Проект на Наредба относно условията, изискванията и редът за акредитация и отнемане на акредитация на сертифициращ орган, критериите, механизмите и процедурите за сертифициране, печати и маркировки

Проект! Наредба относно условията, изискванията и редът за акредитация и отнемане на акредитация на сертифициращ орган, критериите, механизмите и процедурите за сертифициране, печати и маркировки Глава първа Общи разпоредби Чл. 1. Тази наредба урежда условията, изискванията и реда за акредитация и отнемане на акредитация на сертифициращ орган, както и критериите, механизмите и процедурите за сертифициране, печати и маркировки. Процесът по акредитация и отнемане на акредитация на сертифициращ орган се развива по правилата, установени в правните норми на чл. 42, чл. 43, чл. 57, пар. 1, б. „н“ и б. „р“ от Регламент (ЕС) 2016/679; чл. 14 от Закона за защита на личните данни; чл. 25, т. 13, б. „в“, т. 15, т. 16, т. 18, б. „в“ и чл. 26 – 29 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация, както и настоящата наредба. Чл. 2. Акредитация на сертифициращ орган се издава от Комисията за защита на личните данни (наричана по-нататък „комисията“). Комисията води публичен регистър на акредитираните сертифициращи органи, съгласно чл. 15, ал. 1, т. 2 от Закона за защита на личните данни. Чл. 3. Комисията има право да отхвърли всяка процедура за оценяване, която е двусмислена или подвеждаща, или има риск да бъде тълкувана погрешно от субектите на данни или от други трети страни, или ако самата процедура за оценяване не е съвместима с обхвата на сертифицирането. Решението за това се мотивира и подлежи на обжалване по реда на Административнопроцесуалния кодекс в 14-дневен срок от получаването му. Глава втора Условия, изисквания и ред за акредитация и отнемане на акредитация на сертифициращ орган Чл. 4. С получаването на акредитация, сертифициращият орган получава правомощие да предоставя сертификат на заявител за сертифициране. Чл. 5. Акредитацията на сертифициращ орган се извършва въз основа на критериите за акредитиране на сертифициращи органи, съгласно Приложение 1 към настоящата наредба. 1 Чл. 6. (1) Процедурата по акредитация се инициира с писмено заявление от кандидата за акредитация до комисията, в което се посочва дали кандидатът използва обработващи лични данни, а когато обработващите лични данни са кандидати за акредитация, към заявлението трябва да бъдат приложени съответните договори между администратора и обработващия лични данни. (2) Към заявлението се прилагат следните документи, необходими за процедурата: 1. Описание на предмета на сертифицирането, на финансовите, човешките и организационните ресурси; 2. Доказателство за възможността за покриване на финансови пасиви от дейността като сертифициращ орган в съответствие с точка 4.3 ISO / IEC 17065:2012, включително доказателство за сключена застраховка „Гражданска отговорност“ за покриване на исковете за щети, произтичащи от дейността като сертифициращ орган, при което застраховката трябва да се поддържа през целия период на действие на акредитацията; 3. При използването на знаци – печати или маркировки за съответствие по смисъла на чл. 42, пар. 2 и чл. 43, пар. 2, б. „в“ от Регламент (ЕС) 2016/679, се прилага изображение на знаците, както и всички печати, маркировки и лога, предвидени във всяка схема за сертифициране, като преди даден сертифициращ орган да започне да използва одобрен европейски печат за защита на данните в нова държава членка, от изнесен офис, уведомява съответния надзорен орган. 4. Когато е приложимо за конкретните администратори/обработващи лични данни, доказателство за съответствие с изискванията на член 43, параграф 2 от Регламент (ЕС) 2016/679 и международния стандарт ISO / IEC 17065:2012. (3) Ако заявлението за акредитация и приложените документи не са написани на български език, те трябва да бъдат представяни в официален превод на български език. Чл. 7. В случай на непълнота или нередовност на представените документи, комисията дава указания на заявителя и определя едномесечен срок за отстраняването им. Чл. 8. (1) Акредитацията се предоставя за срок от пет години с решение на Комисията за защита на личните данни и може да бъде подновена; (2) Ако кандидатът за получаване на акредитация като сертифициращ орган не отговаря на условията и критериите, посочени в тази наредба, комисията постановява отказ за даване на акредитация с мотивирано решение, което подлежи на обжалване по реда на Административнопроцесуалния кодекс в 14-дневен срок от получаването му; 2 (3) Комисията се произнася с решение относно предоставянето или отказа от предоставяне на акредитация на кандидата в срок, не по-дълъг от три месеца, считано от датата на подаване на заявлението или отстраняване на нередностите. Чл. 9. (1) Tри месеца преди изтичането на срока на акредитацията, кандидатът за подновяване на акредитацията като сертифициращ орган подава до комисията искане за подновяване на акредитацията. (2) Към искането се прилагат актуални документи, доказващи изпълнението на изискванията на тази наредба от страна на сертифициращия орган. (3) Комисията се произнася с мотивирано решение, като отказът за подновяване на акредитацията подлежи на обжалване по реда на Административнопроцесуалния кодекс в 14- дневен срок от получаването му. Чл. 10. (1) Сертифициращият орган е длъжен да изпълнява решенията и нарежданията на комисията за отнемане или за не издаване на сертификат на клиент, ако не са спазени или впоследствие (след получаване на сертификат) не се спазват изискванията за сертификация; (2) Сертифициращият орган е длъжен да публикува и да осигури лесен обществен достъп до всички версии (действащи и предходни) на одобрените критерии за сертифициране и на всички процедури по сертифициране, включително съответните схеми за сертифициране. Чл. 11. (1) През целия срок на валидност на акредитацията, сертифициращият орган подлежи на контрол от страна на комисията, включително и по отношение на реалната възможност за покриване на финансови пасиви от дейността си като сертифициращ орган, които може да настъпят вследствие на вреди и последващо ангажиране на отговорност по съдебен или извънсъдебен ред на територията, на която упражнява дейността си, като този контрол е неделима част от акредитацията и всяко действие на комисията по упражняване на контрола се документира. (2) Комисията осъществява контролна дейност по отношение на сертифициращия орган и при получени жалби, сигнали, медийни публикации, както и по собствена инициатива. (3) При констатиране на несъответствие на вече акредитиран сертифициращ орган с условията и критериите на тази наредба, или при установено неприлагане на решенията на комисията, както и при констатиране на нарушение на Регламент (ЕС) 2016/679, на Закона за защита на личните данни и на тази наредба, от страна на същия орган в качеството му на администратор/обработващ лични данни, комисията отнема неговата акредитация със свое решение, което подлежи на обжалване по реда на Административнопроцесуалния кодекс в 14- дневен срок от получаването му. 3 Чл. 12. За получаване на акредитация като сертифициращ орган могат да кандидатстват само юридически лица, съгласно определението в точка 4.1.1 ISO / IEC 17065:2012, които отговарят на следните изисквания: 1. Сертифициращият орган трябва да извършва своите дейности безпристрастно в съответствие с точка 4.2 ISO / IEC 17065:2012; 2. Сертифициращият орган трябва да отговаря на недискриминационните условия по смисъла на точка 4.4 ISO / IEC 17065:2012; 3. Липса на всякакъв вид икономически и/или договорни отношения между сертифициращия орган и заявителя или притежателя на сертификат (клиента); 4. Сертифициращият орган трябва да докаже, че: а. неговата организация е структурирана в съответствие с точка 5.1 ISO / IEC 17065:2012 и механизъм в съответствие с точка 5.2 ISO / IEC 17065:2012 е изпълнено; б. създадена е процедура за вътрешен одит съгласно изискванията на точка 8.6 ISO / IEC 17065:2012; в. налице са мерки относно превантивни действия съгласно точка 8.6 ISO / IEC 17065:2012; г. е в състояние да предприема съответните коригиращи мерки в съответствие с точка 8.6 ISO / IEC 17065:2012. 5. Да бъде в състояние да докаже наличието на ефективна политика по предотвратяване на конфликт на интерес чрез представяне на списък от мерки и ясни процедури, които са задължителни за персонала на сертифициращия орган; 6. Сертифициращият орган трябва да е в състояние да гарантира, че има въведени методи за оценяване и че тези методи за оценяване, описани в механизма за сертифициране, са стандартизирани и общоприложими, като всяко отклонение от тези методи за преценка е нужно да бъде обосновано от сертифициращия орган; 7. Сертифициращият орган трябва да разполага с достатъчно човешки ресурси с актуални специализирани познания в следните области, както и да може да докаже това по всяко време: а. Познаване на законодателството за защита на данните и опит в неговото прилагане, включително технически и организационни мерки и процедури, или достъп до експерт с подобен опит; б. Познаване на предмета на сертифициране в съответствие с чл. 43, пар. 2, б. „а“ от Регламент (ЕС) 2016/679; в. Познаване на съответните законови разпоредби за оценяване на съответствието, както и на националните и международни стандарти (по – специално ISO); 4 г. Познание в хуманитарната, природната, икономическата и други сфери, необходими при извършване на дейностите в процеса на сертифициране, в зависимост от сферата на дейност на заявителя за получаване на сертификат; д. Специализираните знания на сертифициращия орган не трябва да се подсигуряват само от едно физическо лице; е. Сертифициращият орган трябва да използва процедури, за да гарантира, че специализираните знания на персонала се актуализират, по – специално като се вземат предвид промените в правната ситуация, рискът за правата и свободите на субектите на данни и напредъка на техниката и технологиите. Чл. 13. (1) Правната експертиза се доказва с документ за успешно завършване на специалност „Право“ от висше учебно заведение, а хуманитарната, природната, икономическата или друга експертиза – с документ за успешно завършено обучение по съответната специалност от висше учебно заведение. (2) В случаите, когато степента на висшето образование е придобито в чуждестранно учебно заведение, се прилагат разпоредбите на Наредбата за държавните изисквания за признаване на придобито висше образование и завършени периоди на обучение в чуждестранни висши училища. (3) Специализираните знания могат да бъдат доказани и под формата на най-малко пет години професионален опит, което осигурява обща техническа експертиза (не се отнася за правната експертиза). Чл. 14. (1) Сертифициращият орган може да използва външни експерти в конкретни области, но той носи отговорността за вземане на решения. (2) Представителите в управителните органи и лицата, които вземат окончателното решение при издаването на сертификата, трябва да имат доказан значителен опит в идентифицирането и прилагането на мерки за защита на данните. (3) Експертните изисквания към оценителите и лицата, вземащи решения, се определят, като се вземат предвид различните задачи, които изпълняват. Оценителите трябва да имат експертен и професионален опит в техническите процедури (напр. одити и сертифициране), докато лицата, вземащи решения, трябва да имат експертен и професионален опит в защитата на личните данни. Чл. 15. При юридическо прекратяване дейността на сертифициращия орган или при фактическа невъзможност за изпълнение на задълженията му по наблюдение и оценка на съответствието, същият предава цялата надлежна документация на комисията до определяне на друг сертифициращ орган, на когото тази документация се предава с цел довършване на наблюдение и оценка на съответствието до изтичане срока на сертификата. 5 Глава трета Процес на сертифициране Чл. 16. (1) Схемите за сертифициране трябва да имат ясно определен обхват, от описанието на който трябва ясно да се разбира кои дейности са сертифицирани и кои не са, като изискванията, специфичните правила и процедурите трябва да бъдат конкретно определени. (2) С цел да се гарантира прозрачност спрямо всяка заинтересована страна, включително субектите на данни, схемата за сертифициране трябва да е ясно структурирана и разбираема, така че всеки, който се занимава със схемата, да разбира процеса и критериите за сертифициране. (3) Сертифициращият орган трябва да управлява схема за сертифициране в съответствие с раздел 7.1 ISO / IEC 17065:2012. (4) Собственикът на схема за сертифициране трябва да има разработена процедура за управление на актуализациите на критериите за сертифициране. Тази процедура трябва да бъде част от схемата за сертифициране. Чл. 17. Схемите за сертифициране могат да бъдат насочени към голям набор от различни операции по обработване, извършвани от администратор/обработващ данни, от различни сектори на дейност (обща схема за сертифициране), или да са насочени към специфични операции по обработване, извършвани от администратор/обработващ данни, и/или за конкретен сектор на дейност (специфична схема за сертифициране). Чл. 18. (1) Критериите за сертифициране трябва да бъдат формулирани по такъв начин, че да са в съответствие със заявените цели. (2) Критериите за сертифициране трябва да са формулирани по начин, който не оставят възможност за превратно тълкуване и който начин демонстрира еднозначно очаквания резултат. (3) Критериите трябва, също така, да обхващат всички възможни сценарии, които обичайно могат да се очакват в зависимост от обхвата на схемата. Чл. 19. Съдържанието на издаваните сертификатите трябва да бъде прозрачно и ясно за субектите на данни и други заинтересовани страни, за да могат те бързо да идентифицират обхвата на сертифицирането. Чл. 20. (1) Сертифицирането се извършва въз основа на писмено заявление на заявителя за сертифициране до сертифициращия орган. 