Regulation (EU) 2016/679

de · official · sha256:5eea2ac9a23b91614ffd8c486fab4e13d075cbb05b3e696042e2e550db4b7d80DE

Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

Referencing norms: AppropriateMeasuresInPlace, Article24MeasuresDuty, Article24ReviewDuty, ImplementAppropriateMeasures, ReviewAndUpdateMeasures

de · official · sha256:6d3c82cbd5bfe14806b7fac046554cd360db4fb3e093723539c1c1b93c64b252DE

Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.

Referencing norms: Article24PoliciesDuty, ImplementDataProtectionPolicies

de · official · sha256:42e8d011d19c923bc2707d9fe7a0fcad093e2350d6225d505a649ceb03676e98DE

Die Einhaltung der genehmigten Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.

Referencing norms: Article24CertificationAsElement, Article24CodeAsElement

de · official · sha256:db2dafe2362c9967648ede195ee47f66a92a8f36d42ec87cc4bea93ce8ac1f96DE

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und  organisatorische Maßnahmen — wie z. B. Pseudonymisierung —, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

Referencing norms: Article25ByDesignDuty, ByDesignMeasuresInPlace, ImplementDataProtectionByDesign

de · official · sha256:22abcfd8c2d0ddb0780accd83a239b770bd05f6d0e6fb86c175829428848f219DE

Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen,  die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

Referencing norms: Article25ByDefaultDuty, Article25IndefiniteAccessibilityInfringes, Article25IndefiniteAccessibilityPosition, ByDefaultMeasuresInPlace, ImplementDataProtectionByDefault, MakeDataAccessibleByDefaultToIndefiniteNumber

de · official · sha256:a68b410bb3e16235ce1dda013941aa465e391a2723e43f4d3b950fad49eaf161DE

Ein genehmigtes Zertifizierungsverfahren gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der in den Absätzen 1 und 2 des vorliegenden Artikels genannten Anforderungen nachzuweisen.

Referencing norms: Article25CertificationAsElement

de · official · sha256:dc5a5a8d85dfc789c05cb20f1754e462d7aba76048aac3cc0701973ba11c3bffDE

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.

Referencing norms: Article26ArrangementDuty, Article26ArrangementDuty/unless/0, DetermineJointResponsibilities, JointArrangementInPlace, JointControllers, JointControllersSymmetric

de · official · sha256:b04dfca146bfaba5069f3e992ea75b55f47423bfaa50cd1a824f47b9909ccfffDE

Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

Referencing norms: Article26EssenceAvailableDuty, JointArrangementInPlace, MakeEssenceOfArrangementAvailable

de · official · sha256:3dd42109242f30b80284a563f940b0297fd625f8a9461e6471477b167eaa692dDE

Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.

Referencing norms: Article26RightsAgainstEachController

de · official · sha256:aab3a2c43ae7ce3b3ca2bd4d800cc3e86c1df0fb583561ec81794b08ba3e446aDE

In den Fällen gemäß Artikel 3 Absatz 2 benennt der Verantwortliche oder der Auftragsverarbeiter schriftlich einen Vertreter in der Union.

Referencing norms: Article27ControllerDesignationDuty, Article27ControllerDesignationDuty/unless/0, Article27ControllerDesignationDuty/unless/1, Article27ProcessorDesignationDuty, Article27ProcessorDesignationDuty/unless/0, Article27ProcessorDesignationDuty/unless/1, Article3_2AppliesMonitoring, Article3_2AppliesOffering, ControllerHasRepresentative, DesignateRepresentativeController, DesignateRepresentativeProcessor, ProcessorHasRepresentative

de · official · sha256:97326be9ad4a5b8982af24bcf5ad6b69a57b4cba3df5a70bf3684454e0f54df0DE

eine Verarbeitung, die gelegentlich erfolgt, nicht die umfangreiche Verarbeitung besonderer Datenkategorien im Sinne des Artikels 9 Absatz 1 oder die umfangreiche Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 einschließt und unter Berücksichtigung der Art, der Umstände, des Umfangs und der Zwecke der Verarbeitung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, oder

Referencing norms: Article27ExceptionOccasionalLowRisk, Article27ExceptionOccasionalLowRisk/unless/0

de · official · sha256:3bcb204c775913da10283dee8e58281069960925b2277f1848b222d5004413f4DE

Behörden oder öffentliche Stellen.

Referencing norms: Article27ExceptionControllerPublicAuthority, Article27ExceptionProcessorPublicAuthority

de · official · sha256:56450ee4c4d3d02051594ef66385015437994d5a0e2d42cfe5f941e0be004b92DE

Die Pflicht gemäß Absatz 1 des vorliegenden Artikels gilt nicht für

de · official · sha256:dbbed108cd7447fb91d4a6aaa5a8f4ead7304b40ca6b72311e8e06eae2ed8f48DE

Der Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die betroffenen Personen, deren personenbezogene Daten im Zusammenhang mit den ihnen angebotenen Waren oder Dienstleistungen verarbeitet werden oder deren Verhalten beobachtet wird, sich befinden.

Referencing norms: Article27RepresentativeEstablishment

de · official · sha256:4e23df5045c7ed873025cb53ad40844d7f2c5bda3f310b8431451f885f245a35DE

Der Vertreter wird durch den Verantwortlichen oder den Auftragsverarbeiter beauftragt, zusätzlich zu diesem oder an seiner Stelle insbesondere für Aufsichtsbehörden und betroffene Personen bei sämtlichen Fragen im Zusammenhang mit der Verarbeitung zur Gewährleistung der Einhaltung dieser Verordnung als Anlaufstelle zu dienen.

de · official · sha256:5c6774a2973e50134826f868fdcf3b411a72441a4b0b85bdbd88bc27b337a9a7DE

Die Benennung eines Vertreters durch den Verantwortlichen oder den Auftragsverarbeiter erfolgt unbeschadet etwaiger rechtlicher Schritte gegen den Verantwortlichen oder den Auftragsverarbeiter selbst.

de · official · sha256:65b5718cc456aa2642880324706f72344983ca105a8055e58e719c7b7545fdacDE

Unbeschadet der Artikel 82, 83 und 84 gilt ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher.

Referencing norms: Article28ProcessorConsideredController

de · official · sha256:798b6d4bea17ab00e7d20edee7fc716e55fd67e568f9477e8ad9d1e86f77d7c0DE

Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

Referencing norms: Article28ProcessorSelectionCompliant

de · official · sha256:e33f303c001d5a10f9ea8e20a028594af2d4fef8c088b944d70c3ffbf74eb8aeDE

Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

Referencing norms: Article28GeneralAuthorisationInformDuty, Article28SubprocessorPosition, Article28SubprocessorWithoutAuthorisation, Article28SubprocessorWithoutAuthorisation/unless/0, Article28SubprocessorWithoutAuthorisation/unless/1, EngageSubprocessorWithoutAuthorisation, InformControllerOfIntendedChange

de · official · sha256:de56160ccd6d1845789f04b9133da0c9f3fdfb38ef84624fe73d0c0fba1f7b5aDE

die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation — verarbeitet, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

Referencing norms: RequiredDocumentedInstructions

de · official · sha256:48263a999733d35842fc1241978df64dceb848e326f06d8b6ecd1778aed75082DE

gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

Referencing norms: RequiredConfidentiality

de · official · sha256:df36cd0f5850e9d5f67788e7015221f56e776e19a90831f5c1bd3b5a7c9a1991DE

alle gemäß Artikel 32 erforderlichen Maßnahmen ergreift;

Referencing norms: RequiredSecurityMeasures

de · official · sha256:eb342b5beb5c844dbbb018e500dde8aefd25932ba9b6f628d66708707f47db93DE

die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;

Referencing norms: RequiredSubProcessorConditions

de · official · sha256:210df25ebb0be1a7352d2fa0aebceb662ae858087554ec3b5e7c406b4388f5beDE

angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

Referencing norms: RequiredAssistanceWithDataSubjectRequests

de · official · sha256:429fe9a44b566edbd2f6b2d98c11ba3048c008318abfea3db302501686e6f10bDE

unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstützt;

Referencing norms: RequiredAssistanceWithArticles32To36

de · official · sha256:edb7d3286cbff3125bbe4314786795004e2dad47fbc62d0d06db17e5eb591593DE

nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt und die vorhandenen Kopien löscht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;

Referencing norms: RequiredDeletionOrReturn

de · official · sha256:9d7ab1a8d12017f9628ac477c193713db4a898cbbe997a62f3b6b9532791cf9fDE

dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.

Referencing norms: RequiredInformationAndAudits

de · official · sha256:1b320523a725ae0a6510a6c3c8a6b6aac3b8be06e7e70a1639cc0c99a804aa19DE

Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

Referencing norms: Article28InformOfInfringingInstructionDuty, InformControllerOfInfringingInstruction, RequiredInformationAndAudits

de · official · sha256:9430d0833fb423c5962a0ec44fa2906133dc50b2cf9ef7b35526d9b04361f0beDE

Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter

Referencing norms: Article28ContractComplete, Article28ContractDuty, Article28ContractElementMissing, Article28ContractElementMissing/unless/0, GovernProcessingByContract, OperationGovernedByCompliantContract, RequiredNatureAndPurpose, RequiredObligationsAndRights, RequiredSubjectMatterAndDuration, RequiredTypeOfDataAndCategories

de · official · sha256:3b24f1a1ffd4e9326f239597a3abc3b805a8adb1e169811c290eefab90bfeadcDE

Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter gemäß Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

Referencing norms: Article28ImposeSameObligationsDuty, Article28InitialProcessorLiable, ImposeSameObligationsOnOtherProcessor

de · official · sha256:70ef85f70c68ac9177670c0e4a5a547cfbe1c5bbeac01f110f9aaaea769e1c0dDE

Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.

Referencing norms: Article28AdherenceAsElement

de · official · sha256:dcd862bf27b68eeaaa9eb23b7962eaf691656594ad3af60b6ee107e6a45476d6DE

Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer dem Verantwortlichen oder dem Auftragsverarbeiter gemäß den Artikeln 42 und 43 erteilten Zertifizierung sind.

de · official · sha256:cbcf0fb3c93790b62e51330d88bc7a1e46f37774749e419d6f2f0001ade30aa4DE

Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 93 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

de · official · sha256:4fbd52d50690f2e7601ffa034e79649c54e6121c17f641df02b64d69dc998803DE

Eine Aufsichtsbehörde kann im Einklang mit dem Kohärenzverfahren gemäß Artikel 63 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

de · official · sha256:4928c9987eb14c1e5a27fd7f1f6d507eab76c1fab920c3d76fd9e6a7a00113f3DE

Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

Referencing norms: Article28ContractComplete

de · official · sha256:63707f09a24458ab53b13b0f6ba2cb7d82003bc2f5a09ad30bc1f4a8183a6660DE

Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.

Referencing norms: Article29InstructionsPosition, Article29ProcessingWithoutInstructions, Article29ProcessingWithoutInstructions/unless/0, ProcessOnlyOnInstructions

de · official · sha256:4ec58828be0b820d2b9efbd1b326168c1cba1436dff3aadeb73aca91e58216caDE

den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten;

Referencing norms: ControllerRecordContentComplete

de · official · sha256:4ee9920c67aa83d75ca4a31bb13ccadc509fa4022d0aa11a03e5698b15f2a1a8DE

die Zwecke der Verarbeitung;

Referencing norms: ControllerRecordContentComplete

de · official · sha256:df20ba23353c1170e8e594d45b7fdef6ca55f087b6cddb638e1b6568794a0852DE

eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten;

Referencing norms: ControllerRecordContentComplete

de · official · sha256:35bbf88f19fceb5c800e237c980e5c46d74dec4735cccbfd67d3159f580a91dcDE

die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen;

Referencing norms: ControllerRecordContentComplete

de · official · sha256:205e0389398a883091d4575e35514bfb8ce5238ac4e7cb78735528eee21139e3DE

gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien;

Referencing norms: RecordTransfersEntered, RecordTransfersNotApplicable

de · official · sha256:22e4da742602e9e1f1451271db08e9c11cc7ff4ca73485f9155da720d52c1c40DE

wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien;

Referencing norms: RecordErasureLimitsEntered, RecordErasureLimitsNotPossible

de · official · sha256:830c5c22a9ff5b873580e3c080a6ceb4bd9d81394a3b5b06084e3dc5aadfff2fDE

wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1.

Referencing norms: RecordSecurityDescriptionEntered, RecordSecurityDescriptionNotPossible

de · official · sha256:0c72478e49fc2cd3f8d7ce332cea7bbaea82daebae9e5031df55de537ec974c6DE

Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben:

Referencing norms: Article30ControllerRecordDuty, Article30ControllerRecordDuty/unless/0, ControllerRecordContentComplete, MaintainRecordOfProcessingController, RecordMaintainedInCompliance

de · official · sha256:2979398316a519ce715f0b6e326a6a1b6af32b3d31d32852f51476bf00e0a97dDE

den Namen und die Kontaktdaten des Auftragsverarbeiters oder der Auftragsverarbeiter und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und eines etwaigen Datenschutzbeauftragten;

Referencing norms: ProcessorRecordContentComplete

de · official · sha256:0fc6148a08d7fc30585dd202e72078da5b8327de94da001e72c00eb4d3354124DE

die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden;

Referencing norms: ProcessorRecordContentComplete

de · official · sha256:205e0389398a883091d4575e35514bfb8ce5238ac4e7cb78735528eee21139e3DE

gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien;

Referencing norms: ProcessorRecordTransfersEntered, ProcessorRecordTransfersNotApplicable

de · official · sha256:830c5c22a9ff5b873580e3c080a6ceb4bd9d81394a3b5b06084e3dc5aadfff2fDE

wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1.

Referencing norms: ProcessorRecordSecurityDescriptionEntered, ProcessorRecordSecurityDescriptionNotPossible

de · official · sha256:831d3c9cf4b6e1820b8f64849e534d929389621f34d1062f9eca8af0981de76aDE

Jeder Auftragsverarbeiter und gegebenenfalls sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung, das Folgendes enthält:

Referencing norms: Article30ProcessorRecordDuty, Article30ProcessorRecordDuty/unless/0, MaintainRecordOfProcessingProcessor, ProcessorRecordContentComplete, ProcessorRecordMaintainedInCompliance

de · official · sha256:530b07bd3a5c16163c9adeca96ecbb3851a0e1e7a5dd242740e59c97ea1c24a0DE

Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.

Referencing norms: ProcessorRecordMaintainedInCompliance, RecordMaintainedInCompliance

de · official · sha256:0b4c7d4ceaf3262b061d5029fe1f8422805f4758eca5de33b93ee7971801efbaDE

Der Verantwortliche oder der Auftragsverarbeiter sowie gegebenenfalls der Vertreter des Verantwortlichen oder des Auftragsverarbeiters stellen der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung.

Referencing norms: Article30ControllerAvailabilityDuty, Article30ProcessorAvailabilityDuty, MakeRecordAvailableController, MakeRecordAvailableProcessor

de · official · sha256:6ef6322fdd1af2063926eb13431f2c7053e8267c8a68e6ffa2f989b7c9fc4948DE

Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.

Referencing norms: Article30SmallControllerException, Article30SmallControllerException/unless/0, Article30SmallControllerException/unless/1, Article30SmallProcessorException, Article30SmallProcessorException/unless/0, Article30SmallProcessorException/unless/1

de · official · sha256:082adc134ae693d2b79ccc21d88b581f7544a07143289fd4abd61c947959e0bdDE

Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

Referencing norms: Article31ControllerCooperationDuty, Article31ProcessorCooperationDuty, CooperateWithAuthorityController, CooperateWithAuthorityProcessor

de · official · sha256:1ffb036480d7b21166372e9e6fa7d781fa340d61b39f4301912368581b1c74bcDE

die Pseudonymisierung und Verschlüsselung personenbezogener Daten;

de · official · sha256:09520a5e9cd15d59299d72f896d3df58f218ea46a1ea5a39a29c8b82435f964aDE

die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

de · official · sha256:3ae099f4a7d0fc3126827bd1015dcad6cbabc0e0a4c447a105f75c3cca67198cDE

die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

de · official · sha256:53275dabd570f4a76aadfb3c7ce6a14ee039508b3f4d5765e1be942752f7da19DE

ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

de · official · sha256:388807e41efe0bb941e49ed8ef484fcf23d0677e97ac94220401a265a38d5bb7DE

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten;  diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

Referencing norms: AppropriateSecurityInPlace, Article32ControllerSecurityDuty, Article32ProcessorSecurityDuty, ImplementSecurityMeasuresController, ImplementSecurityMeasuresProcessor

de · official · sha256:f5625fc94831ebf7b07737638f27207f651b18f94a2f42222f99ff4beebf34bfDE

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch — ob unbeabsichtigt oder unrechtmäßig — Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

de · official · sha256:8bae460434ef41864a2db39326a11aba511af8e16a63dd7dbb5c4358d0b62173DE

Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der in Absatz 1 des vorliegenden Artikels genannten Anforderungen nachzuweisen.

Referencing norms: Article32CertificationAsElement, Article32CodeAsElement

de · official · sha256:bc4da9c47529a7450b043e5a37d815b7b7c028fcdaad7cd52564cb58fe607634DE

Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

Referencing norms: Article32ControllerInstructionStepsDuty, Article32ProcessorInstructionStepsDuty, TakeStepsOnInstructionsController, TakeStepsOnInstructionsProcessor

de · official · sha256:e122fa12a5142e0110a47c0a9d057523c9f36a64fc5b3d3802cf11a66a2a266eDE

Falls die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe c oder e auf einer Rechtsgrundlage im Unionsrecht oder im Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, beruht und falls diese Rechtsvorschriften den konkreten Verarbeitungsvorgang oder die konkreten Verarbeitungsvorgänge regeln und bereits im Rahmen der allgemeinen Folgenabschätzung im Zusammenhang mit dem Erlass dieser Rechtsgrundlage eine Datenschutz-Folgenabschätzung erfolgte, gelten die Absätze 1 bis 7 nur, wenn es nach dem Ermessen der Mitgliedstaaten erforderlich ist, vor den betreffenden Verarbeitungstätigkeiten eine solche Folgenabschätzung durchzuführen.

Referencing norms: DpiaExemptGeneralAssessmentOfLegalBasis, DpiaExemptGeneralAssessmentOfLegalBasis/unless/0

de · official · sha256:4e9d95cfc582758c54626f011f523f4d7cba1b55a4dd035ef33ecb4f5b465416DE

Erforderlichenfalls führt der Verantwortliche eine Überprüfung durch, um zu bewerten, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird; dies gilt zumindest, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind.

Referencing norms: Article35ReviewDuty, ReviewDpiaOnChangeOfRisk

de · official · sha256:7026a4eeb7aa9a3a357d0d28972529e83ac31d1776d2def5a7f0d828c300ab88DE

Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.

Referencing norms: Article35CarryOutDpiaDuty, Article35CarryOutDpiaDuty/unless/0, CarryOutDpia, DpiaCompliant, DpiaRequiredHighRisk

de · official · sha256:74957fe7d1a009e938cc60a365b4e20ff38f4f5baf80438069c552c94976031bDE

Der Verantwortliche holt bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten, sofern ein solcher benannt wurde, ein.

Referencing norms: Article35SeekDpoAdviceDuty, Article35SeekDpoAdviceDuty/unless/0, SeekDpoAdviceInDpia

de · official · sha256:43c92de7ba7b65ea742ff828e7b3875a0a4dbc7cebb7f2c6d693d3b504ce7730DE

systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen;

Referencing norms: DpiaRequiredSystematicEvaluation

de · official · sha256:3c75fb6ef10c4974b5220a92fadd43c1a2b2382801bf84591a8005633ea28ea9DE

umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 oder

Referencing norms: DpiaRequiredLargeScaleSpecialCategories

de · official · sha256:0e04e508756c1cdc643699aca3ae7110b21316a50d46b8c3f187c7e96e4de939DE

systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Referencing norms: DpiaRequiredPublicAreaMonitoring

de · official · sha256:d3f25886a8f16adb49e5b679ee1484e6b8eacf6173ae104f0fdc4c00db53b92dDE

Eine Datenschutz-Folgenabschätzung gemäß Absatz 1 ist insbesondere in folgenden Fällen erforderlich:

de · official · sha256:7fd9b35d2321966ef8cb0d29188e425be76469ead5ec25eae3e8716f24f3e5c2DE

Die Aufsichtsbehörde erstellt eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist, und veröffentlicht diese. Die Aufsichtsbehörde übermittelt diese Listen dem in Artikel 68 genannten Ausschuss.

Referencing norms: Article35CommunicateListDuty, Article35EstablishListDuty, CommunicateDpiaListToBoard, DpiaRequiredListedKind, EstablishDpiaList

de · official · sha256:95a1b6b4dfce85aac7645cc1f91adc4c938c042fc1fd197c05d0cc0b3ab95d17DE

Die Aufsichtsbehörde kann des Weiteren eine Liste der Arten von Verarbeitungsvorgängen erstellen und veröffentlichen, für die keine Datenschutz-Folgenabschätzung erforderlich ist. Die Aufsichtsbehörde übermittelt diese Listen dem Ausschuss.

