REGULAMENTUL (UE) 2016/679 (RGPD 2018) privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date

(2) Un organism de certificare mentionat la alineatul (1) este acreditat in conformitate cu alineatul respectiv numai daca:
(a) a demonstrat autoritatii de supraveghere competente, intr-un mod satisfacator, independenta si expertiza sa in legatura cu obiectul certificarii;
(b) s-a angajat sa respecte criteriile mentionate la articolul 42 alineatul (5) si aprobate de autoritatea de supraveghere care este competenta in temeiul articolului 55 sau 56, sau de catre comitet in temeiul articolului 63;
(c) a instituit proceduri pentru emiterea, revizuirea periodica si retragerea certificarii, a sigiliilor si marcilor din domeniul protectiei datelor;
(d) a instituit proceduri si structuri pentru tratarea plangerilor privind incalcari ale certificarii sau privind modul in care certificarea a fost sau este pusa in aplicare de un operator sau o persoana imputernicita de operator, precum si pentru asigurarea transparentei acestor proceduri si structuri pentru persoanele vizate si pentru public; si
(e) a demonstrat autoritatii de supraveghere competente, intr-un mod satisfacator, ca sarcinile si atributiile sale nu creeaza conflicte de interese.
(3) Acreditarea organismelor de certificare mentionate la alineatele (1) si (2) din prezentul articol se realizeaza pe baza criteriilor aprobate de catre autoritatea de supraveghere care este competenta in temeiul articolului 55 sau 56, sau de catre comitet in temeiul articolului 63. In cazul unei acreditari in conformitate cu alineatul (1) litera (b) din prezentul articol, aceste cerinte le completeaza pe cele prevazute in Regulamentul (CE) nr. 765/2008 si normele tehnice care descriu metodele si procedurile organismelor de certificare .
(4) Organismele de certificare mentionate la alineatul (1) sunt responsabile cu realizarea unei evaluari adecvate in vederea certificarii sau retragerii acestei certificari, fara a aduce atingere responsabilitatii operatorului sau a persoanei imputernicite de operator de a respecta prezentul regulament. Acreditarea se elibereaza pentru o perioada maxima de cinci ani si poate fi reinnoita in aceleasi conditii, cu conditia ca organismul de certificare sa indeplineasca cerintele prevazute in prezentul articol .
(5) Organismele de certificare mentionate la alineatul (1) transmite autoritatilor de supraveghere competente motivele acordarii sau retragerii certificarii solicitate.
(6) Cerintele mentionate la alineatul (3) din prezentul articol si criteriile mentionate la articolul 42 alineatul (5) se publica de catre autoritatea de supraveghere intr-o forma usor de accesat. Autoritatile de supraveghere transmit, de asemenea, aceste cerinte si criterii comitetului. Comitetul regrupeaza toate mecanismele de certificare si sigiliile de protectie a datelor intr-un registru si le pune la dispozitia publicului prin orice mijloc corespunzator.
(7) Fara a aduce atingere dispozitiilor capitolului VIII, autoritatea de supraveghere competenta sau organismul national de acreditare revoca acreditarea acordata unui organism de certificare in temeiul alineatului (1) din prezentul articol in cazul in care nu sunt sau nu mai sunt indeplinite conditiile pentru acreditare sau masurile luate de organismul de acreditare incalca prezentul regulament.
(8) Comisia este imputernicita sa adopte acte delegate in conformitate cu articolul 92, in scopul specificarii cerintelor care trebuie luate in considerare pentru mecanismele de certificare din domeniul protectiei datelor, mentionate la articolul 42 alineatul (1).
(9) Comisia poate adopta acte de punere in aplicare pentru a stabili standarde tehnice pentru mecanismele de certificare si pentru sigiliile si marcile din domeniul protectiei datelor, precum si mecanisme de promovare si recunoastere a acelor mecanisme de certificare, sigilii si marci. Actele de punere in aplicare respective se adopta in conformitate cu procedura de examinare mentionata la articolul 93 alineatul (2).