6 (2) В съответствие с точка 7.2 от ISO / IEC 17065:2012, сертифициращият орган трябва да определи изискванията към заявлението, което трябва да съдържа цялата информация, необходима за процеса на сертифициране, и във всеки случай най-малко следната информация: 1. Информация за установяване на самоличността на заявителя за сертифициране, включително данни на упълномощените представители на заявителя за сертифициране; 2. Информация за обхвата на исканата сертификация; 3. Информация за всички външни процеси, използвани от заявителя за сертифициране, включително информация за отношения в съответствие с член 26 или член 28 от Регламент (ЕС) 2016/679. (3) Сертифициращият орган трябва да оцени писменото заявление на заявителя в съответствие с раздел 7.3 ISO / IEC 17065:2012 и да информира заявителя за състоянието на процеса на сертифициране в разумен срок, както и при поискване. Чл. 21. (1) Ако в процедурата по сертифициране се установи, че сертификатът не може да бъде издаден поради пропуски на заявителя, на последния се дава възможност да отстрани обстоятелствата или причините, свързани с това, в едномесечен срок. (2) Сертифициращият орган трябва да вземе решение за сертифициране в разумен срок, като крайният срок за произнасяне трябва да бъде посочен в схемата за сертифициране. Чл. 22 (1) В процеса на извършване на своята дейност сертифициращият орган трябва да отговаря на недискриминационните условия по смисъла на точка 4.4 ISO / IEC 17065:2012. (2) Сертифициращият орган трябва да публикува цялата информация за програмата за сертифициране по смисъла на раздел 4.6 ISO / IEC 17065:2012 в общодостъпна форма и да я предоставя при поискване. Чл. 23. (1) Между сертифициращия орган и заявителя за сертифициране трябва да бъде сключено споразумение за сертифициране. (2) В споразумението за сертифициране, в допълнение към изискванията по смисъла на точка 4.1.2 ISO / IEC 17065:2012, трябва да се посочи следното: а. Задължението на заявителя да спазва непрекъснато изискванията за сертифициране и сроковете, посочени в него, включително критериите за сертифициране в съответствие с член 42, параграф 5 от Регламент (ЕС) 2016/679; б. Задължението на заявителя да внесе промени в случай на промяна в изискванията за сертифициране след предоставяне на разумен период от време; 7 в. Срокът, за който сертификатът се предоставя или удължава, като максималната продължителност от три години трябва да се вземе предвид в съответствие с член 42, параграф 7 от Регламент (ЕС) 2016/679; г. Условията, при които сертификатът може да бъде удължен или отменен; д. Сроковете за преоценка на съответствието с изискванията за сертифициране и критериите за сертифициране; е. Задължението на заявителя да докладва за значителни промени, които могат да повлияят на изпълнението на договорените задължения; ж. Задълженията на заявителя във връзка с прекратяване, ограничаване, спиране или отнемане на сертифицирането; з. Задължението на заявителя, след предварително уведомление, да предостави достъп до експлоатационните или производствените съоръжения и проверка на необходимите документи на лицата, на които е поверено сертифицирането на сертифициращия орган, доколкото това е необходимо за проверка на текущото спазване на задълженията, посочени в споразумението за сертифициране; и. Задължението на заявителя да осигури пълна прозрачност на процеса на сертифициране спрямо комисията, включително поверителни договорни въпроси; й. Последиците за заявителя, ако акредитацията на сертифициращия орган бъде отменена; к. Задължения на сертифициращия орган във връзка с оплаквания относно спазването на изискванията за сертифициране, като по-специално създаване на вътрешен каталог от мерки за разглеждане на получените жалби и задължението за документиране и запазване на жалбите и предприетите мерки, както и за продължителността на съхранение, като се вземат предвид принципите за обработване на лични данни по смисъла на Регламент (ЕС) 2016/679; л. Методите за оценка по отношение на предмета на сертифицирането; м. Задължението на заявителя да информира сертифициращия орган за всички нарушения на Регламент (ЕС) 2016/679, Закона за защита на личните данни или друго приложимо секторно законодателство по защита на данните, установено от комисията или друг административен или съдебен орган; н. Задължението на заявителя да информира сертифициращия орган за всички висящи или приключили производства пред комисията срещу заявителя, свързани с обхвата на сертифициране или обекта на оценката, доколкото проверката или надзорните дейности са свързани с целта на оценката. 8 (3) Сертифициращият орган е задължен по отношение на заявителя да третира получената в резултат на дейността си информация като поверителна по смисъла на раздел 4.5.1 ISO / IEC 17065:2012. Чл. 24. В случай на промяна в изискванията за сертифициране, породени от промяната в правната ситуация, решения на съд във връзка със защитата на данните, приемането на делегирани актове на Европейската комисия, сертифициращият орган трябва незабавно да уведоми писмено заявителя, съответно клиента, и след предоставяне на разумен срок за прилагане на необходимите промени, да ги преразгледа. Чл. 25. Сертифициращият орган трябва, в съответствие с изискванията на раздел 7.4 ISO / IEC 17065:2012, да дефинира стандартизирани методи за оценка, които му позволяват да оценява съответствието на операциите по обработване с критериите за сертифициране. В допълнение към изискванията на раздел 7.4.6 ISO / IEC 17065:2012, сертифициращият орган трябва да определи условията за това как заявителя, съответно клиента, се информира за всякакви отклонения от критериите за сертифициране. Чл. 26. Сертифициращият орган е длъжен да провери съответствието на операциите по обработване на лични данни на заявителя с критериите за сертифициране. Чл. 27. Сертифициращият орган трябва да оцени цялата информация и резултати, свързани с оценката по смисъла на точка 7.5 ISO / IEC 17065:2012. В допълнение към точка 7.5 от ISO/IEC 17065:2012 са необходими процедури за предоставяне, редовно преглеждане и анулиране на съответните сертификати в съответствие с член 43, параграф 2 и член 43, параграф 3 от Регламент (ЕС) 2016/679. Чл. 28. Сертифициращият орган трябва да вземе решение по отношение на предоставянето или недопускането на сертификат въз основа на резултатите от оценката и в съответствие с изискванията на т. 7.6 ISO / IEC 17065:2012. Чл. 29. Възлагането на решението за сертифициране на външни експерти не е разрешено. Чл. 30. (1) В случай на сертифициране, сертифициращият орган издава на заявителя за сертифициране писмен сертификат, съдържащ следната информация: 1. Име и адрес на сертифициращия орган; 2. Дата, на която сертификатът е издаден или удължен; 3. Обхват на сертифицирането и описание на предмета на сертифицирането, както и срокът, за който е издаден. 9 (2) В случай, че сертификатът не е издаден, сертифициращият орган трябва да информира писмено заявителя за сертифициране и да изложи съответните причини за това решение. (3) Сертифициращият орган, при поискване, е задължен да информира комисията за причините за издаване или неиздаване на сертификат. Чл. 31. (1) В допълнение към писмения сертификат за съответствие, сертифициращият орган може да издаде на клиента знак за съответствие под формата на печат за защита на данните и/или маркировка, при условие че това е предвидено в приложимите критерии за сертифициране. (2) Сертифициращият орган трябва да провери използването на знаци за съответствие съгласно ал. 1 по смисъла на точка 4.1.3 ISO / IEC 17065:2012. Във всеки случай, знаците за съответствие могат да се използват само съобразно изискванията на член 42 и член 43 от Регламент (ЕС) 2016/679. Чл. 32. (1) Сертифициращият орган трябва да съхранява списък на издадените сертификати, който в допълнение към изискванията на раздел 7.8 ISO / IEC 17065:2012 съдържа най-малко следната информация: 1. Обхват на сертифицирането и смислено описание на предмета на сертифицирането; 2. съответни критерии за сертифициране; 3. методи за оценка и проведените тестове; 4. резултати от решенията за сертифициране; (2) Сертифициращият орган документира, публикува и предоставя в подходяща форма информация за сертифицирани операции по обработване и обобщение на процедурите по сертифициране, включително докладите за оценка. Чл. 33. (1) В съответствие с раздел 7.9 ISO / IEC 17065:2012 сертифициращият орган трябва да осигури подходящи процедури, които да му позволят да следи текущото спазване на изискванията за сертифициране от клиента (процедура за мониторинг). Всички мерки, свързани с процедурите за мониторинг, включително периода на планираното наблюдение, трябва да бъдат документирани. (2) Сертифициращият орган трябва да съхранява записи в съответствие с точка 7.12 ISO / IEC 17065:2012, за да докаже, че клиентът отговаря на изискванията за сертифициране. На комисията трябва да бъде предоставян достъп до тези записи при поискване. Чл. 34. (1) В случай на прекратяване, ограничаване, спиране или отнемане на сертификат, сертифициращият орган трябва да отговаря на изискванията на раздел 7.11 ISO / IEC 17065:2012. 10 (2) Клиентът има задължение да информира в разумен срок сертифициращия орган за потенциални причини за прекратяването, ограничаването, спирането или отнемането на сертификат. (3) Сертифициращият орган информира комисията за причините за прекратяването, ограничаването, спирането или отнемането на сертификат. (4) Неприлагането на решения и/или разпореждания на комисията е самостоятелно основание за отнемане или не издаване/не подновяване на сертификат. Чл. 35. (1) В съответствие с раздел 7.13 ISO / IEC 17065:2012, сертифициращият орган трябва да определи подходящи процедурни насоки за обработка на жалбите, които получава за нарушения или прилагане на изискванията за сертифициране от клиентите, като сертифициращият орган трябва да определи процедури, гарантиращи разграничението между дейностите по сертифициране и тези по обработката на оплаквания и жалби. (2) Процедурните указания се публикуват по общодостъпен начин след акредитация на сертифициращия орган. (3) Сертифициращият орган трябва да води регистър на жалбите, които е получил и предприетите мерки, както и трябва да предостави на комисията достъп до тази информация при поискване. (4) Сертифициращият орган трябва да направи обществено достъпна информацията във връзка с оплаквания относно спазването на изискванията за сертифициране, както и информацията, свързана с жалби за нарушения на сертификати, като в тези случаи не се разкриват лични данни за страните в производството. Допълнителни разпоредби § 1. По смисъла на тази наредба: 1. ISO 17065 означава ISO/IEC 17065/2012. 2. Акредитация означава издаване на документално потвърждение, на база на взето решение от компетентния надзорен орган, след извършен преглед и с което се потвърждава, че изпълнението на специфични изисквания е доказано и акредитираният е компетентен да извършва сертифициране съгласно членове 42 и 43 от Регламент (ЕС) 2016/679, като се вземат предвид ISO/IEC 17065/2012 и допълнителните изисквания, установени от надзорния орган. 3. Допълнителни изисквания означава изискванията, определени от компетентния надзорния орган, спрямо които се извършва акредитацията. 4. Сертифициране означава оценка и безпристрастна атестация от трета независима страна относно това, че критериите за сертифициране са изпълнени. 11 5. Сертифициращ орган означава трета независима страна – орган за оценяване на съответствието, който работи с механизми за сертифициране. 6. Схема за сертифициране означава система за сертифициране, свързана с определени продукти, процеси и услуги, за които важат същите конкретни изисквания, специфични правила и процедури. 7. Критерии за сертифициране означава критериите, по отношение на които се оценява съответствието. 8. Заявител означава организацията или лицето, които заявяват сертифициране на операциите си по обработване на лични данни. 9. Клиент означава организацията или лицето, което е сертифицирано. 10. Обща схема за сертифициране означава схема за сертифициране, която е насочена към голям набор от различни операции по обработване, извършвани от администратор/обработващ данни от различни сектори на дейност. 11. Специфична схема за сертифициране означава схема за сертифициране, която е насочена към конкретни операции по обработване, извършено от администратор/обработващ данни и/или за конкретен сектор на дейност или използването на специфична технология. 12. Собственикът на схемата за сертификация е юридическото лице, което е установило критерии за сертифициране и изискванията, спрямо които трябва да се оценява съответствието. Юридическото лице, извършващо оценките, може да бъде същото, което е разработило и притежава схемата, но е допустимо, при наличието на договор, едно юридическо лице да притежава схемата, а друго такова (или повече от едно друго) да извършва оценките. 13. Печати и маркировки за защита на данните са знаци, които имат за цел да демонстрират спазването от страна на администраторите и обработващите лични данни изискванията на Регламент (ЕС) 2016/679 и да позволяват на субектите на данни бързо да оценяват нивото на защита на данните на съответните продукти и услуги. § 2. Допустимо е механизмът за сертифициране да се използва като инструмент за трансфер съгласно член 42, параграф 2 от Регламент (ЕС) 2016/679, доколкото има за цел да осигури адекватни гаранции за обработването на лични данни, съгласно условията на член 46, параграф 2, буква е) от същия регламент. Сертифицирането трябва да демонстрира наличието на подходящи предпазни мерки, предоставени от администратори или обработващи данни извън Европейския съюз или представляващи международна организация, получаваща данни от администратори или обработващи данни от ЕС, за да предотврати специфичните рискове при прехвърлянето на лични данни. 