Referencing norms: DpiaExemptListedKind

de · official · sha256:8232af1fb8100c15ae4b2c6f93e21b94166cd041abb72a3ea5c4fe9569421a11DE

Vor Festlegung der in den Absätzen 4 und 5 genannten Listen wendet die zuständige Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 an, wenn solche Listen Verarbeitungstätigkeiten umfassen, die mit dem Angebot von Waren oder Dienstleistungen für betroffene Personen oder der Beobachtung des Verhaltens dieser Personen in mehreren Mitgliedstaaten im Zusammenhang stehen oder die den freien Verkehr personenbezogener Daten innerhalb der Union erheblich beeinträchtigen könnten.

de · official · sha256:d49a57c3628ef3868a580803054c81034ada6fa799e3bc0c9fb33ad694cbaf9eDE

eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen;

Referencing norms: DpiaContentComplete

de · official · sha256:78eb72de402c1a21b66e6b13d9f413f296738a3fee8af1e59487cacbb5457fe5DE

eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;

Referencing norms: DpiaContentComplete

de · official · sha256:1aca4e8bbc1807edf8cd5c93a2017581b98ce928771ef418a171dd3a0b1db843DE

eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und

Referencing norms: DpiaContentComplete

de · official · sha256:41314d8c678f675585c7e48fcec352955d6325c11ead85922c51d3ade88c2fa1DE

die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird.

Referencing norms: DpiaContentComplete

de · official · sha256:0bdc0f750aaabe4c6ae7f47567ecb7bae6a4bc3950fbff3b95abb3be4f2e9b27DE

Die Folgenabschätzung enthält zumindest Folgendes:

Referencing norms: DpiaCompliant, DpiaContentComplete

de · official · sha256:3bb695b6a9e2e8e59e38ac7f954208547fa87078603eff23cca4e842f85cf1ecDE

Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 durch die zuständigen Verantwortlichen oder die zuständigen Auftragsverarbeiter ist bei der Beurteilung der Auswirkungen der von diesen durchgeführten Verarbeitungsvorgänge, insbesondere für die Zwecke einer Datenschutz-Folgenabschätzung, gebührend zu berücksichtigen.

de · official · sha256:48f892b51ac05019429e78fa0d65d7459ea84c6f54fe7fd24764dc5f021fd635DE

Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgänge ein.

Referencing norms: Article35SeekViewsDuty, SeekViewsOfDataSubjects

de · official · sha256:fb735c5d34e5e314d7357dca6bdd272cee7204432db18fc91235cb86eecbfccfDE

Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 35 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.

Referencing norms: Article36ConsultAuthorityDuty, ConsultAuthorityPriorToProcessing

de · official · sha256:805c630a0b0977786de971dd491ee55ccc2ca0322ae16ad2f25e38df2a0d74abDE

Falls die Aufsichtsbehörde der Auffassung ist, dass die geplante Verarbeitung gemäß Absatz 1 nicht im Einklang mit dieser Verordnung stünde, insbesondere weil der Verantwortliche das Risiko nicht ausreichend ermittelt oder nicht ausreichend eingedämmt hat, unterbreitet sie dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb eines Zeitraums von bis zu acht Wochen nach Erhalt des Ersuchens um Konsultation entsprechende schriftliche Empfehlungen und kann ihre in Artikel 58 genannten Befugnisse ausüben. Diese Frist kann unter Berücksichtigung der Komplexität der geplanten Verarbeitung um sechs Wochen verlängert werden. Die Aufsichtsbehörde unterrichtet den Verantwortlichen oder gegebenenfalls den Auftragsverarbeiter über eine solche Fristverlängerung innerhalb eines Monats nach Eingang des Antrags auf Konsultation zusammen mit den Gründen für die Verzögerung. Diese Fristen können ausgesetzt werden, bis die Aufsichtsbehörde die für die Zwecke der Konsultation angeforderten Informationen erhalten hat.

Referencing norms: Article36ExtensionNoticeDuty, Article36WrittenAdviceDuty, CommunicateExtension, ConsultationAdviceDeadline, ConsultationEndBase, ConsultationEndBase/unless/0, ConsultationEndBase/unless/1, ConsultationEndExtended, ConsultationEndExtended/unless/0, ConsultationEndExtendedSuspended, ConsultationEndSuspended, ConsultationEndSuspended/unless/0, ConsultationPeriodSuspended, ConsultationPeriodSuspended/unless/0, ProvideWrittenAdvice

de · official · sha256:8bed545a4a3ed3e1b06074d9cb466cb4bd8148faf272a62416eed1e01bff9739DE

gegebenenfalls Angaben zu den jeweiligen Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der an der Verarbeitung beteiligten Auftragsverarbeiter, insbesondere bei einer Verarbeitung innerhalb einer Gruppe von Unternehmen;

Referencing norms: ConsultationInformationComplete, ConsultationResponsibilitiesNotApplicable, ConsultationResponsibilitiesProvided

de · official · sha256:faecbae841759de633fd73af91086346274d4f76b9ba08f96dcdad7e6388b230DE

die Zwecke und die Mittel der beabsichtigten Verarbeitung;

Referencing norms: ConsultationInformationComplete

de · official · sha256:5e884c765ad71379fc931f98274f421d1d09277891b12a92c418edd92cde1899DE

die zum Schutz der Rechte und Freiheiten der betroffenen Personen gemäß dieser Verordnung vorgesehenen Maßnahmen und Garantien;

Referencing norms: ConsultationInformationComplete

de · official · sha256:b88568ce71c14cce0421ffd5cae05025603a9a33a6270a3bc28853eddf533045DE

gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

Referencing norms: ConsultationDpoContactNotApplicable, ConsultationDpoContactProvided, ConsultationInformationComplete

de · official · sha256:cda4bb8c07b0cf5c0a9dd29b6715409c40e714e15c28dc4d747aca7b7dea553eDE

die Datenschutz-Folgenabschätzung gemäß Artikel 35 und

Referencing norms: ConsultationInformationComplete

de · official · sha256:70738f8cee620065e7f9cae2884f1eb57532d2c6cc0663ef0eb7d5fc5249a29bDE

alle sonstigen von der Aufsichtsbehörde angeforderten Informationen.

Referencing norms: ConsultationInformationComplete, ConsultationNothingFurtherRequested, ConsultationOtherInformationProvided

de · official · sha256:2ceff45208f127b2c9748708de659a975e11f3dc1773bbc3cd45a21b4a4133e0DE

Der Verantwortliche stellt der Aufsichtsbehörde bei einer Konsultation gemäß Absatz 1 folgende Informationen zur Verfügung:

Referencing norms: ConsultationInformationComplete

de · official · sha256:07e98a90d60c7e6482aed17dfc22f1d8b266a5a408689b9f75e0a0d0e815cd20DE

Die Mitgliedstaaten konsultieren die Aufsichtsbehörde bei der Ausarbeitung eines Vorschlags für von einem nationalen Parlament zu erlassende Gesetzgebungsmaßnahmen oder von auf solchen Gesetzgebungsmaßnahmen basierenden Regelungsmaßnahmen, die die Verarbeitung betreffen.

de · official · sha256:7cb6154d60b54095b0fbce3e301103e7a279667ee562c9c069b708ac5a773366DE

Ungeachtet des Absatzes 1 können Verantwortliche durch das Recht der Mitgliedstaaten verpflichtet werden, bei der Verarbeitung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe, einschließlich der Verarbeitung zu Zwecken der sozialen Sicherheit und der öffentlichen Gesundheit, die Aufsichtsbehörde zu konsultieren und deren vorherige Genehmigung einzuholen.

Referencing norms: Article36ObtainPriorAuthorisationDuty, ObtainPriorAuthorisation

de · official · sha256:2012ead58a53dcbac26b3b86fa227e7c23f81d3942b9ffa72cba52a27c61813aDE

die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln,

Referencing norms: Article37ControllerPublicAuthority, Article37ControllerPublicAuthority/unless/0, Article37ProcessorPublicAuthority, Article37ProcessorPublicAuthority/unless/0

de · official · sha256:f794514760c3e7fe530338dff812af6d8ba9fc786390a15be604f8f877423c2aDE

die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder

Referencing norms: Article37ControllerMonitoring, Article37ProcessorMonitoring

de · official · sha256:df6fcaec067b519b3647d88c547d3bbb8df544ccf3fcafd57013758b97ffe747DE

die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.

Referencing norms: Article37ControllerSpecialCategories, Article37ProcessorSpecialCategories

de · official · sha256:08bce51c9332450ffd59b7eb7e33baf9329e144250d2fb8bec3948d7fd994b2dDE

Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn

Referencing norms: Article37ControllerDesignationDuty, Article37ProcessorDesignationDuty, ControllerHasDesignatedDpo, DesignateDpoController, DesignateDpoProcessor, DpoDesignatedByController, DpoDesignatedByProcessor, ProcessorHasDesignatedDpo

de · official · sha256:657ac436df465ad49bfb7d3f5e11908e84f4fec767e987b42d3c19fd72db4934DE

Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten ernennen, sofern von jeder Niederlassung aus der Datenschutzbeauftragte leicht erreicht werden kann.

Referencing norms: Article37SingleDpoForGroup

de · official · sha256:b470ad560dcb6f5016f77c5a454ca20e0e8c2fe19a8d6cb32d33f01b8ebf0542DE

Falls es sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde oder öffentliche Stelle handelt, kann für mehrere solcher Behörden oder Stellen unter Berücksichtigung ihrer Organisationsstruktur und ihrer Größe ein gemeinsamer Datenschutzbeauftragter benannt werden.

de · official · sha256:a9396c92859055f6ef69ddc9fc9a11cc03f6d42acc48c7d50b56c54e535d4c79DE

In anderen als den in Absatz 1 genannten Fällen können der Verantwortliche oder der Auftragsverarbeiter oder Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, einen Datenschutzbeauftragten benennen; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, müssen sie einen solchen benennen. Der Datenschutzbeauftragte kann für derartige Verbände und andere Vereinigungen, die Verantwortliche oder Auftragsverarbeiter vertreten, handeln.

Referencing norms: Article37ControllerRequiredByLaw, Article37ProcessorRequiredByLaw

de · official · sha256:157fb43fc26bea348c793f678262401ea4f3587a47578667bdc1b87bcf10c10cDE

Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben.

Referencing norms: Article37QualifiedDesignation

de · official · sha256:b948cbce3b5d14fa9f8c649f22f6366f5c5328bdf291ef7d68455b458a90e1fbDE

Der Datenschutzbeauftragte kann Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.

de · official · sha256:bb848051ab4393e7e41ffdde7efd01f16c15124a1533fc2b51287db1f4d38635DE

Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese Daten der Aufsichtsbehörde mit.

Referencing norms: Article37ControllerPublicationDuty, Article37ProcessorPublicationDuty, DpoContactDetailsPublishedAndCommunicated, PublishDpoContactDetailsController, PublishDpoContactDetailsProcessor

de · official · sha256:c207dbab7ec25e352a968b62b93fb6d0f3b91e8a08f85790419dad0c6eba274bDE

Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird.

Referencing norms: Article38ControllerInvolvementDuty, Article38InvolvementEnsured, Article38ProcessorInvolvementDuty, EnsureDpoInvolvementController, EnsureDpoInvolvementProcessor

de · official · sha256:2890fa37fd3159a15a9ce0e5da3d266b15a26193058137c5d921e33bdbddef14DE

Der Verantwortliche und der Auftragsverarbeiter unterstützen den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben gemäß Artikel 39, indem sie die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen und den Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen.

Referencing norms: Article38ControllerSupportDuty, Article38ProcessorSupportDuty, SupportDpoController, SupportDpoProcessor

de · official · sha256:bc3ea25fa5288d96b228c8d6de6346d92b86cce0c2a7091e15d9c2f7ecb403dbDE

Der Verantwortliche und der Auftragsverarbeiter stellen sicher, dass der Datenschutzbeauftragte bei der Erfüllung seiner Aufgaben keine Anweisungen bezüglich der Ausübung dieser Aufgaben erhält. Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden. Der Datenschutzbeauftragte berichtet unmittelbar der höchsten Managementebene des Verantwortlichen oder des Auftragsverarbeiters.

Referencing norms: Article38ControllerIndependencePosition, Article38DismissalInfringes, Article38InstructionsInfringe, Article38ProcessorIndependencePosition, Article38ReportingDuty, ImpairDpoIndependenceController, ImpairDpoIndependenceProcessor, ReportToHighestManagement

de · official · sha256:8003c2c722f9aa5cd32cbd0b8971460972a03d9924e7385ea5582ba26aea8885DE

Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß dieser Verordnung im Zusammenhang stehenden Fragen zu Rate ziehen.

Referencing norms: Article38DataSubjectMayContact, Article38DataSubjectMayContactProcessor

de · official · sha256:c4023e29744edc62dbd7c1e24fd6f7aaa381d6ae1b3e3a1750529a1374784784DE

Der Datenschutzbeauftragte ist nach dem Recht der Union oder der Mitgliedstaaten bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden.

Referencing norms: Article38SecrecyPosition, BreachDpoSecrecy

de · official · sha256:b2c9ef34550ed273252e6e7c85c1a86a19f6107a8d57e79272f544f8c15f9a62DE

Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen. Der Verantwortliche oder der Auftragsverarbeiter stellt sicher, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

Referencing norms: Article38ConflictOfInterests, Article38ProcessorConflictOfInterests

de · official · sha256:6755dd60346eb49ce6bfe85b46f2c8ad7b051757156db080dcf8cfd718d0c44aDE

Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten;

Referencing norms: Article39InformAndAdviseDuty, InformAndAdvise

de · official · sha256:437deabd0b7fb11e4f28273ebc7e9788209cade0a2e1f41e0387168697c0d519DE

Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;

Referencing norms: Article39MonitorComplianceDuty, MonitorCompliance

de · official · sha256:44c360e67ade3a0743791f295d6734ed39aad4b333837cb70293dd342392fb50DE

Beratung — auf Anfrage — im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 35;

Referencing norms: AdviseOnDpia, Article39AdviseOnDpiaDuty

de · official · sha256:d6a610703c7e8144f66f8c534a8d4f5ba944c6a7e5d1e75caaf10eb0fed1af57DE

Zusammenarbeit mit der Aufsichtsbehörde;

Referencing norms: Article39CooperateDuty, CooperateWithAuthority

de · official · sha256:6dd455860eb95461668e1d305cb65bce2f4ebbb612c42af2c35b4a20ba8ab2acDE

Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 36, und gegebenenfalls Beratung zu allen sonstigen Fragen.

Referencing norms: ActAsContactPoint, Article39ContactPointDuty

de · official · sha256:f2dad9adc0b2a519b7231f3c3c6dbd6ed385d815c8552b5d0c6e60773cd1e83eDE

Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben:

de · official · sha256:70b5eaa87c0ccb61fd9eb5ab6f41be94e8c1616506a1a3503a2437ef2dc188a3DE

Der Datenschutzbeauftragte trägt bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.

de · official · sha256:bca710c0c2f3320dbb8322968fd1f8b403f2b240308b27cc1106c768a862aba2DE

Die Kommission trägt dafür Sorge, dass die genehmigten Verhaltensregeln, denen gemäß Absatz 9 allgemeine Gültigkeit zuerkannt wurde, in geeigneter Weise veröffentlicht werden.

de · official · sha256:0bb8bde614ae8e23d9bb9183c8a367b7b622fc4ebf2b47b62b98c506771ccacfDE

Der Ausschuss nimmt alle genehmigten Verhaltensregeln bzw. deren genehmigte Änderungen oder Erweiterungen in ein Register auf und veröffentlicht sie in geeigneter Weise.

de · official · sha256:36f4a93a6e84a91476fc5e0f9b892e8c3d4e5ca355cd9f0e0d4eba31b0e019d7DE

Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern die Ausarbeitung von Verhaltensregeln, die nach Maßgabe der Besonderheiten der einzelnen Verarbeitungsbereiche und der besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zur ordnungsgemäßen Anwendung dieser Verordnung beitragen sollen.

de · official · sha256:a53b6ef399e484329d51681b8749795788cf7c3a1a79de7713cf040dce7ecd4fDE

faire und transparente Verarbeitung;

de · official · sha256:e7bf377891efd1999b0094dda90698b954bdf17b432624acd6adf889b11f95b6DE

die berechtigten Interessen des Verantwortlichen in bestimmten Zusammenhängen;

de · official · sha256:443749847e941cc4ebc79ffd5796a3273b5ce7068b888efb77c49388b1c05f97DE

Erhebung personenbezogener Daten;

de · official · sha256:43157b3faf0fa34eb9dfc233f23b50bafc4801c38f136df579a8071e20180dd7DE

Pseudonymisierung personenbezogener Daten;

de · official · sha256:8d23735bc4f31dfaf92a1167a0f6bafe40c0a95c757a4b522b0d476778695032DE

Unterrichtung der Öffentlichkeit und der betroffenen Personen;

de · official · sha256:78adce264f32533899130dc01d10b9dd8b7ecd73bd119fb693a100347a9c1552DE

Ausübung der Rechte betroffener Personen;

de · official · sha256:6aa663adfb1fa9fede93c51d623367e97ac6ce5c512fc3b0725e67af16bd5fa8DE

Unterrichtung und Schutz von Kindern und Art und Weise, in der die Einwilligung des Trägers der elterlichen Verantwortung für das Kind einzuholen ist;

de · official · sha256:84ab5b489af8eeb9ac4d78234bf2c729222dd2abfde0e87c22748cde1d977096DE

die Maßnahmen und Verfahren gemäß den Artikeln 24 und 25 und die Maßnahmen für die Sicherheit der Verarbeitung gemäß Artikel 32;

de · official · sha256:b37f53948622486d6057914e6a0ac130590591e580f993311d9ac7234ebbef51DE

die Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und die Benachrichtigung der betroffenen Person von solchen Verletzungen des Schutzes personenbezogener Daten;

de · official · sha256:3e3cc2ea8a7089f0348ef2572ff17d2cec92c28a311b4cf982f1f33ca387e207DE

die Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen oder

de · official · sha256:30c5b8152e0549b06caddd6646c2885586fa52df3a1c2050cdf2687e5ad58f47DE

außergerichtliche Verfahren und sonstige Streitbeilegungsverfahren zur Beilegung von Streitigkeiten zwischen Verantwortlichen und betroffenen Personen im Zusammenhang mit der Verarbeitung, unbeschadet der Rechte betroffener Personen gemäß den Artikeln 77 und 79.

de · official · sha256:596a0a1abd3b180abb2ce45b57af8ceb99ceb6100b110a125d0f4c250eccb7c7DE

Verbände und andere Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, können Verhaltensregeln ausarbeiten oder ändern oder erweitern, mit denen die Anwendung dieser Verordnung beispielsweise zu dem Folgenden präzisiert wird:

de · official · sha256:b8e83c735480cb5c2e8ac43e9f8153805b510d3f4a2d0e1264564d5106a9bb73DE

Zusätzlich zur Einhaltung durch die unter diese Verordnung fallenden Verantwortlichen oder Auftragsverarbeiter können Verhaltensregeln, die gemäß Absatz 5 des vorliegenden Artikels genehmigt wurden und gemäß Absatz 9 des vorliegenden Artikels allgemeine Gültigkeit besitzen, auch von Verantwortlichen oder Auftragsverarbeitern, die gemäß Artikel 3 nicht unter diese Verordnung fallen, eingehalten werden, um geeignete Garantien im Rahmen der Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen nach Maßgabe des Artikels 46 Absatz 2 Buchstabe e zu bieten. Diese Verantwortlichen oder Auftragsverarbeiter gehen mittels vertraglicher oder sonstiger rechtlich bindender Instrumente die verbindliche und durchsetzbare Verpflichtung ein, die geeigneten Garantien anzuwenden, auch im Hinblick auf die Rechte der betroffenen Personen.

de · official · sha256:dc8ec4cd39f1fbb95ccd6d5853d27369e3dc592d634420120cb8d229e7ce7a43DE

Die Verhaltensregeln gemäß Absatz 2 des vorliegenden Artikels müssen Verfahren vorsehen, die es der in Artikel 41 Absatz 1 genannten Stelle ermöglichen, die obligatorische Überwachung der Einhaltung ihrer Bestimmungen durch die Verantwortlichen oder die Auftragsverarbeiter, die sich zur Anwendung der Verhaltensregeln verpflichten, vorzunehmen, unbeschadet der Aufgaben und Befugnisse der Aufsichtsbehörde, die nach Artikel 55 oder 56 zuständig ist.

de · official · sha256:2b5b191bc09dbb71a7012bd6cd0c2a4a0277df4f6abae1389be2496cb5625d5bDE

Verbände und andere Vereinigungen gemäß Absatz 2 des vorliegenden Artikels, die beabsichtigen, Verhaltensregeln auszuarbeiten oder bestehende Verhaltensregeln zu ändern oder zu erweitern, legen den Entwurf der Verhaltensregeln bzw. den Entwurf zu deren Änderung oder Erweiterung der Aufsichtsbehörde vor, die nach Artikel 55 zuständig ist. Die Aufsichtsbehörde gibt eine Stellungnahme darüber ab, ob der Entwurf der Verhaltensregeln bzw. der Entwurf zu deren Änderung oder Erweiterung mit dieser Verordnung vereinbar ist und genehmigt diesen Entwurf der Verhaltensregeln bzw. den Entwurf zu deren Änderung oder Erweiterung, wenn sie der Auffassung ist, dass er ausreichende geeignete Garantien bietet.

