ПРОЕКТ НА НАРЕДБА № … от …….. ЗА ИЗИСКВАНИЯТА И РЕДА ЗА АКРЕДИТАЦИЯ И ОТНЕМАНЕ НА АКРЕДИТАЦИЯТА НА ОРГАНИ ЗА НАБЛЮДЕНИЕ НА КОДЕКСИ ЗА ПОВЕДЕНИЕ

ПРОЕКТ! НАРЕДБА № … от …….. ЗА ИЗИСКВАНИЯТА И РЕДА ЗА АКРЕДИТАЦИЯ И ОТНЕМАНЕ НА АКРЕДИТАЦИЯТА НА ОРГАНИ ЗА НАБЛЮДЕНИЕ НА КОДЕКСИ ЗА ПОВЕДЕНИЕ Раздел I. Общи положения Чл. 1. С тази наредба се определят изискванията и редът за акредитация и отнемане на акредитацията на орган(и) за наблюдение на кодекси за поведение по чл. 41 от Регламент (ЕС) 2016/679. Чл. 2. Спазването на кодекс за поведение, одобрен при условията и по реда на Глава четвърта, Раздел VIII от Правилника за дейността на КЗЛД и нейната администрация се наблюдава от орган за наблюдение в съответствие с изискванията на чл. 41 от Регламент (ЕС) 2016/679. Чл. 3. Решенията на КЗЛД по чл. 7 и чл. 9, както и тези с които се отказва подновяване на акредитацията по чл. 8, ал. 2, подлежат на обжалване по реда на Административнопроцесуалния кодекс в 14-дневен срок от получаването им. Раздел II. Изисквания и ред за акредитация Чл. 4. (1) Акредитация на орган за наблюдение на кодекс за поведение може да получи всяко лице или структура, която отговаря на условията на чл. 41, параграфи 1 и 2 от Регламент (ЕС) 2016/679. (2) Комисията за защита на личните данни извършва преценка на съответствието на кандидата за акредитация по ал. 1 със следните изисквания: 1. независимост; 2. липса на конфликт на интереси; 3. експертен опит; 4. възможност за изпълнение на функциите по чл. 41 от Регламент (ЕС) 2016/679, вкл. организационно-структурна обезпеченост и наличие на процедури за осъществяване на наблюдението на кодекса за поведение; 5. наличие на процедури за прозрачно разглеждане на жалби; 6. възможност за комуникация с Комисията за защита на личните данни; 7. наличие на механизми за преглед на кодекса за поведение; 8. способност за носене на административнонаказателна отговорност; (3) Конкретните изисквания за акредитация на орган за наблюдение на одобрен кодекс за поведение, приети с решение на КЗЛД и във връзка със Становище 14/2022 на Европейския комитет по защита на данните (ЕКЗД) са посочени в Приложение № 1. 1 Чл. 5. (1) Процедурата по акредитация на орган за наблюдение по чл. 4 е неразделна част от процедурата по одобрение на кодекса за поведение, за който се отнася искането за акредитация, освен в случаите на подновяване само на акредитацията. (2) Към писменото искане по чл. 64, ал. 1 от Правилника за дейността на КЗЛД и на нейната администрация отговарящият за прилагането на кодекса за поведение прилага документи (оригинали или нотариално заверени копия), доказващи изпълнението на изискванията по Приложение № 1, освен ако документите не са налични в публично достъпни източници. В този случай отговарящият за прилагането на кодекса за поведение посочва това обстоятелство в искането. (3) При преценка на съответствието на кандидата по чл. 4 в рамките на производството по реда на Глава четвърта, Раздел VIII от Правилника за дейността на КЗЛД и нейната администрация Комисията може да изисква допълнителна информация. Чл. 6. (1) Комисията за защита на личните данни разглежда искането за акредитация в закрито заседание. (2) Комисията акредитира кандидата за орган за наблюдение с решението, с което одобрява съответния кодекс за поведение по чл. 67, ал. 4 от Правилника за дейността на КЗЛД и на нейната администрация. (3) Въз основа на решението по ал. 2 Комисията издава удостоверение за акредитация, което съдържа най-малко: 1. Наименование на акредитирания орган и адреса на неговото седалище; 2. Уникален номер или символ на сертификата за акредитация; 3. Наименование на кодекса за поведение, за чието наблюдение е акредитиран органа по т. 1. 4. Дата на издаване и подпис на председателя на КЗЛД. (4) Удостоверението по ал. 3 се издава за срока, предвиден в съответния кодекс за поведение. Когато този срок надвишава 5 години, удостоверението се издава за 5 години. Чл. 7. Ако в производството по Глава четвърта, Раздел VIII от Правилника за дейността на КЗЛД и на нейната администрация се установи, че кандидатът за акредитация не отговаря на някое от изискванията по чл. 41, ал. 1 и 2 от Регламент (ЕС) 2016/679, съответно Приложение № 1, КЗЛД отказва акредитацията с мотивирано решение. Раздел III. Подновяване на акредитацията Чл. 8. (1) Три месеца преди изтичането на срока на акредитацията, отговарящият за прилагането на кодекса за поведение подава до КЗЛД искане за подновяване на акредитацията. Към искането се прилагат актуални документи, доказващи изпълнението на изискванията по чл. 41 от Регламент (ЕС) 2016/679 съгласно Приложение № 1. В този случай комисията може да изиска подробна информация за дейностите по наблюдение, които органът е извършил на членовете на кодекса през периода на действие на текущата акредитация. (2) КЗЛД може да откаже да поднови акредитацията на органа за наблюдение с мотивирано решение. Раздел IV. Отнемане на акредитацията 2 Чл. 9. (1) Комисията за защита на личните данни анулира акредитацията на органа за наблюдение по чл. 14а, ал. 3 от Закона за защита на личните данни с решение при условията на чл. 41, пар. 5 от Регламент (ЕС) 2016/679 в съответствие с Приложение № 1. (2) Отнемането на акредитацията по ал. 1 има за последица преустановяване прилагането на кодекса за поведение. Раздел V. Вписване в регистъра на кодексите за поведение по чл. 15, ал. 1, т. 3 от ЗЗЛД Чл. 10. Комисията за защита на личните данни вписва в регистъра на кодексите за поведение по чл. 15, ал. 1, т. 3 от Закона за защита на личните данни информация за издадената акредитация на органа за наблюдение или за отнемане на акредитацията. Заключителна разпоредба § 1. Наредбата се приема на основание чл. 14а, ал. 3 от Закона за защита на личните данни. Приложение № 1 към чл. 3, ал. 3 Изисквания за акредитация на орган за наблюдение на кодекс за поведение съгласно чл. 41 от Регламент (ЕС) 2016/679, приети с решение на КЗЛД от 20.07.2022 г. и във връзка със Становище 14/2022 на ЕКЗД по чл. 64, пар. 1 от Регламент (ЕС) 2016/679 I. Независимост (1) По смисъла на чл. 41, пар. 1 от Регламент (ЕС) 2016/679 кандидатът за акредитация трябва да демонстрира и докаже своята независимост и безпристрастност. „Независимост и безпристрастност“ са модел на поведение, който се изразява във вземането на решения по вътрешно убеждение и в съответствие със закона, при което засегнатите от тези решения лица се третират равнопоставено, при липса на правна, икономическа, финансова, организационна, лична, професионална или друга зависимост между вземащия решенията и засегнатите от тях лица. (2) В производството пред компетентния надзорен орган кандидатът за акредитация предоставя информация за правноорганизационна си форма и правния си статут, включително цялата информация, необходима за установяване наличието на предпоставките за упражняване на функциите му и за носене на отговорност в случай на нарушение. 3 (3) С изключение на случаите, в които информацията може да бъде получена служебно от компетентния надзорен орган, кандидатът предоставя имената на своите представители и, ако са различни, имената на лицата, отговорни за неговото управление и контрол. Целта е да се определи кой е отговорен за действията или бездействията на наблюдаващия орган и да се определи организационната структура, срещу която да се предприемат действия в случай на неспазване на нейните задължения, като същата следва да е установена в Европейското икономическо пространство (ЕИП). В случаите, когато кандидатът не е установен на територията на Република България, той определя представител, който да служи за точка за контакт с компетентния надзорен орган. (4) В производството пред компетентния надзорен орган кандидатът за акредитация гарантира и демонстрира, чрез своята организационна структура и официалните правила за определянето му/конституирането му, че може да действа свободно, без да получава указания от други лица и по-специално, че при изпълнение на задачите му по чл. 41, пар. 1 от Регламент (ЕС) 2016/679 е защитен от всякакъв вид намеса, влияние или санкции от страна на издателя на кодекса, от администраторите или обработващите лични данни, спрямо които ще осъществява наблюдение (администраторите/обработващите, които ще прилагат кодекса) и от всяко друго образувание, което осъществява дейност в сектора/бранша, регулиран от кодекса. (5) Без да се засягат правомощията на компетентния надзорен орган, решенията на органа за наблюдение не могат да подлежат на одобрение или преразглеждане от който и да било друг орган, структура или организация. (6) Изискването за независимост и безпристрастност се демонстрира в следните основни области: - правни процедури и процедури за вземане на решения; - финансиране; - организационна структура; - човешки ресурси и експертен опит; - отчетност. 1. Правни процедури и процедури за вземане на решения 4 (7) Приложимите за кандидата правни процедури и процедури за вземане на решения трябва да бъдат от такова естество, че да предотвратяват външна намеса и влияние. 