12 Преходни и заключителни разпоредби § 1. Тази наредба се издава на основание чл. 14, ал. 5 и ал. 6 от Закона за защита на личните данни, във вр. с чл. 42, чл. 43, чл. 57, пар. 1, б. „п“ и „р“ и чл. 58, пар. 3, б. „д“ и „е“ от Регламент (ЕС) 2016/679. § 2. Регламент (ЕС) 2016/679 се прилага с предимство пред ISO/IEC 17065/2012 и изискванията на механизма за сертифициране. § 3. Неразделна част от тази наредба е Приложение 1 към чл. 5, съдържащо критериите относно условията, изискванията и редът за акредитация и отнемане на акредитация на сертифициращ орган. § 4. Дирекция „Правно-аналитична, информационна и контролна дейност“ към комисията следи за актуалните изисквания на ISO/IEC 17065/2012 и при промяна заедно с дирекция „Правно-нормативна и международна дейност“, в рамките на своите функционални компетентности съгласно разпоредбите на Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, предлагат на комисията да внесе съответните изменения в тази наредба. Приложение № 1 към чл. 5 Критерии за акредитация на сертифициращ орган съгласно член 43, параграф 3 от Регламент (ЕС) 2016/679, приети с решение на комисията от 20.07.2022 г. и във връзка със Становище 13/2022 на ЕКЗД по чл. 64, пар. 1 от Регламент (ЕС) 2016/679 РЕШЕНИЕ НА КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ Българският независим надзорен орган, отговорен за наблюдението на прилагането на Регламент (ЕС) 2016/679 (Общ регламент за защита на данните, наричан по-долу ОРЗД), натоварен със задачата да осигури защита на основните права и свободи на физическите лица във връзка с обработването и свободното движение на лични данни в рамките на Съюза - Комисия за защита на личните данни, наричана по-долу КЗЛД, приема следния документ относно изискванията за акредитация на Сертифициращи органи по отношение на ISO/IEC 17065/2012 в съответствие с член 43 от ОРЗД. Настоящият документ трябва да се тълкува във 13 връзка с ISO/IEC 17065/2012 и като въвеждащ допълнителни критерии за акредитиране в конкретната материална област. Увод Във връзка с процедурата по акредитация на сертифициращи органи в българския Закон за защита на личните данни (ЗЗЛД), и по-конкретно в чл. 14, са установени следните основни положения: КЗЛД извършва акредитация на сертифициращи органи в съответствие с Регламент (ЕС) 2016/679, въз основа на изисквания, определени от нея или от Европейския комитет по защита на данните; акредитацията се издава съгласно чл. 43, параграф 2 от Регламент (ЕС) 2016/679 за срок от 5 години и може да се поднови; КЗЛД отнема акредитацията на сертифициращ орган, когато не са спазени условията за акредитация или когато предприетите от сертифициращия орган действия нарушават този закон или Регламент (ЕС) 2016/679; решенията на КЗЛД за отнемане на акредитация по ал. 3 може да се обжалват по реда на административнопроцесуалния кодекс. Съгласно чл. 14, ал. 5 от ЗЗЛД, КЗЛД има задължение да издаде наредба за условията и реда за акредитация и отнемане на акредитация на сертифициращи органи. По смисъла на ЗЗЛД КЗЛД има вменено правомощие да издава акредитация на сертифициращ орган, каквато възможност е предвидена в чл. 43, параграф 1, б. „а“ и чл. 58, параграф 3, б. „д“ от ОРЗД. За целта, КЗЛД възнамерява да одобри критериите за акредитиране по на чл. 43, параграф 3 от ОРЗД и да ги предостави на ЕКЗД за становище по чл. 64, параграф 1, б. „в“ от ОРЗД. В националното законодателство не е предвидена функция на националния орган по акредитация в процедурата по акредитация на сертифициращи органи по смисъла на ОРЗД. КЗЛД има задължение да води публичен регистър на акредитираните сертифициращи органи (чл. 15, ал. 1, т. 2от ЗЗЛД). Механизмът за сертифициране, по който Сертифициращите органи, акредитирани по реда на ISO/IEC 17065/2012, ще издават и подновяват сертификати, е допълнителен инструмент за доказване на съответствието с ОРЗД при дейностите по обработване на лични данни от администратори/обработващи и по този начин усилията тези лица по спазване на съответствие със стандартите за защита на данните ще получат стандартизирана оценка. ОРЗД се прилага с предимство пред ISO/IEC 17065/2012 и изискванията на механизма за сертифициране. Настоящите критерии са разработени въз основа на ОРЗД и Насоки 4/2018 на ЕКЗД относно акредитацията на сертифициращи органи съгласно чл. 43 от ОРЗД и ще залегнат като 14 неразделна част от Наредбата относно условията и реда за акредитация и отнемане на акредитация по чл. 14, ал. 5 от ЗЗЛД. 1 Приложно поле Приложното поле на механизма за сертифициране в представения проект за решение съдържа допълнителни изисквания към ISO/IEC 17065/2012 за оценка на компетентността, последователната работа и безпристрастността на сертифициращите органи, финансовите, човешките и организационните им ресурси, както и изискване за предоставяне на информация за критериите за сертифициране съгласно член 42, параграф 5 от Регламент (ЕС) 2016/679. Тоест, обхватът на ISO/IEC 17065/2012 не стеснява и не отменя изискванията на ОРЗД, а го допълва и надгражда, но се отнася само до операции по обработване на лични данни от администратор/обработващ. 2 Позоваване на нормативна уредба При вземане на решение от страна на КЗЛД, в качеството ѝ на компетентен надзорен орган, доколко изпълнението на специфични изисквания е доказано и сертифициращият орган е компетентен да извършва сертифициране, се вземат под внимание изискванията, съдържащи се в правните норми на ОРЗД, и всички позовавания на стандарти на ISO са съобразени с тези изисквания. 3 Термини и определения За нуждите на предложения проект на решение се използват определенията, съдържащи се в Насоки 4/2018 относно акредитацията на сертифициращи органи съгласно член 43 от ОРЗД, а именно: 1.) Общ регламент относно защитата на данните означава Регламент (ЕС) 2016/679 - ОРЗД; 2.) ISO 17065 означава ISO/IEC 17065/2012; 3.) „Акредитация“ на сертифициращи органи вж. раздел 3 относно тълкуването на акредитацията за целите на член 43 от ОРЗД; 4.) „Допълнителни изисквания“ означава изискванията, определени от компетентния надзорния орган, спрямо които се извършва акредитацията; 5.) „Сертифициране“ означава оценка и безпристрастна атестация от трета страна относно това, че критериите за сертифициране са изпълнени; 6.) „Сертифициращ орган“ означава трета страна — орган6 за оценяване на съответствието , който работи с механизми за сертифициране;„схема за сертифициране“ означава система за сертифициране, свързана с определени продукти, процеси и услуги, за които важат същите конкретни изисквания, специфични правила и процедури;Критерии за сертифициране или 15 „критерии“ означава критериите, по които се сертифицира (се оценява съответствието);Заявител означава организацията или лицето, които заявяват сертифициране на операциите си по обработване на лични данни; 7.) Клиент означава организацията или лицето, което е сертифицирано. 4 Общи изисквания за акредитация 4.1 Правни и договорни въпроси 4.1.1 Правна отговорност В проекта на решение е предвидено през целия срок на валидност на акредитацията (5 години), Сертифициращият орган да подлежи на контрол от страна на КЗЛД, като този контрол е неделима част от акредитацията и всяко действие на КЗЛД по упражняване на контрола се документира. КЗЛД осъществява своята контролна дейност по отношение на сертифициращият орган при получени жалби, сигнали, въз основа на обществено достъпна информация и по собствена инициатива. При констатиране на несъответствие на вече акредитиран сертифициращ орган с условията и изискванията на настоящите критерии, както и при констатиране на нарушение на Регламент (ЕС) 2016/679 и Закона за защита на личните данни от страна на същия орган в качеството му на администратор/обработващ лични данни, за КЗЛД е налице правомощие да отнема неговата акредитация със свое решение. Отговорност на Сертифициращия орган е да в състояние по всяко време да докаже пред КЗЛД, че разполага с актуални процедури, които гарантират съответствие с правните задължения, установени в критериите за акредитация, включително и с мерки, които гарантират по безспорен начин, че обработването на лични данни на Заявителя и Клиента, като част от процеса по сертифициране, са в съответствие с изискванията на ОРЗД. Като елемент от тези мерки се приема предоставянето на доказателство от Сертифициращия орган, че има добра професионална репутация в сферата на защитата на личните данни, част от която е липсата на минали или висящи производства по нарушение на ОРЗД пред КЗЛД или друг компетентен надзорен орган. Наличието на такива производства ще бъде считано за основание за преустановяване на процедурата по акредитиране и евентуално за отнемане на акредитация. 4.1.2 Споразумение за сертифициране Сертифициращият орган трябва да докаже в допълнение към изискванията на ISO/IEC 17065/2012, че неговите споразумения за сертифициране с Клиента изискват: 1. Заявителят винаги да спазва общите изисквания за сертифициране по смисъла на 4.1.2.2, буква а) от ISO/IEC 17065/2012 и критериите, одобрени от компетентния надзорен орган или ЕКЗД в съответствие с член 43, параграф 2, буква б) и член 42, параграф 5 от ОРЗД; 16 2. Заявителят да позволи пълна прозрачност пред КЗЛД във връзка с процедурата за сертифициране, включително по въпроси, които са поверителни, и са свързани със спазването на защитата на личните данни съгласно член 42, параграф 7 и член 58, параграф 1, буква в) от ОРЗД; 3. да не намаляват отговорността на Заявителя да спазва Регламент (ЕО) 2016/679 и не засягат задачите и правомощията на КЗЛД, които са компетентни в съответствие с член 42, параграф 5 от ОРЗД; 4. Заявителят да предостави на Сертифициращия орган цялата информация и достъп до своите дейности по обработване, необходими за извършване на процедурата по сертифициране съгласно член 42, параграф 6; 5. Заявителят да спазва приложимите срокове и процедури. В споразумението за сертифициране трябва да се предвижда, че сроковете и процедурите, произтичащи, например, от програмата за сертифициране или други приложими актове, трябва да се съблюдават и спазват; 6. по отношение на 4.1.2.2, буква в) № 1 от ISO/IEC 17065/2012, определят правилата за валидност, подновяване и оттегляне по силата на член 42, параграф 7 и член 43, параграф 4 от ОРЗД, включително правила, определящи относимите интервали за повторна оценка или преразглеждане (редовност) в съответствие с член 42, параграф 7 от ОРЗД; 7. позволяват на Сертифициращия орган да предава на КЗЛД цялата необходима информация по процедурата на сертифицирането съгласно член 42, параграф 8 и член 43, параграф 5 от ОРЗД; 8. включват правила относно необходимите мерки за разглеждане на жалби по смисъла на 4.1.2.2, буква в) № 2, допълнително буква й) от ISO/IEC 17065/2012 и също така съдържат изрични разпоредби относно структурата и процедурата за обработване на жалби за нарушение на сертификата в съответствие с член 43, параграф 2, буква г) от ОРЗД; 9. в допълнение към минималните изисквания, посочени в 4.1.2.2 от ISO/IEC 17065/2012, ако последиците от оттеглянето или временното прекратяване на акредитацията на Сертифициращия орган имат въздействие върху Клиента, в този случай, последиците за Клиента също трябва да бъдат разписани; 10. Заявителят да информира сертифициращия орган в случай на значителни промени в своето фактическо или правно положение и в своите продукти, процеси и услуги, обхванати от сертифицирането; 11. Заявителят да информира, извън задълженията му по чл. 33 от ОРЗД, Сертифициращия орган за всички нарушения или съмнения за нарушения на сигурността на данните, които имат или може да имат отражение върху условията за валидност на сертификата; 17 12. Заявителят да информира Сертифициращия орган за всички нарушения на ОРЗД, ЗЗЛД или друго приложимо секторно законодателство по защита на данните установено от КЗЛД или друг административен орган, или компетентният съд. 4.1.3 Използване на печати и маркировки за защита на данните За използването на знаци – печати или маркировки, изображение на знаците или лога, предвидени във всяка схема за сертификация, те трябва да са в пълно съответствие с чл. 42, пар. 2 и чл. 43, пар. 2, б. „в“ от Регламент (ЕС) 2016/679 и Насоки 4/2018 на ЕКЗД. 4.2 Управление на безпристрастността 1. Налице е задължението Сертифициращият орган да извършва своите дейности безпристрастно в съответствие с точка 4.2 ISO / IEC 17065: 2012; 2. В съответствие с чл. 43, параграф 2, б. „а“ от ОРЗД, Сертифициращият орган трябва да предостави отделно доказателства за независимо финансиране, които да удостоверяват липса на конфликт на интереси при финансирането. 3. Декларация за липса на всякакъв вид икономически и/или договорни отношения между Сертифициращия орган и Заявителя или Клиента (притежателя на сертификат). 4. Сертифициращият орган трябва да разполага с ефективна политика по предотвратяване на конфликт на интерес чрез представяне на списък от мерки, които са задължителни за персонала на Сертифициращия орган, включително и разделение на процесите в рамките на самия орган с цел избягване на конфликт на интереси. 5. Сертифициращият орган трябва да установи ясни процедури за идентифициране и управление на конфликти на интереси. 6. Уставните правила на Сертифициращият орган трябва да предвиждат независимост на управляващите му органи/управител, които да могат ефективно да се прилагат при изпълнение на Споразумението за сертифициране. 