Referencing norms: ApproveMultiStateCode, ApproveSingleStateCode, Article40ApproveMultiStateCodeDuty, Article40ApproveSingleStateCodeDuty

de · official · sha256:b092feeffaf3308c21c5b739f95b31f0975958b01eae6c85cc47184a4ac6bd51DE

Wird durch die Stellungnahme nach Absatz 5 der Entwurf der Verhaltensregeln bzw. der Entwurf zu deren Änderung oder Erweiterung genehmigt und beziehen sich die betreffenden Verhaltensregeln nicht auf Verarbeitungstätigkeiten in mehreren Mitgliedstaaten, so nimmt die Aufsichtsbehörde die Verhaltensregeln in ein Verzeichnis auf und veröffentlicht sie.

Referencing norms: Article40RegisterAndPublishDuty, RegisterAndPublishCode

de · official · sha256:c64c3e33ede8f55762933275ea035f8aafa5921cace048411ae09008e22d233aDE

Bezieht sich der Entwurf der Verhaltensregeln auf Verarbeitungstätigkeiten in mehreren Mitgliedstaaten, so legt die nach Artikel 55 zuständige Aufsichtsbehörde — bevor sie den Entwurf der Verhaltensregeln bzw. den Entwurf zu deren Änderung oder Erweiterung genehmigt — ihn nach dem Verfahren gemäß Artikel 63 dem Ausschuss vor, der zu der Frage Stellung nimmt, ob der Entwurf der Verhaltensregeln bzw. der Entwurf zu deren Änderung oder Erweiterung mit dieser Verordnung vereinbar ist oder — im Fall nach Absatz 3 dieses Artikels — geeignete Garantien vorsieht.

Referencing norms: ApproveMultiStateCode, Article40ApproveMultiStateCodeDuty, Article40SubmitToBoardDuty, SubmitDraftCodeToBoard

de · official · sha256:e0763383fbdfbf6fa317fbaf3b0174ef5a3b8ada6c7aa1042ec137c2c421db95DE

Wird durch die Stellungnahme nach Absatz 7 bestätigt, dass der Entwurf der Verhaltensregeln bzw. der Entwurf zu deren Änderung oder Erweiterung mit dieser Verordnung vereinbar ist oder — im Fall nach Absatz 3 — geeignete Garantien vorsieht, so übermittelt der Ausschuss seine Stellungnahme der Kommission.

de · official · sha256:d5ac633867512b55f21bb530a31d50730573744d9dd40abfd84391c7fe1a7ce9DE

Die Kommission kann im Wege von Durchführungsrechtsakten beschließen, dass die ihr gemäß Absatz 8 übermittelten genehmigten Verhaltensregeln bzw. deren genehmigte Änderung oder Erweiterung allgemeine Gültigkeit in der Union besitzen. Diese Durchführungsrechtsakte werden gemäß dem Prüfverfahren nach Artikel 93 Absatz 2 erlassen.

de · official · sha256:52f11e3d54c80cc55ffd77255bb3e02a0391b46d739ce28dd5580f51d21bb3dcDE

Unbeschadet der Aufgaben und Befugnisse der zuständigen Aufsichtsbehörde gemäß den Artikeln 57 und 58 kann die Überwachung der Einhaltung von Verhaltensregeln gemäß Artikel 40 von einer Stelle durchgeführt werden, die über das geeignete Fachwissen hinsichtlich des Gegenstands der Verhaltensregeln verfügt und die von der zuständigen Aufsichtsbehörde zu diesem Zweck akkreditiert wurde.

de · official · sha256:16f76f25ec4436058a9a96cd6bc9e41f781d12b814944ec758860bf0110f3ecaDE

ihre Unabhängigkeit und ihr Fachwissen hinsichtlich des Gegenstands der Verhaltensregeln zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen hat;

Referencing norms: Article41MonitoringBodyAccreditable

de · official · sha256:1b1c018f51be500da0d237465a1a6c6a588ce2c6317530d73c5d4ffa289fceeaDE

Verfahren festgelegt hat, die es ihr ermöglichen, zu bewerten, ob Verantwortliche und Auftragsverarbeiter die Verhaltensregeln anwenden können, die Einhaltung der Verhaltensregeln durch die Verantwortlichen und Auftragsverarbeiter zu überwachen und die Anwendung der Verhaltensregeln regelmäßig zu überprüfen;

Referencing norms: Article41MonitoringBodyAccreditable

de · official · sha256:3848e219d888da2022ca55683e273d37ff5c448d17835b22544d6ae97d2bde72DE

Verfahren und Strukturen festgelegt hat, mit denen sie Beschwerden über Verletzungen der Verhaltensregeln oder über die Art und Weise, in der die Verhaltensregeln von dem Verantwortlichen oder dem Auftragsverarbeiter angewendet werden oder wurden, nachgeht und diese Verfahren und Strukturen für betroffene Personen und die Öffentlichkeit transparent macht, und

Referencing norms: Article41MonitoringBodyAccreditable

de · official · sha256:1b7cd8d167c70f9de3a2cc8940d9a321156c0e394b54fd4997a446ff01a2ef48DE

zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen hat, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

Referencing norms: Article41MonitoringBodyAccreditable

de · official · sha256:68668348c5e68b06bf5c8f847c9af3f0ec73df23ce2b2b71f57c25dd4ca58210DE

Eine Stelle gemäß Absatz 1 kann zum Zwecke der Überwachung der Einhaltung von Verhaltensregeln akkreditiert werden, wenn sie

Referencing norms: Article41MonitoringBodyAccreditable

de · official · sha256:29ae93eb36f094cab356029d72b9670de1c4694983e6d09cedebc8767858f12dDE

Die zuständige Aufsichtsbehörde übermittelt den Entwurf der Anforderungen an die Akkreditierung einer Stelle nach Absatz 1 gemäß dem Kohärenzverfahren nach Artikel 63 an den Ausschuss.

de · official · sha256:52903b42c5ad8899b43092f452bcce69d480b3bc90916199a464826cfa2cb916DE

Unbeschadet der Aufgaben und Befugnisse der zuständigen Aufsichtsbehörde und der Bestimmungen des Kapitels VIII ergreift eine Stelle gemäß Absatz 1 vorbehaltlich geeigneter Garantien im Falle einer Verletzung der Verhaltensregeln durch einen Verantwortlichen oder einen Auftragsverarbeiter geeignete Maßnahmen, einschließlich eines vorläufigen oder endgültigen Ausschlusses des Verantwortlichen oder Auftragsverarbeiters von den Verhaltensregeln. Sie unterrichtet die zuständige Aufsichtsbehörde über solche Maßnahmen und deren Begründung.

Referencing norms: Article41ActionDuty, TakeActionOnInfringementOfCode

de · official · sha256:5d583cd17952c2de3c9bc53fc0f6ee2eb38ca84cc3401d5da3d9530fe1699975DE

Die zuständige Aufsichtsbehörde widerruft die Akkreditierung einer Stelle gemäß Absatz 1, wenn die Anforderungen an ihre Akkreditierung nicht oder nicht mehr erfüllt sind oder wenn die Stelle Maßnahmen ergreift, die nicht mit dieser Verordnung vereinbar sind.

Referencing norms: Article41RevocationDuty, Article41RevocationRequiredInfringement, Article41RevocationRequiredRequirements, RevokeMonitoringBodyAccreditation

de · official · sha256:a5faaa17acb9f55b50d27c3da89628faeaf4053799b9ad2548be63a4b4af624aDE

Dieser Artikel gilt nicht für die Verarbeitung durch Behörden oder öffentliche Stellen.

Referencing norms: Article41NotForPublicAuthorities, Article41NotForPublicAuthorities/unless/0, Article41NotForPublicAuthorities/unless/1

de · official · sha256:9276c89e772f0429c895c5cf78d37d1364645348ef682d1e5c77ce6955fb3d0fDE

Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern insbesondere auf Unionsebene die Einführung von datenschutzspezifischen Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen, die dazu dienen, nachzuweisen, dass diese Verordnung bei Verarbeitungsvorgängen von Verantwortlichen oder Auftragsverarbeitern eingehalten wird. Den besonderen Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen wird Rechnung getragen.

de · official · sha256:18ceaa5d4b74382315c0950a4f6bcec2c6f95f46f14f312b4e8279e020eaf973DE

Zusätzlich zur Einhaltung durch die unter diese Verordnung fallenden Verantwortlichen oder Auftragsverarbeiter können auch datenschutzspezifische Zertifizierungsverfahren, Siegel oder Prüfzeichen, die gemäß Absatz 5 des vorliegenden Artikels genehmigt worden sind, vorgesehen werden, um nachzuweisen, dass die Verantwortlichen oder Auftragsverarbeiter, die gemäß Artikel 3 nicht unter diese Verordnung fallen, im Rahmen der Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen nach Maßgabe von Artikel 46 Absatz 2 Buchstabe f geeignete Garantien bieten. Diese Verantwortlichen oder Auftragsverarbeiter gehen mittels vertraglicher oder sonstiger rechtlich bindender Instrumente die verbindliche und durchsetzbare Verpflichtung ein, diese geeigneten Garantien anzuwenden, auch im Hinblick auf die Rechte der betroffenen Personen.

de · official · sha256:a2a7a65e214fd72fc484fd38a7af882ffa2d9929eb1e4a6802e05146e4fd70bbDE

Die Zertifizierung muss freiwillig und über ein transparentes Verfahren zugänglich sein.

de · official · sha256:2e122ec10c6a01cc503d3192eb51684851d46eafa74846a75b57fa85c9f6dd9cDE

Eine Zertifizierung gemäß diesem Artikel mindert nicht die Verantwortung des Verantwortlichen oder des Auftragsverarbeiters für die Einhaltung dieser Verordnung und berührt nicht die Aufgaben und Befugnisse der Aufsichtsbehörden, die gemäß Artikel 55 oder 56 zuständig sind.

de · official · sha256:734f19dcdfbb23dc9d8b1ff90931af88bad551e9eb810d455248da2901708f22DE

Eine Zertifizierung nach diesem Artikel wird durch die Zertifizierungsstellen nach Artikel 43 oder durch die zuständige Aufsichtsbehörde anhand der von dieser zuständigen Aufsichtsbehörde gemäß Artikel 58 Absatz 3 oder — gemäß Artikel 63 — durch den Ausschuss genehmigten Kriterien erteilt. Werden die Kriterien vom Ausschuss genehmigt, kann dies zu einer gemeinsamen Zertifizierung, dem Europäischen Datenschutzsiegel, führen.

de · official · sha256:3241db00a38cf127852eee4696ec8da28c93c30b4e23a96f0df24c3ffb57c0d7DE

Der Verantwortliche oder der Auftragsverarbeiter, der die von ihm durchgeführte Verarbeitung dem Zertifizierungsverfahren unterwirft, stellt der Zertifizierungsstelle nach Artikel 43 oder gegebenenfalls der zuständigen Aufsichtsbehörde alle für die Durchführung des Zertifizierungsverfahrens erforderlichen Informationen zur Verfügung und gewährt ihr den in diesem Zusammenhang erforderlichen Zugang zu seinen Verarbeitungstätigkeiten.

de · official · sha256:5734b7103473a37c6521cf0ac3082c0b4b41bc64d67c78377afe48bdb8d1ce79DE

Die Zertifizierung wird einem Verantwortlichen oder einem Auftragsverarbeiter für eine Höchstdauer von drei Jahren erteilt und kann unter denselben Bedingungen verlängert werden, sofern die einschlägigen Kriterien weiterhin erfüllt werden. Die Zertifizierung wird gegebenenfalls durch die Zertifizierungsstellen nach Artikel 43 oder durch die zuständige Aufsichtsbehörde widerrufen, wenn die Kriterien für die Zertifizierung nicht oder nicht mehr erfüllt werden.

Referencing norms: Article42PeriodExceedsMaximum, Article42PeriodWithinMaximum, Article42WithdrawalDuty, WithdrawCertification

de · official · sha256:3548f95f5bb875f083fb3934aee65136d074d8cb26f3989178ee26341b229a04DE

Der Ausschuss nimmt alle Zertifizierungsverfahren und Datenschutzsiegel und -prüfzeichen in ein Register auf und veröffentlicht sie in geeigneter Weise.

de · official · sha256:f1808dab86e039d595219186bb19c3bb5b5f579b15357a5db0cae0194451e167DE

der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde;

de · official · sha256:6121de5710cb18e59bdc9ded3ac7e57b6e8246de5f8464410e7a769519918939DE

der nationalen Akkreditierungsstelle, die gemäß der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates ( 2 ) im Einklang mit EN-ISO/IEC 17065/2012 und mit den zusätzlichen von der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde festgelegten Anforderungen benannt wurde.

de · official · sha256:ef65a24b159b780d2ce24958487a653762b4e4e037f22cb8857f9aa143ef15faDE

Unbeschadet der Aufgaben und Befugnisse der zuständigen Aufsichtsbehörde gemäß den Artikeln 57 und 58 erteilen oder verlängern Zertifizierungsstellen, die über das geeignete Fachwissen hinsichtlich des Datenschutzes verfügen, nach Unterrichtung der Aufsichtsbehörde — damit diese erforderlichenfalls von ihren Befugnissen gemäß Artikel 58 Absatz 2 Buchstabe h Gebrauch machen kann — die Zertifizierung. Die Mitgliedstaaten stellen sicher, dass diese Zertifizierungsstellen von einer oder beiden der folgenden Stellen akkreditiert werden:

de · official · sha256:ff67adf7befbea6c0aceefe5f804be4948e7bf45bcdb24858d3f562b89abbc86DE

ihre Unabhängigkeit und ihr Fachwissen hinsichtlich des Gegenstands der Zertifizierung zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen haben;

Referencing norms: Article43CertificationBodyAccreditable

de · official · sha256:6a3fe698fe0e199066375e7d6ec4029d2011625f69a8790f3dafc981f2af030aDE

sich verpflichtet haben, die Kriterien nach Artikel 42 Absatz 5, die von der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde oder — gemäß Artikel 63 — von dem Ausschuss genehmigt wurden, einzuhalten;

Referencing norms: Article43CertificationBodyAccreditable

de · official · sha256:1610de3f98823daa853670a54a82fb5d8a2b798bb7d351e35410b8813cff875dDE

Verfahren für die Erteilung, die regelmäßige Überprüfung und den Widerruf der Datenschutzzertifizierung sowie der Datenschutzsiegel und -prüfzeichen festgelegt haben;

Referencing norms: Article43CertificationBodyAccreditable

de · official · sha256:954e49703f24c6c3cdcbbdff2dad9bd691d729b021f79cf5179072c6d4a15705DE

Verfahren und Strukturen festgelegt haben, mit denen sie Beschwerden über Verletzungen der Zertifizierung oder die Art und Weise, in der die Zertifizierung von dem Verantwortlichen oder dem Auftragsverarbeiter umgesetzt wird oder wurde, nachgehen und diese Verfahren und Strukturen für betroffene Personen und die Öffentlichkeit transparent machen, und

Referencing norms: Article43CertificationBodyAccreditable

de · official · sha256:3aedc08063a9c4d7c4ab3f85250369b43e9f27c33ae6b5a60eca113fdbf67f0cDE

zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen haben, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

Referencing norms: Article43CertificationBodyAccreditable

de · official · sha256:67f0dfdf6bf51f3f3b58157a8722e67a1b55cd0dc6e7411e49a638b1f2f3b490DE

Zertifizierungsstellen nach Absatz 1 dürfen nur dann gemäß dem genannten Absatz akkreditiert werden, wenn sie

Referencing norms: Article43CertificationBodyAccreditable

de · official · sha256:9921f5400f3a921e92bc3ce8fa60ca6ce99abfda83731fc25341f53034c578caDE

Die Akkreditierung von Zertifizierungsstellen nach den Absätzen 1 und 2 erfolgt anhand der Anforderungen, die von der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde oder — gemäß Artikel 63 — von dem Ausschuss genehmigt wurden. Im Fall einer Akkreditierung nach Absatz 1 Buchstabe b des vorliegenden Artikels ergänzen diese Anforderungen diejenigen, die in der Verordnung (EG) Nr. 765/2008 und in den technischen Vorschriften, in denen die Methoden und Verfahren der Zertifizierungsstellen beschrieben werden, vorgesehen sind.

de · official · sha256:ffbf70a23b6c9a2b6e240e498f419f907cd086f3310ca29dc3d99d4a399af870DE

Die Zertifizierungsstellen nach Absatz 1 sind unbeschadet der Verantwortung, die der Verantwortliche oder der Auftragsverarbeiter für die Einhaltung dieser Verordnung hat, für die angemessene Bewertung, die der Zertifizierung oder dem Widerruf einer Zertifizierung zugrunde liegt, verantwortlich. Die Akkreditierung wird für eine Höchstdauer von fünf Jahren erteilt und kann unter denselben Bedingungen verlängert werden, sofern die Zertifizierungsstelle die Anforderungen dieses Artikels erfüllt.

Referencing norms: Article43AccreditationExceedsMaximum, Article43AccreditationWithinMaximum

de · official · sha256:55f5c3dea6f2ebbd6ea40dd6814a50d492fdfbae7b943dc75075f83123763802DE

Die Zertifizierungsstellen nach Absatz 1 teilen den zuständigen Aufsichtsbehörden die Gründe für die Erteilung oder den Widerruf der beantragten Zertifizierung mit.

Referencing norms: Article43ReasonsDuty, ProvideReasonsForCertificationDecision

de · official · sha256:73467b1fb966deed44d82cd6ab157f860fa7ce721da7775ece9dc9acd90506c7DE

Die Anforderungen nach Absatz 3 des vorliegenden Artikels und die Kriterien nach Artikel 42 Absatz 5 werden von der Aufsichtsbehörde in leicht zugänglicher Form veröffentlicht. Die Aufsichtsbehörden übermitteln diese Anforderungen und Kriterien auch dem Ausschuss.

de · official · sha256:1f05927a6c67b3e5bee06c2f32e40f911282cc547dc477aafc3e646eb04ed208DE

Unbeschadet des Kapitels VIII widerruft die zuständige Aufsichtsbehörde oder die nationale Akkreditierungsstelle die Akkreditierung einer Zertifizierungsstelle nach Absatz 1, wenn die Voraussetzungen für die Akkreditierung nicht oder nicht mehr erfüllt sind oder wenn eine Zertifizierungsstelle Maßnahmen ergreift, die nicht mit dieser Verordnung vereinbar sind.

Referencing norms: Article43RevocationDuty, Article43RevocationRequiredConditions, Article43RevocationRequiredInfringement, RevokeCertificationBodyAccreditation

de · official · sha256:4fc1d0ad7b8b62d96fc2723ec443d974559dfdf9ff8b9871244ed150480ee880DE

Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zu erlassen, um die Anforderungen festzulegen, die für die in Artikel 42 Absatz 1 genannten datenschutzspezifischen Zertifizierungsverfahren zu berücksichtigen sind.

de · official · sha256:363ab32768b3e9d762912c65ccb8edba5bf37a1356c78640463c1b5c2ec5bfa3DE

Die Kommission kann Durchführungsrechtsakte erlassen, mit denen technische Standards für Zertifizierungsverfahren und Datenschutzsiegel und -prüfzeichen sowie Mechanismen zur Förderung und Anerkennung dieser Zertifizierungsverfahren und Datenschutzsiegel und -prüfzeichen festgelegt werden. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 93 Absatz 2 genannten Prüfverfahren erlassen.

en · official · sha256:4ab0b5c456120cbbc85a045342d7eb9d850db264e4e747af4f882b8fa7513c9d

Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.

Referencing norms: AppropriateMeasuresInPlace, Article24MeasuresDuty, Article24ReviewDuty, ImplementAppropriateMeasures, ReviewAndUpdateMeasures

en · official · sha256:676aa17dab599985de0a70891710e1088abb331979f40c8eb87a2e9f299004c3

Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.

Referencing norms: Article24PoliciesDuty, ImplementDataProtectionPolicies

en · official · sha256:d9dfdde779d72610d4d91a0a740a06fbcffae8e1ec608c4f8e49365fa6f46d31

Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.

Referencing norms: Article24CertificationAsElement, Article24CodeAsElement

en · official · sha256:e6fa8bd9e008b448d4904925e75fb86d9aa6ebecc87394c917f6967d2d03979f

Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.