2. Финансиране 5 Доказването на независимост и безпристрастност може да стане чрез представяне на компетентния надзорен орган на всяко от следните (което е приложимо): • учредителните актове на кандидата за акредитация и на издателя на кодекса; • организационната структура на кандидата за акредитация, вкл. неговата органиграма; • извлечения от регистри, доказващи вписаните в тях обстоятелства; • информация относно процеса на вземане на решения, свързани с наблюдението на кодекса за поведение (в случай, че не е предмет на регламентация в учредителния акт) и ангажираните в този процес лица и структури, включително чрез посочване на ролите, задълженията и отговорностите на всички страни, участващи в процеса по вземане на решения и/или свързани с процедурите за вземане на решение, мандатност на органа за наблюдение; • характера на вземаните решения (обвързващи или необвързващи), свързани с наблюдението на кодекса за поведение и механизмите за тяхното прилагане, респ. правните последици от неизпълнението им; • декларация(и), че не е налице правна, икономическа, финансова, организационна, лична, професионална или друга зависимост между вземащия решенията и засегнатите от тях лица; • описание на наличните ресурси за изпълнение на дейността по наблюдение на кодекса за поведение; • всяка друга относима информация, доказваща независимостта и безпристрастността на кандидата, напр. политика за изпълнение на задълженията като орган за наблюдение, в т.ч. информация относно предприетите мерки за намаляване на евентуалните рискове за независимостта и безпристрастността, мерки за защита срещу освобождаване от длъжност или налагане на наказания за изпълнение на функциите на орган за наблюдение. (8) Кандидатът трябва да разполага с финансови ресурси, които са достатъчни за независимо и ефективно изпълнение на задачите и отговорностите по чл. 41, пар. 1 от Регламент (ЕС) 2016/679. При преценката дали финансирането е достатъчно, се отчитат големината на сектора/бранша, очакваният брой, вид и „големина“ на администраторите на лични данни/обработващите лични данни, които се очаква да прилагат кодекса, рисковете за физическите лица, които обработването на лични данни поражда и неговите естество и обхват съобразно предмета на кодекса. (9) Източниците на финансиране на кандидата не трябва да поставят под съмнение неговата независимост и безпристрастност при изпълнение на задълженията му като орган за наблюдение на кодекса за поведение. (10) Кандидатът за акредитация демонстрира и доказва, че правилата и условията, свързани с неговото финансиране, гарантират устойчивост и непрекъснатост на дейностите по наблюдение на кодекса и отчитат рисковете, произтичащи от дейността като орган за наблюдение, като напр. отпадане на източник на финансиране (изключване на член на кодекса, когато органът за наблюдение се финансира чрез такси от неговите членове, спиране на финансовите вноски от страна на член на кодекса, за да избегне коригираща мярка, наложена от органа за наблюдение), носене на административнонаказателна отговорност от органа за наблюдение. Във връзка с това органът за наблюдение демонстрира и доказва, че източниците му на финансиране не зависят единствено от таксите, кумулирани от присъединилите се членове на наблюдавания кодекс за поведение. Спазването на изискването за финансова независимост може да бъде доказано чрез предоставяне на информация относно източниците на финансиране, както и информация, свидетелстваща за финансовите договорености между органа за наблюдение и членовете на кодекса включително как се изчислява размерът на вноската, честотата, с която се плаща, и финансовите договорености в случай на оттегляне на член от кодекса за поведение. Органът за наблюдение е финансово независим, ако правилата, уреждащи неговото финансиране, не позволяват на член на кодекса, който е обект на разследване/проверка от органа за наблюдение, да спре изплащането на дължимите 6 такси към него, с цел да избегне потенциална санкция от същия (например: правила и процедури, учредяване на гаранционен депозит и т.н.). 3. Статут и организационна структура (11) За да бъде акредитиран и да се гарантира в пълна степен носенето на административнонаказателна отговорност по Регламент (ЕС) 2016/679, кандидатът за акредитация трябва да има правосубектност по националното право, както и да бъде деликтоспособен. Той може да осъществява своята дейност като вътрешен или външен орган за наблюдение спрямо издателя на кодекса, като изборът на конкретен подход е в преценката на издателя на кодекса. Вътрешен орган за наблюдение може да бъде създаван само в рамките на структурата на издателя на кодекса. Създаването на такъв орган в рамките на член на кодекса е недопустимо. (12) Кандидатът за акредитация като вътрешен орган трябва да демонстрира и гарантира пълна автономност и независимост на управлението на специално определения си бюджет и на другите ресурси, с които ще разполага. В тази връзка, вътрешният орган следва да има собствен или нает персонал и управление, които, при изпълнение на функциите като орган за наблюдение, са независими от други дейности и задачи, които биха могли да изпълняват в свое друго функционално качество. В този случай, вътрешният орган следва да се въздържа от всякакви действия или бездействия, които са несъвместими с неговите задължения по см. на чл. 41 от Регламент (ЕС) 2016/679. (13) Кандидатът за акредитация като вътрешен орган доказва, че задачите, които ще изпълнява като орган за наблюдение, са отделени от другите функционални области на издателя на кодекса. Той не трябва да получава никакви указания, нито да бъде освобождаван във връзка с изпълнението на функциите си като орган за наблюдение на кодекс за поведение. Вътрешният орган следва да бъде защитен от всякакъв вид санкции или намеси (преки или непреки) при изпълнението на своите задачи. (14) Преценката за структурирането на вътрешен орган за наблюдение е изцяло на издателя на кодекса. В този случай, издателят на кодекса за поведение отчита организационната си специфика и дейностите по обработване на лични данни, попадащи 7 в приложното поле на кодекса за поведение. Такива могат да бъдат напр. ad hoc вътрешен комитет, отделно и независимо структурно звено в рамките на издателя на кодекса и др. (15) Независимо от избрания подход (вътрешен или външен орган), органът за наблюдение е длъжен да гарантира безпристрастно изпълнение на своите функции. За тази цел той трябва да докаже, че разполага с достатъчен брой подходящо квалифицирани служители (персонал), технически, материални и логистични ресурси за ефективно изпълнение на функциите си по чл. 41, пар. 1 от Регламент (ЕС) 2016/679. За доказване на организационната си независимост, кандидатът за акредитация представя информация относно организационно-структурната връзка и взаимоотношения, които има с издателя на кодекса, а при необходимост и с другите вътрешни звена в неговата организация. (16) Органът за наблюдение (вътрешен или външен) доказва, че е в състояние свободно да избира, назначава и управлява персонала с цел безпристрастно изпълнение на задачите си. Независимо дали изборът на персонал се извършва от самия орган за наблюдение или чрез външен доставчик на услуги, процесът по набиране, подбор и назначаване, управлението и освобождаването на персонала не следва да се влияе от 8 Доказването на горните обстоятелства, относими към вътрешен орган за наблюдение, може да се постигне по редица начини, например с вътрешни правила, които уреждат различни канали за информация и докладване и организационна обособеност (т.нар. организационни и информационни бариери между органа за наблюдение и останалите структури за управление на отчетността на кандидата); оперативен персонал, нарочно определен за изпълнение на функциите и задачите на орган за наблюдение; отделни оперативни и управленски функции; отделен или определен за целите на наблюдението на кодекса бюджет, който му гарантира самостоятелност и независимост при изпълнение на функциите по отношение конкретния кодекс за поведение; самостоятелно лого или наименование на органа за наблюдение (ако е приложимо); отделен достъп до информационно-комуникационните системи и ресурси; анализ на рисковете за гарантиране на организационна и функционална независимост и мерките за предотвратяване или минимизиране на тези рискове. издателя на кодекса за поведение, нито от който и да е негов член. Персоналът на органа за наблюдение не трябва да бъде санкциониран или по какъвто и да е друг начин да търпи неблагоприятни последици, произтичащи от факта на изпълнението на служебните му задължения за целите на чл. 41, пар. 1 от Регламент (ЕС) 2016/679. (17) Наблюдаващият орган не може изцяло да прехвърля функциите си на подизпълнители. В случай че наблюдаващият орган възлага на подизпълнители част от функциите си, той гарантира, че те отговарят на всички приложими условия, посочени в настоящите изисквания, по-специално независимост, липса на конфликт на интереси и наличие на експертни познания. Органът за наблюдение уточнява задачите и ролите, които подизпълнителите ще изпълняват. Органът за наблюдение е винаги отговорен за вземането на решения и за изпълнението на задълженията си, дори когато използва услугите на подизпълнители. В тази връзка органът за наблюдение трябва да осигури ефективно наблюдение върху дейността на неговите подизпълнители. 