CAPITOLUL V
Transferurile de date cu caracter personal catre tari terte sau organizatii internationale

Articolul 44
Principiul general al transferurilor
Orice date cu caracter personal care fac obiectul prelucrarii sau care urmeaza a fi prelucrate dupa ce sunt transferate intr-o tara terta sau catre o organizatie internationala pot fi transferate doar daca, sub rezerva celorlalte dispozitii ale prezentului regulament, conditiile prevazute in prezentul capitol sunt respectate de operator si de persoana imputernicita de operator, inclusiv in ceea ce priveste transferurile ulterioare de date cu caracter personal din tara terta sau de la organizatia internationala catre o alta tara terta sau catre o alta organizatie internationala. Toate dispozitiile din prezentul capitol se aplica pentru a se asigura ca nivelul de protectie a persoanelor fizice garantat prin prezentul regulament nu este subminat.

Articolul 45
Transferuri in temeiul unei decizii privind caracterul adecvat al nivelului de protectie
(1) Transferul de date cu caracter personal catre o tara terta sau o organizatie internationala se poate realiza atunci cand Comisia a decis ca tara terta, un teritoriu ori unul sau mai multe sectoare specificate din acea tara terta sau organizatia internationala in cauza asigura un nivel de protectie adecvat. Transferurile realizate in aceste conditii nu necesita autorizari speciale.
(2) Atunci cand evalueaza caracterul adecvat al nivelului de protectie, Comisia tine seama, in special, de urmatoarele elemente:
(a) statul de drept, respectarea drepturilor omului si a libertatilor fundamentale, legislatia relevanta, atat generala, cat si sectoriala, inclusiv privind securitatea publica, apararea, securitatea nationala si dreptul penal, precum si accesul autoritatilor publice la datele cu caracter personal, precum si punerea in aplicare a acestei legislatii, normele de protectie a datelor, normele profesionale si masurile de securitate, inclusiv normele privind transferul ulterior de date cu caracter personal catre o alta tara terta sau organizatie internationala, care sunt respectate in tara terta respectiva sau in organizatia internationala respectiva, jurisprudenta, precum si existenta unor drepturi efective si opozabile ale persoanelor vizate si a unor reparatii efective pe cale administrativa si judiciara pentru persoanele vizate ale caror date cu caracter personal sunt transferate;
(b) existenta si functionarea eficienta a uneia sau mai multor autoritati de supraveghere independente in tara terta sau sub jurisdictia carora intra o organizatie internationala, cu responsabilitate pentru asigurarea si impunerea respectarii normelor de protectie a datelor, incluzand competente adecvate de asigurare a respectarii aplicarii, pentru acordarea de asistenta si consiliere persoanelor vizate cu privire la exercitarea drepturilor acestora si pentru cooperarea cu autoritatile de supraveghere din statele membre; si
(c) angajamentele internationale la care a aderat tara terta sau organizatia internationala in cauza sau alte obligatii care decurg din conventii sau instrumente obligatorii din punct de vedere juridic, precum si din participarea acesteia la sisteme multilaterale sau regionale, mai ales in domeniul protectiei datelor cu caracter personal.
(3) Comisia, dupa ce evalueaza caracterul adecvat al nivelului de protectie, poate decide, printr-un act de punere in aplicare, ca o tara terta, un teritoriu sau unul sau mai multe sectoare specificate dintr-o tara terta sau o organizatie internationala asigura un nivel de protectie adecvat in sensul alineatului (2) din prezentul articol . Actul de punere in aplicare prevede un mecanism de revizuire periodica, cel putin o data la patru ani, care ia in considerare toate evolutiile relevante din tara terta sau organizatia internationala . Actul de punere in aplicare mentioneaza aplicarea geografica si sectoriala, si, dupa caz, identifica autoritatea sau autoritatile de supraveghere mentionate la alineatul (2) litera (b) din prezentul articol . Actul de punere in aplicare se adopta in conformitate cu procedura de examinare mentionata la articolul 93 alineatul (2).
(4) Comisia monitorizeaza continuu evolutiile din tarile terte si de la nivelul organizatiilor internationale care ar putea afecta functionarea deciziilor adoptate in temeiul alineatului (3) din prezentul articol si a deciziilor adoptate in temeiul articolului 25 alineatul (6) din Directiva 95/46/CE.
(5) In cazul in care informatiile disponibile dezvaluie, in special in urma revizuirii mentionate la alineatul (3) din prezentul articol, ca o tara terta, un teritoriu sau un sector specificat din acea tara terta sau o organizatie internationala nu mai asigura un nivel de protectie adecvat in sensul alineatului (2) din prezentul articol, Comisia, daca este necesar, abroga, modifica sau suspenda, prin intermediul unui act de punere in aplicare, decizia mentionata la alineatul (3) din prezentul articol fara efect retroactiv. Actele de punere in aplicare respective se adopta in conformitate cu procedura de examinare mentionata la articolul 93 alineatul (2).
Din motive imperioase de urgenta, Comisia adopta acte de punere in aplicare imediat aplicabile in conformitate cu procedura mentionata la articolul 93 alineatul (3).
(6) Comisia initiaza consultari cu tara terta sau organizatia internationala in vederea remedierii situatiei care a stat la baza deciziei luate in conformitate cu alineatul (5).
(7) O decizie luata in temeiul alineatului (5) din prezentul articol nu aduce atingere transferurilor de date cu caracter personal catre tara terta, un teritoriu sau unul sau mai multe sectoare specificate din acea tara terta sau catre organizatia internationala in cauza in conformitate cu articolele 46-49.
(8) Comisia publica in Jurnalul Oficial al Uniunii Europene si pe site-ul sau o lista a tarilor terte, a teritoriilor si sectoarelor specificate dintr-o tara terta si a organizatiilor internationale in cazul carora a decis ca nivelul de protectie adecvat este asigurat sau nu mai este asigurat.
(9) Deciziile adoptate de Comisie in temeiul articolului 25 alineatul (6) din Directiva 95/46/CE raman in vigoare pana cand sunt modificate, inlocuite sau abrogate de o decizie a Comisiei adoptata in conformitate cu alineatul (3) sau (5) din prezentul articol .

