Hvordan demonstrere samsvar med GDPR artikkel 40

GDPR Artikkel 40 omhandler eksplisitt behovet for at organisasjoner utarbeider en etiske retningslinjer – eller flere etiske retningslinjer – som er/er unike for virksomheten deres, og gjelder for de ulike rollene den inneholder.

Støttekoder kan involvere scenarier som bruk av personopplysninger til markedsføringsformål eller helseformål.

GDPR artikkel 40 juridisk tekst

EU GDPR-versjon

Etiske retningslinjer

1. Medlemsstatene, tilsynsmyndighetene, styret og Kommisjonen skal oppmuntre til utarbeidelse av etiske retningslinjer som skal bidra til riktig anvendelse av denne forordning, idet det tas hensyn til de spesifikke egenskapene til de ulike behandlingssektorene og de spesifikke behovene til mikro. , små og mellomstore bedrifter.
2. Sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere kan utarbeide etiske retningslinjer, eller endre eller utvide slike regler, med det formål å spesifisere anvendelsen av denne forordningen, for eksempel med hensyn til:
• (a) rettferdig og gjennomsiktig behandling;
• (b) de legitime interessene som forfølges av behandlingsansvarlige i spesifikke sammenhenger;
• (c) innsamling av personopplysninger;
• (d) pseudonymisering av personopplysninger;
• (e) informasjonen gitt til offentligheten og til registrerte;
• (f) utøvelsen av rettighetene til registrerte personer;
• (g) informasjonen gitt til og beskyttelsen av barn, og måten samtykket fra innehaverne av foreldreansvaret for barn skal innhentes på;
• (h) tiltakene og prosedyrene nevnt i artikkel 24 og 25 og tiltakene for å sikre behandlingssikkerheten nevnt i artikkel 32;
• (i) varsling om brudd på personopplysninger til tilsynsmyndigheter og formidling av slike brudd på personopplysninger til registrerte;
• (j) overføring av personopplysninger til tredjeland eller internasjonale organisasjoner; eller
• (k) utenomrettslige prosedyrer og andre tvisteløsningsprosedyrer for å løse tvister mellom behandlingsansvarlige og registrerte med hensyn til behandling, uten at det berører de registrertes rettigheter i henhold til artikkel 77 og 79.
3. I tillegg til overholdelse av behandlingsansvarlige eller databehandlere underlagt denne forordning, kan atferdskoder godkjent i henhold til nr. 5 i denne artikkel og som har generell gyldighet i henhold til nr. 9 i denne artikkel, også følges av behandlingsansvarlige eller behandlere som ikke er underlagt denne Forordning i henhold til artikkel 3 for å gi hensiktsmessige garantier innenfor rammen av personopplysningsoverføringer til tredjeland eller internasjonale organisasjoner i henhold til vilkårene nevnt i nr. e) i artikkel 46 nr. 2. Slike behandlingsansvarlige eller databehandlere skal gjøre bindende og håndhevbare forpliktelser, via kontraktsmessige eller andre juridisk bindende instrumenter, for å anvende de passende sikkerhetstiltakene, inkludert med hensyn til rettighetene til registrerte personer.
4. En atferdskodeks nevnt i nr. 2 i denne artikkel skal inneholde mekanismer som gjør det mulig for organet nevnt i artikkel 41 nr. 1 å utføre den obligatoriske overvåkingen av at dens bestemmelser overholdes av de behandlingsansvarlige eller databehandlerne som forplikter seg til å anvende den, uten på vegne av oppgavene og myndighetene til tilsynsmyndigheter som er kompetente i henhold til artikkel 55 eller 56.
5. Foreninger og andre organer nevnt i nr. 2 i denne artikkel som har til hensikt å utarbeide en atferdskodeks eller å endre eller utvide en eksisterende kodeks, skal sende utkastet til kode, endring eller utvidelse til tilsynsmyndigheten som er kompetent i henhold til artikkel 55. tilsynsmyndigheten skal gi en uttalelse om hvorvidt utkastet til kode, endring eller utvidelse er i samsvar med denne forordning, og skal godkjenne utkastet til kode, endring eller utvidelse dersom den finner at det gir tilstrekkelige hensiktsmessige beskyttelsestiltak.
6. Dersom utkastet til kode, endring eller utvidelse godkjennes i samsvar med nr. 5, og der den aktuelle etiske retningslinjen ikke gjelder behandlingsvirksomhet i flere medlemsstater, skal tilsynsmyndigheten registrere og offentliggjøre kodene.
7. Når et utkast til atferdskodeks gjelder behandlingsvirksomhet i flere medlemsstater, skal tilsynsmyndigheten som er kompetent i henhold til artikkel 55, før den godkjenner utkastet til kodeks, endring eller utvidelse, fremlegge det i prosedyren nevnt i artikkel 63 til styret. som skal gi en uttalelse om hvorvidt utkastet til kode, endring eller utvidelse er i samsvar med denne forordning eller, i situasjonen nevnt i nr. 3 i denne artikkel, gir passende beskyttelsestiltak.
8. Dersom uttalelsen nevnt i nr. 7 bekrefter at utkastet til kode, endring eller utvidelse er i samsvar med denne forordning, eller, i situasjonen nevnt i nr. 3, gir passende garantier, skal styret avgi sin uttalelse til Kommisjonen.
9. Kommisjonen kan ved hjelp av gjennomføringsrettsakter bestemme at den godkjente atferdskodeksen, endringen eller utvidelsen som er forelagt den i henhold til nr. 8 i denne artikkel, har generell gyldighet i Unionen. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren fastsatt i artikkel 93 nr. 2.
10. Kommisjonen skal sørge for hensiktsmessig offentlighet for de godkjente kodene som er besluttet å ha generell gyldighet i samsvar med nr. 9.
11. Styret skal samle alle godkjente etiske retningslinjer, endringer og utvidelser i et register og skal gjøre dem offentlig tilgjengelige ved hjelp av passende midler.