Referencing norms: Article25ByDesignDuty, ByDesignMeasuresInPlace, ImplementDataProtectionByDesign

en · official · sha256:12c47261bb24c90d60d0d0176b65a176b96527bdc68d4f7c0fafff18413ea854

The controller shall implement appropriate technical and organisational measures for ensuring that, by default, only personal data which are necessary for each specific purpose of the processing are processed. That obligation applies to the amount of personal data collected, the extent of their processing, the period of their storage and their accessibility. In particular, such measures shall ensure that by default personal data are not made accessible without the individual's intervention to an indefinite number of natural persons.

Referencing norms: Article25ByDefaultDuty, Article25IndefiniteAccessibilityInfringes, Article25IndefiniteAccessibilityPosition, ByDefaultMeasuresInPlace, ImplementDataProtectionByDefault, MakeDataAccessibleByDefaultToIndefiniteNumber

en · official · sha256:f45fd82e51ac20218969bfab9500be2977c4f59731c4a461c93e7b8d9776d030

An approved certification mechanism pursuant to Article 42 may be used as an element to demonstrate compliance with the requirements set out in paragraphs 1 and 2 of this Article.

Referencing norms: Article25CertificationAsElement

en · official · sha256:e3d4b6a3ad9646421e70fc781c34f7388b32da5a5ca796fef7e3ed8e04052cdc

Where two or more controllers jointly determine the purposes and means of processing, they shall be joint controllers. They shall in a transparent manner determine their respective responsibilities for compliance with the obligations under this Regulation, in particular as regards the exercising of the rights of the data subject and their respective duties to provide the information referred to in Articles 13 and 14, by means of an arrangement between them unless, and in so far as, the respective responsibilities of the controllers are determined by Union or Member State law to which the controllers are subject. The arrangement may designate a contact point for data subjects.

Referencing norms: Article26ArrangementDuty, Article26ArrangementDuty/unless/0, DetermineJointResponsibilities, JointArrangementInPlace, JointControllers, JointControllersSymmetric

en · official · sha256:40d092dd54f484370eb4360920071cd93da4401f4ae0ae0a006c86904b0ddee4

The arrangement referred to in paragraph 1 shall duly reflect the respective roles and relationships of the joint controllers vis-à-vis the data subjects. The essence of the arrangement shall be made available to the data subject.

Referencing norms: Article26EssenceAvailableDuty, JointArrangementInPlace, MakeEssenceOfArrangementAvailable

en · official · sha256:8684e3171cb9ea15f2851137c1cdef3b762148fb3f5ab2a6e1ac21a82972d8e4

Irrespective of the terms of the arrangement referred to in paragraph 1, the data subject may exercise his or her rights under this Regulation in respect of and against each of the controllers.

Referencing norms: Article26RightsAgainstEachController

en · official · sha256:14dbff28d90e70d8b21c8c84c02980de2c22c15fc25e2b6cb4c0ec3c1a8e6cc9

Where Article 3(2) applies, the controller or the processor shall designate in writing a representative in the Union.

Referencing norms: Article27ControllerDesignationDuty, Article27ControllerDesignationDuty/unless/0, Article27ControllerDesignationDuty/unless/1, Article27ProcessorDesignationDuty, Article27ProcessorDesignationDuty/unless/0, Article27ProcessorDesignationDuty/unless/1, Article3_2AppliesMonitoring, Article3_2AppliesOffering, ControllerHasRepresentative, DesignateRepresentativeController, DesignateRepresentativeProcessor, ProcessorHasRepresentative

en · official · sha256:12ed8208b1308637ccfe2db3edd423d9bf06fe73cbdfa7eddff1cfdac620180c

The obligation laid down in paragraph 1 of this Article shall not apply to:

en · official · sha256:85ffd8b3eaea324749e1a188af5726136f5d293140787618f7626112d0233d74

processing which is occasional, does not include, on a large scale, processing of special categories of data as referred to in Article 9(1) or processing of personal data relating to criminal convictions and offences referred to in Article 10, and is unlikely to result in a risk to the rights and freedoms of natural persons, taking into account the nature, context, scope and purposes of the processing; or

Referencing norms: Article27ExceptionOccasionalLowRisk, Article27ExceptionOccasionalLowRisk/unless/0

en · official · sha256:7387d48f3377e0215aa1100f2dd5032cca597c20d1bb0808ad9d2ef1b47c8552

a public authority or body.

Referencing norms: Article27ExceptionControllerPublicAuthority, Article27ExceptionProcessorPublicAuthority

en · official · sha256:bdc62b8d374c15daa82a202230617d364c76b0295d8f7577bd20f1b2779cf79f

The representative shall be established in one of the Member States where the data subjects, whose personal data are processed in relation to the offering of goods or services to them, or whose behaviour is monitored, are.

Referencing norms: Article27RepresentativeEstablishment

en · official · sha256:fa5365b67408205fee786dbe69e71649492bcdee9ee829e9e38f4ec14be06ce1

The representative shall be mandated by the controller or processor to be addressed in addition to or instead of the controller or the processor by, in particular, supervisory authorities and data subjects, on all issues related to processing, for the purposes of ensuring compliance with this Regulation.

en · official · sha256:edd6df9eb42b4359f81db4188d0a6c9104f9574c4ab3e792fc2622739706f061

The designation of a representative by the controller or processor shall be without prejudice to legal actions which could be initiated against the controller or the processor themselves.

en · official · sha256:d73d3a7ad4f880acf5c13543bbf2b6f5d823733d87b3982803ec63547671b9cb

Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.

Referencing norms: Article28ProcessorSelectionCompliant

en · official · sha256:b08b01e6c9b13815f19dbfdde408308ac6983d296ddcc5232f56fea1a92afa57

Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.

Referencing norms: Article28ProcessorConsideredController

en · official · sha256:34a7455057ae8c8c63cedd7e9a92eb0280a7b92e57c77ad07c657bc57b7958b0

The processor shall not engage another processor without prior specific or general written authorisation of the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.

Referencing norms: Article28GeneralAuthorisationInformDuty, Article28SubprocessorPosition, Article28SubprocessorWithoutAuthorisation, Article28SubprocessorWithoutAuthorisation/unless/0, Article28SubprocessorWithoutAuthorisation/unless/1, EngageSubprocessorWithoutAuthorisation, InformControllerOfIntendedChange

en · official · sha256:a5772e1c4c0a15485df9f6469ebcb087b10032aa8aa647b338f2b3defef14135

Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject-matter and duration of the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:

Referencing norms: Article28ContractComplete, Article28ContractDuty, Article28ContractElementMissing, Article28ContractElementMissing/unless/0, GovernProcessingByContract, OperationGovernedByCompliantContract, RequiredNatureAndPurpose, RequiredObligationsAndRights, RequiredSubjectMatterAndDuration, RequiredTypeOfDataAndCategories

en · official · sha256:f3b3250ae0e500e83d6328c0b5125e6b1196df33dc885a3fd160f74540f4ac02

processes the personal data only on documented instructions from the controller, including with regard to transfers of personal data to a third country or an international organisation, unless required to do so by Union or Member State law to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest;

Referencing norms: RequiredDocumentedInstructions

en · official · sha256:110bb43468f68ad3090a803f39737fd397a846e4bf2b64ea390e462721a4e302

ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;

Referencing norms: RequiredConfidentiality

en · official · sha256:bc2b08fb86593210e82d7cf9e415fa78ad0a4204f491543ee95d0f8bee97bb23

takes all measures required pursuant to Article 32;

Referencing norms: RequiredSecurityMeasures

en · official · sha256:bb4b263dfd92084eedec7f4f97477f799c6039cd4a975ee6264e67d0d9a53447

respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;

Referencing norms: RequiredSubProcessorConditions

en · official · sha256:a71a0dbf378469721281169b88770b4fde3e756b48961a4ff8322f23ad7c6874

taking into account the nature of the processing, assists the controller by appropriate technical and organisational measures, insofar as this is possible, for the fulfilment of the controller's obligation to respond to requests for exercising the data subject's rights laid down in Chapter III;

Referencing norms: RequiredAssistanceWithDataSubjectRequests

en · official · sha256:dddab73275705bb4c4f5251b11c564fe9e4902924b222779c014ab856d0361a9

assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36 taking into account the nature of processing and the information available to the processor;

Referencing norms: RequiredAssistanceWithArticles32To36

en · official · sha256:2e82fe9568927821a3ee9bdfd6488a9487dacb276aa6de13a4f0a0c3c8e4a972

at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union or Member State law requires storage of the personal data;

Referencing norms: RequiredDeletionOrReturn

en · official · sha256:823f2122c1ecb20657f166e147c55cff4ebe8118f0fa9bb8ee660e38df87c606

makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller.

Referencing norms: RequiredInformationAndAudits

en · official · sha256:b127b7072267928e1adad375130f1e454b93518f1a0f76a64d269f0be1fbe24f

With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.

Referencing norms: Article28InformOfInfringingInstructionDuty, InformControllerOfInfringingInstruction, RequiredInformationAndAudits

en · official · sha256:026ee52a77243bbc84538a0fe43008c4b89a8382de248ee50b8c2a2837a1539e

Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, the same data protection obligations as set out in the contract or other legal act between the controller and the processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain fully liable to the controller for the performance of that other processor's obligations.

Referencing norms: Article28ImposeSameObligationsDuty, Article28InitialProcessorLiable, ImposeSameObligationsOnOtherProcessor

en · official · sha256:b39f5c163388da3e3c98012552d325ed2cb042a5856cde04b73a8efd1141dc07

Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs 1 and 4 of this Article.

Referencing norms: Article28AdherenceAsElement

en · official · sha256:8a071229a18c3cde01fd1572348c77f4096695d67805431bf48e45a6ab9a8971

Without prejudice to an individual contract between the controller and the processor, the contract or the other legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the controller or processor pursuant to Articles 42 and 43.

en · official · sha256:7caa5dce15aad1052782024ef6e2234a442b8ce8b53b963d60fbf88a03febccd

The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the examination procedure referred to in Article 93(2).

en · official · sha256:9c7e8d4759b8ccb73c3cc572e79d5ff4ee48d3f79f870e6031540f04b55adb24

A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the consistency mechanism referred to in Article 63.

en · official · sha256:0bf546ca08948921745e4e56331aeef6cfaa342d74c6483b012f1b68ae3f43ca

The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.

Referencing norms: Article28ContractComplete

en · official · sha256:ceda1cdc301b9cc2cdd95d5e1db6e18196f61c2430307f0d5280e1abffb754c3

The processor and any person acting under the authority of the controller or of the processor, who has access to personal data, shall not process those data except on instructions from the controller, unless required to do so by Union or Member State law.

Referencing norms: Article29InstructionsPosition, Article29ProcessingWithoutInstructions, Article29ProcessingWithoutInstructions/unless/0, ProcessOnlyOnInstructions

en · official · sha256:a6474714050a640ad3bee4cf2e4dfb4da4b737fa7a42bea1fe16c05d8f319526

Each controller and, where applicable, the controller's representative, shall maintain a record of processing activities under its responsibility. That record shall contain all of the following information:

Referencing norms: Article30ControllerRecordDuty, Article30ControllerRecordDuty/unless/0, ControllerRecordContentComplete, MaintainRecordOfProcessingController, RecordMaintainedInCompliance

en · official · sha256:db5ac062e874d51862d337c1f93bf034d394fd193179f77caae0382191116441

the name and contact details of the controller and, where applicable, the joint controller, the controller's representative and the data protection officer;

Referencing norms: ControllerRecordContentComplete

en · official · sha256:7832f11882758048f582cc8403b9eb5eab6ddf38d420895ec6188ae34de8eeb8

the purposes of the processing;

Referencing norms: ControllerRecordContentComplete

en · official · sha256:75969e9ea6d55afb89ecd75cd699c5c63139d20d67c3616176b1b6151c6ee467

a description of the categories of data subjects and of the categories of personal data;

Referencing norms: ControllerRecordContentComplete

en · official · sha256:5c62ed6bc47c0189c90578c3b6f5b6914b18c2b7b5e30f5335a395b0e5eccb0a

the categories of recipients to whom the personal data have been or will be disclosed including recipients in third countries or international organisations;

Referencing norms: ControllerRecordContentComplete

en · official · sha256:c0519cc5c17994ed3b0f45c468275901debfc60dd578464b64e101744ff84489

where applicable, transfers of personal data to a third country or an international organisation, including the identification of that third country or international organisation and, in the case of transfers referred to in the second subparagraph of Article 49(1), the documentation of suitable safeguards;

Referencing norms: RecordTransfersEntered, RecordTransfersNotApplicable

en · official · sha256:8b6a4d0b31e118955cd916cb015872b6687485c168354af8904c210593261269

where possible, the envisaged time limits for erasure of the different categories of data;

Referencing norms: RecordErasureLimitsEntered, RecordErasureLimitsNotPossible

en · official · sha256:f78016f7a66079836d8b7f2fec1cef00836f2f8d06cdb5d640cca8fed7de84f8

where possible, a general description of the technical and organisational security measures referred to in Article 32(1).

Referencing norms: RecordSecurityDescriptionEntered, RecordSecurityDescriptionNotPossible

en · official · sha256:6009e306d115f5e04e25bc9feafe694db3376566ff369a6b3b673ca22799291e

Each processor and, where applicable, the processor's representative shall maintain a record of all categories of processing activities carried out on behalf of a controller, containing:

Referencing norms: Article30ProcessorRecordDuty, Article30ProcessorRecordDuty/unless/0, MaintainRecordOfProcessingProcessor, ProcessorRecordContentComplete, ProcessorRecordMaintainedInCompliance

en · official · sha256:cfa3e517b0616b706d52a8ed829e42e6f67decb180622ff810afb7ad5213c81c

the name and contact details of the processor or processors and of each controller on behalf of which the processor is acting, and, where applicable, of the controller's or the processor's representative, and the data protection officer;

Referencing norms: ProcessorRecordContentComplete

en · official · sha256:a077eced1da7840c22de48938c8006a8939860d06ddb3968bc1b6760920d9cff

the categories of processing carried out on behalf of each controller;

Referencing norms: ProcessorRecordContentComplete

en · official · sha256:c0519cc5c17994ed3b0f45c468275901debfc60dd578464b64e101744ff84489

where applicable, transfers of personal data to a third country or an international organisation, including the identification of that third country or international organisation and, in the case of transfers referred to in the second subparagraph of Article 49(1), the documentation of suitable safeguards;

Referencing norms: ProcessorRecordTransfersEntered, ProcessorRecordTransfersNotApplicable

en · official · sha256:f78016f7a66079836d8b7f2fec1cef00836f2f8d06cdb5d640cca8fed7de84f8

where possible, a general description of the technical and organisational security measures referred to in Article 32(1).

Referencing norms: ProcessorRecordSecurityDescriptionEntered, ProcessorRecordSecurityDescriptionNotPossible

en · official · sha256:461198defe235414c94a8bb2e07001bb565b2c973ff3a6a35c77ab53abc6cfc6

The records referred to in paragraphs 1 and 2 shall be in writing, including in electronic form.

Referencing norms: ProcessorRecordMaintainedInCompliance, RecordMaintainedInCompliance

en · official · sha256:8bff423e260b732094f2d789af846fc09773e5a5c6850ee998c5e252db2ab1b1

The controller or the processor and, where applicable, the controller's or the processor's representative, shall make the record available to the supervisory authority on request.

Referencing norms: Article30ControllerAvailabilityDuty, Article30ProcessorAvailabilityDuty, MakeRecordAvailableController, MakeRecordAvailableProcessor

en · official · sha256:946948d42f6d72745195157793aaca6b45a7a779d4522010d4ed7cfb53108c79

The obligations referred to in paragraphs 1 and 2 shall not apply to an enterprise or an organisation employing fewer than 250 persons unless the processing it carries out is likely to result in a risk to the rights and freedoms of data subjects, the processing is not occasional, or the processing includes special categories of data as referred to in Article 9(1) or personal data relating to criminal convictions and offences referred to in Article 10.

Referencing norms: Article30SmallControllerException, Article30SmallControllerException/unless/0, Article30SmallControllerException/unless/1, Article30SmallProcessorException, Article30SmallProcessorException/unless/0, Article30SmallProcessorException/unless/1

en · official · sha256:33aa59cd77f697ca2b2fa320e34ec987427f697de0555ac9dfbcd80774f39495

The controller and the processor and, where applicable, their representatives, shall cooperate, on request, with the supervisory authority in the performance of its tasks.

Referencing norms: Article31ControllerCooperationDuty, Article31ProcessorCooperationDuty, CooperateWithAuthorityController, CooperateWithAuthorityProcessor

en · official · sha256:b5840ab7f612480755bbb198a17d1f209127610de50480b0978fc972dee3a865

Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate:

Referencing norms: AppropriateSecurityInPlace, Article32ControllerSecurityDuty, Article32ProcessorSecurityDuty, ImplementSecurityMeasuresController, ImplementSecurityMeasuresProcessor

en · official · sha256:a4b8f3626b1e9418948446119288c050867e262594c3b2e926469eeda12caedd

the pseudonymisation and encryption of personal data;

en · official · sha256:a3b601b38a57b1fffd75ef98590482266094bfd705b52d1bb9d19f04579efb0b

the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;

en · official · sha256:e383cea226597f360cd939a0ef776063ca1e804b242f473544c921fffb3e7f61

the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;

en · official · sha256:77e4377eac12fb4fe468e66b8e682aec6362ac2b89823bad15d734aedc2a207c

a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.

en · official · sha256:d307782543b8a577f35f25bceb86396742fe218736fbc122d37a40a24169a9af

In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed.

en · official · sha256:26740d68cc83dc128f559fdafd5117dc6f4ae010977503396d6b01197a2ecba9

Adherence to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate compliance with the requirements set out in paragraph 1 of this Article.

Referencing norms: Article32CertificationAsElement, Article32CodeAsElement

en · official · sha256:b4eb199a1981e55f124df9ce2620678f7d2bdec0c7fef3550f101091ed55b2be

The controller and processor shall take steps to ensure that any natural person acting under the authority of the controller or the processor who has access to personal data does not process them except on instructions from the controller, unless he or she is required to do so by Union or Member State law.

Referencing norms: Article32ControllerInstructionStepsDuty, Article32ProcessorInstructionStepsDuty, TakeStepsOnInstructionsController, TakeStepsOnInstructionsProcessor

en · official · sha256:8bf5d2d1042a9e2b3d061189fe1ae63795027c4a4c099eaee60f6942d41fb74f

Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall, prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of personal data. A single assessment may address a set of similar processing operations that present similar high risks.

Referencing norms: Article35CarryOutDpiaDuty, Article35CarryOutDpiaDuty/unless/0, CarryOutDpia, DpiaCompliant, DpiaRequiredHighRisk

en · official · sha256:38f0633ac3fd9d0aa391551cd6ffcc48ae679bccdf7c794144af062341d58a85

Where processing pursuant to point (c) or (e) of Article 6(1) has a legal basis in Union law or in the law of the Member State to which the controller is subject, that law regulates the specific processing operation or set of operations in question, and a data protection impact assessment has already been carried out as part of a general impact assessment in the context of the adoption of that legal basis, paragraphs 1 to 7 shall not apply unless Member States deem it to be necessary to carry out such an assessment prior to processing activities.

Referencing norms: DpiaExemptGeneralAssessmentOfLegalBasis, DpiaExemptGeneralAssessmentOfLegalBasis/unless/0

en · official · sha256:cf1e4c40ef5083d35242f540be5c68b5565145d1ea970540d76a684c3657850c

Where necessary, the controller shall carry out a review to assess if processing is performed in accordance with the data protection impact assessment at least when there is a change of the risk represented by processing operations.

Referencing norms: Article35ReviewDuty, ReviewDpiaOnChangeOfRisk

en · official · sha256:d65f391cfe4f4159883a211594774f386c105d08deac35b43f2e0b777fddc47b

The controller shall seek the advice of the data protection officer, where designated, when carrying out a data protection impact assessment.

Referencing norms: Article35SeekDpoAdviceDuty, Article35SeekDpoAdviceDuty/unless/0, SeekDpoAdviceInDpia

en · official · sha256:6601a1abf259af7e07e86d41279cdaa1b8e0918959ffa84e01fccdd4e41bb487

A data protection impact assessment referred to in paragraph 1 shall in particular be required in the case of:

en · official · sha256:c21101f268b3a20d3863261882b9a6f6cc9ec357a3888db04395adac70633d6c

a systematic and extensive evaluation of personal aspects relating to natural persons which is based on automated processing, including profiling, and on which decisions are based that produce legal effects concerning the natural person or similarly significantly affect the natural person;

Referencing norms: DpiaRequiredSystematicEvaluation

en · official · sha256:f02fbaa7fc882f6f233cb8f341774b7aa54eacf4fe4aa2166a47b9e2832cf751

processing on a large scale of special categories of data referred to in Article 9(1), or of personal data relating to criminal convictions and offences referred to in Article 10; or

Referencing norms: DpiaRequiredLargeScaleSpecialCategories

en · official · sha256:68b23cbc1ef289a71d78f05a45de6d1c1d5d1727e574a4264fd2e84bb019421e

a systematic monitoring of a publicly accessible area on a large scale.