4.3 Отговорност и финансиране Сертифициращ орган, в съответствие с точка 4.3 ISO / IEC 17065: 2012, трябва да периодично да представя на КЗЛД доказателства за реална възможност за покриване на финансови пасиви от дейността си като Сертифициращ орган, които може да настъпят в следствие на вреди и последващо ангажиране на отговорност по съдебен или извънсъдебен ред на територията, на която упражнява дейността. Такова доказателство, може да бъде генерирането на фонд „Резервен“, сключването на съответната застраховка „професионална“ или „обща“ отговорност или други обезпечителни мерки. Преценката за адекватност на финансирането ще включва и баланс между съотношението на размера и обема дейност на 18 Сертифициращия орган и размера на съответните финансови гаранции, които представя. Всички тези гаранции трябва да покриват целия период на действие на акредитацията. 4.4 Недискриминационни условия Сертифициращият орган трябва да отговаря на недискриминационните условия по смисъла на точка 4.4 ISO / IEC 17065: 2012. 4.5 Поверителност Задължението на Заявителя за сертифициране е да осигури пълна прозрачност на процеса на сертифициране спрямо органа за защита на данните – КЗЛД, включително поверителни договорни въпроси. Сертифициращият орган е задължен по отношение на Заявителя за сертифициране да третира получената в резултат на дейността си информация като поверителна по смисъла на раздел 4.5.1 ISO / IEC 17065: 2012. 4.6 Oбщественодостъпна информация В допълнение на изискванията на ISO 17065, Сертифициращият орган трябва да докаже пред КЗЛД, че: 1. публикува на интернет страницата си и е осигурил лесен обществен достъп до всички версии (действащи и предходни) на одобрените критерии за сертифициране и на всички процедури по сертифициране, включително съответните схеми за сертифициране. 2. е обществено достъпна информацията във връзка с оплаквания относно спазването на изискванията за сертифициране, както и информация, свързана с жалби за нарушения на сертификати, включително процедурата за разглеждане на жалби, както и информация относно процедурите по обжалване на жалбите; подсигурил е, по смисъла на чл. 42, параграф 2, б. „г“ от ОРЗД, процедури и структура за обработване на тези сигнали и жалби и по – специално е създавал вътрешен набор от мерки за разглеждане на получените жалби и задължението за документиране и запазване на жалбите и предприетите мерки по тях, които включват и правила за продължителността на съхранение, като се вземат предвид принципите за обработка на лични данни по смисъла на ОРЗД. В тези случаи информация, съдържаща лични данни относно страните по производствата не трябва да бъде разкривана. 3. е публикувал списък със сертифицираните си Клиенти, включително резюме от оценката за сертифициране на всеки от тях, обхвата на сертификата им, относимите към тях критерии за сертифициране, методите за оценка и резултатите от нея. Доказването на горните изисквания става чрез предоставянето на КЗЛД на разписани процедури за публично оповестяване на информацията по ISO 17065 и допълнителните критерии. 19 5 Структурни изисквания, член 43, параграф 4 („правилна“ оценка) 5.1 Организационна структура и висше ръководство За получаване на акредитация като Сертифициращ орган могат да кандидатстват само юридически лица, съгласно определението в точка 4.1.1 ISO / IEC 17065: 2012, които отговарят на съответните изисквания. Сертифициращият орган трябва да докаже, че неговата организация е структурирана в съответствие с точка 5.1 ISO / IEC 17065: 2012 и механизъм в съответствие с точка 5.2 ISO / IEC 17065: 2012. 5.2 Механизми за осигуряване на безпристрастността Сертифициращият орган трябва да извършва своите дейности безпристрастно в съответствие с точка 4.2 ISO / IEC 17065: 2012. Липса на всякакъв вид икономически и/или договорни отношения между сертифициращия орган и заявителя или притежателя на сертификат е елемент от доказване на безпристрастността. 6. Изисквания по отношение на ресурсите Сертифициращият орган трябва, в допълнение към изискването в раздел 6 от ISO/IEC 17065/2012, да докаже пред КЗЛД, че персоналът на последния: 1. доказано притежава подходящи и актуални експертни познания (знания и опит) по отношение на защитата на данни съгласно член 43, параграф 1 от ОРЗД; 2. е независим и притежава актуални експертни познания във връзка с предмета на сертифицирането в съответствие с член 43, параграф 2, буква а) и няма конфликт на интереси съгласно член 43, параграф 2, буква д) от ОРЗД; 3. се задължава да спазва критериите, посочени в член 42, параграф 5, в съответствие с член 43, параграф 2, буква б) от ОРЗД; 4. има подходящи и достатъчни познания и опит в прилагането на законодателството за защита на данните; 5. има подходящи и достатъчни познания и опит в техническите и организационните мерки относно защитата на данните, ако е приложимо; 6. представителите в управителните органи и лицата, които вземат окончателното решение при издаването на сертификата, трябва да имат значителен опит в идентифицирането и прилагането на мерки за защита на данните; 7. е в състояние да докаже опит в областите, посочени в допълнителните изисквания 6.1.1, 6.1.4 и по-специално 6.1.5 За персонала с технически експертен опит: 20 Сертифициращият орган трябва да разполага с достатъчно човешки ресурси с актуални специализирани познания в следните области, както и да може да докаже това по всяко време: Познаване на предмета на сертифициране в съответствие с чл.43, пар. 2, б. „а“ от Регламент (ЕС) 2016/679; Те са придобили квалификация в съответната област на техническата експертиза или призната образователно-квалификационна степен, както и технически професионален опит в защитата на данните. Познание в, икономическата, технически или други сфери, необходими при извършване на дейностите в процеса на сертифициране, в зависимост от сферата на дейност на кандидата за получаване на сертификат; Специализираните познания за лицата, които провеждат оценките за сертифициране, в конкретната област се доказват с относимата за конкретната сфера на познания диплома за завършен цикъл на висше образование и допълнително професионален опит в областта, но не по-малко от три години, които да включват и опит във водене на проверки (одити). Експертните изисквания към оценителите и лицата, вземащи решения, се определят, като се вземат предвид различните задачи, които изпълняват. Оценителите трябва да имат експертен опит и професионален опит в техническите процедури (напр. одити и сертифициране), докато лицата, вземащи решения, трябва да имат експертен опит и професионален опит в защитата на данните. Специализираните знания за Сертифициращия орган в цялост не трябва да бъдат гарантирани само от едно физическо лице. Представителите в ръководните органи и лицата, които взимат окончателното решение за издаване на сертификат, освен горните изисквания трябва да разполагат със значителен професионален опит в сферата на защитата на данните. Сертифициращият орган трябва да използва процедури, за да гарантира, че специализираните знания на персонала се актуализират, по - специално като се вземат предвид промените в правната ситуация, рискът за обработването на лични данни и състоянието на техниката и технологиите. Сертифициращият орган може да използва външни експерти в конкретни области, но Сертифициращият орган носи отговорността за вземане на решения. При всички положения, Сертифициращият орган трябва да докаже, че разполага с достатъчен на брой специалисти с оглед предметния обхват и обема на предвиждането сертифициране, за да гарантира съответното ниво на експертна обезпеченост. За персонала с правен експертен опит: 21 Познаване на законодателството за защита на данните и опит в неговото прилагане, включително технически и организационни мерки и процедури, или достъп до експерт с подобен опит. Да притежава удостоверение за юридическа правоспособност от Министерство на правосъдието на Република България, или да бъде регистриран според изискванията на съответната държава членка на ЕС. Познаване на съответните законови разпоредби за оценяване на съответствието, както и на националните и международни стандарти (по - специално ISO); Правната експертиза се доказва с документ за успешно завършване на специалност „Право“ от висше учебно заведение със степен магистър; В случаите, когато степента на висшето образование е придобито в чуждестранно учебно заведение, се прилагат разпоредбите на Наредбата за държавните изисквания за признаване на придобито висше образование и завършени периоди на обучение в чуждестранни висши училища; Специализираните познания за лицата, които провеждат оценките, трябва да разполагат с реален опит в областта на защитата на данните, но не по-малко от три години, които да включват и опит във водене на проверки (одити). Представителите в ръководните органи и лицата, които взимат окончателното решение за издаване на сертификат, освен горните изисквания, ако доказват правна експертиза, трябва да разполагат със значителен професионален опит в сферата на защитата на данните. Сертифициращият орган трябва да използва процедури, за да гарантира, че специализираните знания на персонала се актуализират, по - специално като се вземат предвид промените в правната ситуация, рискът за обработка и състоянието на техниката и технологиите. Посочените общи изисквания по отношение на ресурсите на сертифициращия орган ще бъдат включени в наредбата за условията и реда за акредитация и отнемане на акредитация на сертифициращи органи, която ще бъде приета въз основа на настоящите критерии. 6.2 Ресурси за оценяване Прилагат се изискваната на ISO / IEC 17065: 2012. 7 Изисквания към процесите, член 43, параграф 2, букви в) и г) 7.1 Общи положения 1. Сертифициращите органи трябва да отговарят на допълнителните изисквания на компетентния надзорен орган (съгласно член 43, параграф 1, буква б) при подаване на 22 заявлението, така че задачите и задълженията да не водят до конфликт на интереси съгласно член 43, параграф 2, буква б); 7.2 Заявление В допълнение на изискванията на ISO / IEC 17065: 2012, Сертифициращият орган ще трябва да изисква Заявлението да съдържа: 1.подробно описание на обекта на оценката (ОнО); 2.посочване дали се използват обработващи лични данни, а когато обработващите лични данни са Заявители, техните отговорности и задачи трябва да бъдат описани, и Заявлението трябва да съдържа съответните договори между администратора и обработващия лични данни; 3.посочване дали ще се обработват данни от съвместни администратори и дали съвместния администратор е Заявител, като към Заявлението се прилага и споразумението между съвместните администратори; 4.информация за всички висящи или приключили производства пред КЗЛД срещу Заявителя, свързани с обхвата на сертифициране или обекта на оценката, доколкото разследването или регулаторните действия са свързани с целта на оценката. 7.3 Преглед на заявлението В допълнение към точка 7.3 от ISO/IEC 17065/2012 трябва да се изисква следното: 1. в споразумението за сертифициране се определят задължителни методи за оценка във връзка с обекта на оценката (ОнО); 2. оценката от 7.3, буква д) относно това дали са налични достатъчни експертни познания, взема предвид в подходяща степен техническия и правния експертен опит в областта на защитата на данните. 7.4 Оценка В допълнение към точка 7.4 от ISO/IEC 17065/2012 в механизмите за сертифициране трябва да се опишат достатъчно ясно методите за оценка на съответствието на операциите по обработване с критериите за сертифициране и да се предоставят на КЗЛД, включително, например, когато това е приложимо: 1. метод за оценка на необходимостта и пропорционалността на операциите по обработване по отношение на целите им и съответните субекти на данни; 2. метод за оценка на обхвата, състава и всички рискове, отчетени от администратора и обработващия лични данни по отношение на правните последици, произтичащи от членове 30, 32, 35 и 36 от ОРЗД, както и по отношение на определението за технически и организационни 23 мерки съгласно членове 24, 25 и 32 от ОРЗД, доколкото посочените членове се прилагат спрямо обекта на оценката, както и 3. метод за оценяване на корективните мерки, включително гаранции, предпазни мерки и процедури, предназначени да се гарантира защитата на личните данни в контекста на обработването, свързано с ОнО, и да се докаже, че са изпълнени законовите изисквания, заложени в критериите; както и 4. документиране на методите и констатациите. Сертифициращият орган трябва да гарантира, че тези методи за оценка са стандартизирани и общоприложими. Това означава, че съпоставими методи за оценка се използват за съпоставими обекти на оценка. Всяко отклонение от тази процедура трябва да бъде обосновано от Сертифициращия орган. В допълнение към точка 7.4.2 от ISO/IEC 17065/2012 трябва да се разреши извършването на оценката от външни експерти, които са признати от сертифициращия орган. В допълнение към точка 7.4.5 от ISO/IEC 17065/2012 трябва да се изисква сертифицирането за защита на данните в съответствие с членове 42 и 43 от ОРЗД, което вече обхваща част от предмета на сертифицирането, да може да бъде включено в текущото сертифициране. Това обаче не изключва извършването на оценки. Сертифициращият орган е длъжен да проверява спазването на критериите. Признаването винаги изисква наличието на пълен доклад за оценка или информация, позволяваща оценяването на предишни дейности по сертифициране и резултатите от тях. Декларацията за сертифициране или подобни сертификационни документи не може да се считат за достатъчни, за да заменят доклада. В допълнение към точка 7.4.6 от ISO/IEC 17065/2012 трябва да се изисква сертифициращият орган да посочи подробно в своя механизъм за сертифициране по какъв начин информацията, изисквана в точка 7.4.6, осведомява клиента (заявителя на сертифицирането) относно несъответствията с механизма за сертифициране. Във връзка с това трябва да бъдат определени най-малко естеството и момента на подаване на подобна информация. В допълнение към точка 7.4.9 от ISO/IEC 17065/2012 трябва да се изисква предоставянето на пълен достъп до тази документация на надзорния орган по защита на данните при поискване. 