4. Отчетност (18) В производството пред компетентния надзорен орган кандидатът за акредитация обяснява и мотивира своята независимост и безпристрастност по отношение на: 9 За целите на изпълнение на изискванията по т. I. 3 кандидатът за акредитация може да предостави на компетентния надзорен орган доказателства, които включват напр. организационно-щатна структура; приложимите правила, процедури и изисквания за наемане на членовете на персонала на кандидата, оправомощени да вземат решения, свързани с дейностите по наблюдение на кодекса за поведение и условията за изпълнение на възложените им функции или длъжности (трудови договори, заповеди, длъжностни характеристики, информация за разпределение на отговорностите, извлечение от трудови досиета на персонала); приложимите правила и процедури за определяне и изплащане на възнаграждението на членовете на персонала на кандидата, оправомощени да вземат решения, свързани с дейностите по наблюдение на кодекса за поведение; методологии за оценка на необходимостта от отделни кадри; риск регистър и всяка друга относима информация по преценка на кандидата. • Администраторите на лични данни/обработващите данни, които ще прилагат конкретния кодекс за поведение; и • Издателя на кодекса. (19) В производството по акредитация, кандидатът демонстрира, че носи отговорност и е в състояние да докаже вземането на решения и предприемането на действия в изпълнение на своите задължения по чл. 41, пар. 1 от Регламент (ЕС) 2016/679. (20) Отчетността може да бъде демонстрирана чрез предоставяне на доказателства, че органът за наблюдение е въвел мерки за документиране на процеса по вземане на решения, по осъществяване на наблюдението върху спазването на приложимите правила и процедури и е установил процедури за докладване, за да осигури независимост и безпристрастност. (21) Кандидатът за акредитация трябва да има вътрешни процедури за съхранение на документи и доказателства за спазването на всички изисквания за акредитация и да ги предоставя на компетентния надзорен орган със заявлението или при допълнително поискване. (22) След акредитацията си, органът за наблюдение води регистър на предприетите действия в рамките на своите задачи, включително, когато е уместно, дата, продължителност, видове предприети действия, засегнати членове на наблюдавания кодекс за поведение и техните действия, както и резултат от действието. При поискване, този регистър се предоставя на компетентния надзорен орган. II. Конфликт на интереси (23) Конфликт на интереси е състояние, при което има конфликт между задължение(я) по чл. 41, пар. 1 от Регламент (ЕС) 2016/679 на органа за наблюдение, 10 Такива доказателства могат да включват, но не се ограничават до извлечения от регистри, декларации, длъжностни и функционални характеристики, управленски доклади, политики за повишаване на осведомеността сред персонала относно управленските структури и съществуващите процедури (напр. обучения). негов член или служител или наети от него физически или юридически лица, като подизпълнители, от една страна и техен частен интерес, от друга страна. Частен е всеки интерес, който води до облага от материален или нематериален характер и/или влияе върху безпристрастното и обективно изпълнение на задълженията и функциите по чл. 41, пар. 1 от Регламента. Наличието или липсата на конфликт на интереси се преценява съобразно конкретния сектор/бранш, по отношение на който се прилага кодексът за поведение и се осъществяват функциите по наблюдение (по-специално по отношение издателя на кодекса за поведение и/или членовете на кодекса). (24) Кандидатът за акредитация доказва, че изпълнението на неговите функции няма да доведе до конфликт на интереси както за самия него, така и по отношение на неговите служители, като ограничава своите действия само в рамките на закона. При изпълнение на своите функции по чл. 41, пар. 1 от Регламента, органът за наблюдение действа по безпристрастен начин и не подлежи на пряко или непряко санкционно действие по отношение на изпълнение на задълженията си, както и не допуска пряко или непряко въздействие от търговски, финансов или друг характер, което компрометира неговата обективност и безпристрастност при вземане на решенията. (25) Кандидатът за акредитация извършва преценка и идентифицира ситуации, които е вероятно да създадат конфликт на интереси, и установява вътрешни правила, за да се избегнат конфликти на интереси, предизвикани от неговите дейности, взаимоотношения, организация или процедури. Доказването на липсата на конфликт на интереси може да стане чрез правила и процедури за предотвратяване, идентифициране, намаляване или елиминиране на риска от конфликт на интереси през времето на мандата на органа за наблюдение, напр. чрез стратегия за идентифициране и управление на риска от възникване на конфликт на интереси. По отношение на вътрешните отношения в рамките на органа за наблюдение това може да се докаже с наличието на процедура, която да гарантира, че предишните трудови и други отношения и настоящите функции на неговите служители и управленски персонал не накърняват неговата обективност и безпристрастност. Липсата на конфликт на интереси на служителите и на управленския персонал на кандидата за акредитация може да се докаже чрез 11 изясняване на организационната структура на кандидата, източниците на финансиране на неговата дейност, предишни и настоящи договорни и други отношения с издателя на кодекса или негови членове, процедурите за набиране на персонал и изискванията за заемане на съответните длъжности или изпълнението на задачи (напр. въвеждане на изисквания за несъвместимост), възнагражденията им, наложените дисциплинарни наказания, продължителността на техния трудов или друг вид договор, провеждането на обучения и повишаване на квалификацията, наличието на вътрешни правила за управление на персонала и договори за тяхната заетост (напр. задължения за конфиденциалност, забрана за извършване на определени дейности), както и задължение за докладване на ситуации, които водят до потенциален конфликт на интереси и въвеждане на процедура за отвод/самоотвод и/или евентуално заместване при потенциален конфликт на интереси на член на органа за наблюдение или на неговия персонал. III. Експертен опит (26) Кандидатът за акредитация доказва, че неговите членове, служители или други ангажирани лица, които вземат решения във връзка с функциите по наблюдение по чл. 41, пар. 1 от Регламента, разполагат с подходяща правна, технически и одитни познания и експертиза по отношение на спецификите на кодекса за поведение, който той ще наблюдава и която поддържа чрез непрекъснато професионално развитие и обучение на своя персонал. За подходящи познания и експертиза на горепосочените лица, която е налична и се поддържа от кандидата, се счита: • задълбочено разбиране на законодателството за защита на данните и опит в неговото прилагане; и • задълбочени познания и опит в сектора, за които е предназначен кодекса за поведение; и • знания и опит в одитната дейност, с оглед осигуряване на адекватно наблюдение на съответствието. (27) По правило, експертизата на всеки кандидат за акредитация се оценява в съответствие със спецификите на конкретния кодекс за поведение, който той ще наблюдава. В този смисъл, самият кодекс за поведение може да въвежда допълнителни или специфични изисквания към експертните знания и опит на персонала на органа за 12 наблюдение, напр. образователни изисквания, продължителност на професионалния опит и др. В тези случаи, в производството по акредитация кандидатът за акредитация доказва съответствие и с тези допълнителни или специфични изисквания. (28) Кандидатът за акредитация доказва, че нивото на експертизата, включително броя на експертите, с които разполага, отговарят на необходимото за ефективното наблюдение на конкретен кодекс за поведение, като се има предвид очаквания брой членове на кодекса за поведение, естеството и обема на обработваните категории лични данни, сложността на конкретните процеси по обработване, засегнатите категории и брой субекти на данни, както и различните рискове за техните права, свободи и интереси. IV. Структури, ресурси и установени процедури за осъществяване на наблюдението на кодекса за поведение (29) Кандидатът за акредитация трябва да разполага с подходяща рамка за управление, включваща процедури, структури и ресурси, за да докаже пред компетентния надзорен орган, че е в състояние да: • оцени годността на администраторите и/или обработващите за присъединяване като членове към съответния кодекс на поведение (напр. принадлежност към 13 Правните, техническите и одитните аспекти на експертните знания и опит може да бъдат демонстрирани например чрез: - дипломи, сертификати, удостоверения и др. документи, свидетелстващи за придобита квалификация или преминато обучение; - доказателства за натрупан практически опит (напр. договори с предмет в областта на защитата на личните данни, дейности по мониторинг или одит и/или задачи, свързани с предмета на дейност на сектора/бранша, длъжностни характеристики и др.), знания и умения, включително награди от конкурси, референции и др. подобни; - професионални биографии на членовете на екипа, членство в професионални организации, доказателства за признати професионални и научни постижения, публикации в специализирани издания и т.