Referencing norms: DpiaRequiredPublicAreaMonitoring

en · official · sha256:2f3e3b5d98591e96dd88224d2f8532669b158aaee8ede67752fb8a525e5c9bc5

The supervisory authority shall establish and make public a list of the kind of processing operations which are subject to the requirement for a data protection impact assessment pursuant to paragraph 1. The supervisory authority shall communicate those lists to the Board referred to in Article 68.

Referencing norms: Article35CommunicateListDuty, Article35EstablishListDuty, CommunicateDpiaListToBoard, DpiaRequiredListedKind, EstablishDpiaList

en · official · sha256:9ecc5c9e8980a4d8f10cb68412c6b5b33ad7428d00af06feb34c77a0956cdb16

The supervisory authority may also establish and make public a list of the kind of processing operations for which no data protection impact assessment is required. The supervisory authority shall communicate those lists to the Board.

Referencing norms: DpiaExemptListedKind

en · official · sha256:c393e9ebbfb1e812100dab4ad5ba2373676793f27c46a7e1abb6e1c3bcbc5363

Prior to the adoption of the lists referred to in paragraphs 4 and 5, the competent supervisory authority shall apply the consistency mechanism referred to in Article 63 where such lists involve processing activities which are related to the offering of goods or services to data subjects or to the monitoring of their behaviour in several Member States, or may substantially affect the free movement of personal data within the Union.

en · official · sha256:9f85f72c58eeaa13b02d4fba1db49c9217777524acfe45a4a97c2eac53d42615

The assessment shall contain at least:

Referencing norms: DpiaCompliant, DpiaContentComplete

en · official · sha256:b1f4d61b098464812a923c9afd993ec7023b9be703d805e4b0471b9c1710bac5

a systematic description of the envisaged processing operations and the purposes of the processing, including, where applicable, the legitimate interest pursued by the controller;

Referencing norms: DpiaContentComplete

en · official · sha256:729b71c708cc67f652adb36633fecd07093717a74fc979f099915ceac9915352

an assessment of the necessity and proportionality of the processing operations in relation to the purposes;

Referencing norms: DpiaContentComplete

en · official · sha256:f8f93f20b4d4481926ffbaa365edcfe03bf94fb82aea4440a773ef0304b175be

an assessment of the risks to the rights and freedoms of data subjects referred to in paragraph 1; and

Referencing norms: DpiaContentComplete

en · official · sha256:6cd365b74818b3c1db79628968a9ff29d8ebd0a9c00ff4104b4ca446cee84254

the measures envisaged to address the risks, including safeguards, security measures and mechanisms to ensure the protection of personal data and to demonstrate compliance with this Regulation taking into account the rights and legitimate interests of data subjects and other persons concerned.

Referencing norms: DpiaContentComplete

en · official · sha256:81069627be64b125221e718ed051ac81ccbab7f08deac55f9191c275ad8135df

Compliance with approved codes of conduct referred to in Article 40 by the relevant controllers or processors shall be taken into due account in assessing the impact of the processing operations performed by such controllers or processors, in particular for the purposes of a data protection impact assessment.

en · official · sha256:dfbc48c5f0729dc31ce006f0a8b8d958ba1df825b086851435c703e2e67a86ea

Where appropriate, the controller shall seek the views of data subjects or their representatives on the intended processing, without prejudice to the protection of commercial or public interests or the security of processing operations.

Referencing norms: Article35SeekViewsDuty, SeekViewsOfDataSubjects

en · official · sha256:e172a9fcd184e4571d10061a5128e3522a6ac0298d71957ddfcdbf9c83e1fa52

The controller shall consult the supervisory authority prior to processing where a data protection impact assessment under Article 35 indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk.

Referencing norms: Article36ConsultAuthorityDuty, ConsultAuthorityPriorToProcessing

en · official · sha256:1611d85fd743f117645a3fc19d6d24c4a629c87c2a68e6ecbbf1411305c514b2

Where the supervisory authority is of the opinion that the intended processing referred to in paragraph 1 would infringe this Regulation, in particular where the controller has insufficiently identified or mitigated the risk, the supervisory authority shall, within period of up to eight weeks of receipt of the request for consultation, provide written advice to the controller and, where applicable to the processor, and may use any of its powers referred to in Article 58. That period may be extended by six weeks, taking into account the complexity of the intended processing. The supervisory authority shall inform the controller and, where applicable, the processor, of any such extension within one month of receipt of the request for consultation together with the reasons for the delay. Those periods may be suspended until the supervisory authority has obtained information it has requested for the purposes of the consultation.

Referencing norms: Article36ExtensionNoticeDuty, Article36WrittenAdviceDuty, CommunicateExtension, ConsultationAdviceDeadline, ConsultationEndBase, ConsultationEndBase/unless/0, ConsultationEndBase/unless/1, ConsultationEndExtended, ConsultationEndExtended/unless/0, ConsultationEndExtendedSuspended, ConsultationEndSuspended, ConsultationEndSuspended/unless/0, ConsultationPeriodSuspended, ConsultationPeriodSuspended/unless/0, ProvideWrittenAdvice

en · official · sha256:8cc104c4323ee9da14729216528a6c12c11ddd4b129a81ba2931a0c9c107098e

When consulting the supervisory authority pursuant to paragraph 1, the controller shall provide the supervisory authority with:

Referencing norms: ConsultationInformationComplete

en · official · sha256:be0506d343b4c508a2440c4488dc2774c7733abf7c0cf6c14d117a60c3c013ac

where applicable, the respective responsibilities of the controller, joint controllers and processors involved in the processing, in particular for processing within a group of undertakings;

Referencing norms: ConsultationInformationComplete, ConsultationResponsibilitiesNotApplicable, ConsultationResponsibilitiesProvided

en · official · sha256:4e90c1f9819179dbe42e72e2ff81bab2412b6364acc1768ea3e65d8b44dfb63e

the purposes and means of the intended processing;

Referencing norms: ConsultationInformationComplete

en · official · sha256:7019bb63c6d80e541b2a870372b2dc4894ad530822302b544c87bf833e3ae425

the measures and safeguards provided to protect the rights and freedoms of data subjects pursuant to this Regulation;

Referencing norms: ConsultationInformationComplete

en · official · sha256:f0f116c98a7fcb8a1f4dec45bb8559206813831a7e19efc5384a8877e7e76328

where applicable, the contact details of the data protection officer;

Referencing norms: ConsultationDpoContactNotApplicable, ConsultationDpoContactProvided, ConsultationInformationComplete

en · official · sha256:30681aab859e2a5939ce85a29bc94ca2d0b22f5da294aedcb58c2c1533a131da

the data protection impact assessment provided for in Article 35; and

Referencing norms: ConsultationInformationComplete

en · official · sha256:6f47ef6a6226acdf2f1435458bf712379135baba0399932570a1edad5f12570e

any other information requested by the supervisory authority.

Referencing norms: ConsultationInformationComplete, ConsultationNothingFurtherRequested, ConsultationOtherInformationProvided

en · official · sha256:803b44d4ed1d17f54adcfc8804f3394e4d0f514f69ecfa6981c58354272cc879

Member States shall consult the supervisory authority during the preparation of a proposal for a legislative measure to be adopted by a national parliament, or of a regulatory measure based on such a legislative measure, which relates to processing.

en · official · sha256:621a530dee2ae8cf7789ddca80de60621d7857ae4c1f3291cd79243979071dd8

Notwithstanding paragraph 1, Member State law may require controllers to consult with, and obtain prior authorisation from, the supervisory authority in relation to processing by a controller for the performance of a task carried out by the controller in the public interest, including processing in relation to social protection and public health.

Referencing norms: Article36ObtainPriorAuthorisationDuty, ObtainPriorAuthorisation

en · official · sha256:2e3e7eca7bcbd9e7e1e82a8f116f5d54befd127b0c6eaff0b611ceaef8a4533f

The controller and the processor shall designate a data protection officer in any case where:

Referencing norms: Article37ControllerDesignationDuty, Article37ProcessorDesignationDuty, ControllerHasDesignatedDpo, DesignateDpoController, DesignateDpoProcessor, DpoDesignatedByController, DpoDesignatedByProcessor, ProcessorHasDesignatedDpo

en · official · sha256:ac79152fe2f65f778c4296d3b072fa1cc184a27c6497087e4228e21aafc06d39

the processing is carried out by a public authority or body, except for courts acting in their judicial capacity;

Referencing norms: Article37ControllerPublicAuthority, Article37ControllerPublicAuthority/unless/0, Article37ProcessorPublicAuthority, Article37ProcessorPublicAuthority/unless/0

en · official · sha256:a5cec0a1a812d5dfbac2c926364b10793384fe9fbb46d7f68e62fa850be79300

the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or

Referencing norms: Article37ControllerMonitoring, Article37ProcessorMonitoring

en · official · sha256:9e31eee4907b802c90e03c4f1811b879944aca68e838f774e38fd8b419783333

the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 or personal data relating to criminal convictions and offences referred to in Article 10.

Referencing norms: Article37ControllerSpecialCategories, Article37ProcessorSpecialCategories

en · official · sha256:f82f5b3941b5312d5772c9d534e2afa593d85f10ec375e255ce01fabf6d1aae9

A group of undertakings may appoint a single data protection officer provided that a data protection officer is easily accessible from each establishment.

Referencing norms: Article37SingleDpoForGroup

en · official · sha256:782a13706c02f944735265ccaccd7db019c8760c8645d2a5a05055e2864bed75

Where the controller or the processor is a public authority or body, a single data protection officer may be designated for several such authorities or bodies, taking account of their organisational structure and size.

en · official · sha256:f8c90bb9728738995bc8e0ccfd5405acec7cf431d3db8ec6e21580e1a49daad1

In cases other than those referred to in paragraph 1, the controller or processor or associations and other bodies representing categories of controllers or processors may or, where required by Union or Member State law shall, designate a data protection officer. The data protection officer may act for such associations and other bodies representing controllers or processors.

Referencing norms: Article37ControllerRequiredByLaw, Article37ProcessorRequiredByLaw

en · official · sha256:0cb777b08a32d5ef525da82e3c39c32895e51d2ee4c301bac2756461ee62b051

The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article 39.

Referencing norms: Article37QualifiedDesignation

en · official · sha256:6ff7eac25b38dab20f9b6583e8c9573f203989d70b2711ce0b96e857813b8066

The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service contract.

en · official · sha256:bd7b3a6583ab6ef4fd3d7d27c5d5ac8d9bd2d1a9a2b73cae5d135a8f55f4970e

The controller or the processor shall publish the contact details of the data protection officer and communicate them to the supervisory authority.

Referencing norms: Article37ControllerPublicationDuty, Article37ProcessorPublicationDuty, DpoContactDetailsPublishedAndCommunicated, PublishDpoContactDetailsController, PublishDpoContactDetailsProcessor

en · official · sha256:c920d679d12dd8ff48650c743e87ebf2b6d269a188f40779061e5213001b03da

The controller and the processor shall ensure that the data protection officer is involved, properly and in a timely manner, in all issues which relate to the protection of personal data.

Referencing norms: Article38ControllerInvolvementDuty, Article38InvolvementEnsured, Article38ProcessorInvolvementDuty, EnsureDpoInvolvementController, EnsureDpoInvolvementProcessor

en · official · sha256:92ae458afac485ff43976999144c64bba29550449ce0988f28fd66b69514d536

The controller and processor shall support the data protection officer in performing the tasks referred to in Article 39 by providing resources necessary to carry out those tasks and access to personal data and processing operations, and to maintain his or her expert knowledge.

Referencing norms: Article38ControllerSupportDuty, Article38ProcessorSupportDuty, SupportDpoController, SupportDpoProcessor

en · official · sha256:148af12b378c478585af9cfe26305b902fc1c64fc611d2a89d10079778e8b7a7

The controller and processor shall ensure that the data protection officer does not receive any instructions regarding the exercise of those tasks. He or she shall not be dismissed or penalised by the controller or the processor for performing his tasks. The data protection officer shall directly report to the highest management level of the controller or the processor.

Referencing norms: Article38ControllerIndependencePosition, Article38DismissalInfringes, Article38InstructionsInfringe, Article38ProcessorIndependencePosition, Article38ReportingDuty, ImpairDpoIndependenceController, ImpairDpoIndependenceProcessor, ReportToHighestManagement

en · official · sha256:64ba42a419730693eb35e8168ad56e595772d886b8817e52627a9bbf60bf7ce6

Data subjects may contact the data protection officer with regard to all issues related to processing of their personal data and to the exercise of their rights under this Regulation.

Referencing norms: Article38DataSubjectMayContact, Article38DataSubjectMayContactProcessor

en · official · sha256:367a802c77272344aaa6bbbf324e092c9aa730e20264d94227081b848cc14b80

The data protection officer shall be bound by secrecy or confidentiality concerning the performance of his or her tasks, in accordance with Union or Member State law.

Referencing norms: Article38SecrecyPosition, BreachDpoSecrecy

en · official · sha256:349b6bc990c92a8cfe4897cae906344f18ba3c3f8496ced1469b7fbbc68d6857

The data protection officer may fulfil other tasks and duties. The controller or processor shall ensure that any such tasks and duties do not result in a conflict of interests.

Referencing norms: Article38ConflictOfInterests, Article38ProcessorConflictOfInterests

en · official · sha256:5fe61314aef4c91cf3c5688c5362dc7a37f6a6a0b05cae6c1841454a456d1fb8

The data protection officer shall have at least the following tasks:

en · official · sha256:95be6069eff6d399bae96ccffe3eccd9faadef5dfd8806f71378acbc7e9ef340

to inform and advise the controller or the processor and the employees who carry out processing of their obligations pursuant to this Regulation and to other Union or Member State data protection provisions;

Referencing norms: Article39InformAndAdviseDuty, InformAndAdvise

en · official · sha256:04457d4966bf8ac67a768e514015b8302b07a1cf8c4a67373b3d868c7241dbf6

to monitor compliance with this Regulation, with other Union or Member State data protection provisions and with the policies of the controller or processor in relation to the protection of personal data, including the assignment of responsibilities, awareness-raising and training of staff involved in processing operations, and the related audits;

Referencing norms: Article39MonitorComplianceDuty, MonitorCompliance

en · official · sha256:a3016b34eff588ac935a2ff90c35f7dd1744fea1c0236148918a831fca817933

to provide advice where requested as regards the data protection impact assessment and monitor its performance pursuant to Article 35;

Referencing norms: AdviseOnDpia, Article39AdviseOnDpiaDuty

en · official · sha256:0f5e53518b87e3a0d6357f5451c4e302c55500bd4596ded2445d596a2c02360c

to cooperate with the supervisory authority;

Referencing norms: Article39CooperateDuty, CooperateWithAuthority

en · official · sha256:cbc53c593d1e478c804601369a035c1f03b31e31bb8983f98b679c4a253c6ceb

to act as the contact point for the supervisory authority on issues relating to processing, including the prior consultation referred to in Article 36, and to consult, where appropriate, with regard to any other matter.

Referencing norms: ActAsContactPoint, Article39ContactPointDuty

en · official · sha256:7c764b9742b4608b0a13bd4fad4f60195714c8f71aa8ad7fa5cc2932ca48073d

The data protection officer shall in the performance of his or her tasks have due regard to the risk associated with processing operations, taking into account the nature, scope, context and purposes of processing.

en · official · sha256:e17d09c35917bdd67fb43dbbd81289c763b3cf33aaab04bacbfc388a201c5ab4

The Member States, the supervisory authorities, the Board and the Commission shall encourage the drawing up of codes of conduct intended to contribute to the proper application of this Regulation, taking account of the specific features of the various processing sectors and the specific needs of micro, small and medium-sized enterprises.

en · official · sha256:d67acb14cfe0874769ac46ed2fd21f6740a8bf876fad826889b5d2e840509dd5

The Commission shall ensure appropriate publicity for the approved codes which have been decided as having general validity in accordance with paragraph 9.

en · official · sha256:114bc1053e51975aa9b95ffb715cd6c812cf8c4ab43366e06d932bd6c7d483d2

The Board shall collate all approved codes of conduct, amendments and extensions in a register and shall make them publicly available by way of appropriate means.

en · official · sha256:45ba87eb678442dde0c397864f933d81a4207ce101f451329df2b3355d2c956c

Associations and other bodies representing categories of controllers or processors may prepare codes of conduct, or amend or extend such codes, for the purpose of specifying the application of this Regulation, such as with regard to:

en · official · sha256:7b86953ed708a875d985ee5d346064fa124fe67ac78a8ac433b4db9a8cc20f96

fair and transparent processing;

en · official · sha256:3567dc2a5868e245d9ed8ef30f0287c70c88a519ebaa8d32b547d36da015bde9

the legitimate interests pursued by controllers in specific contexts;

en · official · sha256:922b980d6595735cd619c10451baffde2761c12fcb3a272358652a9f8b0137f7

the collection of personal data;

en · official · sha256:d32d9695a1e5f3b411f48e4c6449e168ccfb9955764fa8194912842528521bcc

the pseudonymisation of personal data;

en · official · sha256:407c2a10f6003980b9461b3e3a5fcb0b6e832484fe6ef54047e9ad4fa7125776

the information provided to the public and to data subjects;

en · official · sha256:c89a5c0dc46d96a59990b80e83215902481b7488996fb42249bc5a9b4c7d77f8

the exercise of the rights of data subjects;

en · official · sha256:14efb4001750b6fc7d44c786e4d30c05d65f21fc7f8f489089346dbfa2f0314f

the information provided to, and the protection of, children, and the manner in which the consent of the holders of parental responsibility over children is to be obtained;

en · official · sha256:946c1fcd1306e43aaedb24c9e0a0922c2f8e20a8a4942709de749accc52375b7

the measures and procedures referred to in Articles 24 and 25 and the measures to ensure security of processing referred to in Article 32;

en · official · sha256:49daa521d72c9d9827140179054371d2d3e975ade5f9dd841255d2cab919869f

the notification of personal data breaches to supervisory authorities and the communication of such personal data breaches to data subjects;

en · official · sha256:4a88a5a8091348ef91e955bd030ea81c4839bf80244bf9e2e3006a0493cd20c9

the transfer of personal data to third countries or international organisations; or

en · official · sha256:607ff6095a69053f32f9accae7c81007d14dde6608d659e586723a429251a920

out-of-court proceedings and other dispute resolution procedures for resolving disputes between controllers and data subjects with regard to processing, without prejudice to the rights of data subjects pursuant to Articles 77 and 79.

en · official · sha256:6de2a88a41b2d7f23f86f68a64735c474901541c953e2ced44eb430d7ce74764

In addition to adherence by controllers or processors subject to this Regulation, codes of conduct approved pursuant to paragraph 5 of this Article and having general validity pursuant to paragraph 9 of this Article may also be adhered to by controllers or processors that are not subject to this Regulation pursuant to Article 3 in order to provide appropriate safeguards within the framework of personal data transfers to third countries or international organisations under the terms referred to in point (e) of Article 46(2). Such controllers or processors shall make binding and enforceable commitments, via contractual or other legally binding instruments, to apply those appropriate safeguards including with regard to the rights of data subjects.

en · official · sha256:0477fa5a9f32b4e51c8e0b23b3a88b03d05064fed69e67c1849e3d8f8150ac24

A code of conduct referred to in paragraph 2 of this Article shall contain mechanisms which enable the body referred to in Article 41(1) to carry out the mandatory monitoring of compliance with its provisions by the controllers or processors which undertake to apply it, without prejudice to the tasks and powers of supervisory authorities competent pursuant to Article 55 or 56.

en · official · sha256:192ffec1daba01636b49a4a37a661318eae07234308db67534fec4b3f57b9363

Associations and other bodies referred to in paragraph 2 of this Article which intend to prepare a code of conduct or to amend or extend an existing code shall submit the draft code, amendment or extension to the supervisory authority which is competent pursuant to Article 55. The supervisory authority shall provide an opinion on whether the draft code, amendment or extension complies with this Regulation and shall approve that draft code, amendment or extension if it finds that it provides sufficient appropriate safeguards.

Referencing norms: ApproveMultiStateCode, ApproveSingleStateCode, Article40ApproveMultiStateCodeDuty, Article40ApproveSingleStateCodeDuty

en · official · sha256:bc5722168284eaf488dc2fb5c344c32aa05eee6bf93fa1e76d8fd8a7063d4c04

Where the draft code, or amendment or extension is approved in accordance with paragraph 5, and where the code of conduct concerned does not relate to processing activities in several Member States, the supervisory authority shall register and publish the code.