5. Сертифициращият орган трябва да установи процедури по актуализирането на методите за оценка, както е описано в под-раздел 9.1 от тези критерии. 7.5 Преглед Задължение на Заявителя за сертифициране е да предостави достъп до експлоатационните или производствените съоръжения и проверка на необходимите 24 документи на лицата, на които е поверено сертифицирането на сертифициращия орган, доколкото това е необходимо за проверка на текущото спазване на задълженията, посочени в споразумението за сертифициране, след предварително уведомление. В съответствие с раздел 7.9 ISO / IEC 17065: 2012 Сертифициращият орган трябва да осигури подходящи процедури, които да му позволят да следи текущото спазване на изискванията за сертифициране от притежателя на сертификата (процедура за мониторинг). Всички мерки, свързани с процедурите за мониторинг, включително периода на планираното наблюдение, трябва да бъдат документирани, съгласно описани процедури. В допълнение към точка 7.5 от ISO/IEC 17065/2012 са необходими процедури за предоставяне, редовно преглеждане и анулиране на съответните сертификати в съответствие с член 43, параграф 2 и член 43, параграф 3. Сертифициращият орган трябва да води регистър на жалбите, които е получил и предприетите мерки, както и трябва да предостави на КЗЛД достъп до тях по всяко време. 7.6 Решение относно сертифицирането Сертифициращият орган трябва да извършва своите дейности безпристрастно в съответствие с точка 4.2 ISO / IEC 17065: 2012, както и да бъде в състояние да докаже наличието на ефективна политика по предотвратяване на конфликт на интерес чрез представяне на списък от мерки, които са задължителни за персонала на сертифициращия орган. Сертифициращият орган трябва да е в състояние да гарантира, че има въведени методи за оценяване и че тези методи за оценяване, описани в механизма за сертифициране, са стандартизирани и общоприложими, като всяко отклонение от тези методи за преценка е нужно да бъде обосновано от сертифициращия орган. В допълнение към точка 7.6.1 от ISO/IEC 17065/2012 от сертифициращия орган трябва да се изиска да изложи подробно в своите процедури как се гарантират неговата независимост и отговорност по отношение на отделните решения относно сертифицирането. Непосредствено преди издаване на решението, Сертифициращият орган трябва да уведоми КЗЛД за предстоящото решение, като към него представи резюме на същото, включващо описание на спазване на настоящите критерии и основанията за сертифициране, както и декларация, че Заявителят не е в процес на производство пред КЗЛД. При издаване на окончателното решение, Сертифициращият орган го предоставя в цялост на КЗЛД. Същата процедура се следва при подновяване или удължаване на сертифицирането. Това задължение е да осигури честно и прозрачно прилагане на критериите за акредитация във връзка с решенията, издадени от Сертифициращия орган и не представлява форма на надзор от КЗЛД при взимане на решения от страна Сертифициращия орган. 25 7.7 Документация за сертифициране Срокът, за който сертификатът се предоставя или удължава, като максималната продължителност е от три години, в съответствие с член 42, параграф 7 от ОРЗД. В съответствие с раздел 7.9 ISO / IEC 17065: 2012 Сертифициращият орган трябва да осигури подходящи процедури, които да му позволят да следи текущото спазване на изискванията за сертифициране от притежателя на сертификата (процедура за мониторинг). Всички мерки, свързани с процедурите за мониторинг, включително периода на планираното наблюдение, трябва да бъдат документирани. В допълнение към точка 7.7.1., буква е) от ISO/IEC 17065/2012 от сертифициращия орган трябва да се изисква да посочи предмета на сертифицирането в документацията по сертифицирането (като посочи статута на версията или сходни характеристики, ако това е приложимо). В случай на сертифициране, Сертифициращият орган издава на Заявителя за сертифициране писмен сертификат, съдържащ: - информация относно обхвата на сертифицирането; - описание на предмета на сертифицирането; - периода на валидност на сертификата; - името/наименованието и идентифициращи данни на получателя на сертификата. Тази информация трябва да съвпада напълно с информацията, съдържащата се в решението за сертифициране. 7.8 Указател на сертифицираните продукти Сертифициращият орган трябва да съхранява списък на издадените сертификати, който в допълнение към изискванията на раздел 7.8 ISO / IEC 17065: 2012 съдържа най -малко следната информация: 1. обхватът на сертифицирането и подходящо описание на предмета на сертифицирането (ОнО); 2. съответните критерии за сертифициране (включително версията и функционалния статус); 3. методите за оценка и проведените тестове; 4. резултатите от решенията за сертифициране; Сертифициращият орган е задължен да оповести публично информацията по точки 1 – 4, включително в резюмето. Сертифициращият орган документира, съхранява, публикува и предоставя в подходяща форма информация за сертифицирани операции по обработване на лични данни и обобщение на процедурите по сертифициране, включително докладите за оценка. Сертифициращият орган е задължен да информира КЗЛД за причините за издаване или не издаване на сертификат. 26 7.9 Надзор В съответствие с раздел 7.9 ISO / IEC 17065: 2012 сертифициращият орган трябва да осигури подходящи процедури, които да му позволят да следи текущото спазване на изискванията за сертифициране от притежателя на сертификата (процедура за мониторинг). Трябва да бъде извършена оценка, за да се гарантира, че процедурата за мониторинг съответства на рисковете, свързани с планираната обработка. Всички мерки, свързани с процедурите за мониторинг, включително периода на планираното наблюдение, трябва да бъдат документирани. Сертифициращият орган трябва да съхранява записи в съответствие с точка 7.12 ISO / IEC 17065: 2012, за да докаже, че притежателят на сертификата отговаря на изискванията за сертифициране. На КЗЛД трябва да бъде предоставен достъп до тези записи по всяко време. При юридическо прекратяване дейността на Сертифициращият орган или при фактическа невъзможност за изпълнение на задълженията му по надзор, същият предава цялата надлежна документация на КЗЛД до определяне на друг сертифициращ орган, на когото тази документация се предава с цел довършване на надзора до изтичане срока на сертификата. 7.10 Промени, засягащи сертифицирането В случай на промяна в изискванията за сертифициране, породени от нарушения на сигурността на данните или нарушения на законодателството в областта на защитата на данните, както и факти и обстоятелства които биха имали трайни неблагоприятни последици за процеса на сертифициране, установени от КЗЛД, съответния административен орган или компетентния съд, и са свързани с предмета на сертифициране, неспазване на настоящите критерии, промяната в законодателството, решения на съд във връзка със защитата на данните, приемането на делегирани актове на Комисията или документи приети от ЕКЗД, Сертифициращият орган трябва незабавно да уведоми писмено притежателя на сертификата, доколкото същият има отношение към процедурата по сертифициране и след предоставяне на разумен срок за прилагане на необходимите промени, да ги преразгледа. За целта Сертифициращият орган трябва да разработи съответната процедура (напр. периодичен преглед на законодателството и съдебната практика в областта на защитата на данните, процес на одобрение с компетентния надзорен орган). 7.11 Прекратяване, ограничаване, временно прекратяване или оттегляне на сертификата 27 В случай на прекратяване, ограничаване, спиране или отнемане на сертификат, сертифициращият орган трябва да отговаря на изискванията на раздел 7.11 ISO / IEC 17065:2012. Сертифициращият орган информира в разумен срок Клиента и КЗЛД за причините за прекратяването, ограничаването, спирането или отнемането на сертификат в писмена форма. Сертифициращият орган трябва да налага пропорционални и прогресивно отежнени санкции в случаите, в които Клиент е затаил, укрил или не е предоставил в срок информация, свързана с текущи производства или друга относима информация, свързана със спазването на изискванията на законодателството по защита на данните. Сертифициращият орган е задължен да приема и прилага решенията и нарежданията на КЗЛД за отнемане или за не издаване сертификат на Клиент (Заявител), ако не са спазени или впоследствие (след получаване на сертификат) не се спазват изискванията за сертификация. Неприлагането на решенията на КЗЛД е самостоятелно основание за отнемане или не издаване/не подновяване на сертификат. 7.12 Записи Сертифициращият орган трябва да съхранява записи в съответствие с точка 7.12 ISO / IEC 17065: 2012, за да докаже, че притежателят на сертификата отговаря на изискванията за сертифициране. Сертифициращия орган трябва да съхранява цялата документация в пълен, разбираем, актуален и подходящ за извършване на одит вид. На КЗЛД трябва да бъде предоставен достъп до тези записи по всяко време. 7.13 Оплаквания и обжалвания, член 43, параграф 2, буква г) В допълнение на т. 7.13 ISO / IEC 17065: 2012, сертифициращият орган трябва да определи подходящи процедурни насоки за обработка на жалбите, които получава за нарушения или прилагане на изискванията за сертифициране от притежателите на сертификати, които включват и: - определяне на лицата, които могат да подават жалби и сигнали; - кой ще ги обработва от страна на Сертифициращият орган; - какви са процедурите за проверката им; - възможностите за връзка и събиране на информация от заинтересованите страни; - как и на кого трябва да се даде подобно потвърждение; - какви проверки могат да се проведат; - кои процеси трябва да бъдат започнати след това; - сроковете за проверка на жалбите. 28 Процедурните указания се публикуват по общодостъпен начин след акредитация на Сертифициращия орган. Сертифициращият орган трябва да води регистър на жалбите, които е получил и предприетите мерки, както и трябва да предостави на КЗЛД достъп до това по всяко време. В споразумението за сертифициране, в допълнение към изискванията по смисъла на точка 4.1.2 ISO / IEC 17065: 2012, трябва да се посочи задълженията на Сертифициращия орган във връзка с оплаквания относно спазването на изискванията за сертифициране, като по- специално създаване на вътрешен каталог от мерки за разглеждане на получените жалби и задължението за документиране и запазване на жалбите и предприетите мерки, както и за продължителността на съхранение, като се вземат предвид принципите за обработка на лични данни по смисъла на ОРЗД. Заявителят/Клиентът има задължение да информира в разумен срок Сертифициращият орган за потенциални причини за прекратяването, ограничаването, спирането или отнемането на сертификат. В съответствие с т. 7.13 ISO / IEC 17065: 2012, сертифициращият орган трябва да определи подходящи процедурни насоки за обработка на жалбите, които получава за нарушения или прилагане на изискванията за сертифициране от притежателите на сертификати, като Сертифициращият орган трябва да определи процедури, гарантиращи разделението между дейностите по сертифициране и обработката на оплаквания и жалби. 8 Изисквания към системата за управление Общо изискване към системата за управление съгласно глава 8 от ISO/IEC 17065/2012 е изпълнението на всички изисквания от предходните глави в рамките на обхвата на прилагане на механизма за сертифициране от акредитирания Сертифициращ орган да бъде документирано, оценено, контролирано и подложено на независимо наблюдение. Основният принцип на управление е да се определи система, съгласно която целите на управлението се набелязват по ефективен и ефикасен начин, и по-специално: изпълнението на услугите по сертифициране да протича чрез подходящи спецификации. Това изисква прозрачност и възможност за проверка на изпълнението на изискванията за акредитация от Сертифициращия орган и неговото постоянно съответствие. За тази цел системата за управление трябва да се спре на методика за постигане и контролиране на тези изисквания в съответствие с разпоредбите за защита на данните и за постоянното им проверяване със самия акредитиран орган. Тези принципи на управление и документираното им прилагане трябва да бъдат прозрачни и да се съобщават от акредитирания Сертифициращ орган в съответствие с процедурата по акредитация и съгласно член 58 и след това по искане на КЗЛД по всяко време в хода на разследване под формата на прегледи на защитата на данните съгласно член 58, 29 параграф 1, буква б) или на преглед на сертификатите, издадени в съответствие с член 42, параграф 7 в съответствие с член 58, параграф 1, буква в). По-конкретно, акредитираният Сертифициращ орган трябва да оповестява публично постоянно и непрекъснато какво се сертифицира, на каква основа (или според какви механизми и схеми за сертифициране), какъв е срока на валидност на сертификатите, въз основа на каква рамка и при какви условия. 8.1 Общи изисквания към системата за управление Прилагат се изискванията на ISO/IEC 17065/2012. 8.2 Документация на системата за управление Прилагат се изискванията на ISO/IEC 17065/2012. 8.3 Контрол на документите Прилагат се изискванията на ISO/IEC 17065/2012. 8.4 Контрол на записите Прилагат се изискванията на ISO/IEC 17065/2012. 8.5 Преглед от ръководството Прилагат се изискванията на ISO/IEC 17065/2012. 8.6 Вътрешни одити Прилагат се изискванията на ISO/IEC 17065/2012. 8.7 Коригиращи действия Прилагат се изискванията на ISO/IEC 17065/2012. 8.8 Предпазни действия Прилагат се изискванията на ISO/IEC 17065/2012. 9 Други допълнителни изисквания 9.1 Актуализиране на методите за оценяване 30 Сертифициращият орган определя процедури по актуализирането на методите за оценка, които да се прилагат в контекста на оценяването съгласно точка 7.4. Актуализирането трябва да се извършва в хода на промените в правната рамка, съответните рискове, достиженията на техническия прогрес и разходите за прилагане на технически и организационни мерки. 