н.; - наличие на процедури и програми за постоянно обучение и усъвършенстване съобразно спецификата на конкретния кодекс за поведение. сектора/бранша, за който се отнася кодексът и извършване на операции по обработване в неговия предметен обхват); • наблюдава непрекъснато спазването на разпоредбите на кодекса за поведение; • извършва периодичен преглед и оценка на приложението на кодекса. (30) Наблюдението на кодекса за поведение се осъществява непрекъснато. Кандидатът представя доказателства за изпълнението на това изискване, като за целта отчита рисковете за правата и свободите на физическите лица, които обработването на данни поражда, получените жалби, установените нарушения на кодекса за поведение, териториалния му обхват и броя на членуващите в него администратори/обработващи. (31) Кандидатът за акредитация демонстрира, че неговите човешки ресурси са подходящи за очаквания брой и големина на отделните членове на кодекса, както и сложността или степента на риск на съответните операции по обработване на данни в съответствие с абзац 73 от Насоки 1/2019. (32) Органът за наблюдение отговаря за управлението на цялата придобита информация по време на изпълнение на възложената му функция, съобразно приложимите нормативни изисквания. За тази цел, в производството пред компетентния надзорен орган, той демонстрира, че служителите му са обвързани със задължение за поверителност при управление на информацията във връзка с изпълнението на възложените им задачи, вкл. при обработването на лични данни. (33) Освен като елемент на независимостта, кандидатът доказва, че разполага с достатъчно финансови средства и финансова устойчивост, за да изпълнява ефективно задачите си и по линия на изискването за наличие на установени процедури и структури за наблюдение на кодекса за поведение. 14 Горните изисквания могат да бъдат изпълнени чрез разработване и представяне пред компетентния надзорен орган на: - процедура за проверка на годността на администраторите и/или обработващите лични данни да се присъединят и да спазват изискванията на кодекса за поведение; V. Прозрачно разглеждане на жалби (34) Кандидатът за акредитация представя пред компетентния надзорен орган доказателства относно наличието на процедура/процедури за независимо, безпристрастно и прозрачно разглеждане на жалби за нарушения на кодекса за поведение или за начина на прилагането му. Кандидатът демонстрира, че е създал адекватна организация за това и че е обезпечил с достатъчно ресурси извършването на тази дейност. (35) Кандидатът за акредитация доказва, че разполага с ефективна, безпристрастна и прозрачна процедура за разглеждане на жалби (в т.ч. получаване, регистрация, разглеждане и решаване по същество) в рамките на разумен период от време. 15 - органиграмата на органа за наблюдение, придружена с подробно описание на длъжностите и функциите на отделните служители в съответствие със задачите по наблюдение на конкретния кодекс за поведение и изискванията за изпълнение на съответните длъжности и задачи; - наличие на методология за одитната дейност (напр. проверки/одити, докладване на хода на изпълнение на задълженията на членовете на кодекса, на срещани трудности, на идентифицирани нарушения на кодекса за поведение, на извършване на самооценка/самонаблюдение), определяща критериите за съответствие, чието спазване трябва да бъде оценено и документиране на изводите от тази дейност. Проверките/одитите могат да бъдат случайни, внезапни, по конкретен случай или при конкретен член на кодекса за поведение, планови, годишни, вкл. чрез попълване на въпросници и т.н. - образци и бланки на документацията, която се поддържа за извършване на одитите, включително за констатациите, резултатите и отстраняването на несъответствията; - процедура за превенция, установяване, разследване или отстраняване на нарушения на кодекса за поведение; задължение за оповестяване на обществеността на информация относно извършваното наблюдение, вкл. резюмета на одитните доклади или констатациите от мониторинга. (36) Информацията за процеса на разглеждане на жалби трябва да бъде ясна, публично достъпна и изготвена на език, лесно разбираем за субектите на данни. Процесът по разглеждане на жалби трябва да включва задължение за органа за наблюдение да направи своите решения или обща информация за тях публично достъпни. (37) Процедурите, които трябва да бъдат ясни, прозрачни и лесно достъпни за субектите на данни, е необходимо да отговарят на следните принципи и критерии: • Безплатно подаване на жалби срещу администраторите/обработващите, придържащи се към кодекса за поведение; • Лесен и достъпен начин за подаване на жалба, вкл. по електронен път; • Прозрачност и проследимост, позволяваща на заинтересованите страни да получават информация относно напредъка на разглежданите жалби; • Състезателно производство, което гарантира равнопоставеност между страните и защита на техните права. След като жалбата бъде получена, тя се изпраща на съответния член на кодекса за поведение, срещу когото е подадена и му се дава възможност да изрази становище по повод твърдените в жалбата факти и нарушения, като за това се предвижда разумен срок, който не може да надвишава 1 (един) месец; • Бързина. При разглеждането на жалбата трябва да се вземе решение в рамките на разумен период от време, не по-дълъг от 3 (три) месеца. Удължаване на срока е допустимо по изключение, като се вземат предвид конкретни особености (като напр. обем на дейностите по обработване на лични данни) и степента на фактическа и правна сложност на разглеждания спор. В случай на удължаване на този срок, наблюдаващият орган информира своевременно жалбоподателя за напредъка; • Градация на прилаганите корективи мерки, които са предвидени в кодекса за поведение, напр. обучение, предупреждение, суспендиране на членството в кодекса или изключване от кодекса за поведение, което им позволява да бъдат адаптирани към степента на нарушението и наред с това са ефективни, пропорционални и възпиращи; • Уведомяване на страните по спора за предприетите действия и решения; • Осигуряване на публичност на приетите решения по постъпилите жалби; • Периодично публикуване на статистически данни с резултатите от последващите дейности, като например броя и предмета на получените жалби, вида на установените нарушения и приложените корективи мерки. 16 (38) След акредитацията си органът за наблюдение регистрира и води отчет на всички жалби, предприетите корективи действия и резултатите от тях, които по всяко време са на разположение за проверка от компетентния надзорен орган. VI. Комуникация с компетентния надзорен орган (39) Кандидатът за акредитация гарантира, че ще докладва ежегодно на компетентния надзорен орган (до края на месец януари) за извършените дейности по наблюдение от предходната година, включително както мерките и действията, предприети за проверка на спазването на кодекса за поведение, така и резултатите от тях, като напр. брой и вид на получените и разгледани жалби и резултатите от тях, брой администратори/обработващи, членуващи в кодекса, брой извършени проверки/одити и др. предприети действия в изпълнение на функциите на орган за наблюдение. (40) Без да се засяга задължението за ежегодно докладване органът за наблюдение, във всички случаи, трябва да има процедура за по-честа комуникация с компетентния надзорен орган, когато е необходимо, в частност за случаи като: предприети действия при нарушение на кодекса и причините за тях, подходящи ad hoc или периодични доклади, прегледи или заключения от одити. При настъпване на съществена промяна по отношение на наблюдаващия орган, която може да повлияе на независимостта, експертните знания или да породи конфликт на интереси, органът за наблюдение гарантира, че разполага с процедура за информиране на компетентния надзорен орган без ненужно забавяне, за да започне, ако е необходимо, нова процедура за акредитация. Такива съществени промени могат да включват, но не се ограничават до: • Промени в правно, търговско или организационно състояние, както и промени, свързани със собствеността на органа за наблюдение; • Структура, управление и/или персонал; • Ресурсите и промяна на адреса/мястото на установяване на органа; 17 Горните изисквания могат да се докажат пред компетентния надзорен