Referencing norms: Article40RegisterAndPublishDuty, RegisterAndPublishCode

en · official · sha256:96c6479ae67c7806804d8aaa6e69ed5026c93ab352b40b991fc425cd3dde4bb0

Where a draft code of conduct relates to processing activities in several Member States, the supervisory authority which is competent pursuant to Article 55 shall, before approving the draft code, amendment or extension, submit it in the procedure referred to in Article 63 to the Board which shall provide an opinion on whether the draft code, amendment or extension complies with this Regulation or, in the situation referred to in paragraph 3 of this Article, provides appropriate safeguards.

Referencing norms: ApproveMultiStateCode, Article40ApproveMultiStateCodeDuty, Article40SubmitToBoardDuty, SubmitDraftCodeToBoard

en · official · sha256:dd0519949936cb0560e33008d546ec2e3f58a123b29b6659a6ed9e1884c8647e

Where the opinion referred to in paragraph 7 confirms that the draft code, amendment or extension complies with this Regulation, or, in the situation referred to in paragraph 3, provides appropriate safeguards, the Board shall submit its opinion to the Commission.

en · official · sha256:ca668f47d8c68c924aea1646dd1f34f3e5cd088a975c02ec398433d7db25ce65

The Commission may, by way of implementing acts, decide that the approved code of conduct, amendment or extension submitted to it pursuant to paragraph 8 of this Article have general validity within the Union. Those implementing acts shall be adopted in accordance with the examination procedure set out in Article 93(2).

en · official · sha256:d03086c8457e4e0432fa91519bc3ba36927d8fdf8a5f4cfa3ff4801f7f2f63b6

Without prejudice to the tasks and powers of the competent supervisory authority under Articles 57 and 58, the monitoring of compliance with a code of conduct pursuant to Article 40 may be carried out by a body which has an appropriate level of expertise in relation to the subject-matter of the code and is accredited for that purpose by the competent supervisory authority.

en · official · sha256:8970b2e4106a66c92c2d74d917f3a6a323a3a17f650be670d019f27cb542ecf9

A body as referred to in paragraph 1 may be accredited to monitor compliance with a code of conduct where that body has:

Referencing norms: Article41MonitoringBodyAccreditable

en · official · sha256:bb7122fb67cf7939fb8808c96ea49b31e5d98f46353a74e52fa68bc32f30d1bd

demonstrated its independence and expertise in relation to the subject-matter of the code to the satisfaction of the competent supervisory authority;

Referencing norms: Article41MonitoringBodyAccreditable

en · official · sha256:5f5d3a9417c307b0e57de6efa68f74b3cec48c285e06d9c9188047011c252dc6

established procedures which allow it to assess the eligibility of controllers and processors concerned to apply the code, to monitor their compliance with its provisions and to periodically review its operation;

Referencing norms: Article41MonitoringBodyAccreditable

en · official · sha256:559a583fdb8abcf9bb2b60f78a5aade8bc50f0b6753377b485eefce34b548b17

established procedures and structures to handle complaints about infringements of the code or the manner in which the code has been, or is being, implemented by a controller or processor, and to make those procedures and structures transparent to data subjects and the public; and

Referencing norms: Article41MonitoringBodyAccreditable

en · official · sha256:b70f3ecac89699245e9018a4fea0c628e3075ad45cf90771777994489d570a1c

demonstrated to the satisfaction of the competent supervisory authority that its tasks and duties do not result in a conflict of interests.

Referencing norms: Article41MonitoringBodyAccreditable

en · official · sha256:7232f383c2759c6b7d5d44495262975812e154c47b954d16c783f4aa432d7d79

The competent supervisory authority shall submit the draft requirements for accreditation of a body as referred to in paragraph 1 of this Article to the Board pursuant to the consistency mechanism referred to in Article 63.

en · official · sha256:0d2b1fde92ff7e937f2187ee1442691d0a438fbe2e8a9146e0e2759fc2c7bc67

Without prejudice to the tasks and powers of the competent supervisory authority and the provisions of Chapter VIII, a body as referred to in paragraph 1 of this Article shall, subject to appropriate safeguards, take appropriate action in cases of infringement of the code by a controller or processor, including suspension or exclusion of the controller or processor concerned from the code. It shall inform the competent supervisory authority of such actions and the reasons for taking them.

Referencing norms: Article41ActionDuty, TakeActionOnInfringementOfCode

en · official · sha256:ffae39cec31fcde82bda5a3b35ba5ba7e9dc09e89714148028850fc4913b2eb2

The competent supervisory authority shall revoke the accreditation of a body as referred to in paragraph 1 if the requirements for accreditation are not, or are no longer, met or where actions taken by the body infringe this Regulation.

Referencing norms: Article41RevocationDuty, Article41RevocationRequiredInfringement, Article41RevocationRequiredRequirements, RevokeMonitoringBodyAccreditation

en · official · sha256:08d052669900db1e55bcc1302fe308afaa871dbe529a7c00adaeb5f740cb6d43

This Article shall not apply to processing carried out by public authorities and bodies.

Referencing norms: Article41NotForPublicAuthorities, Article41NotForPublicAuthorities/unless/0, Article41NotForPublicAuthorities/unless/1

en · official · sha256:50e57651dcfd33d6ca87b73ac7beb41d84218e009a0162917045b6381db79fe8

The Member States, the supervisory authorities, the Board and the Commission shall encourage, in particular at Union level, the establishment of data protection certification mechanisms and of data protection seals and marks, for the purpose of demonstrating compliance with this Regulation of processing operations by controllers and processors. The specific needs of micro, small and medium-sized enterprises shall be taken into account.

en · official · sha256:20507e07263ad8f4e35ce1aeca43a71d2ca9ca4eda9a510ac682fe11e1c52fb8

In addition to adherence by controllers or processors subject to this Regulation, data protection certification mechanisms, seals or marks approved pursuant to paragraph 5 of this Article may be established for the purpose of demonstrating the existence of appropriate safeguards provided by controllers or processors that are not subject to this Regulation pursuant to Article 3 within the framework of personal data transfers to third countries or international organisations under the terms referred to in point (f) of Article 46(2). Such controllers or processors shall make binding and enforceable commitments, via contractual or other legally binding instruments, to apply those appropriate safeguards, including with regard to the rights of data subjects.

en · official · sha256:70131a904d5abffbe34d1b0b0f14a864d08c3b830650a26308333fccec1b28d6

The certification shall be voluntary and available via a process that is transparent.

en · official · sha256:c35574714e6dbe501a28b9fdcea0965e4732cc3395aac0508c0c30c150e8d276

A certification pursuant to this Article does not reduce the responsibility of the controller or the processor for compliance with this Regulation and is without prejudice to the tasks and powers of the supervisory authorities which are competent pursuant to Article 55 or 56.

en · official · sha256:a0891075c28c77015893f976dc51d843c49b66411fbd1a0ac9a5fd203c480ced

A certification pursuant to this Article shall be issued by the certification bodies referred to in Article 43 or by the competent supervisory authority, on the basis of criteria approved by that competent supervisory authority pursuant to Article 58(3) or by the Board pursuant to Article 63. Where the criteria are approved by the Board, this may result in a common certification, the European Data Protection Seal.

en · official · sha256:22052e3e6b31ba2d2e4f5cfd1cec63e15d32dc9c79c343006b70ca35cfe09811

The controller or processor which submits its processing to the certification mechanism shall provide the certification body referred to in Article 43, or where applicable, the competent supervisory authority, with all information and access to its processing activities which are necessary to conduct the certification procedure.

en · official · sha256:0dc28ff57877ce90b4b12a86bf2beecfaf9b833a6ccd8547c58015e5e7b21019

Certification shall be issued to a controller or processor for a maximum period of three years and may be renewed, under the same conditions, provided that the relevant criteria continue to be met. Certification shall be withdrawn, as applicable, by the certification bodies referred to in Article 43 or by the competent supervisory authority where the criteria for the certification are not or are no longer met.

Referencing norms: Article42PeriodExceedsMaximum, Article42PeriodWithinMaximum, Article42WithdrawalDuty, WithdrawCertification

en · official · sha256:9ed1734d9b45124e1a4a371e53c9aa94f90ce93846001be1379ff6807c110392

The Board shall collate all certification mechanisms and data protection seals and marks in a register and shall make them publicly available by any appropriate means.

en · official · sha256:3981441086c88618e48fee20f1677d0f2a2ee58d4eb737e0e1e16e5d7c212a99

Without prejudice to the tasks and powers of the competent supervisory authority under Articles 57 and 58, certification bodies which have an appropriate level of expertise in relation to data protection shall, after informing the supervisory authority in order to allow it to exercise its powers pursuant to point (h) of Article 58(2) where necessary, issue and renew certification. Member States shall ensure that those certification bodies are accredited by one or both of the following:

en · official · sha256:da6e94d8addee6062cb4043b327cc6f7fb806924f88f765c08bc0e520d9c596f

the supervisory authority which is competent pursuant to Article 55 or 56;

en · official · sha256:a36b6e6939cf41b82e53ebb9182e8b917a01ae51103ec444721a49f41c7710aa

the national accreditation body named in accordance with Regulation (EC) No 765/2008 of the European Parliament and of the Council ( 2 ) in accordance with EN-ISO/IEC 17065/2012 and with the additional requirements established by the supervisory authority which is competent pursuant to Article 55 or 56.

en · official · sha256:f9ce67aaaae5de2ea58b8ad4414aa9b2a9218c31e7504d6bb6f3b17271393b76

Certification bodies referred to in paragraph 1 shall be accredited in accordance with that paragraph only where they have:

Referencing norms: Article43CertificationBodyAccreditable

en · official · sha256:bcc627811c20187c8f5d80b4ce5a612097ff20e20a0288d062c267459201435d

demonstrated their independence and expertise in relation to the subject-matter of the certification to the satisfaction of the competent supervisory authority;

Referencing norms: Article43CertificationBodyAccreditable

en · official · sha256:3dfc91adae1fdb3e5f688c43de60a3132e9105da34e45f857c88e5516251066f

undertaken to respect the criteria referred to in Article 42(5) and approved by the supervisory authority which is competent pursuant to Article 55 or 56 or by the Board pursuant to Article 63;

Referencing norms: Article43CertificationBodyAccreditable

en · official · sha256:003d2a08128dbf714c56539e45d2380daaf04fccbcdec34f6150f49b09197cd3

established procedures for the issuing, periodic review and withdrawal of data protection certification, seals and marks;

Referencing norms: Article43CertificationBodyAccreditable

en · official · sha256:64fe32ea1b32c0ccb90339b690be87b522fa3db2092051bca5a8937e7c038779

established procedures and structures to handle complaints about infringements of the certification or the manner in which the certification has been, or is being, implemented by the controller or processor, and to make those procedures and structures transparent to data subjects and the public; and

Referencing norms: Article43CertificationBodyAccreditable

en · official · sha256:fd4e5b59bfd850313c0dede0c8d77831fd7d5e352de0315e53d2cc8c2b472b3b

demonstrated, to the satisfaction of the competent supervisory authority, that their tasks and duties do not result in a conflict of interests.

Referencing norms: Article43CertificationBodyAccreditable

en · official · sha256:cb3b12ddef48cc0f35862ab68fa9d01bfe02836ed98a620677e7c13f9f0319df

The accreditation of certification bodies as referred to in paragraphs 1 and 2 of this Article shall take place on the basis of requirements approved by the supervisory authority which is competent pursuant to Article 55 or 56 or by the Board pursuant to Article 63. In the case of accreditation pursuant to point (b) of paragraph 1 of this Article, those requirements shall complement those envisaged in Regulation (EC) No 765/2008 and the technical rules that describe the methods and procedures of the certification bodies.

en · official · sha256:6406bd0beba860b9263c87278bcf5595bb6c13e813932e95aecb2bc544fbbf96

The certification bodies referred to in paragraph 1 shall be responsible for the proper assessment leading to the certification or the withdrawal of such certification without prejudice to the responsibility of the controller or processor for compliance with this Regulation. The accreditation shall be issued for a maximum period of five years and may be renewed on the same conditions provided that the certification body meets the requirements set out in this Article.

Referencing norms: Article43AccreditationExceedsMaximum, Article43AccreditationWithinMaximum

en · official · sha256:f7ac64d1cae9e928ab0a691393c946643cce0377b999a747547992c6d3d35396

The certification bodies referred to in paragraph 1 shall provide the competent supervisory authorities with the reasons for granting or withdrawing the requested certification.

Referencing norms: Article43ReasonsDuty, ProvideReasonsForCertificationDecision

en · official · sha256:159f23e2bdbf38081eb0acaf1a5a2032b01c1c1323065761451de1cc36bba55a

The requirements referred to in paragraph 3 of this Article and the criteria referred to in Article 42(5) shall be made public by the supervisory authority in an easily accessible form. The supervisory authorities shall also transmit those requirements and criteria to the Board.

en · official · sha256:b71977dcbffcb34f231f79dfa288ff9e921b47711dec37b5f2e4a060b2177a3d

Without prejudice to Chapter VIII, the competent supervisory authority or the national accreditation body shall revoke an accreditation of a certification body pursuant to paragraph 1 of this Article where the conditions for the accreditation are not, or are no longer, met or where actions taken by a certification body infringe this Regulation.

Referencing norms: Article43RevocationDuty, Article43RevocationRequiredConditions, Article43RevocationRequiredInfringement, RevokeCertificationBodyAccreditation

en · official · sha256:3afe1bcc7d79f6c13e66bd134f6e34d7cb33af5b1badb92d1b2824d3b2b979d4

The Commission shall be empowered to adopt delegated acts in accordance with Article 92 for the purpose of specifying the requirements to be taken into account for the data protection certification mechanisms referred to in Article 42(1).

en · official · sha256:0a2def9aac8f7105d7b4bdfa4c2814e5d377999f063e0e229a46230fb7f401e4

The Commission may adopt implementing acts laying down technical standards for certification mechanisms and data protection seals and marks, and mechanisms to promote and recognise those certification mechanisms, seals and marks. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 93(2).

fr · official · sha256:fcb03de9a031923b91e75bf4d5f72f2b54ffc58e58866d04a04592fba44413e4FR

Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire.

Referencing norms: AppropriateMeasuresInPlace, Article24MeasuresDuty, Article24ReviewDuty, ImplementAppropriateMeasures, ReviewAndUpdateMeasures

fr · official · sha256:cf5c7faf859acad7a0503cc0ab4368ce0a11d63290a48ab97f9c206f6d33e16cFR

Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement.

Referencing norms: Article24PoliciesDuty, ImplementDataProtectionPolicies

fr · official · sha256:0defb7e4e410062f6aff1e0d8433da1a139198caffe2e1470cf8a87ddae72001FR

L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou de mécanismes de certification approuvés comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des obligations incombant au responsable du traitement.

Referencing norms: Article24CertificationAsElement, Article24CodeAsElement

fr · official · sha256:9bd41ce6acaaa43075bebc925b2e3510b8e1b8deeee93e9310913f908233f547FR

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée.

Referencing norms: Article25ByDesignDuty, ByDesignMeasuresInPlace, ImplementDataProtectionByDesign

fr · official · sha256:b3f41bad7cf5510191fa5c378c279db6f64674cda4a643b6e2778aeaf81d8ad9FR

Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne physique concernée.

Referencing norms: Article25ByDefaultDuty, Article25IndefiniteAccessibilityInfringes, Article25IndefiniteAccessibilityPosition, ByDefaultMeasuresInPlace, ImplementDataProtectionByDefault, MakeDataAccessibleByDefaultToIndefiniteNumber

fr · official · sha256:6549b1193790d5594c6e65ed7927b430cf3e3a2431d70d1cd314695a13b0af6dFR

Un mécanisme de certification approuvé en vertu de l'article 42 peut servir d'élément pour démontrer le respect des exigences énoncées aux paragraphes 1 et 2 du présent article.

Referencing norms: Article25CertificationAsElement

fr · official · sha256:250108a579fbe101db81e60d407082470554d364f69c241cf050a26a8f0da955FR

Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du présent règlement, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d'accord entre eux, sauf si, et dans la mesure, où leurs obligations respectives sont définies par le droit de l'Union ou par le droit de l'État membre auquel les responsables du traitement sont soumis. Un point de contact pour les personnes concernées peut être désigné dans l'accord.

Referencing norms: Article26ArrangementDuty, Article26ArrangementDuty/unless/0, DetermineJointResponsibilities, JointArrangementInPlace, JointControllers, JointControllersSymmetric

fr · official · sha256:0a74403b3b2922c07183d258c8c01b2e9ac6cfb34f59572fcdb6ca5abdf9fed3FR

L'accord visé au paragraphe 1 reflète dûment les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées. Les grandes lignes de l'accord sont mises à la disposition de la personne concernée.

Referencing norms: Article26EssenceAvailableDuty, JointArrangementInPlace, MakeEssenceOfArrangementAvailable

fr · official · sha256:30be11ca5c20b5cbc7264d1232da2b45e329dc8ebcd89a75659b073f2cb6fd9aFR

Indépendamment des termes de l'accord visé au paragraphe 1, la personne concernée peut exercer les droits que lui confère le présent règlement à l'égard de et contre chacun des responsables du traitement.

Referencing norms: Article26RightsAgainstEachController

fr · official · sha256:46fb7dfc84a486b2245f3d9db4f792d03a8ac8ef6dd49c4d7a70cc14813ccb72FR

Lorsque l'article 3, paragraphe 2, s'applique, le responsable du traitement ou le sous-traitant désigne par écrit un représentant dans l'Union.

Referencing norms: Article27ControllerDesignationDuty, Article27ControllerDesignationDuty/unless/0, Article27ControllerDesignationDuty/unless/1, Article27ProcessorDesignationDuty, Article27ProcessorDesignationDuty/unless/0, Article27ProcessorDesignationDuty/unless/1, Article3_2AppliesMonitoring, Article3_2AppliesOffering, ControllerHasRepresentative, DesignateRepresentativeController, DesignateRepresentativeProcessor, ProcessorHasRepresentative

fr · official · sha256:93fd53a15f4777677073dcac7db1db2f745ba1a365e35522833afe14d7655feeFR

à un traitement qui est occasionnel, qui n'implique pas un traitement à grande échelle des catégories particulières de données visées à l'article 9, paragraphe 1, ou un traitement de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10, et qui n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, compte tenu de la nature, du contexte, de la portée et des finalités du traitement; ou

Referencing norms: Article27ExceptionOccasionalLowRisk, Article27ExceptionOccasionalLowRisk/unless/0

fr · official · sha256:17678d127f6b0b668941e0384f9df21ccf5257df6904fbfee10de2370d5ae67eFR

à une autorité publique ou à un organisme public;

Referencing norms: Article27ExceptionControllerPublicAuthority, Article27ExceptionProcessorPublicAuthority

fr · official · sha256:2882c72797a6c7149fd07d51e048abce395b0f41ad0e848896f133b8a1bee8bbFR

L'obligation prévue au paragraphe 1 du présent article ne s'applique pas:

fr · official · sha256:c5b09e5e4e6c979cf748a7960255ee061656c0f4988c29f2ee08a0450fe0e15eFR

Le représentant est établi dans un des États membres dans lesquels se trouvent les personnes physiques dont les données à caractère personnel font l'objet d'un traitement lié à l'offre de biens ou de services, ou dont le comportement fait l'objet d'un suivi.

Referencing norms: Article27RepresentativeEstablishment

fr · official · sha256:e1317cfde426e8dfe2e259db5576da26d78b55f6478b70521f9caa7da1d27fe0FR

Le représentant est mandaté par le responsable du traitement ou le sous-traitant pour être la personne à qui, notamment, les autorités de contrôle et les personnes concernées doivent s'adresser, en plus ou à la place du responsable du traitement ou du sous-traitant, pour toutes les questions relatives au traitement, aux fins d'assurer le respect du présent règlement.

fr · official · sha256:c58782d9520f7af0a43e55b19209309ca2a5d8b403b9f51310c4b3b93aacf193FR

La désignation d'un représentant par le responsable du traitement ou le sous-traitant est sans préjudice d'actions en justice qui pourraient être intentées contre le responsable du traitement ou le sous-traitant lui-même.

fr · official · sha256:e2d6c78b54f32213dea63b18364da9a856169c7be9639b5cdae6a65772715312FR

Sans préjudice des articles 82, 83 et 84, si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

Referencing norms: Article28ProcessorConsideredController

fr · official · sha256:58de57a1546c523b5bb17d70ec00107916ec39a14a448f7be8fb3cbd1dd0468cFR

Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée.

Referencing norms: Article28ProcessorSelectionCompliant

fr · official · sha256:6ac8c76a8d06639afb68df8d6a7330d6d18eac7717daf274b6c9de1099dda080FR

Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.

