1. Bez uszczerbku dla zadań i uprawnień właściwego organu
nadzorczego wynikających z art. 57 i 58 podmiot certyfikujący, który dysponuje odpowiednim poziomem wiedzy fachowej w dziedzinie ochrony danych dokonuje certyfikacji i jej przedłużenia po poinformowaniu organu nadzorczego w celu umożliwienia mu w razie
potrzeby wykonywania uprawnień na mocy art. 58 ust. 2 lit. h) –. Państwa członkowskie zapewniają akredytację tych podmiotów certyfikujących przez:
a) organ nadzorczy właściwy zgodnie z art. 55 lub 56; lub
b) krajową jednostkę akredytującą określoną zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (WE) Nr 765/2008
*
–
zgodnie z EN-ISO/IEC 17065/2012 – oraz zgodnie z dodatkowymi
wymogami określonymi przez organ nadzorczy właściwy zgodnie z art. 55 lub 56.
2. Podmioty certyfikujące, o których mowa w ust. 1, zostają akredytowane zgodnie z tym ustępem w przypadku gdy:
a) w sposób satysfakcjonujący wykazały właściwemu organowi
nadzorczemu swoją niezależność i wiedzę fachową w dziedzinie
podlegającej certyfikacji;
b) zobowiązały się do przestrzegania kryteriów, o których mowa
w art. 42 ust. 5 i które zostały zatwierdzone przez organ nadzorczy właściwy zgodnie z art. 55 lub 56 lub przez Europejską Radę
Ochrony Danych zgodnie z art. 63;
c) dysponują procedurami wydawania, okresowego przeglądu
i cofania certyfikacji, znaków jakości i oznaczeń w dziedzinie
ochrony danych;
d) dysponują procedurami i strukturami, które pozwalają rozpatrywać skargi na naruszenie warunków certyfikacji przez administratora lub podmiot przetwarzający lub na sposób wdrożenia lub wdrażania certyfikacji przez administratora lub podmiot
przetwarzający, oraz które zapewniają przejrzystość tych procedur i struktur dla osób, których dane dotyczą, i opinii publicznej;
oraz
e) w sposób satysfakcjonujący wykażą właściwemu organowi nadzorczemu, że ich zadania i obowiązki nie powodują konfliktu
interesów.
3.
**
Akredytacja podmiotów certyfikujących, o których mowa
w ust. 1 i 2 niniejszego artykułu, jest dokonywana na podstawie
wymogów zatwierdzonych przez organ nadzorczy właściwy zgodnie z art. 55 lub 56 lub przez Europejską Radę Ochrony Danych zgodnie z art. 63. W przypadku akredytacji na mocy ust. 1 lit. c) niniejszego artykułu wymogi te są uzupełnieniem wymogów przewidzianych
w rozporządzeniu (WE) Nr 765/2008 oraz przepisów technicznych
określających metody i procedury podmiotów certyfikujących.
4. Podmioty certyfikujące, o których mowa w ust. 1, są odpowiedzialne za dokonanie właściwej oceny przed udzieleniem lub cofnięciem certyfikacji, bez uszczerbku dla spoczywającego na administratorze lub podmiocie przetwarzającym obowiązku przestrzegania
niniejszego rozporządzenia. Akredytacji udziela się na maksymalny
okres pięciu lat; można ją przedłużyć na tych samych warunkach, o ile
podmiot certyfikujący spełnia wymogi określone w niniejszym artykule.
5. Podmioty certyfikujące, o których mowa w ust. 1, przedstawiają właściwemu organowi nadzorczemu powody udzielenia lub cofnięcia żądanej certyfikacji.
6.
***
Organ nadzorczy w łatwo dostępny sposób podaje do wiadomości publicznej wymogi, o których mowa w ust. 3 niniejszego artykułu,
oraz kryteria, o których mowa w art. 42 ust. 5. Organy nadzorcze przekazują te wymogi i kryteria także Europejskiej Radzie Ochrony Danych.
7. Bez uszczerbku dla rozdziału VIII właściwy organ nadzorczy
lub krajowa jednostka akredytująca cofają akredytację podmiotu certyfikującego zgodnie z ust. 1 niniejszego artykułu, w przypadku gdy
podmiot ten nie spełnia lub przestał spełniać warunki akredytacji lub
jeżeli działania podejmowane przez podmiot certyfikujący naruszają
niniejsze rozporządzenie.
8. Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 92 w celu doprecyzowania wymogów, które
uwzględnia się w przypadku mechanizmów certyfikacji w dziedzinie
ochrony danych, o których mowa w art. 42 ust. 1.
9. Komisja może przyjąć akty wykonawcze określające techniczne standardy mechanizmów certyfikacji oraz znaków jakości i oznaczeń w dziedzinie ochrony danych, a także sposoby upowszechniania i uznawania tych mechanizmów certyfikacji oraz znaków jakości
i oznaczeń. Te akty wykonawcze są przyjmowane zgodnie z procedurą sprawdzającą, o której mowa w art. 93 ust. 2.
*
Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 765/2008 z dnia
9 lipca 2008 r. ustanawiające wymagania w zakresie akredytacji i nadzoru rynku
odnoszące się do warunków wprowadzania produktów do obrotu i uchylające
rozporządzenie (EWG) nr 339/93 (Dz.U. L 218 z 13.8.2008, s. 30).
**
Artykuł 43 ust. 3 zmieniony sprostowaniem z dnia 23.05.2018 r. (Dz.Urz. UE L
z 2018 r., Nr 127, poz. 2), które wchodzi w życie 23.05.2018 r.
***
Artykuł 43 ust. 6 zmieniony sprostowaniem z dnia 23.05.2018 r. (Dz.Urz. UE L
z 2018 r., Nr 127, poz. 2), które wchodzi w życie 23.05.2018 r.
Każdy czytelnik naszego biuletunu
otrzymuje pakiet 4 bezpłatnych
poradników i 4 mikroszkoleń RODO.
Biuletyn z nowościami z obszaru ochrony danych osobowych
i bezpieczeństwa informacji wysyłamy raz w miesiącu.
Administratorem Twoich danych jest ODO 24 sp. z o.o. z siedzibą w Warszawie (03-812)
przy ul. Kamionkowskiej 45. Twoje dane są przetwarzane w celu świadczenia usługi biuletyn informacyjny
na zasadach określonych w Regulaminie ŚUDE. Więcej informacji na temat procesu
przetwarzania danych osobowych oraz przysługujących Ci praw uzyskasz w
Polityce prywatności.
Potwierdź swój adres e-mail
Wysłaliśmy do Ciebie wiadomość.
Tylko jedno kliknięcie dzieli Cię od bezpłatnego pakietu
poradników i szkoleń. Potwierdź swój adres e-mail klikając
w link, który znajdziesz w wiadomości od ODO 24.
Jeżeli e-mail do Ciebie nie dotrze - sprawdź w folderze SPAM. Aby w
przyszłości to się nie powtórzyło oznacz wiadomość jako pożądaną (klikniknij
prawym przyciskiem myszy i wybierz “Oznacz jako wiadomość
pożądaną”).