9.2 Поддържане на експертните познания Сертифициращият орган трябва да използва процедури, за да гарантира, че специализираните знания на персонала се актуализират, по-специално като се вземат предвид промените в правната ситуация, рискът за обработка и състоянието на техниката и технологиите. 9.3 Отговорности и компетенции 9.3.1 Комуникация между Сертифициращия орган и неговите клиенти Сертифициращият орган трябва да разработи процедури за: 1. Поддържане на документация за: - Отговори при искания за достъп до информация; - Контактна точка, при разглеждането на жалби. 2. Процес по обработване на жалби: - информация за статуса на дадена жалба; - комуникация с и взимане предвид оценката на КЗЛД; 9.3.2 Документация на дейностите по оценяване Не са предвидени допълнителни изисквания. 9.3.3 Управление на разглеждането на жалби В съответствие с т. 7.13 ISO / IEC 17065: 2012, Сертифициращият орган трябва да определи подходящи процедурни насоки за обработка на жалбите, които получава за нарушения или прилагане на изискванията за сертифициране от притежателите на сертификати, като сертифициращият орган трябва да определи процедури, гарантиращи разделението между дейностите по сертифициране и обработката на оплаквания и жалби. Сертифициращият орган трябва да води регистър на жалбите, които е получил и предприетите мерки, както и трябва да предостави на КЗЛД достъп до това по всяко време. 9.3.4 Управление на процедурата по оттегляне 31 В споразумението за сертифициране, в допълнение към изискванията по смисъла на точка 4.1.2 ISO / IEC 17065: 2012, трябва да се посочат задължения на кандидата за сертифициране във връзка с прекратяване, ограничаване, спиране или отнемане на сертифицирането. Процедурите в случай на временно спиране или оттегляне на акредитацията трябва да бъдат интегрирани в системата за управление на сертифициращия орган, включително в уведомленията за клиентите. Сертифициращият орган информира КЗЛД за причините за прекратяването, ограничаването, спирането или отнемането на сертификат. 32

СПРАВКА за отразяване на постъпилите в КЗЛД предложения и становища от обществените консултации по проект на Наредба № 3 относно условията, изискванията и реда за акредитация и отнемане на акредитация на сертифициращ орган, критериите, механизмите и процедурите за сертифициране, печати и маркировки 1 № Дата и начин на постъпването на становището Име на лице/ наименование на ЮЛ Декларирани данни дали лицето действа от свое име или защитата позиция от името на друго лице/група лица Предложения и становища Приети/ неприети Мотиви 1. 08.08.2026 21:30 Постъпило чрез Портала за обществени консултации Никола Гешев ☒ Лицето действа от свое име ☐ Лицето защитава позиция от името на друго лице/група лица I. Бележки по същество на постановителната част на проектонаредбата 1. Според българската правна традиция използваните в чл. 20, ал. 2, т. 1 от проекта на наредба думи „установяване на самоличността на заявителя“ предполагат, че заявителят за сертифициране може да бъде само физическо лице. Доколкото обаче юридическите лица също могат да бъдат субект на сертификация, разпоредбата следва да бъде допълнена и да предвижда Прието Доколкото става въпрос за терминологично грешка, то последната ще се коригира, без да се налага да се създава допълнителна разпоредба 2 възможността за индивидуализация и на юридически лица. 2. Използваните в чл. 28 от проекта на наредба термини „предоставянето или недопускането“ на сертификат не произтичат нито от Регламент (ЕС) 2016/679, нито от Закона за защита на личните данни. Може би касае издаването или отказ за издаване на сертификат, което трябва да бъде уточнено от вносителя. Прието Използваните термини се взети от ISO / IEC 17065:2012, но изразите „издаването или отказ за издаване на сертификат“ са по-ясни 3. Редакцията на чл. 35, ал. 4 от проекта на наредба не е достатъчно прецизна за нормативен текст, защото има няколко неясноти. Първо, изразът „информацията във връзка с оплаквания“ е твърде широк – не става ясно каква точно информация трябва да бъде публично достъпна: самите оплаквания, данни за броя им, предмета им, резултата от разглеждането им или цялата преписка. Второ, не е съвсем ясно разграничението между „оплаквания относно спазването на изискванията за сертифициране“ и „жалби за нарушения на сертификати“. Особено формулировката „нарушения на сертификати“ звучи неточно – обикновено се нарушават изисквания, условия, правила или задължения, а не самият сертификат. Трето, „в тези случаи“ може граматически да се отнася както само до жалбите, така и до двете категории. Ако забраната за разкриване на лични данни се отнася до цялата публикувана информация, това следва да се уточни изрично. Четвърто, „страните в производството“ предполага наличието на формално производство и процесуални страни. Ако „оплакването“ не винаги води до Не е прието Използвана е терминология, която е възможно най-обща, за да може да обхване възможно най-голям кръг от хипотези, тъй като е невъзможно изчерпателно изброяване на всички възможни случаи на жалби, оплаквания и т. н. това твърдение е изведено от практиката на КЗЛД. 3 образуване на такова производство, по-точно би било да се посочат конкретните лица – например подателят на оплакването или жалбата и засегнатите лица. 4. С цел правна яснота в дефиницията на понятието „Акредитация“ по § 1, т. 2 от ДР на проекта на наредба е препоръчително думите „компетентния надзорен орган“ да се заменят с „Комисията за защита на личните данни“. По същите съображения думите „установени от надзорния орган“ могат да се заменят с „установени в тази наредба“. Не е прието Използваната терминология е достатъчно ясна и е взета от Регламент (ЕС) 2016/679. 5. В § 2 от ДР на проекта на наредба използването на понятието „Европейския съюз“ е неточно, защото администраторите или обработващите лични данни могат да не са установени на територията на държава- членка на Европейския съюз, но независимо от това, за тях да не се приложими въобще изискванията на Глава V от Регламент (ЕС) 2016/679. Такъв е случаят с Исландия, Лихтенщайн и Норвегия, които не са членки на ЕС, но са членове на Европейското икономическо пространство (ЕИП) и предаването на лични данни към тях не представлява международен трансфер към трета държава по смисъла на Глава V от Регламент (ЕС) 2016/679.Също така не е правилно да се посочва, че за да има трансфер на лични данни по Глава V от Регламент (ЕС) 2016/679 износителите на данни трябва да са „администратори или обработващи данни от ЕС“, доколкото считано от 20 юли 2018 г. Не е прието Съгласно чл. 1, б. „б“ и „в“ от Решение (EС) 2018/893 на Съвета от 18 юни 2018 година относно позицията, която трябва да се заеме от името на Европейския съюз в рамките на Съвместния комитет на ЕИП във връзка с изменението на приложение XI (Електронни комуникации, аудио- визуални услуги и информационно общество) и Протокол 37, съдържащ списъка, предвиден в член 101, към Споразумението за ЕИП (Общ регламент 4 Регламент (ЕС) 2016/679 се прилага и в трите посочени държави, които не са членки на ЕС. Наред с това, самото препращане към чл. 46, параграф 2, буква е) от Регламент (ЕС) 2016/679 не е достатъчно, защото не са уредени задължителните и изпълними ангажименти на получателя в трета държава, правата на субектите на данни, последващите трансфери, достъпът на публични органи и спирането на трансфера. Поради това трябва да се създаде отделна глава, която да урежда тези въпроси, както е посочено в Насоки 7/2022 относно сертифицирането като инструмент за предаване на данни на Европейския комитет по защита на данните, или § 2 от ДР на проекта на наредба следва да отпадне. относно защитата на данните), За целите на настоящото споразумение разпоредбите на регламента се четат със следните адаптации: … б) независимо от разпоредбите на Протокол 1 към настоящото споразумение и освен ако в настоящото споразумение е предвидено друго, в допълнение към значението си в регламента, понятията „държава(и) членка(и)“ и „надзорни органи“ включват съответно и държавите от ЕАСТ и техните надзорни органи. в) препратки към правото на Съюза или разпоредбите на Съюза за защита на данните се разбират като отнасящи се съответно до Споразумението за ЕИП или разпоредбите за 5 защита на данните, съдържащи се в него. 6. Проектът на наредба превръща частен стандарт в непосредствен нормативен ориентир, без да посочва приложимото му издание, език или достъп до него. Съществени задължения не следва да се извличат единствено от защитен и по правило платен документ. Поради това следва да се посочи точното издание и приложимата версия, а съществените материални и процесуални изисквания да бъдат възпроизведени в постановителната част на наредбата, а всяка бъдеща промяна да се въвежда само чрез формално изменение на наредбата. Не е прието Използването на стандарта ISO/IEC 17065/2012 е изискване на ЕКЗД, посочено /не само/ в: Насоки 1/2018 относно сертифицирането и определянето на критериите за сертифициране в съответствие с членове 42 и 43 от Регламент (ЕС) 2016/679 Приети на 23 януари 2019 г. В член 43, параграф 1, буква б) също се прави позоваване на ISO 17065, в който е уредена акредитацията на сертифициращи органи, които оценяват съответствието на продукти, услуги и процеси. В Становище 13/2022 по проекта на решение на компетентния надзорен орган на България относно одобрението на 6 изискванията за акредитация на сертифициращ орган съгласно член 43, параграф 3 (ОРЗД) се посочва, че стандартите ISO, по-специално ISO 17065, са предмет на права на интелектуална собственост, поради което в това становище няма да се позовава на текста от съответния документ. В резултат на това Комитетът реши, където е уместно, да посочи конкретни раздели от стандарта ISO, без обаче да възпроизвежда текста. 7. Основният текст на проекта на наредба и приложението си противоречат, уреждайки едни и същи въпроси различно. Например: чл. 13, ал. 3 изисква най-малко пет години професионален опит, а приложението предвижда минимум три години за определени експерти/оценители; чл. 6, ал. 2, т. 2 изисква задължително застраховка „Гражданска отговорност“, докато приложението допуска резервен фонд, застраховка за професионална или обща отговорност или други обезпечителни мерки; Не е прието Противоречие няма: В критериите се изискват не по-малко от три години, а в Наредбата - най-малко пет години професионален опит. Пет години опит се вмества в изискването за не по- малко от три години. КЗЛД е преценила, че пет години опит е долната граница за експерт, който 7 чл. 12, т. 3 забранява всякакви договорни отношения между сертифициращия орган и клиента, докато чл. 23 задължава страните да сключат споразумение за сертифициране. ще извършва необходимите дейности в процеса по сертифициране. в т. 4.3 от Критериите са посочени най-общо няколко варианта за възможност за покриване на финансови пасиви от дейността на сертифициращ орган. В чл. 6, ал. 2, т. 2 от Наредбата е направено препращане към точка 4.3 ISO / IEC 17065:2012, като застраховка „Гражданска отговорност“ за покриване на исковете за щети, произтичащи от дейността като сертифициращ орган, е посочен като задължителен елемент поради факта, че тази застраховка дава най- голяма сигурност. Наред с посочената застраховка могат да бъдат използвани и други инструменти за покриване на финансови пасиви. 8 Забраната, съдържаща се в чл. 12, т. 3 от Наредбата има за цел да гарантира безпристрастност в процеса на сертифициране, а наличието на договорни отношения между сертифициращия орган и заявителя или притежателя на сертификат пораждат основателни съмнения относно наличието на безпристрастност. Необходимостта между сертифициращия орган и заявителя за сертифициране да бъде сключено споразумение за сертифициране е очевидна и не се нуждае от аргументация и не противоречи на общата забрана, а напротив – въвежда единственото ѝ изключение. 8. В чл. 3 от проекта на наредба се предвижда КЗЛД да има право да „отхвърли“ процедури за оценяване, но не е напълно неясно дали ще се отхвърля схема, метод за оценяване, заявление за акредитация или конкретна Не е прието Правната норма, съдържаща се в чл. 3 от Наредбата е пределно ясна и няма нужда да бъде променяна или допълвана. 9 сертификационна процедура. Липсват адресат, доказателствен стандарт и последици. Текстът трябва да се редактира и да се определи точният предмет и производство. Терминът „отхвърли“ следва да се замени с конкретен резултат – отказ за одобряване на схема/метод или отказ/ограничаване на акредитационния обхват, след право на становище, а не абсолютно и безусловно. 9. В чл. 4 от проекта на наредба терминът „правомощие“ може да създаде впечатление за делегирана държавна власт. Акредитацията удостоверява способността за оценяване на съответствието в конкретна област или дейност. Следва да се редактира в смисъл, че акредитираният орган има право да извършва сертифициране единствено в определения с решението обхват и по одобрените критерии и схеми. Не е прието В правната норма ясно е посочено, че сертифициращият орган получава правомощие да предоставя сертификат на заявител в следствие получена акредитация, която от своя страна се издава от надзорен орган, притежаващ в властнически правомощия. Нормите трябва да се разглеждат в тяхната цялост, а не да се оценяват по отделни термини, извадени от цялостния контекст. 