Referencing norms: Article28GeneralAuthorisationInformDuty, Article28SubprocessorPosition, Article28SubprocessorWithoutAuthorisation, Article28SubprocessorWithoutAuthorisation/unless/0, Article28SubprocessorWithoutAuthorisation/unless/1, EngageSubprocessorWithoutAuthorisation, InformControllerOfIntendedChange

fr · official · sha256:35b561119886428b0f7c72507a84cc5c100335fbb5491b0b583d7031d64fa71aFR

ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public;

Referencing norms: RequiredDocumentedInstructions

fr · official · sha256:3b8bd07ef03add1bc16a2ac9d5beb406bfbaaac90f3f22507e7b0a134a9c0e7eFR

veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité;

Referencing norms: RequiredConfidentiality

fr · official · sha256:3bac5875b40b8b785111bdf890201bedd8448f8e4a18dee3552f89f9bba59b09FR

prend toutes les mesures requises en vertu de l'article 32;

Referencing norms: RequiredSecurityMeasures

fr · official · sha256:f48acc29f41cf4d07068f3e251f2fc9660211aedf6cff2001df7b6c2963c1ecaFR

respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre sous-traitant;

Referencing norms: RequiredSubProcessorConditions

fr · official · sha256:3a845201cb6f054b0ed6045bba1cb9cb9561ae02349a24b204a6b5f1ec207e43FR

tient compte de la nature du traitement, aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III;

Referencing norms: RequiredAssistanceWithDataSubjectRequests

fr · official · sha256:ec04b89e7c8e388e8456369538d8c940a4af06532696da73274963506d550f5bFR

aide le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant;

Referencing norms: RequiredAssistanceWithArticles32To36

fr · official · sha256:68aba677f9f709e65f7334e34e4260a06de6d0b38457a634c4b1cd1d264a7edcFR

selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel; et

Referencing norms: RequiredDeletionOrReturn

fr · official · sha256:13fa588d7228c854b5b2d484038eccd4bd67e373524dd7793ed5482197ec424cFR

met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.

Referencing norms: RequiredInformationAndAudits

fr · official · sha256:df294e7e41d0a50717123113ea344e24d8fc93e1bced43a73bac9e821fa1a6a4FR

En ce qui concerne le point h) du premier alinéa, le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du présent règlement ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

Referencing norms: Article28InformOfInfringingInstructionDuty, InformControllerOfInfringingInstruction, RequiredInformationAndAudits

fr · official · sha256:a0c931d49e3d0f5f6a2e8e0817549ec1a3d24237e3243adadf1da0bba81b1b25FR

Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant:

Referencing norms: Article28ContractComplete, Article28ContractDuty, Article28ContractElementMissing, Article28ContractElementMissing/unless/0, GovernProcessingByContract, OperationGovernedByCompliantContract, RequiredNatureAndPurpose, RequiredObligationsAndRights, RequiredSubjectMatterAndDuration, RequiredTypeOfDataAndCategories

fr · official · sha256:67e04411c7bd966c88d0552eeb2dc753c07ca629a699ae8d03717bfc86f35de8FR

Lorsqu'un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection de données que celles fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant conformément au paragraphe 3, sont imposées à cet autre sous-traitant par contrat ou au moyen d'un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement. Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.

Referencing norms: Article28ImposeSameObligationsDuty, Article28InitialProcessorLiable, ImposeSameObligationsOnOtherProcessor

fr · official · sha256:dc3312a41d7a04c4422248e032e8d305662fc3d4ca233c1a7da210d894b67dceFR

L'application, par un sous-traitant, d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément pour démontrer l'existence des garanties suffisantes conformément aux paragraphes 1 et 4 du présent article.

Referencing norms: Article28AdherenceAsElement

fr · official · sha256:54e19016e41a4f90defe2e3555be016c757581cbf0bd1e91e0fd63622fdb7e31FR

Sans préjudice d'un contrat particulier entre le responsable du traitement et le sous-traitant, le contrat ou l'autre acte juridique visé aux paragraphes 3 et 4 du présent article peut être fondé, en tout ou en partie, sur les clauses contractuelles types visées aux paragraphes 7 et 8 du présent article, y compris lorsqu'elles font partie d'une certification délivrée au responsable du traitement ou au sous-traitant en vertu des articles 42 et 43.

fr · official · sha256:e8f4b78ef9c2913a4d89632a92f63d9d48d580a76ecf0867ef1880fcfe04b703FR

La Commission peut établir des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément à la procédure d'examen visée à l'article 93, paragraphe 2.

fr · official · sha256:bfee0632fbe530ffe69ffc865a15591773257e1ec33d29c0af4ffddc9abc22a2FR

Une autorité de contrôle peut adopter des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément au mécanisme de contrôle de la cohérence visé à l'article 63.

fr · official · sha256:81aed13b743645748665c1a4207f67fbe9e83cbd0d08744ce30e33c63c623203FR

Le contrat ou l'autre acte juridique visé aux paragraphes 3 et 4 se présente sous une forme écrite, y compris en format électronique.

Referencing norms: Article28ContractComplete

fr · official · sha256:3f553bc1115f181aa6a46ee0b396a84861b976cb0d415ef2ef71cd04f3a40da8FR

Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre.

Referencing norms: Article29InstructionsPosition, Article29ProcessingWithoutInstructions, Article29ProcessingWithoutInstructions/unless/0, ProcessOnlyOnInstructions

fr · official · sha256:c97412a1b448ba40a3496d8fb37d350b0c81bb78ba4b3126078f3c06e06d9605FR

le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données;

Referencing norms: ControllerRecordContentComplete

fr · official · sha256:6426a88417064c638653720b704da6d867441454bc4f105a76afa5a6a636d990FR

les finalités du traitement;

Referencing norms: ControllerRecordContentComplete

fr · official · sha256:59cb2abf1645457b1318c5c90af65062fa7dea88d43349c5515b5b28672c1817FR

une description des catégories de personnes concernées et des catégories de données à caractère personnel;

Referencing norms: ControllerRecordContentComplete

fr · official · sha256:861acf8b4204c43e3de67acaea111013575e807c2870e0bc303c45d9ceb223b1FR

les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales;

Referencing norms: ControllerRecordContentComplete

fr · official · sha256:06cb97ff457e2a160df0544468f74d0a1e26809d1564ab4844824d5cc327cd24FR

le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées;

Referencing norms: RecordTransfersEntered, RecordTransfersNotApplicable

fr · official · sha256:8aaf76ed4b5072f92b840ede6bacded7b3e7ebf0c34f0bd7a6a1173af0c35bf2FR

dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données;

Referencing norms: RecordErasureLimitsEntered, RecordErasureLimitsNotPossible

fr · official · sha256:5404a19e66782715b70e08a7cda0402b3138647ca1c3fb05c6cbfb407a6c35bdFR

dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1.

Referencing norms: RecordSecurityDescriptionEntered, RecordSecurityDescriptionNotPossible

fr · official · sha256:36dbd6843aa0cf40e19789a05204f3b093b06de393786d60a19c05fe20f0b89dFR

Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes:

Referencing norms: Article30ControllerRecordDuty, Article30ControllerRecordDuty/unless/0, ControllerRecordContentComplete, MaintainRecordOfProcessingController, RecordMaintainedInCompliance

fr · official · sha256:148099e82c2360c690f8ccf3f901b5f2175525c9edf5ec811d9423fd48fb69c3FR

le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données;

Referencing norms: ProcessorRecordContentComplete

fr · official · sha256:057e65d07f725281c251da596228ee010606b6ecb6e4fb8a8774eaec6889c4ceFR

les catégories de traitements effectués pour le compte de chaque responsable du traitement;

Referencing norms: ProcessorRecordContentComplete

fr · official · sha256:06cb97ff457e2a160df0544468f74d0a1e26809d1564ab4844824d5cc327cd24FR

le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées;

Referencing norms: ProcessorRecordTransfersEntered, ProcessorRecordTransfersNotApplicable

fr · official · sha256:5404a19e66782715b70e08a7cda0402b3138647ca1c3fb05c6cbfb407a6c35bdFR

dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1.

Referencing norms: ProcessorRecordSecurityDescriptionEntered, ProcessorRecordSecurityDescriptionNotPossible

fr · official · sha256:1d92ba83cb9a6a9e692aa9d98a8ea4ebe904f3f9789d7650545c3ee96614421dFR

Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement, comprenant:

Referencing norms: Article30ProcessorRecordDuty, Article30ProcessorRecordDuty/unless/0, MaintainRecordOfProcessingProcessor, ProcessorRecordContentComplete, ProcessorRecordMaintainedInCompliance

fr · official · sha256:e8615beeecdbeaabd926ad1192329d6b1a74f0e97a189ee8f227c0f9f683e0caFR

Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite y compris la forme électronique.

Referencing norms: ProcessorRecordMaintainedInCompliance, RecordMaintainedInCompliance

fr · official · sha256:b7655126fbb7dd6894d5fae4ea37fd4055e26546474c3352a38113aac154ed9fFR

Le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant mettent le registre à la disposition de l'autorité de contrôle sur demande.

Referencing norms: Article30ControllerAvailabilityDuty, Article30ProcessorAvailabilityDuty, MakeRecordAvailableController, MakeRecordAvailableProcessor

fr · official · sha256:20194bad61a384606f40d0ae9c7403b1b8b177b20225ce5d834dd4ffeee46c93FR

Les obligations visées aux paragraphes 1 et 2 ne s'appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu'elles effectuent est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, s'il n'est pas occasionnel ou s'il porte notamment sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10 .

Referencing norms: Article30SmallControllerException, Article30SmallControllerException/unless/0, Article30SmallControllerException/unless/1, Article30SmallProcessorException, Article30SmallProcessorException/unless/0, Article30SmallProcessorException/unless/1

fr · official · sha256:bc78338c5aa26fef4980694bde465e4b987209622204abab19f8863db4121076FR

Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions.

Referencing norms: Article31ControllerCooperationDuty, Article31ProcessorCooperationDuty, CooperateWithAuthorityController, CooperateWithAuthorityProcessor

fr · official · sha256:b72a2fa47824f3b6dc2f2293254dc0a36f629505be2ec277e1d90ffe053534c7FR

la pseudonymisation et le chiffrement des données à caractère personnel;

fr · official · sha256:ac660d4e501a0a83e89fa9dd249621de229054e895fc0f4aa3aa4dfc1c1844d0FR

des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

fr · official · sha256:357c39c591b035885634e6feaa88d08afad541af4bc841084ca85fe1e273e335FR

des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;

fr · official · sha256:c01c981264cc66d45fed6ddf9ab988d9e531654ad827fe2f8176e0b8e07a7a63FR

une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

fr · official · sha256:8ef2ef97a06d4acfad91067ad6955561f3e8b5b0c639f4bb91895fdbf46b7aebFR

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:

Referencing norms: AppropriateSecurityInPlace, Article32ControllerSecurityDuty, Article32ProcessorSecurityDuty, ImplementSecurityMeasuresController, ImplementSecurityMeasuresProcessor

fr · official · sha256:3c4775fc7d06fcbfd46ea3d9bf7df1d406619fe4b82ab58d558065cf28896357FR

Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite.

fr · official · sha256:0374e4576c185be4a9b7bb9101c662902b720dae24beae21c329896721b575c1FR

L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des exigences prévues au paragraphe 1 du présent article.

Referencing norms: Article32CertificationAsElement, Article32CodeAsElement

fr · official · sha256:2085b65676c9cec2a91da49cfddd05c818eb328e7a589965b22ca2abf00a4497FR

Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre.

Referencing norms: Article32ControllerInstructionStepsDuty, Article32ProcessorInstructionStepsDuty, TakeStepsOnInstructionsController, TakeStepsOnInstructionsProcessor

fr · official · sha256:40c4d4cde65d8701d55cd8ea0ae732447a4ffce487ab9712660542bbfe4b3fe9FR

Lorsque le traitement effectué en application de l'article 6, paragraphe 1, point c) ou e), a une base juridique dans le droit de l'Union ou dans le droit de l'État membre auquel le responsable du traitement est soumis, que ce droit règlemente l'opération de traitement spécifique ou l'ensemble des opérations de traitement en question et qu'une analyse d'impact relative à la protection des données a déjà été effectuée dans le cadre d'une analyse d'impact générale réalisée dans le cadre de l'adoption de la base juridique en question, les paragraphes 1 à 7 ne s'appliquent pas, à moins que les États membres n'estiment qu'il est nécessaire d'effectuer une telle analyse avant les activités de traitement.

Referencing norms: DpiaExemptGeneralAssessmentOfLegalBasis, DpiaExemptGeneralAssessmentOfLegalBasis/unless/0

fr · official · sha256:825173202c0c326a481b1d8913c25f2788f98267d4b9b3436ddbe4435af9f982FR

Si nécessaire, le responsable du traitement procède à un examen afin d'évaluer si le traitement est effectué conformément à l'analyse d'impact relative à la protection des données, au moins quand il se produit une modification du risque présenté par les opérations de traitement.

Referencing norms: Article35ReviewDuty, ReviewDpiaOnChangeOfRisk

fr · official · sha256:9cb5047ae0e5c1b853626b5526581de8b27f579bc789696868d4debf6b6be786FR

Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires.

Referencing norms: Article35CarryOutDpiaDuty, Article35CarryOutDpiaDuty/unless/0, CarryOutDpia, DpiaCompliant, DpiaRequiredHighRisk

fr · official · sha256:ca4c39c0d1c1a8f3bdb3c16e188c9894342b0edbc30cd63df3a2586f96831184FR

Lorsqu'il effectue une analyse d'impact relative à la protection des données, le responsable du traitement demande conseil au délégué à la protection des données, si un tel délégué a été désigné.

Referencing norms: Article35SeekDpoAdviceDuty, Article35SeekDpoAdviceDuty/unless/0, SeekDpoAdviceInDpia

fr · official · sha256:b8a2186559cbd4e2f334d67a8ff4963a9ae2ba3aef9088f1a89b0764c4f2e6e0FR

l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire;

Referencing norms: DpiaRequiredSystematicEvaluation

fr · official · sha256:b062eee87c6f555ddaa473791f4633efca77f00e65f52f1467d693d398e640c5FR

le traitement à grande échelle de catégories particulières de données visées à l'article 9, paragraphe 1, ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10; ou

Referencing norms: DpiaRequiredLargeScaleSpecialCategories

fr · official · sha256:a4253fdb0de469236fdc120fe505ddb7c655ff8d3eabf09035d0c84f3854ce13FR

la surveillance systématique à grande échelle d'une zone accessible au public.

Referencing norms: DpiaRequiredPublicAreaMonitoring

fr · official · sha256:4f0b96122cf867f1c91b6097f6016843f4a9ea6ef57649e6e01ffe6cf23fa680FR

L'analyse d'impact relative à la protection des données visée au paragraphe 1 est, en particulier, requise dans les cas suivants:

fr · official · sha256:4fd2c8ecac7ce1cb73a5f029619d53668b1fa65c2432573d04e40bf79a8e0b0dFR

L'autorité de contrôle établit et publie une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise conformément au paragraphe 1. L'autorité de contrôle communique ces listes au comité visé à l'article 68.

Referencing norms: Article35CommunicateListDuty, Article35EstablishListDuty, CommunicateDpiaListToBoard, DpiaRequiredListedKind, EstablishDpiaList

fr · official · sha256:3346e4fd6a469fd101f374b7b864e79942877abd1f432cafd82940c53ac40748FR

L'autorité de contrôle peut aussi établir et publier une liste des types d'opérations de traitement pour lesquelles aucune analyse d'impact relative à la protection des données n'est requise. L'autorité de contrôle communique cette liste au comité.

Referencing norms: DpiaExemptListedKind

fr · official · sha256:ff40a81444d7ac75dad578366e8c7ad5b50d9af10d9b3c4f9ee569d12a191bc7FR

Avant d'adopter les listes visées aux paragraphes 4 et 5, l'autorité de contrôle compétente applique le mécanisme de contrôle de la cohérence visé à l'article 63, lorsque ces listes comprennent des activités de traitement liées à l'offre de biens ou de services à des personnes concernées ou au suivi de leur comportement dans plusieurs États membres, ou peuvent affecter sensiblement la libre circulation des données à caractère personnel au sein de l'Union.

fr · official · sha256:cabc6b3576e3c667171fa234b30d77306b0ac1c9874dcca92744eb8fd65d7271FR

une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement;

Referencing norms: DpiaContentComplete

fr · official · sha256:39f7c5c8d7b36261c0d7c1af3b280553ae13dad47d03dcb6cf70996081ab186bFR

une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités;

Referencing norms: DpiaContentComplete

fr · official · sha256:3ca577dd7ebec513858393927c642286fd3d88f25982d6db3a27a9954e9b8e8dFR

une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1; et

Referencing norms: DpiaContentComplete

fr · official · sha256:a28be2ddd94ed32e1b60a5e78a1389b57a3ff09a0189d0664383251c9eb4bd42FR

les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

Referencing norms: DpiaContentComplete

fr · official · sha256:af89c225c11c8f845eda8f10b30593e2c159254b9a492b3e358a11e3f128a262FR

L'analyse contient au moins:

Referencing norms: DpiaCompliant, DpiaContentComplete

fr · official · sha256:9bbf3b5d8631f232069cb07d0bd1347249cf32618cff26a8e3a317a8b68b3d16FR

Le respect, par les responsables du traitement ou sous-traitants concernés, de codes de conduite approuvés visés à l'article 40 est dûment pris en compte lors de l'évaluation de l'impact des opérations de traitement effectuées par lesdits responsables du traitement ou sous-traitants, en particulier aux fins d'une analyse d'impact relative à la protection des données.

fr · official · sha256:e660cd1dfd498dd0ce23c9fc890185b0652d96967149829f2dcc9ae354b594abFR

Le cas échéant, le responsable du traitement demande l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu, sans préjudice de la protection des intérêts généraux ou commerciaux ou de la sécurité des opérations de traitement.

Referencing norms: Article35SeekViewsDuty, SeekViewsOfDataSubjects

fr · official · sha256:2d8f935670d743da1e4a9b778f885958952304f649129b44f613511069a880baFR

Le responsable du traitement consulte l'autorité de contrôle préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données effectuée au titre de l'article 35 indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque.

Referencing norms: Article36ConsultAuthorityDuty, ConsultAuthorityPriorToProcessing

fr · official · sha256:8ad5858660e9126ba0cc82bc25dfefc5fb4a3252e7444ab52fef781c1c625480FR

Lorsque l'autorité de contrôle est d'avis que le traitement envisagé visé au paragraphe 1, constituerait une violation du présent règlement, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle fournit par écrit, dans un délai maximum de huit semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant, et peut faire usage des pouvoirs visés à l'article 58. Ce délai peut être prolongé de six semaines, en fonction de la complexité du traitement envisagé. L'autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de la prolongation du délai ainsi que des motifs du retard, dans un délai d'un mois à compter de la réception de la demande de consultation. Ces délais peuvent être suspendus jusqu'à ce que l'autorité de contrôle ait obtenu les informations qu'elle a demandées pour les besoins de la consultation.

Referencing norms: Article36ExtensionNoticeDuty, Article36WrittenAdviceDuty, CommunicateExtension, ConsultationAdviceDeadline, ConsultationEndBase, ConsultationEndBase/unless/0, ConsultationEndBase/unless/1, ConsultationEndExtended, ConsultationEndExtended/unless/0, ConsultationEndExtendedSuspended, ConsultationEndSuspended, ConsultationEndSuspended/unless/0, ConsultationPeriodSuspended, ConsultationPeriodSuspended/unless/0, ProvideWrittenAdvice

fr · official · sha256:34d7c78a7676996f376c0f8759b3a59e0c16b06875ae9ed146853e7a6daec6c2FR

le cas échéant, les responsabilités respectives du responsable du traitement, des responsables conjoints et des sous-traitants participant au traitement, en particulier pour le traitement au sein d'un groupe d'entreprises;

Referencing norms: ConsultationInformationComplete, ConsultationResponsibilitiesNotApplicable, ConsultationResponsibilitiesProvided

fr · official · sha256:35444e85f5fdf31046802f58b0070d5ddcea9f42abaeb6d541bfaa98a5ff83b7FR

les finalités et les moyens du traitement envisagé;

Referencing norms: ConsultationInformationComplete

fr · official · sha256:fe5017d96340f9ca66bd82504536a5b731c426546d6abd209c9fdd810b094ca5FR

les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées en vertu du présent règlement;

Referencing norms: ConsultationInformationComplete

fr · official · sha256:2219be516921cc631f7c2c8d8d93db3f38704415a41aa51620937ead46b60004FR

le cas échéant, les coordonnées du délégué à la protection des données;

Referencing norms: ConsultationDpoContactNotApplicable, ConsultationDpoContactProvided, ConsultationInformationComplete

fr · official · sha256:5524bc4f2546a543eadfbcb810e448070bdab4478c3c2b495079470b69e8fe46FR

l'analyse d'impact relative à la protection des données prévue à l'article 35; et

Referencing norms: ConsultationInformationComplete

fr · official · sha256:f990eb845c3ed96db3de966190d5861335a93717c665f3801d373457ef3011d7FR

toute autre information que l'autorité de contrôle demande.