орган с представяне на одобрена писмена процедура със съдържание съгласно посочените в т. V параметри. • Суспендиране/отмяна на суспендирането или изключване на член от кодекса за поведение (в този случай органът за наблюдение информира компетентния надзорен орган за мотивите за своето решение и критериите, по които е преценил тежестта на нарушението и взетото решение); • Съществени нарушения на кодекса за поведение (в този случай докладът до компетентния надзорен орган включва и информация относно предприетите от органа за наблюдение действия във връзка с тези нарушения); • Всички други обстоятелства, които биха могли да повлияят на способността на наблюдаващия орган да изпълни изискванията за акредитация (вкл. такива, които в резултат на дейностите по наблюдение на кодекса засягат или могат да засегнат неговото действие/приложение). VII. Механизъм за преглед (41) Органът за наблюдение играе ключова роля при преразглеждането на съответния кодекс за поведение с цел гарантиране неговата добавена стойност по смисъла на чл. 40, пар. 1 от Регламент (ЕС) 2016/679. За тази цел, кандидатът за акредитация демонстрира пред компетентния надзорен орган, че има процедури за оценка на ефективността на кодекса, които позволяват да се оцени дали той остава относим за членовете му и дали продължава да бъде в съответствие с приложимото законодателство в областта на защитата на личните данни, или по друг начин следва да се преразгледа и да се адаптира към констатациите от извършените оценки. За тази цел, органът за наблюдение ежегодно информира издателя на кодекса или друга структура, ако такава е предвидена в кодекса, относно действието/приложението на кодекса и/или необходимостта за евентуална промяна/актуализация на кодекса за поведение. Такава необходимост може да възникне напр. при промяна в приложимото законодателство или с цел съобразяване с най-новите технологични развития, ако това може да има въздействие върху обработването в обхвата на кодекса или при промяна на приложението и интерпретацията на законодателството, което оказва въздействие върху 18 За доказване на съответствието с т. VI в производството пред компетентния надзорен орган кандидатът може да представи процедурата, по която планира да докладва предприетите дейности по наблюдение на кодекса за поведение, както и принципното типово съдържание на този доклад, вкл. критериите, по които той прави извод за настъпили съществени промени в условията на акредитацията си. процесите по обработване на лични данни, осъществявани от членовете на кодекса или от разпоредбите на самия кодекс. Ежегодната информация също така следва да включва данни относно: нови членове на кодекса; суспендиране или изключване на членове; установени нарушения; разгледани жалби; изводи на органа за наблюдение от извършени проверки/одити. (42) Органът за наблюдение прилага механизми, които да способстват за уведомяването на издателя на кодекса за необходимостта от неговото преразглеждане, за да гарантира, че той остава подходящ за целите на правилното прилагане на законодателството за защита на личните данни. Органът за наблюдение информира издателя на кодекса и препоръчва съответните негови части да бъдат преразгледани в съответствие с извършения преглед и оценка. Задължението за актуализация на кодекса остава на издателя на кодекса. VIII. Отговорност (43) Органът за наблюдение не носи отговорност за нарушения на изискванията за защита на личните данни, извършени от членовете, прилагащи кодекса. Той може да бъде санкциониран от компетентния надзорен орган за неспазване на задълженията си 19 Задължението за периодичен преглед на кодекса за поведение може да бъде доказано от кандидата за акредитация в производството пред компетентния надзорен орган чрез писмени процедури или планове, приети от кандидата. Тези процедури могат да включват задължение за органа за наблюдение да предоставя ежегодна информация на издателя на кодекса, като напр.: - потвърждение, че е извършен преглед на кодекса, оценките и заключенията на органа за наблюдение в резултат на този преглед, както и анализ дали е необходима актуализация (изменения и допълнения), в т.ч. конкретни препоръки за изменения; - информация относно възникнали нарушения на сигурността на личните данни по отношение на членовете на кодекса и свързания с това анализ с цел предприемане на действия за ограничаване на рисковете, разгледаните жалби и извършените действия по наблюдение, ако е приложимо; - потвърждение, че няма съществени промени, касаещи органа за наблюдение; - информация относно членството в кодекса, в т.ч. нови членове, суспендирани, изключени. или за непредприемане на подходящи мерки, когато правилата на кодекса за поведение са нарушени. Затова кандидат за акредитация, независимо дали е външен или вътрешен, може да бъде само лице или структура, която покрива изискванията на чл. 41, пар. 4 от Регламент (ЕС) 2016/679 и чийто правен статут позволява носенето на административнонаказателна отговорност по чл. 83, пар. 4, б. „в“ от същия. IX. Език на производството по акредитация (44) Производството по акредитация на орган за наблюдение на кодекс за поведение се води на български език. Документи, издадени на чужд език, трябва да бъдат представени от кандидата и с точен превод на български, удостоверен от заклет преводач. X. Акредитация (45) Акредитацията, нейното подновяване и отнемането ѝ се извършват с решение на компетентния надзорен орган. (46) Вследствие на извършената акредитация компетентния надзорен орган издава удостоверение на акредитирания орган за наблюдение на кодекс за поведение. (47) Акредитацията, в т.ч. подновяването ѝ, се издава за срок от 5 години, освен ако кодексът за поведение предвижда по-кратък срок за изпълнение на функциите на орган за наблюдение. XI. Приложимост на изискванията по т. I–X (48) Предвидените с настоящия документ изисквания за акредитация, обособени в т. I–X по-горе, се отнасят за целия период на акредитация на даден орган за наблюдение (вътрешен или външен). Когато самият кодекс за поведение въвежда допълнителни или специфични изисквания към органа за наблюдение, кандидатът доказва съответствие и с тях. (49) При изпълнение на своите задачи акредитираният орган за наблюдение мотивира всички свои решения, вкл. и за суспендиране на членството или за изключване на член на кодекса за поведение. 20 (50) При подаване на заявление за акредитация пред компетентния надзорен орган, кандидатът представя всички относими документи, които доказват съответствието с настоящите изисквания, вкл. при поискване от компетентния надзорен орган. (51) Задълженията на кандидата да гарантира и/или да демонстрира изпълнението на определени изисквания, дължими в рамките на производството по акредитация пред компетентния надзорен орган, се изпълняват и по време на нейното действие. Компетентният надзорен орган може да изисква периодично информация от акредитираните органи за наблюдение, за да провери дали те продължават да отговарят на изискванията, както и сама да инициира проверки за тази цел. 21

МОТИВИ към проект на Наредба № … от … за изискванията и реда за акредитация и отнемане на акредитацията на органи за наблюдение на кодекси за поведение I. Причини, които налагат приемането на наредбата С Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Общ регламент относно защитата на данните, ОРЗД) се насърчава изготвянето и прилагането на кодекси за поведение, като инструмент за отчетност и подпомагане правилното прилагане на регламента в отделни сектори и области на дейност. Съгласно чл. 41 от Регламент (ЕС) 2016/679 наблюдението на спазването на одобрен кодекс за поведение се осъществява от орган, който разполага с необходимото ниво на експертен опит по отношение на предмета на кодекса и е акредитиран за тази цел от компетентния надзорен орган. Разпоредбата изисква надзорният орган да определи критерии за акредитация на органите за наблюдение и предвижда възможност за отнемане на акредитацията, когато органът не изпълнява или вече не отговаря на условията за акредитация. С изменение и допълнение на Закона за защита на личните данни (ЗЗЛД, ДВ, бр. 17 от 2019 г) е създаден нов чл. 14а. Съгласно разпоредбата на чл. 14а, ал. 3 от ЗЗЛД Комисията за защита на личните данни (КЗЛД) следва да приеме наредба относно изискванията и реда за акредитация и отнемане на акредитацията на органите за наблюдение на кодекси за поведение по чл. 41 от Регламент (ЕС) 2016/679. В Раздел VIII „Условия, ред и критерии за одобряване, изменение или допълнение на кодекс за поведение“ от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА) е уредено производството по одобряване, изменение и допълнение на кодекси за поведение. В чл. 64, ал. 1, т. 7 от ПДКЗЛДНА е предвидено към искането за одобряване на кодекс за поведение да се представят доказателства за изпълнение на изискванията за акредитация на кандидата за орган за наблюдение съгласно наредбата по чл. 14а, ал. 3 от ЗЗЛД. Действащата, до този момент, нормативна уредба не съдържа