire la aceste masuri si la motivele care le-au determinat.
(5) Autoritatea de supraveghere competenta revoca acreditarea unui organism mentionat la alineatul (1) in cazul in care nu mai sunt indeplinite conditiile pentru acreditare sau masurile luate de organismul in cauza incalca prezentul regulament.
(6) Prezentul articol nu se aplica prelucrarii efectuate de autoritati si organisme publice.

Articolul 42
Certificare
(1) Statele membre, autoritatile de supraveghere, comitetul si Comisia incurajeaza, in special la nivelul Uniunii, instituirea de mecanisme de certificare in domeniul protectiei datelor, precum si de sigilii si marci in acest domeniu, care sa permita demonstrarea faptului ca operatiunile de prelucrare efectuate de operatori si de persoanele imputernicite de operatori respecta prezentul regulament. Sunt luate in considerare necesitatile specifice ale microintreprinderilor si ale intreprinderilor mici si mijlocii.
(2) Mecanismele de certificare din domeniul protectiei datelor, sigiliile sau marcile aprobate in temeiul alineatului (5) din prezentul articol sunt instituite nu numai pentru a fi respectate de operatorii sau de persoanele imputernicite de operatori care fac obiectul prezentului regulament, ci si pentru a demonstra existenta unor garantii adecvate oferite de operatorii sau de persoanele imputernicite de operatori care nu fac obiectul prezentului regulament, in temeiul articolului 3, in cadrul transferurilor de date cu caracter personal catre tari terte sau organizatii internationale in conditiile mentionate la articolul 46 alineatul (2) litera (f). Acesti operatori sau persoane imputernicite de operatori isi asuma angajamente cu caracter obligatoriu si executoriu, prin intermediul unor instrumente contractuale sau al altor instrumente obligatorii din punct de vedere juridic, in scopul aplicarii garantiilor adecvate respective, inclusiv cu privire la drepturile persoanelor vizate.
(3) Certificarea este voluntara si disponibila prin intermediul unui proces transparent.
(4) Certificarea in conformitate cu prezentul articol nu reduce responsabilitatea operatorului sau a persoanei imputernicite de operator de a respecta prezentul regulament si nu aduce atingere sarcinilor si competentelor autoritatilor de supraveghere care sunt competente in temeiul articolului 55 sau 56.
(5) Organismele de certificare mentionate la articolul 43 sau autoritatea de supraveghere competenta emit o certificare in temeiul prezentului articol, pe baza criteriilor aprobate de catre autoritatea de supraveghere competenta respectiva in temeiul articolului 58 alineatul (3), sau de catre comitet in temeiul articolului 63. In cazul in care criteriile sunt aprobate de comitet, aceasta poate duce la o certificare comuna, si anume sigiliul european privind protectia datelor.
(6) Operatorul sau persoana imputernicita de operator care supune activitatile sale de prelucrare mecanismului de certificare ofera organismului de certificare mentionat la articolul 43 sau, dupa caz, autoritatii de supraveghere competente, toate informatiile necesare pentru desfasurarea procedurii de certificare, precum si accesul la activitatile de prelucrare respective.
(7) Certificarea este eliberata unui operator sau unei persoane imputernicite de operator pentru o perioada maxima de trei ani si poate fi reinnoita in aceleasi conditii, cu conditia ca cerintele relevante sa fie indeplinite in continuare. Certificarea este retrasa, dupa caz, de catre organismele de certificare mentionate la articolul 43 sau de catre autoritatea de supraveghere competenta in cazul in care nu mai sunt indeplinite cerintele pentru certificare .
(8) Comitetul regrupeaza toate mecanismele de certificare si sigiliile si marcile de protectie a datelor intr-un registru si le pune la dispozitia publicului prin orice mijloc corespunzator.

Articolul 43
Organisme de certificare
(1) Fara a aduce atingere sarcinilor si competentelor autoritatii de supraveghere competente, prevazute la articolele 57 si 58, organismele de certificare care dispun de un nivel adecvat de competenta in domeniul protectiei datelor, dupa ce informeaza autoritatea de supraveghere pentru a-i permite sa isi exercite competentele in temeiul articolului 58 alineatul (2) litera (h), emit si reinnoiesc certificarea. Statele membre se asigura ca aceste organisme de certificare sunt acreditate de catre una sau amandoua dintre urmatoarele entitati:
(a) autoritatea de supraveghere care este competenta in temeiul articolului 55 sau 56;
(b) organismul national de acreditare desemnat in conformitate cu Regulamentul (CE) nr. 765/2008 al Parlamentului European si al Consiliului (20) in conformitate cu standardul EN-ISO/IEC 17065/2012 si cu cerintele suplimentare stabilite de autoritatea de supraveghere care este competenta in temeiul articolului 55 sau 56.