10. В чл. 6, ал. 1 от проекта на наредба се смесва акредитацията със сертифицирането. От кандидата за акредитация се изискват договори между администратор и обработващ лични данни – документи, които са относими към администратора или обработващия, кандидатстващ за сертификат, а не към сертифициращия орган. Не се приема Именно кандидатът за акредитация трябва да посочи, дали използва обработващи лични данни. Това изискване е залегнало и в Критериите, които са одобрени от ЕКЗД. 10 Изискването кандидатът за акредитация да посочи дали използва обработващи лични данни и да представи договори администратор-обработващ принадлежи към описанието на обекта на оценката при заявление за сертификат. Същото се съдържа в т. 7.2 от приложението. Разпоредбата би следвало да изисква данни за правния статут, организационната структура, схемите и обхвата на исканата акредитация, клонове/изнесени офиси, персонал и възлагане на външни дейности. 11. Списъкът на документи към заявлението по чл. 6, ал. 2 от проекта на наредба е непълен и частично неотносим. Липсват документи за собственост и контрол, безпристрастност, компетентност по роли, процедури за оценяване, вземане на решения, жалби, обжалване и мониторинг. Точка 4 пък е адресирана към конкретни администратори/обработващи, а не към кандидата за акредитация като сертифициращ орган. Поради това следва да се въведе структуриран и изчерпателен списък на документите. Уведомяването за използване на европейски печат от изнесен офис пък следва да се премести сред текущите задължения след акредитацията. Не е прието На какви изисквания трябва да отговаря кандидатът за акредитация е посочено в чл. 12 и сл. 12. В чл. 7 на проекта на наредба е предвидено, че в случай на непълнота или нередовност на представените документи, комисията дава указания на заявителя и Не е прието Какви са правните последици, ако кандидатът за получаване на акредитация като сертифициращ орган не 11 определя едномесечен срок за отстраняването им. Не са посочени обаче последиците от неизпълнение на указанията, изискванията към тях и моментът, от който срокът за произнасяне продължава. С оглед на това следва да се предвиди, че указанията са конкретни и изчерпателни, като при неизпълнение заявлението се оставя без разглеждане с мотивиран акт, а срокът за произнасяне спира до отстраняване на нередовностите. отговаря на условията и критериите, посочени в тази наредба, е посочено в чл. 8, ал. 2 от наредбата. 13. Тримесечният срок за произнасяне по чл. 8, ал. 3 от проекта на наредба не е обвързан с етапи. Липсват документален преглед, проверка на място, интервюта, наблюдение на оценяването, доклад, корективни действия и разделение между оценител и решаващ орган. Поради това трябва да се уреди пълният цикъл, включително изискването за безпристрастност на оценителния екип, право на възражение срещу негов член, доклад, срок за коментари и независимо решение. Наложително е да се въведат и основания за спиране на срока. Не е прието Посочената материя е уредена в Закона за защита на личните данни и Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. Няма необходимост да бъде преповтаряна в настоящата наредба. 14. В чл. 9 от проекта на наредба са предвидени условия и ред за подновяване на акредитацията, но не е уредено какво става, ако КЗЛД не се произнесе до изтичането на акредитацията. Срокът от три месеца може да е недостатъчен при извършване на проверка на място и налагане на корективни мерки. Препоръчително е да се предвиди по-ранно Не е прието Срокът по чл. 9, ал. 1 е напълно разумен, какво се случва при отказ за подновяване на акредитацията е посочено в чл. 9, ал. 3 от наредбата. 12 подаване и да се уреди изрично дали своевременно подаденото искане запазва действието на акредитацията, при какви условия и за какъв максимален период. 15. В чл. 10 и чл. 34, ал. 4 от проекта на наредба се използват неясни термини „нареждания“, „не издаване“ и „неподновяване“ без да се посочва кои правомощия по Регламент (ЕС) 2016/679 се упражняват и кога актът е изпълним. Вносителят следва да използва терминологията на чл. 58 Регламент (ЕС) 2016/679 и АПК. Основание за действие да бъде конкретен влязъл в сила или подлежащ на предварително изпълнение административен акт, издаден в рамките на компетентността на КЗЛД. Не е прието Използваните термини са пределно ясни, както е и пределно ясно, че на изпълнение подлежат влезли в сила административни актове. Наредбата не може и не следва да ограничава преценката на КЗЛД кои правомощия да използва в даден случай в съответствие с фактическата обстановка. 16. Контролът и отнемането на акредитацията не са пропорционално степенувани. Проекторазпоредбата на чл. 11 позволява отнемане при всяко несъответствие или нарушение, без да предвижда възможност за налагане на корективни мерки, срок за отстраняване на несъответствията, ограничаване на обхвата или временно спиране. Не са уредени и последиците за вече издадените сертификати. Отнемането на акредитацията трябва да е крайна мярка, която да се налага при съществено, повторно или неотстранено несъответствие/нарушение. Частично прието Включена и възможността за упражняване на корективни правомощия. Чл. 34, ал 1 се посочва, че в случай на прекратяване, ограничаване, спиране или отнемане на сертификат, сертифициращият орган трябва да отговаря на изискванията на раздел 7.11 ISO / IEC 17065:2012. 13 17. Предвидените в чл. 12-14 критерии за експертния капацитет са общи и противоречиви. Използват се неясни категории като „хуманитарна, природна, икономическа“ експертиза. Препоръчително е да се създаде матрица по роли: водещ оценител, технически оценител, правен експерт, преглеждащ оценката и лице, вземащо решение. За всяка роля да има квалификация, релевантен опит, одиторски опит, обучение и правила за независимост. Не е прието Посочените критерии не са противоречиви. Те са максимално общи, тъй като няма как да бъдат изброени изчерпателно. Поради това са посочени възможно най-общо – за да могат да обхванат всички възможни хипотези. 18. Предвидените изисквания за образование и квалификация по специалност „Право“ в текста на чл. 13 от проекта на наредба не са съгласувани с изискването за юридическа правоспособност в приложението. Прието В чл. 13, ал. 1 се допълва с: и да притежава удостоверение за юридическа правоспособност от Министерство на правосъдието на Република България, или да бъде регистриран според изискванията на съответната държава членка на ЕС. 19. В чл. 15 от проекта на наредба е предвидено автоматично предаване на „цялата“ документация на КЗЛД до определянето на друг сертифициращ орган, което обаче е бъдещо несигурно събитие. Този режим не отчита необходимостта от защита на търговската тайна (при наличие на такива), мерките за сигурност, правилата за избор на приемащ орган, уведомяването на клиента и сроковете за съхранение на документацията. Не е прието Въпросът за задължението за опазване на тайна е уреден в чл. 12а от ЗЗЛД. 14 20. В предвидените с чл. 16-18 от проекта на наредба правила за схемите и критериите за сертифициране липсва ред за одобряване и изменение на схема, управление на версии и преход между тях. Изискването критериите да обхващат „всички възможни сценарии“ е практически неизпълнимо, поради което следва да се замени с „разумно предвидимите сценарии, относими към обхвата и риска“. Не е прието В чл. 16-18 ясно са описани изискванията относно схемите за сертифициране и задълженията на сертифициращите органи. Цитатът на чл. 18, ал. 3 в коментарите е некоректен. Нормата има следното съдържание: Критериите трябва, също така, да обхващат всички възможни сценарии, които обичайно могат да се очакват в зависимост от обхвата на схемата. В цитираната правна норма няма нищо практически неизпълнимо. 21. Предвиденото в чл. 20 от проекта на наредба минимално съдържание на заявлението за сертифициране не е съгласувано с приложението и не изисква точно описание на обекта на оценката, версиите, границите, интерфейсите и трансферите. Предвиденият в чл. 21, ал. 1 от проекта на наредба едномесечен срок не отчита тежестта на нередовностите. Препоръчително е да се уеднакви съдържанието и да се въведе базиран на риска режим на коригиращи действия, а при съществено несъответствие да е допустим мотивиран отказ. Не е прието В чл. 20, ал. 2 е посочено, че заявлението трябва да съдържа цялата информация, необходима за процеса на сертифициране, като след това са изброени елементите, които са задължителни, без значение на особеностите на конкретната схема. Ако заявителят е направил големи пропуски и не е в състояние да ги отстрани в едномесечен срок, той едва ли ще бъде в 15 състояние да отговори на изискванията на съответната схема. 22. Предвидените в чл. 24 от проекта на наредба хипотези на промяна в изискванията за сертифициране са непълни. Трябва да се включат случаите при изменения в законодателството, практиката на Съда на ЕС, решения и относими насоки на ЕКЗД, както и при промени в критериите и развитието на техниката. Не е прието В чл. 24 ясно е посочено, че: В случай на промяна в изискванията за сертифициране, породени от промяната в правната ситуация, решения на съд във връзка със защитата на данните, приемането на делегирани актове на Европейската комисия… 23. Предложените в чл. 30 от проекта на наредба реквизити на сертификата са твърде малко. Освен тях сертификатът трябва да съдържа и уникален номер, данни за клиента, информация за схемата и версията, точен обект и обхват, критерии, срок на валидност, ограничения, статус и публичен адрес за проверка. Частично прието В чл 30, ал. 1 е включен „уникален номер“. Останалите предвидени реквизити са напълно достатъчни и стриктно необходими. 24. В текстовете на чл. 31 и 32 от проекта на наредба не са уредени правила при злоупотреба със знак, нито мерки при спиране/отнемане. Изискването за публикуване на пълни доклади, методи, тестове и резултати може да разкрие търговски тайни, уязвимости и лични данни и противоречи на поверителността. Поради това следва да се публикува само стандартизирано резюме без чувствителни/защитени подробности. Пълният доклад трябва да се пази само при Не е прието Чл. 32, ал. 1 препраща към точка 7.8 ISO / IEC 17065:2012, където този въпрос е уреден. Въпросът за информацията, съдържаща вид тайна, вече беше разяснен (вж. коментар 59). 16 поискване от КЗЛД. Следва да се въведе изискване за електронна проверка на статуса, както и да се разпишат основания за прекратяване на правото за използване на знак. 25. В чл. 33-35 от проекта на наредба не са разграничени жалбите на трети лица за нарушение на сертификат от обжалване на сертификационното решение. Липсват срокове, изискване за независимост при разглеждането им и правила за публично отчитане. Поради това следва да се уредят отделно: жалби за използването на сертификат; обжалване на решенията на сертифициращия орган; сигнали до КЗЛД. Не е прието Прилагат се общите процесуални правила, установени в ЗЗЛД и АПК. II. Бележки по Приложение № 1 от проектонаредбата 1. Приложение № 1 не е оформено като нормативен текст. То започва като „Решение на КЗЛД“ и съдържа увод, мотиви и бъдещи формулировки като „КЗЛД възнамерява“, „проект на решение“, „ще залегнат“ и „ще бъдат включени в наредбата“. Не е ясно кои части са задължителни правни норми и кои имат само обяснителен характер. Поради това приложението следва да се преработи изцяло като ясно номериран набор от безусловни критерии. Да отпаднат историческите, мотивиращите и бъдещите формулировки. Не е прието Приложение № 1 съдържа Критерии за акредитация на сертифициращ орган съгласно член 43, параграф 3 от Регламент (ЕС) 2016/679, които са одобрени от ЕКЗД със Становище 13/2022 по проекта на решение на компетентния надзорен орган на България относно одобрението на изискванията за акредитация на 17 сертифициращ орган съгласно член 43, параграф 3 (ОРЗД) Прието на 4 юли 2022 г. 2. В приложението трябва да се заличат технически грешки като „орган6“, слепени изречения и нарушена номерация. Приема се Техническа грешка III. Правно-технически бележки 1. В заглавието на проекта на наредба думата „редът“ е използвана след предлога „относно“, поради което е правилно да се изпише без пълен член, т.е. „реда“. Прието Техническа грешка 2. Съгласно чл. 24, ал. 2 от Указ № 883 от 24.04.1974 г. за прилагане на Закона за нормативните актове (Указ № 883) наредбите трябва да имат и номера, какъвто в случая не е предвиден. За справка вж. Наредба № 1 от 27.07.2023 г. за воденето на регистъра на сигналите по чл. 18 от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения и за препращане на вътрешни сигнали към Комисията за защита на личните данни; Наредба № 1 от 23.06.2026 г. за резервите за гарантиране на брутния размер на вноските във фондовете за допълнително задължително пенсионно осигуряване и резервите за гарантиране на пенсионните плащания; Наредба № 5 от 07.07.2026 г. за изискванията към обученията и изпитите на Прието Направеното предложение отразява изискванията на чл. чл. 24, ал. 2 от Указ № 883 от 24.04.1974 г. за прилагане на Закона за нормативните актове, като поредния номер ще отразява съответния регистър на КЗЛД. 18 лицата, осъществяващи дейност по осигурително посредничество, и образците по чл. 123г, ал. 12 и 16 от Кодекса за социално осигуряване и редица други. 3. Съгласно чл. 40, ал. 2, т. 3 от Указ № 883, когато се прави препращане към разпоредби от актове на правото на ЕС, освен означението на разпоредбите, се посочва наименованието на акта с неговия номер и дата, органът, който го е приел, а при първото препращане - и съответният брой на „Официален вестник“ на Европейския съюз, където актът е публикуван на български език; „Официален вестник“ на Европейския съюз се посочва със съкращение „ОВ“. Съобразявайки това изискване, при първото препращане в чл. 1 от проекта на наредба към разпоредби от Регламент (ЕС) 2016/679, той трябва да бъде изписан по следния начин: Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ, L 119/1 от 4 май 2016 г.). Прието Направеното предложение отразява изискванията на чл. 40, ал. 2, т. 3 от Указ № 883 4. В чл. 1 от проекта на наредба, при изписването на наименованието на правилника за дейността на КЗЛД, е пропуснат предлогът „на“ пред думите „нейната администрация“. Прието Техническа грешка 19 5. В чл. 5 от проекта на наредба е изпуснат знакът за номер (№) след думата „Приложение“. Прието Техническа грешка 6. В края на чл. 6, ал. 2, т. 3 от проекта на наредба трябва да се постави знак за точка и запетая (;) вместо точка. Прието Техническа грешка 7. В изпълнение на изискването на чл. 27, ал. 1 от Указ № 883 в целия текст на проекта на наредба трябва да се унифицира изписването на разпоредбите със съкращението „чл.