Articolul 46
Transferuri in baza unor garantii adecvate
(1) In absenta unei decizii in temeiul articolului 45 alineatul (3), operatorul sau persoana imputernicita de operator poate transfera date cu caracter personal catre o tara terta sau o organizatie internationala numai daca operatorul sau persoana imputernicita de operator a oferit garantii adecvate si cu conditia sa existe drepturi opozabile si cai de atac eficiente pentru persoanele vizate.
(2) Garantiile adecvate mentionate la alineatul 1 pot fi furnizate fara sa fie nevoie de nicio autorizatie specifica din partea unei autoritati de supraveghere, prin:
(a) un instrument obligatoriu din punct de vedere juridic si executoriu intre autoritatile sau organismele publice;
(b) reguli corporatiste obligatorii in conformitate cu articolul 47;
(c) clauze standard de protectie a datelor adoptate de Comisie in conformitate cu procedura de examinare mentionata la articolul 93 alineatul (2);
(d) clauze standard de protectie a datelor adoptate de o autoritate de supraveghere si aprobate de Comisie in conformitate cu procedura de examinare mentionata la articolul 93 alineatul (2);
(e) un cod de conduita aprobat in conformitate cu articolul 40, insotit de un angajament obligatoriu si executoriu din partea operatorului sau a persoanei imputernicite de operator din tara terta de a aplica garantii adecvate, inclusiv cu privire la drepturile persoanelor vizate; sau
(f) un mecanism de certificare aprobat in conformitate cu articolul 42, insotit de un angajament obligatoriu si executoriu din partea operatorului sau a persoanei imputernicite de operator din tara terta de a aplica garantii adecvate, inclusiv cu privire la drepturile persoanelor vizate.
(3) Sub rezerva autorizarii din partea autoritatii de supraveghere competente, garantiile adecvate mentionate la alineatul (1) pot fi furnizate de asemenea, in special, prin:
(a) clauze contractuale intre operator sau persoana imputernicita de operator si operatorul, persoana imputernicita de operator sau destinatarul datelor cu caracter personal din tara terta sau organizatia internationala; sau
(b) dispozitii care urmeaza sa fie incluse in acordurile administrative dintre autoritatile sau organismele publice, care includ drepturi opozabile si efective pentru persoanele vizate.