конкретни правила относно изискванията към кандидатите за акредитация, реда за извършване на преценка на съответствието им с критериите по чл. 41 от Регламент (ЕС) 2016/679, условията за 1 подновяване на акредитацията и основанията за нейното отнемане. Поради това приемането на наредбата е необходимо както за изпълнение на законовата делегация по чл. 14а, ал. 3 от ЗЗЛД, така и за осигуряване на пълното въвеждане на мерки за изпълнение на Регламент (ЕС) 2016/679 по отношение на кодексите за поведение. Проектът на наредба урежда условията и реда за акредитация на органите за наблюдение, срока на акредитацията, нейното подновяване, основанията и реда за отнемането ѝ, както и вписването на съответните обстоятелства в регистъра на кодексите за поведение, поддържан от КЗЛД. Проектът на наредба е съобразен с правото на Европейския съюз. Наредбата се приема в изпълнение на чл. 41 от Регламент (ЕС) 2016/679, който е пряко приложим във всички държави членки на Европейския съюз. Съгласно чл. 41, пар. 3 от Регламент (ЕС) 2016/679 критериите за акредитация на органите за наблюдение се предоставят на Европейския комитет по защита на данните в съответствие с чл. 63 от същия регламент. С оглед на това изискване проектът предвижда приетите от КЗЛД и във връзка със Становище 14/2022 на Европейския комитет по защита на данните (ЕКЗД) конкретни изисквания за акредитация да бъдат закрепени (така както са приети от КЗЛД и съгласувани с ЕКЗД) в приложение към наредбата. II. Цели, които се поставят С проекта на наредба се цели: • Въвеждане мерките за изпълнение на изискванията по чл. 41 от Регламент (ЕС) 2016/679 относно акредитацията на органите за наблюдение на кодекси за поведение и изпълнение на законовата делегация по чл. 14а, ал. 3 от ЗЗЛД. • Осигуряване на правна сигурност и ефективно наблюдение на спазването на одобрените кодекси за поведение, чрез създаване на ясна, предвидима и прозрачна процедура. III. Очаквани резултати от прилагането, включително финансовите, ако има такива С приемането на наредбата се очаква: • Да бъде създадена цялостната нормативна рамка относно акредитацията на органите за наблюдение на кодекси за поведение в съответствие с изискванията 2 на чл. 41 от Регламент (ЕС) 2016/679, като се повиши правната сигурност и предвидимост при прилагането на този инструмент за отчетност. • Да се създадат условия за прилагането на производствата по одобряване на кодекси за поведение и акредитация на органите за наблюдение, както и ефективно наблюдение на спазването на одобрените кодекси за поведение. IV. Обществени консултации На основание чл. 26, ал. 2 и 3 от Закона за нормативните актове (ЗНА) проектът на Наредба № … от … за изискванията и реда за акредитация и отнемане на акредитацията на органи за наблюдение на кодекси за поведение, заедно с мотивите към него, се публикува на Портала за обществени консултации и на интернет страницата на КЗЛД за срок от 30 дни. 3

СПРАВКА за отразяване на постъпилите в КЗЛД предложения и становища от обществените консултации по проект на НАРЕДБА № … от …….. ЗА ИЗИСКВАНИЯТА И РЕДА ЗА АКРЕДИТАЦИЯ И ОТНЕМАНЕ НА АКРЕДИТАЦИЯТА НА ОРГАНИ ЗА НАБЛЮДЕНИЕ НА КОДЕКСИ ЗА ПОВЕДЕНИЕ 1 № Дата и начин на постъпването на становището Име на лице/ наименование на ЮЛ Декларирани данни дали лицето действа от свое име или защитата позиция от името на друго лице/група лица Предложения и становища Приети/ неприети Мотиви 1. 08.08.2026 г. Никола Гешев ☒ Лицето I. Бележки по същество на 21:43 ч. действа от свое постановителната част на 21:58 ч. име проектонаредбата 22:17 ч. Портал за обществени консултации ☐ Лицето защитава позиция от името на друго лице/група лица 1. Чл. 2 от проекта на наредба не отчита изключението по чл. 41, пар. 6 от Регламент (ЕС) 2016/679. Проектът категорично предвижда, че спазването на всеки одобрен кодекс за поведение се наблюдава от орган за наблюдение. Чл. 41, пар. 6 от Регламент (ЕС) 2016/679 обаче изрично постановява, че чл. 41 не се прилага спрямо обработването, извършвано от публичните власти и органи. Това изключение е изрично отчетено и в Насоки 1/2019 на ЕКЗД. Предлагам чл. 2 да се редактира по следния начин: „Спазването на кодекс за поведение, одобрен при условията и по реда на Глава четвърта, Не се приема Регламент (ЕС) 2016/679 е задължителен в своята цялост и се прилага пряко във всички държави членки. Поради това предложената разпоредба препраща към чл. 41 от Регламент (ЕС) 2016/679 в цялост, с оглед вземане под внимание на всички хипотези, които урежда. Дублиране на изисквания, уреждане по друг начин са недопустими при въвеждането на мерки за 2 раздел VIII от Правилника за дейността на КЗЛД и на нейната администрация, се наблюдава от акредитиран орган за наблюдение в съответствие с чл. 41 от Регламент (ЕС) 2016/679, освен в случаите по чл. 41, пар. 6 от същия регламент.“ 2. Чл. 3 от проекта на наредба създава ненужно впечатление за изчерпателно изброяване на обжалваемите решения. Посочени са решенията по чл. 7 и 9 и отказите за подновяване по чл. 8, ал. 2. Чл. 78, пар. 1 от Регламент (ЕС) 2016/679 обаче гарантира на всяко физическо или юридическо лице ефективна съдебна защита срещу всяко правно обвързващо решение на надзорен орган, което го засяга. В този си вид редакцията на чл. 3 поражда впечатление, че съдебният контрол върху други актове на КЗЛД е изключен. Предлагам чл. 3 да се редактира по следния начин: „Решенията на Комисията за защита на личните данни по тази наредба подлежат на обжалване по реда на Административнопроцесуалния кодекс в 14- дневен срок от получаването им.“ Така няма да се създава аргумент a contrario, че непосочен акт не подлежи на обжалване. 3. Не е достатъчно ясно кой е страна в производството по акредитация. Чл. 4 говори Приема се Приема се изпълнение на регламент в националното законодателство. Отразено в текста. Отразено в текста. 3 за „кандидата за акредитация“, но чл. 5, ал. 2 възлага на отговарящия за прилагането на кодекса, а не на самия кандидат, да приложи доказателствата за съответствието му. Това е особено важно, когато органът за наблюдение е външен спрямо издателя на кодекса. Акредитацията поражда права и задължения непосредствено за него, а неизпълнението на задълженията му по чл. 41, пар. 4 от Регламент (ЕС) 2016/679 може да доведе и до административна санкция по чл. 83, пар. 4, б. „в“ от същия регламент. Предложение: Да се предвиди самостоятелно заявление или поне изрично писмено изявление на кандидата, че желае да бъде акредитиран за конкретния кодекс, че приема приложимите изисквания и представя/потвърждава доказателствата за тяхното изпълнение. Добре е изрично да се определи и процесуалното му качество в производството. 4. Чл. 5, ал. 1 урежда само първоначалната акредитация заедно с одобряването на кодекса, но не урежда достатъчно ясно последващата смяна или добавяне на орган за наблюдение. Според текста процедурата по акредитация е „неразделна част“ от процедурата за одобряване на кодекса, като единственото изрично изключение е подновяването на акредитацията. На практика обаче може да възникне Приема се Предложението внася допълнителна яснота и правна сигурност. Отразено в текста. 4 необходимост вече одобрен кодекс да смени органа си за наблюдение, да добави втори такъв или акредитацията на първоначалния орган да бъде отнета. В Насоки 1/2019 ЕКЗД приема, че кодексът може да има „monitoring body (or bodies)“, а акредитацията е свързана с конкретния кодекс. Предложение: Да се създаде изрична процедура за акредитиране на нов или допълнителен орган за наблюдение по вече одобрен кодекс и да се уреди връзката ѝ с процедурата за изменение на кодекса по Правилника на КЗЛД. 5. Изискването всички документи да бъдат представяни в оригинал или нотариално заверено копие е прекомерно формалистично. Чл. 5, ал. 2 предвижда именно това. Същевременно Приложение № 1 допуска като доказателства огромен набор документи – трудови договори, длъжностни характеристики, документи от трудови досиета, правила за възнаграждения, организационни структури и др. Практически би се стигнало до нотариално заверяване на значителен обем вътрешна документация, без това непременно да увеличава надеждността на оценката. Предложение: Да се допуска представяне на обикновени или електронни копия, заверени от кандидата, а оригинал или нотариално заверено копие да се изисква само при Приема се Отразено в текста. Осигурява еднакъв подход с проект на Наредба относно условията, изискванията и редът за акредитация и отнемане на акредитация на сертифициращ орган, критериите, механизмите и процедурите за сертифициране, печати и маркировки. Намалява административната тежест. 5 конкретно съмнение относно автентичността или когато това произтича от друг закон. За проверяване и удостоверяване на обстоятелства в публични регистри следва да се прилага служебна проверка. 