UK GDPR-versjon

Etiske retningslinjer

1. Kommisjonæren skal oppmuntre til utarbeidelse av etiske retningslinjer som skal bidra til riktig anvendelse av denne forordning, idet det tas hensyn til de spesifikke egenskapene til de ulike prosesssektorene og de spesifikke behovene til mikro, små og mellomstore bedrifter.
2. Sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere kan utarbeide etiske retningslinjer, eller endre eller utvide slike regler, med det formål å spesifisere anvendelsen av denne forordningen, for eksempel med hensyn til:
• (a) rettferdig og gjennomsiktig behandling;
• (b) de legitime interessene som forfølges av behandlingsansvarlige i spesifikke sammenhenger;
• (c) innsamling av personopplysninger;
• (d) pseudonymisering av personopplysninger;
• (e) informasjonen gitt til offentligheten og til registrerte;
• (f) utøvelsen av rettighetene til registrerte personer;
• (g) informasjonen gitt til og beskyttelsen av barn, og måten samtykket fra innehaverne av foreldreansvaret for barn skal innhentes på;
• (h) tiltakene og prosedyrene nevnt i artikkel 24 og 25 og tiltakene for å sikre behandlingssikkerheten nevnt i artikkel 32;
• (i) varsel om brudd på personopplysninger til kommisjonæren og formidling av slike brudd på personopplysninger til registrerte;
• (j) overføring av personopplysninger til tredjeland eller internasjonale organisasjoner; eller
• (k) utenomrettslige prosedyrer og andre tvisteløsningsprosedyrer for å løse tvister mellom behandlingsansvarlige og registrerte med hensyn til behandling, uten at det berører de registrertes rettigheter i henhold til artikkel 77 og 79.
3. I tillegg til overholdelse av behandlingsansvarlige eller databehandlere underlagt denne forordning, kan atferdskoder godkjent i henhold til nr. 5 i denne artikkel og som har generell gyldighet i henhold til nr. 9 i denne artikkel, også følges av behandlingsansvarlige eller behandlere som ikke er underlagt denne Forordning i henhold til artikkel 3 for å gi hensiktsmessige garantier innenfor rammen av personopplysningsoverføringer til tredjeland eller internasjonale organisasjoner i henhold til vilkårene nevnt i nr. e) i artikkel 46 nr. 2. Slike behandlingsansvarlige eller databehandlere skal gjøre bindende og håndhevbare forpliktelser, via kontraktsmessige eller andre juridisk bindende instrumenter, for å anvende de passende sikkerhetstiltakene, inkludert med hensyn til rettighetene til registrerte personer.
4. En atferdskodeks nevnt i nr. 2 i denne artikkel skal inneholde mekanismer som gjør det mulig for organet nevnt i artikkel 41 nr. 1 å utføre den obligatoriske overvåkingen av at dens bestemmelser overholdes av de behandlingsansvarlige eller databehandlerne som forplikter seg til å anvende den, uten på vegne av kommissærens oppgaver og fullmakter.
5. Foreninger og andre organer nevnt i nr. 2 i denne artikkel som har til hensikt å utarbeide en atferdskodeks eller å endre eller utvide en eksisterende kodeks, skal sende utkastet til kode, endring eller utvidelse til kommissæren. Kommissæren skal gi en uttalelse om hvorvidt utkastet til kode, endring eller utvidelse er i samsvar med denne forordning, og skal godkjenne utkastet til kode, endring eller utvidelse dersom den finner at det gir tilstrekkelige hensiktsmessige beskyttelsestiltak.
6. Dersom utkastet til kode, endring eller utvidelse er godkjent i samsvar med nr. 5, skal kommissæren registrere og offentliggjøre koden.