“, тъй като на места е изписано и като „член“. Прието Техническа грешка 8. В края на чл. 8, ал. 1 от проекта на наредба трябва да се постави знак за точка, а не точка и запетая. Прието Техническа грешка 9. В края на чл. 8, ал. 2 от проекта на наредба трябва да се постави знак за точка, а не точка и запетая. Прието Техническа грешка 10. В края на чл. 10, ал. 1 от проекта на наредба трябва да се постави знак за точка, а не точка и запетая. Прието Техническа грешка 11. В чл. 10, ал. 1 от проекта на наредба е използван неясен термин – „нарежданията“. Нито в Регламент (ЕС) 2016/679, нито в Закона за защита на личните данни КЗЛД има правомощие да „нарежда“. Ако вносителят е имал предвид разпоредителните си правомощия по чл. 58 от Регламент (ЕС) 2016/679, следва да го коригира с юридически верния термин „разпорежданията“. Прието Терминологично грешка 12. В чл. 10, ал. 1 от проекта на наредба думите „не издаване“ трябва да се изпишат слято. Думата се пише слято, когато обозначава самото действие или липсата на Прието Техническа грешка 20 издаване (например на документ, заповед или касова бележка). Разделно се пише само в изречения, където частицата „не“ е пред глагол в лична форма, а не пред съществително име (например: „Той не издава документи днес“). 13. В чл. 12, т. 4, б. „б“ и „в“ от проекта на наредба спомагателните глаголи [е] и [са] трябва да се пред думите „създадена“, съответно „налице“, а не след тях. Прието Техническа грешка 14. В изпълнение на изискването на чл. 27, ал. 1 от Указ № 883 в целия текст на проекта на наредба след буквите трябва да се поставят скоби, а не точки. Прието Направеното предложение отговаря на изискванията на чл. 27, ал. 1 от Указ № 883 15. В чл. 12, т. 7, б. „е“ от проекта на наредба думата „по – специално“ трябва да се изпише с малко тире и без интервали. Прието Техническа грешка 16. В чл. 13, ал. 2 от проекта на наредба думата „придобито“ трябва да се изпише в ж.р. (т.е. придобита), защото се съгласува със „степента“, а не с „висшето образование“. Прието Техническа грешка 17. В чл. 16, ал. 3 и други разпоредби от проекта на наредба се препраща към думата „раздел“, следвана от точки (в случая 7.1), без да е ясно дали са от Приложение № 1 или друг документ (международен стандарт). Не е прието В чл. 16, ал. 3 и други разпоредби ясно е посочена, че става въпрос за съответствие с ISO / IEC 17065:2012. В Допълнителните разпоредби е посочено, че: § 1. По смисъла на тази наредба: 1. ISO 17065 означава ISO/IEC 17065/2012. 21 18. В чл. 22 от проекта на наредба е изпуснат знак за точка след номера на члена. Прието Техническа грешка 19. В изпълнение на изискването на чл. 26, ал. 2 от Указ № 883 буквите в чл. 23, ал. 2 от проекта на наредба трябва да станат на точки (алинеите се състоят от точки, а точките от букви). Прието Направеното предложение отговаря на изискванията на чл. 26, ал. 2 от Указ № 883 20. Използваният в чл. 23, ал. 2, б. „г“ термин „отменен“ е неправилен. Съгласно изискванията на чл. 43 от Регламент (ЕС) 2016/679 сертификатите се „отнемат“. Прието Техническа грешка 21. Използваният в чл. 23, ал. 2, б. „й“ термин „отменена“ също е неправилен. Съгласно изискванията на Регламент (ЕС) 2016/679 и Закона за защита на личните данни акредитацията на сертифициращия орган се „отнема“. Прието Техническа грешка 22. В чл. 25, изречение второ от проекта на наредба думите „заявителя, съответно клиента“ трябва да бъдат в именителен падеж: „заявителят, съответно клиентът“, тъй като са подлог и се изписват с пълен член. Прието Техническа грешка 23. В чл. 27 от проекта на наредба терминът „анулиране“ е неправилен. Както вече беше уточнено по-горе, сертифициращите органи могат да „отнемат“ сертификати. Прието Техническа грешка 24. В чл. 30, ал. 1, т. 1 от проекта на наредба думата „име“ трябва да се замени с „наименование“, който е общоупотребимият термин, когато става въпрос за юридически лица, защото съгласно чл. 12 от наредбата Прието Техническа грешка 22 сертифициращите органи могат да бъдат само юридически лица. 25. Когато изречение започва с израза „В случай че…“ не се поставя запетая пред „че“, защото то има ролята на съставен подчинителен съюз. Поради това запетаята пред „че“ в чл. 30, ал. 2 от проекта на наредба трябва да отпадне. Прието Техническа грешка 26. В чл. 32, ал. 1, т. 1 от проекта на наредба първата дума трябва да се изпише с малка буква, както са останалите точки. Прието Техническа грешка 27. В чл. 32, ал. 1, т. 4 от проекта на наредба в края трябва да се постави знак за точка, а не точка и запетая. Прието Техническа грешка 28. В чл. 34, ал. 4 от проекта на наредба думите „не издаване/не подновяване“ на сертификат трябва да се изпишат слято. Прието Техническа грешка 29. В чл. 35, ал. 1 и 2 от проекта на наредба трябва да се съгласува използваната терминология: в ал. 1 се посочват „процедурни насоки“, докато в ал. 2 се говори за „процедурни указания“. Прието Техническа грешка 30. Понятията, дефинирани в § 1 от Допълнителните разпоредби (ДР) на проекта на наредба, трябва да бъдат оградени с кавички (за справка вж. изписването на понятията от ДР на Закона за защита на личните данни). Прието Технически пропуск 31. В § 1, т. 3 от ДР на проекта на наредба думата „надзорния“ трябва да се поправи на „надзорен“. Прието Техническа грешка 23 32. В § 3 от Преходните и заключителни разпоредби на проекта на наредба думата „редът“ отново е използвана след предлога „относно“, поради което трябва да се изпише без пълен член. Прието Техническа грешка 33. Направените в чл. 12, т. 4 от проекта на наредба препращания към ISO са объркани, защото вътрешният одит, превантивните и коригиращите мерки са отнесени към една и съща т. 8.6, докато приложението посочва различни точки. Препратките трябва да бъдат проверени и уеднаквени, а същността на задълженията да се опишат в самата наредба. Прието частично В чл. 12, ал. 4, б „в“ е допусната техническа грешка – точка 8.6 следва да се замени с точка 8.8. В Становище 13/2022 по проекта на решение на компетентния надзорен орган на България относно одобрението на изискванията за акредитация на сертифициращ орган съгласно член 43, параграф 3 (ОРЗД) се посочва, че стандартите ISO, по-специално ISO 17065, са предмет на права на интелектуална собственост, поради което в това становище няма да се позовава на текста от съответния документ. В резултат на това Комитетът реши, където е уместно, да посочи конкретни раздели от стандарта ISO, без обаче да възпроизвежда текста. 24 34. Навсякъде в текста трябва да се използва последователно „Регламент (ЕС) 2016/679“ или въведеното съкращение „ОРЗД“. Не е прието Коментарът е неотносим, поради липса на въведено съкращение „ОРЗД“ в текста на проекта на наредба. 35. Навсякъде в текста трябва да се уеднаквят понятията „сертификация“ и „сертифициране“, както и „заявител“, „кандидат“, „клиент“ и „притежател на сертификат“. Не е прието За да се избегне ненужно повторение се използва и терминът същият регламент. 36. В чл. 18, ал. 2 от проекта на наредба думата „оставят“ следва да се замени с „оставя“. Приема се Техническа грешка 37. В чл. 19 от проекта на наредба думата „сертификатите“ следва да се замени със „сертификати“. Приема се Техническа грешка IV. Предложения за нови редакции на някои от проекторазпоредбите на наредбата 1. В чл. 12 от проекта на наредба, както и в други разпоредби, се препраща към множество точки без да е уточнено дали са от Приложение № 1 към нея или от друг документ (международен стандарт). Следва да се уточни изрично. Не е прието В Допълнителните разпоредби е посочено, че: § 1. По смисъла на тази наредба: 1. ISO 17065 означава ISO/IEC 17065/2012. 2. В чл. 12, т. 7, б. „а“ от проекта на наредба трябва да се уточни, че става въпрос за познаване на законодателството за защита на [личните] данни, а не просто на данните, които могат да бъдат и нелични. Словосъчетанието „защита на данните“ е Не е прието От предмета, който се урежда с настоящата Наредба става ясно, че се касае само за лични данни 25 използвано и в други текстове, които също трябва да се редактират. 3. В чл. 13, ал. 1 от проекта на наредба използваният термин „висше учебно заведение“ е неактуален. По Закона за висшето образование актуалният термин е „висше училище“. Прието Направеното предложение отговаря на изискванията на Закона за висшето образование 4. В § 1 от Преходните и заключителни разпоредби на проекта на наредба се посочва, че наредбата се „издава“. Според българската правна доктрина колегиалните органи (наричани още „колективни“) приемат подзаконовите нормативни актове, тъй като волята им се формира чрез обсъждане и гласуване, докато едноличните органи ги издават, тъй като актът е резултат от еднолично властническо волеизявление. Видно от чл. 7, ал. 1 от Закона за защита на личните данни КЗЛД е колегиален орган, поради което терминът трябва да се коригира. Заслужава да се отбележи също така, че законовата делегация за приемане на наредбата е очертана ясно в чл. 14, ал. 5 и 6 от Закона за защита на личните данни и преценката за това е направена в националното право. Поради това направената връзка с изредените разпоредби от Регламент (ЕС) 2016/679 е напълно безпредметна и не е в унисон с изискванията на Указ № 883 за строежа на нормативните актове. Прието частично Да се използва терминът „приема“; да се запази позоваването на Регламент (ЕС) 2016/679 в Преходни и заключителни разпоредби, тъй като именно в този нормативен акт са посочени основните изисквания към процеса на сертифициране 5. С § 4 от Преходните и заключителни разпоредби на проекта на наредба се възлага Частично прието На Дирекция „Правно- аналитична, 26 на дирекция от администрацията на КЗЛД задължение да „следи“ за актуалните изисквания на ISO/IEC 17065/2012 и при промяна заедно с друга дирекция, съобразно функционалните им компетентности по Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, да предлагат съответните изменения в наредбата. На първо място следва да се подчертае, че в административното право компетентността е нормативно очертаният кръг от властнически правомощия на един административния орган, които могат да бъдат материални, териториални, персонални и времеви. Администрацията на един административен орган подпомага неговата дейност, но няма собствена компетентност, защото не е орган на власт и не разполага с властнически правомощия. Законът за администрацията също разграничава правомощията на органите от структурата и организацията на тяхната администрация. В този смисъл е абсолютно неправилно да се говори за „функционални компетентности“ на структурни звена от администрацията на даден орган. В случая те имат функционални задължения, а не компетентности. С тази наредба не могат да се вменяват допълнителни функционални задължения на структурни звена от администрацията на КЗЛД, защото съгласно чл. 11 от Закона за информационна и контролна дейност“ не се вменява ново задължение, а именно задължението да „следи“ за актуалните изисквания на ISO/IEC 17065/2012 и при промяна заедно с друга дирекция, съобразно функционалните им компетентности по Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, да предлагат съответните изменения в наредбата. За цитираната дирекция вече е налице задължението: В чл. 25, ал. 2 от Правилник за дейността на Комисията за защита на личните данни и на нейната администрация „извършва проучвания относно прилагането на Регламент (ЕС) 2016/679, включително въз основа на информация, получена от други надзорни или публични органи“; 27 администрацията функциите на дирекциите се определят с устройствения правилник на съответната администрация. Тук трябва да се отчита и основополагащия принцип на публичното право, според който на държавните органи е „разрешено само това, което е изрично предвидено в закона“. Поради изложените съображения § 4 трябва да отпадне, защото предложените нови функционални задължения на дирекциите могат да бъдат възложени единствено чрез допълнение в Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. в ал. 3 „изготвя и предлага за одобрение от комисията проекти на процедури, правила, методики, указания, разяснения, насоки, препоръки и най-добри практики за прилагане на Регламент (ЕС) 2016/679 и ЗЗЛД“; в ал. 3, б. в „изготвя становища относно: … акредитиране на сертифициращи органи“; в ал. 15 „подпомага комисията в дейността ѝ по насърчаване на създаването на механизми за сертифициране за защита на данните и на печати и маркировки за защита на данните“; в ал. 16 „извършва периодичен преглед на издадените сертификати“. Видно от цитираните правни норми, не е налице ново задължение. Това е едно „уточнение“ поради факта, че с процеса по 28 акредитация, поради изискване на ЕКЗД, ще се прилага стандарта ISO/IEC 17065/2012. 6. Проекторазпоредбите на чл. 1 и § 1 от Преходните и заключителните разпоредби съдържат различни препратки към чл. 57, пар. 1 Регламент (ЕС) 2016/679. Предметът на наредбата е смесен с вътрешни разпоредби от Правилника за дейността на КЗЛД и на нейната администрация. Следва да се уеднаквят препратките към Регламент (ЕС) 2016/679, като в чл. 1 да остане ясно описание на предмета на наредбата. Не е прието Изброени са нормативните актове от различен ранг, които обосновават необходимостта от приемането на настоящата наредба.