6. Удостоверението за акредитация е с недостатъчно съдържание. Проектът предвижда само наименование и адрес на органа, уникален номер, наименование на кодекса и дата/подпис. Липсват например: датата на изтичане; номерът и датата на решението на КЗЛД; информация дали органът е вътрешен или външен; евентуални ограничения или условия; версията на кодекса, за която се отнася акредитацията. Освен това чл. 6, ал. 3, т. 2 говори за „сертификата за акредитация“, докато ал. 3 определя документа като „удостоверение за акредитация“. Предложение: Да се използва единствено „удостоверение за акредитация“ и да се добавят поне номерът и датата на решението, срокът на акредитацията и точният кодекс/версия, за който тя е валидна. 7. Има несъответствие относно срока на акредитацията. Според чл. 6, ал. 4 удостоверението се издава за срока, предвиден в кодекса, а само ако той е по- дълъг от пет години – за пет години. В т. 47 Приема се Приема се Приема и отразява предложението в текста. Отразява предложението. 6 от Приложение № 1 обаче правилото е формулирано обратно: акредитацията се издава за пет години, освен ако кодексът предвижда по-кратък срок. При кодекс без предварително определен срок чл. 6, ал. 4 не дава ясен отговор. Предложение: Да се възприеме единен подход, например: „Акредитацията се предоставя за срок пет години, освен когато срокът на действие на кодекса за поведение е по-кратък.“ 8. Чл. 8, ал. 2 предвижда твърде неопределена възможност за отказ за подновяване. Единствената формулировка е „КЗЛД може да откаже да поднови акредитацията ... с мотивирано решение“. Липсват материалните основания за отказ. По логиката на чл. 41 от Регламент (ЕС) 2016/679 подновяването следва да зависи от това дали органът продължава да отговаря на изискванията за акредитация и дали изпълнява надлежно функциите си. Предложение: Да се запише изрично, че КЗЛД подновява акредитацията, когато изискванията продължават да са изпълнени, и отказва подновяване при тяхното неизпълнение. Следва да се уреди и какво се случва, ако своевременно подадено искане за подновяване не бъде разгледано и липсва решение на КЗЛД до изтичането на текущата акредитация. Приема се Отразява в текста. 7 9. Проекторазпоредбата на чл. 9, ал. 2 гласи, че отнемането на акредитацията има за последица автоматично преустановяване прилагането на кодекса за поведение. Това не следва непосредствено от чл. 41, пар. 5 от Регламент (ЕС) 2016/679. Той урежда единствено отнемането на акредитацията, когато изискванията вече не са изпълнени или органът нарушава регламента. Насоки 1/2019 на ЕКЗД формулират последицата по- гъвкаво: отнемането на акредитацията на единствения орган за наблюдение може да доведе до спиране или окончателно оттегляне на кодекса. Тоест това не е автоматична и неизбежна правна последица във всеки случай. Възможно е: • кодексът да има повече от един акредитиран орган; • да бъде определен нов орган; • нарушението да е свързано само с конкретния орган, а не със съдържанието и пригодността на самия кодекс; • да е целесъобразно временно спиране, а не окончателно преустановяване. Освен това законовата делегация в чл. 14а, ал. 3 от ЗЗЛД е за изискванията и реда за акредитация и отнемане на акредитация, което поражда въпрос дали с наредбата може автоматично да се установява и самостоятелна правна последица за Приема се Отразява в текста. 8 действието на вече одобрения кодекс. Поради това, предлагам чл. 9, ал. 2 да отпадне или да бъде заменен например с: „Когато в резултат на отнемането на акредитацията кодексът за поведение остане без акредитиран орган за наблюдение, Комисията предприема действия по отношение на действието на кодекса в съответствие с Регламент (ЕС) 2016/679 и Правилника за дейността на КЗЛД и на нейната администрация.“ Още по-добре би било да се даде възможност в определен срок да бъде предложен нов орган, преди да се решава въпросът за спиране или оттегляне на кодекса. 10. Липсва реална процедура за отнемане на акредитацията. Чл. 9, ал. 1 практически само препраща към чл. 41, пар. 5 от Регламент (ЕС) 2016/679 и Приложение № 1. Не е уредено как КЗЛД установява отпадане на изискванията, как се започва производството, как се уведомява органът, има ли право на становище, как се оценяват корективните действия и кога нарушението изисква незабавно отнемане. В края на приложението единствено се посочва, че КЗЛД може да изисква информация и сама да инициира проверки. Това е недостатъчно за наредба, чиято законова делегация изрично включва „реда за ... отнемане“. Предложение: Раздел IV да бъде допълнен с Приема се Отразява в текста. 9 производство по отнемане – основания, начало, уведомяване, доказателства, право на становище, срок и решение. II. Бележки по Приложение № 1 от проектонаредбата 1. Заглавието на Приложение № 1 следва да бъде прецизирано. В момента е записано, че това са изисквания, „приети с решение на КЗЛД от 20.07.2022 г. и във връзка със Становище 14/2022“. След приемането на наредбата обаче правното основание за задължителността им ще бъде именно наредбата, а не решението от 2022 г. Становище 14/2022 е акт на ЕКЗД в механизма за съгласуваност по чл. 64 от Регламент (ЕС) 2016/679, а не самостоятелен източник на националните критерии. Чл. 41, пар. 3 и чл. 64, пар. 1, б. „в“ предвиждат проектът на изискванията да бъде представен на ЕКЗД за становище. Предложение за редакция на заглавието: „Изисквания за акредитация на орган за наблюдение на кодекс за поведение по чл. 41 от Регламент (ЕС) 2016/679“. Историята на приемането и Становище 14/2022 са елемент от мотивите към проекта на наредба. 2. Процедурата по жалби не трябва да изглежда като заместител на защитата пред Приема се Не се приема Променя се заглавието на Приложение № 1 Приложение № 1, съдържащо изискванията 10 КЗЛД. Приложението създава доста детайлна частна процедура – безплатно подаване, състезателност, срокове, решение и корективни мерки. Това е допустимо и дори необходимо по чл. 41, пар. 2, б. „в“ от Регламент (ЕС) 2016/679, но трябва да е абсолютно ясно, че не засяга правото на субекта на данни да сезира КЗЛД или съда. Самият Регламент (ЕС) 2016/679 изрично гарантира правата по чл. 77 и 79 независимо от други извънсъдебни механизми. Предлагам да се добави: „Процедурата за разглеждане на жалби пред органа за наблюдение не ограничава и не е предварително условие за упражняване на правото на жалба пред компетентен надзорен орган или на правото на съдебна защита по Регламент (ЕС) 2016/679.“ Също така е препоръчително изразът „състезателно производство“ да се замени с „процедура, гарантираща правото на страните да бъдат изслушани и да представят становище и доказателства“, защото органът за наблюдение може да бъде частноправен субект и да не осъществява административно производство в класическия смисъл. III. Правно-технически бележки 1. Съгласно чл. 40, ал. 2, т. 3 от Указ № 883, когато се прави препращане към разпоредби от актове на правото на ЕС, освен Приема се е прието от КЗЛД с решение. По конкретния текст Европейският борд за защита на данните е изразил становище, след което в текста са отразени неговите бележки. В окончателната си редакция изискванията по Приложение № 1 са изпратени в ЕКЗД за публикуване. По тези съображения, те не подлежат на промяна, доколкото процедурата по тяхното приемане е приключила и на този етап няма решение на КЗЛД за промяна. Отразяват се всички правно-технически бележки, включително по Приложение № 1, 11 означението на разпоредбите, се посочва наименованието на акта с неговия номер и дата, органът, който го е приел, а при първото препращане - и съответният брой на „Официален вестник“ на Европейския съюз, където актът е публикуван на български език; „Официален вестник“ на Европейския съюз се посочва със съкращение „ОВ“. Съобразявайки това изискване, при първото препращане в чл. 1 от проекта на наредба към разпоредби от Регламент (ЕС) 2016/679, той трябва да бъде изписан по следния начин: Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ, L 119/1 от 4 май 2016 г.). 2. В чл. 1 думата „орган(и)“ да се замени с „органи“. 3. В чл. 6, ал. 3, т. 1 думите „адреса на неговото седалище“ да се заменят с „адрес на седалището му“. 4. В чл. 4, ал. 2, т. 8 вместо знак за точка и запетая трябва да се постави точка. 5. В чл. 6, ал. 3, т. 3 думата „органа“ да се изпише с пълен член. 6. В чл. 7 съкращението „ал.“ трябва да се замени с „пар.“. доколкото не изменят неговия смисъл. 12 7. Приложение № 1 след заключителната разпоредба трябва да препраща към чл. 4, ал. 3, а не към чл. 3, ал. 3. 8. В Приложение № 1, т. 2 думата „правноорганизационна“ трябва да се замени с „правноорганизационната“. 9. В Приложение № 1, т. 12 съкращението „по см. на“ следва да се замени с „по смисъла на“. 10. В Приложение № 1, т. 26 думите „подходяща правна“ трябва да се заменят с „подходящи правни“, за да се съгласуват с останалата част от изречението. 11. В Приложение № 1, т. 37 на две места думите „корективи“ да се заменят с „корективни“. Същото важи и за т. 38. 12. За целите на правната яснота е необходимо в Приложение № 1 да се уеднаквят понятията „орган за наблюдение“ и „наблюдаващ орган“. IV. Предложения за нови редакции на някои от проекторазпоредбите на наредбата На чл. 1: Чл. 1. (1) С тази наредба се определят изискванията и редът за акредитация, подновяване и отнемане на акредитацията на органи за наблюдение на кодекси за поведение по чл. 41 от Регламент (ЕС) 2016/679. Приема частично Материалният обхват на Наредбата следва да съответства точно на предмета и обхвата на законовата делегация, въз основа на която се издава. 13 (2) Изискването за наличие на акредитиран орган за наблюдение не се прилага по отношение на обработване на лични данни, извършвано от публични органи и структури в случаите по чл. 41, параграф 6 от Регламент (ЕС) 2016/679. На чл. 2: Чл. 2. (1) Когато е приложим чл. 41 от Регламент (ЕС) 2016/679, спазването на одобрен кодекс за поведение се наблюдава от един или повече органи за наблюдение, акредитирани от Комисията за защита на личните данни за съответния кодекс. (2) Акредитацията се предоставя за конкретен кодекс за поведение и удостоверява съответствието на органа за наблюдение с изискванията, приложими към наблюдението на този кодекс. На чл. 3: Чл. 3. Решенията на Комисията за защита на личните данни по тази наредба подлежат на обжалване по реда на Административнопроцесуалния кодекс. Приема се Приема се В конкретния случай – на чл. 14а, ал. 3 от ЗЗЛД. Не приема предложението за ал. 2, тъй като тази хипотеза произтича пряко от Регламент (ЕС) 2016/679 и не е необходимо да се урежда по друг начин в нормативен акт, въвеждащ мерките за изпълнение. Отразява в текста. Отразява в текста. 14 На чл. 4: Чл. 4. (1) За орган за наблюдение може да бъде акредитирано лице или организационно обособена структура, която отговаря на изискванията на чл. 41, параграфи 1 и 2 от Регламент (ЕС) 2016/679 и на Приложение № 1. (2) Органът за наблюдение може да бъде външен или вътрешен по отношение на отговарящия за прилагането на кодекса за поведение. (3) Когато кандидатът е вътрешна структура без самостоятелна правосубектност, в производството по акредитация се посочва юридическото лице, в чиято структура е създаден, както и правната и организационната уредба, която гарантира функционалната му независимост и позволява еднозначно определяне на субекта, носещ отговорност за неизпълнение на задълженията по чл. 41 от Регламент (ЕС) 2016/679. (4) При акредитацията Комисията извършва оценка на: 1. независимостта и безпристрастността; 2. предотвратяването и управлението на конфликти на интереси; 3. наличието на подходящ експертен капацитет; 4. наличието на достатъчни човешки, финансови, технически и организационни Приема се Отразява в текста. 15 ресурси; 5. процедурите за оценяване на допустимостта на членовете на кодекса и за наблюдение на спазването му; 6. процедурите за независимо, безпристрастно и прозрачно разглеждане на жалби; 7. процедурите за комуникация с Комисията; 8. механизмите за периодичен преглед на действието на кодекса; 9. правния и организационния статут, необходим за ефективното изпълнение на задълженията и ангажиране на отговорността на органа за наблюдение. На чл. 5: Чл. 5. (1) При първоначалното одобряване на кодекс за поведение процедурата по акредитация на предложения орган за наблюдение е част от производството по одобряване на кодекса по глава четвърта, раздел VIII от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. (2) Към искането за одобряване на кодекса отговарящият за прилагането му представя документите и информацията за кандидата, предвидени в Приложение № 1. (3) Към документите по ал. 2 се прилага изрично писмено заявление от кандидата за акредитация, с което той: Приема се Отразява в текста. 16 1. заявява съгласие да изпълнява функциите на орган за наблюдение на съответния кодекс; 2. декларира съответствието си с изискванията за акредитация; 3. поема задължение да поддържа съответствието с тези изисквания през целия срок на акредитацията; 4. се задължава да уведомява Комисията за съществени промени в обстоятелствата, относими към акредитацията. (4) Документите се представят в оригинал, като електронен документ или като копие, заверено от кандидата. Комисията може да изиска представяне на оригинал или официално заверено копие, когато това е необходимо за установяване на автентичността на документа. (5) Не се изисква представяне на документи и данни, които Комисията може да получи служебно от публичен регистър. (6) При предложение за замяна или добавяне на орган за наблюдение към вече одобрен кодекс искането се подава от отговарящия за прилагането на кодекса съвместно с кандидата за акредитация. Производството се провежда при съответно прилагане на правилата за изменение и допълнение на одобрен кодекс за поведение. На чл. 6: Чл. 6. (1) При първоначално одобряване на Приема се Отразява в текста. 17 кодекса Комисията се произнася по акредитацията с решението по чл. 67, ал. 4 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. (2) При акредитация на нов или допълнителен орган за наблюдение на вече одобрен кодекс Комисията се произнася с мотивирано решение. (3) Въз основа на решението за акредитация Комисията издава удостоверение, което съдържа: 1. наименование и идентификационни данни на акредитирания орган; 2. посочване дали органът е вътрешен или външен; 3. наименование и версия на кодекса за поведение; 4. номер и дата на решението за акредитация; 5. уникален номер на удостоверението; 6. начална и крайна дата на действие на акредитацията; 7. ограничения или условия на акредитацията, когато са приложими; 8. подпис на председателя на Комисията. (4) Акредитацията се предоставя за срок пет години, освен когато кодексът за поведение предвижда по-кратък срок за изпълнение на функциите на органа за наблюдение. На чл. 7: 18 Чл. 7. (1) Когато в рамките на производството по първоначално одобряване на кодекса се установи несъответствие на кандидата с изискванията за акредитация, се прилага чл. 67, ал. 3 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. (2) В самостоятелно производство по акредитация на нов или допълнителен орган за вече одобрен кодекс Комисията отказва акредитацията с мотивирано решение, когато кандидатът не докаже съответствие с изискванията по чл. 41 от Регламент (ЕС) 2016/679 и Приложение № 1. На чл. 8: Чл. 8. (1) Не по-късно от три месеца преди изтичането на срока на акредитацията акредитираният орган за наблюдение подава до Комисията искане за нейното подновяване. Към искането се прилага потвърждение от отговарящия за прилагането на кодекса за продължаване изпълнението на функциите по наблюдение от същия орган. (2) Към искането се прилагат актуални доказателства за продължаващото изпълнение на изискванията за акредитация и доклад за дейността през изтичащия период, включващ най-малко: 1. извършените дейности по наблюдение; 2. извършените проверки и одити; Приема се Приема се Отразява се в текста. Отразява се в текста. 19 3. разгледаните жалби; 4. констатираните нарушения и предприетите действия; 5. настъпилите съществени организационни, финансови или кадрови промени; 6. извършените периодични прегледи на действието на кодекса. (3) При оценката Комисията може да изисква допълнителна информация и да извършва проверка на продължаващото съответствие с изискванията за акредитация. (4) Комисията подновява акредитацията, когато органът продължава да изпълнява изискванията по чл. 41 от Регламент (ЕС) 2016/679 и Приложение № 1. (5) Комисията отказва подновяване с мотивирано решение, когато изискванията по ал. 4 не са изпълнени. На чл. 9: Чл. 9. (1) Комисията отнема акредитацията, когато: 1. изискванията за акредитация не са или вече не са изпълнени; или 2. предприети от органа за наблюдение действия нарушават Регламент (ЕС) 2016/679 или Закона за защита на личните данни. (2) Производството по отнемане на акредитацията започва по инициатива на Комисията. Приема се Отразява се в текста. 20 (3) Органът за наблюдение се уведомява за започването на производството и за установените обстоятелства и му се предоставя възможност в определен от Комисията срок да представи становище и доказателства. (4) Когато естеството на установеното несъответствие позволява неговото отстраняване и това не създава непосредствен риск за ефективността и независимостта на наблюдението, Комисията може преди постановяване на решението да даде подходящ срок за отстраняването му. (5) Акредитацията се отнема с мотивирано решение. Комисията уведомява незабавно отговарящия за прилагането на кодекса и отразява промяната в регистъра по чл. 15, ал. 1, т. 3 от Закона за защита на личните данни. (6) Когато вследствие на отнемането кодекс за поведение, за който се прилага чл. 41 от Регламент (ЕС) 2016/679, остане без акредитиран орган за наблюдение, Комисията определя на отговарящия за прилагането на кодекса подходящ срок за предложение на нов орган за наблюдение. (7) Когато в срока по ал. 6 не бъде предложен и акредитиран нов орган за наблюдение, Комисията предприема действия по отношение на действието на одобрения кодекс в съответствие с Регламент (ЕС) 2016/679 и приложимия ред за изменение или оттегляне на кодекса.