Referencing norms: ConsultationInformationComplete, ConsultationNothingFurtherRequested, ConsultationOtherInformationProvided

fr · official · sha256:8dd62fa16adb0ac53fcaa7646bd186197a40cdf11c64384a0462518a6866ec3dFR

Lorsque le responsable du traitement consulte l'autorité de contrôle en application du paragraphe 1, il lui communique:

Referencing norms: ConsultationInformationComplete

fr · official · sha256:0d302ebeeba702c910ea961bb4c5b6fc811c24dbece0a7b0a8a9d0d5c3225eceFR

Les États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement.

fr · official · sha256:8856605429ef5d363dff74b590fd6c44c5bae6d4b002a10eddb6e548260e1ec6FR

Nonobstant le paragraphe 1, le droit des États membres peut exiger que les responsables du traitement consultent l'autorité de contrôle et obtiennent son autorisation préalable en ce qui concerne le traitement effectué par un responsable du traitement dans le cadre d'une mission d'intérêt public exercée par celui-ci, y compris le traitement dans le cadre de la protection sociale et de la santé publique.

Referencing norms: Article36ObtainPriorAuthorisationDuty, ObtainPriorAuthorisation

fr · official · sha256:8b7c164a6c656ab18eba31d30dccc7703073b7382d437175771ec11865546425FR

le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle;

Referencing norms: Article37ControllerPublicAuthority, Article37ControllerPublicAuthority/unless/0, Article37ProcessorPublicAuthority, Article37ProcessorPublicAuthority/unless/0

fr · official · sha256:e197dc5dd94c630abbd35fba658bad18a6418b630b827789a678e14c748eb571FR

les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou

Referencing norms: Article37ControllerMonitoring, Article37ProcessorMonitoring

fr · official · sha256:531452195f7d4627c496a7d9d42fa8db4e776e9f248b28e6146a0603b4d50885FR

les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10.

Referencing norms: Article37ControllerSpecialCategories, Article37ProcessorSpecialCategories

fr · official · sha256:8780b9deb51946f417fdfb83db0961604acb9c396b0cf035c772954311b9f652FR

Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque:

Referencing norms: Article37ControllerDesignationDuty, Article37ProcessorDesignationDuty, ControllerHasDesignatedDpo, DesignateDpoController, DesignateDpoProcessor, DpoDesignatedByController, DpoDesignatedByProcessor, ProcessorHasDesignatedDpo

fr · official · sha256:7a4868e50a1e27a07ff1631bf633865e7febf17549dff6f738247c8fb0f9c480FR

Un groupe d'entreprises peut désigner un seul délégué à la protection des données à condition qu'un délégué à la protection des données soit facilement joignable à partir de chaque lieu d'établissement.

Referencing norms: Article37SingleDpoForGroup

fr · official · sha256:3ec8dbf1f2117985ccdfa7fd405479f4eaab113025a13a974a7e11b1fa2388ebFR

Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille.

fr · official · sha256:e36b535ec5c07196cd7c796e0191731e551074104b774d1fbd32309f958ff827FR

Dans les cas autres que ceux visés au paragraphe 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner ou, si le droit de l'Union ou le droit d'un État membre l'exige, sont tenus de désigner un délégué à la protection des données. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants.

Referencing norms: Article37ControllerRequiredByLaw, Article37ProcessorRequiredByLaw

fr · official · sha256:843846f0ed01c19a1cf5477c03f1879cdbe6f0c65228ab31107a1a97aa69607cFR

Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39.

Referencing norms: Article37QualifiedDesignation

fr · official · sha256:5079a11641039e09d957c032919eaca6c03616ab8c019a9d063ad7d96b1fccddFR

Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service.

fr · official · sha256:7ed1a109749a83dca262e787ddc1e630b98f18d5a840a82dc3e6ca6f1fea7fbbFR

Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l'autorité de contrôle.

Referencing norms: Article37ControllerPublicationDuty, Article37ProcessorPublicationDuty, DpoContactDetailsPublishedAndCommunicated, PublishDpoContactDetailsController, PublishDpoContactDetailsProcessor

fr · official · sha256:1a9c3d7f21b51973713f4e8e29441af6b4f9f845120b5c18735acbe4c73c6879FR

Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

Referencing norms: Article38ControllerInvolvementDuty, Article38InvolvementEnsured, Article38ProcessorInvolvementDuty, EnsureDpoInvolvementController, EnsureDpoInvolvementProcessor

fr · official · sha256:876e76e61e597272c9a8839841706ed2578602d76aff23e72a5c8f6ef7e72334FR

Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées.

Referencing norms: Article38ControllerSupportDuty, Article38ProcessorSupportDuty, SupportDpoController, SupportDpoProcessor

fr · official · sha256:53e1b8bfdc4f3a22e777e879d48af1d8981b72917f786d67dffaa8601a4e7cb2FR

Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

Referencing norms: Article38ControllerIndependencePosition, Article38DismissalInfringes, Article38InstructionsInfringe, Article38ProcessorIndependencePosition, Article38ReportingDuty, ImpairDpoIndependenceController, ImpairDpoIndependenceProcessor, ReportToHighestManagement

fr · official · sha256:dc396d1843020edb1e8b3dfa2f35ad9013ed0d15b503db1cc841661f098f0adaFR

Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement.

Referencing norms: Article38DataSubjectMayContact, Article38DataSubjectMayContactProcessor

fr · official · sha256:21cfc2c8105a93b65e5b82bb8edf8c3ae346e789cbf7a784d918fad68f10dcdbFR

Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres.

Referencing norms: Article38SecrecyPosition, BreachDpoSecrecy

fr · official · sha256:d18769ebed1dedfe12978de55278d443b823465453ae5a76980b1027969657b2FR

Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.

Referencing norms: Article38ConflictOfInterests, Article38ProcessorConflictOfInterests

fr · official · sha256:435ef7a006dae8c3f9eaef4abcffbdace415430cdc3136ae81b82fce125eab49FR

informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données;

Referencing norms: Article39InformAndAdviseDuty, InformAndAdvise

fr · official · sha256:2cbb66dc35060526529a5106a29f5f86cc8a60570f9a48bec31fc0b059ef0481FR

contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant;

Referencing norms: Article39MonitorComplianceDuty, MonitorCompliance

fr · official · sha256:4c127ac7ef702dc3418b6299f0bff4de4571a877aad3721a08e6bdd27dd88fc4FR

dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35;

Referencing norms: AdviseOnDpia, Article39AdviseOnDpiaDuty

fr · official · sha256:8660444ab24b31286b1045fd138f24e7b4c2a1d4c620bb8012d0e88f2137b6cdFR

coopérer avec l'autorité de contrôle;

Referencing norms: Article39CooperateDuty, CooperateWithAuthority

fr · official · sha256:69d5dd19bf78cdab360ccb0561d9b07a98ffe62124703908742926c994548359FR

faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet.

Referencing norms: ActAsContactPoint, Article39ContactPointDuty

fr · official · sha256:dc739ede473f76f3ee41d02d5d817c94aec0a4f86089b568f1d25681309011adFR

Les missions du délégué à la protection des données sont au moins les suivantes:

fr · official · sha256:dc1b4526f9930e1c2ff2b58e3d7d9af613973897b9e11e9c904d53ac9a7a79a5FR

Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

fr · official · sha256:c8b4240529b1f700f75942fd804c47b8b232c32c6359239c91bf28842ced2635FR

La Commission veille à garantir une publicité appropriée aux codes approuvés dont elle a décidé qu'ils sont d'application générale conformément au paragraphe 9.

fr · official · sha256:f58bba08eabb54585f9ee725adabb13b2ddfb4fa6d6187f48e9d4a67d1f05ae1FR

Le comité consigne dans un registre tous les codes de conduite, les modifications et les prorogations approuvés et les met à la disposition du public par tout moyen approprié.

fr · official · sha256:b9b02b0c7032f04292a09d805f480d5f1eccda4b3f42b58affeb02c9afe15fdcFR

Les États membres, les autorités de contrôle, le comité et la Commission encouragent l'élaboration de codes de conduite destinés à contribuer à la bonne application du présent règlement, compte tenu de la spécificité des différents secteurs de traitement et des besoins spécifiques des micro, petites et moyennes entreprises.

fr · official · sha256:ae3b5de023358e38233eefceb403ad9566c22f0381a5b154751844b59a679633FR

le traitement loyal et transparent;

fr · official · sha256:13231768460990beb1c7c92fd7ce3327bcdb2df5a05484f83a2fe7fc0dd235abFR

les intérêts légitimes poursuivis par les responsables du traitement dans des contextes spécifiques;

fr · official · sha256:0b6f9b1c2a9397eb547e7e2952e89f4c8736ddc098b9dd8b885c12d314ded762FR

la collecte des données à caractère personnel;

fr · official · sha256:de7432963d241a1282d63f21b534c741871b08daf704293ee50963a9e10eafdeFR

la pseudonymisation des données à caractère personnel;

fr · official · sha256:cdd8ed30f7527fcc5d5bd9245a2cbcc8037705f0e17334be7c33f1019252b32dFR

les informations communiquées au public et aux personnes concernées;

fr · official · sha256:24648ba4d0cda2c861e0085da0f0adc5e7a1e278771f89c2f45c28b0a2233b12FR

l'exercice des droits des personnes concernées;

fr · official · sha256:06775ee25bc13d6a37b510e523bc699fcf080d54e02fd82f7a8105f1236388f4FR

les informations communiquées aux enfants et la protection dont bénéficient les enfants et la manière d'obtenir le consentement des titulaires de la responsabilité parentale à l'égard de l'enfant;

fr · official · sha256:562e3bcce4a5fd3db7712a06180ce44ceb0cda06cb59dee1801e7a8eab7c5fd8FR

les mesures et les procédures visées aux articles 24 et 25 et les mesures visant à assurer la sécurité du traitement visées à l'article 32;

fr · official · sha256:d04b1ce65472cf9be650a8749adea471bf600a4030f298e347a56939a5df0369FR

la notification aux autorités de contrôle des violations de données à caractère personnel et la communication de ces violations aux personnes concernées;

fr · official · sha256:028db61b0f9a1abb5952d6c80297f2639e6bd0b93e34a384c02f0875d3aef63bFR

le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales; ou

fr · official · sha256:ea5f260197d3ed64d50b61b3c9e5e361b3b42b27241786dba86ed9116aac9544FR

les procédures extrajudiciaires et autres procédures de règlement des litiges permettant de résoudre les litiges entre les responsables du traitement et les personnes concernées en ce qui concerne le traitement, sans préjudice des droits des personnes concernées au titre des articles 77 et 79.

fr · official · sha256:de86117c76caf9d2c004502c8e5e3635494e330fade999607fd43a176908a90aFR

Les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent élaborer des codes de conduite, les modifier ou les proroger, aux fins de préciser les modalités d'application du présent règlement, telles que:

fr · official · sha256:b7c9249c0d021fc6b2626d7fd3bfbd440d13b0b951f7c5e5f6a9534e3fa55c61FR

Outre leur application par les responsables du traitement ou les sous-traitants soumis au présent règlement, les codes de conduite qui sont approuvés en vertu du paragraphe 5 du présent article et qui sont d'application générale en vertu du paragraphe 9 du présent article peuvent aussi être appliqués par des responsables du traitement ou des sous-traitants qui ne sont pas soumis au présent règlement en vertu de l'article 3, afin de fournir des garanties appropriées dans le cadre des transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale dans les conditions visées à l'article 46, paragraphe 2, point e). Ces responsables du traitement ou sous-traitants prennent l'engagement contraignant et doté de force obligatoire au moyen d'instruments contractuels ou d'autres instruments juridiquement contraignants, d'appliquer ces garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

fr · official · sha256:833f5b781b474b406dacadd1aa066cfec89b6c11efb6eba4e574aa8547a58151FR

Le code de conduite visé au paragraphe 2 du présent article comprend les mécanismes permettant à l'organisme visé à l'article 41, paragraphe 1, de procéder au contrôle obligatoire du respect de ses dispositions par les responsables du traitement ou les sous-traitants qui s'engagent à l'appliquer, sans préjudice des missions et des pouvoirs de l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56.

fr · official · sha256:f435376ea316e37b6c440e7afcab71449af43798cbdda1114f2b742d40d5aa50FR

Les associations et autres organismes visés au paragraphe 2 du présent article qui ont l'intention d'élaborer un code de conduite ou de modifier ou proroger un code de conduite existant soumettent le projet de code, la modifications ou la prorogation à l'autorité de contrôle qui est compétente en vertu de l'article 55. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code, la modification ou la prorogation respecte le présent règlement et approuve ce projet de code, cette modification ou cette prorogation si elle estime qu'il offre des garanties appropriées suffisantes.

Referencing norms: ApproveMultiStateCode, ApproveSingleStateCode, Article40ApproveMultiStateCodeDuty, Article40ApproveSingleStateCodeDuty

fr · official · sha256:b71b83d822999cf0c68668e518b6b352c8abef6042829850ebec584a7f4f7ec9FR

Lorsque le projet de code, la modification ou la prorogation est approuvé conformément au paragraphe 5, et lorsque le code de conduite concerné ne porte pas sur des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle enregistre et publie le code de conduite.

Referencing norms: Article40RegisterAndPublishDuty, RegisterAndPublishCode

fr · official · sha256:b40c00a9cfdf0408ac6c1276f60c5ee8b6135dea71877f58f078e3cb283bb28bFR

Lorsque le projet de code de conduite concerne des activités de traitement menées dans plusieurs États membres, l'autorité de contrôle qui est compétente en vertu de l'article 55 soumet le projet de code, la modification ou la prorogation, avant approbation, selon la procédure visée à l'article 63, au comité, qui rend un avis sur la question de savoir si le projet de code, la modification ou la prorogation respecte le présent règlement ou, dans la situation visée au paragraphe 3 du présent article, s'il offre des garanties appropriées.

Referencing norms: ApproveMultiStateCode, Article40ApproveMultiStateCodeDuty, Article40SubmitToBoardDuty, SubmitDraftCodeToBoard

fr · official · sha256:ff070496263a2828215a62aa03cb68905719133fe4ed847cfbb3041b5250804fFR

Lorsque l'avis visé au paragraphe 7 confirme que le projet de code, la modification ou la prorogation respecte le présent règlement ou, dans la situation visée au paragraphe 3, offre des garanties appropriées, le comité soumet son avis à la Commission.

fr · official · sha256:2e3e210760e2ddc3997ce7fb209c0f107652d823115d3c2cfa1062fa982772f3FR

La Commission peut décider, par voie d'actes d'exécution, que le code de conduite, la modification ou la prorogation approuvés qui lui ont été soumis en vertu du paragraphe 8 du présent article sont d'application générale au sein de l'Union. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2.

fr · official · sha256:76d88492ee362eb1de37658fa3b2bbb69a87694efcd4c26aedd36c94de2dc1b7FR

Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre des articles 57 et 58, le contrôle du respect du code de conduite en vertu de l'article 40 peut être effectué par un organisme qui dispose d'un niveau d'expertise approprié au regard de l'objet du code et qui est agréé à cette fin par l'autorité de contrôle compétente.

fr · official · sha256:a0e439de1fde2a7a7bb091078e70008fa80675d0d351965656a264a8f1875c2bFR

démontré, à la satisfaction de l'autorité de contrôle compétente, son indépendance et son expertise au regard de l'objet du code;

Referencing norms: Article41MonitoringBodyAccreditable

fr · official · sha256:445ea07d90c8f809a34807843d65d0943ef7f192be59eb2ae0c2d40e4990e3cbFR

établi des procédures qui lui permettent d'apprécier si les responsables du traitement et les sous-traitants concernés satisfont aux conditions pour appliquer le code, de contrôler le respect de ses dispositions et d'examiner périodiquement son fonctionnement;

Referencing norms: Article41MonitoringBodyAccreditable

fr · official · sha256:ccf0d2d1248178dbe9571f69b6c052e0c21535097d3ecaab6843a5152530e79cFR

établi des procédures et des structures pour traiter les réclamations relatives aux violations du code ou à la manière dont le code a été ou est appliqué par un responsable du traitement ou un sous-traitant, et pour rendre ces procédures et structures transparentes à l'égard des personnes concernées et du public; et

Referencing norms: Article41MonitoringBodyAccreditable

fr · official · sha256:d3780ed41a4a314074aec8fd4b870c88f193b05ad4dba2ea0db4c879ceaed2daFR

démontré, à la satisfaction de l'autorité de contrôle compétente, que ses tâches et ses missions n'entraînent pas de conflit d'intérêts.

Referencing norms: Article41MonitoringBodyAccreditable

fr · official · sha256:86bdbc5bc977ad45725237afadcd9af122ee1b2e69cedda241512927a49ce77eFR

Un organisme visé au paragraphe 1 peut être agréé pour contrôler le respect d'un code de conduite lorsque cet organisme a:

Referencing norms: Article41MonitoringBodyAccreditable

fr · official · sha256:cc99e6b2298cdaff34c9aa8ca32635d514d1219e2ae6f724df6478d2e9ba6a58FR

L’autorité de contrôle compétente soumet le projet d’exigences relatives à l’agrément d’un organisme visé au paragraphe 1 du présent article au comité en application du mécanisme de contrôle de la cohérence visé à l’article 63.

fr · official · sha256:b37b5420c1111d426d858d6e369d1f3e4a6f7ded0aceaff2540730b0dc8b4efdFR

Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente et des dispositions du chapitre VIII, un organisme visé au paragraphe 1 du présent article prend, sous réserve des garanties appropriées, des mesures appropriées en cas de violation du code par un responsable du traitement ou un sous-traitant, et peut notamment suspendre ou exclure le responsable du traitement ou le sous-traitant concerné de l'application du code. Il informe l'autorité de contrôle compétente de ces mesures et des raisons pour lesquelles elles ont été prises.

Referencing norms: Article41ActionDuty, TakeActionOnInfringementOfCode

fr · official · sha256:6f1015d1262ec0ae95d0c681b0e4e1243a774b718ab1291e81a266a1367fa777FR

L’autorité de contrôle compétente révoque l’agrément d’un organisme visé au paragraphe 1 si les exigences relatives à l’agrément ne sont pas ou ne sont plus respectées ou si les mesures prises par l’organisme constituent une violation du présent règlement.

Referencing norms: Article41RevocationDuty, Article41RevocationRequiredInfringement, Article41RevocationRequiredRequirements, RevokeMonitoringBodyAccreditation

fr · official · sha256:e7146716b5a12664c56fb2e3d7e4acf110648216bbc2f7fbf1281bac77f1cb78FR

Le présent article ne s'applique pas au traitement effectué par les autorités publiques et les organismes publics.

Referencing norms: Article41NotForPublicAuthorities, Article41NotForPublicAuthorities/unless/0, Article41NotForPublicAuthorities/unless/1

fr · official · sha256:2de1f2311e390bf21cd71f64f94f792202f5744b223a4af184227cce56c5854aFR

Les États membres, les autorités de contrôle, le comité et la Commission encouragent, en particulier au niveau de l'Union, la mise en place de mécanismes de certification en matière de protection des données ainsi que de labels et de marques en la matière, aux fins de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent le présent règlement. Les besoins spécifiques des micro, petites et moyennes entreprises sont pris en considération.

fr · official · sha256:840b6323bcb73345643ed090987fc143e369c8251d21a9cc83409689c196dd01FR

Outre l'application par les responsables du traitement ou les sous-traitants soumis au présent règlement, les mécanismes de certification, les labels ou les marques en matière de protection des données approuvés en vertu du paragraphe 5 du présent article peuvent être établis aux fins de démontrer que des responsables du traitement ou des sous-traitants qui ne sont pas soumis au présent règlement en vertu du l'article 3 fournissent des garanties appropriées dans le cadre des transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale dans les conditions visées à l'article 46, paragraphe 2, point f). Ces responsables du traitement ou sous-traitants prennent l'engagement contraignant et exécutoire, au moyen d'instruments contractuels ou d'autres instruments juridiquement contraignants, d'appliquer ces garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

fr · official · sha256:9cfea836a4efe858d3ccf13c25cce891cff879ea8dc59a72deac87b39ce9dff6FR

La certification est volontaire et accessible via un processus transparent.

fr · official · sha256:952f7830cc5b72cdc0571b11eb8a5ef4df1f1915eb68f062851c5b2b338b59dbFR

Une certification en vertu du présent article ne diminue par la responsabilité du responsable du traitement ou du sous-traitant quant au respect du présent règlement et est sans préjudice des missions et des pouvoirs des autorités de contrôle qui sont compétentes en vertu de l'article 55 ou 56.

fr · official · sha256:011c38b195fd9a37955234b791d06e194a3e13abb3eb9a357a3de3c6895ebe8dFR

Une certification en vertu du présent article est délivrée par les organismes de certification visés à l'article 43 ou par l'autorité de contrôle compétente sur la base des critères approuvés par cette autorité de contrôle compétente en application de l'article 58, paragraphe 3, ou par le comité en application de l'article 63. Lorsque les critères sont approuvés par le comité, cela peut donner lieu à une certification commune, le label européen de protection des données.

fr · official · sha256:480752a82d2a2d1a8e626bd432d35a1e7ac2d492b954943cfe6783f46d802dccFR

Le responsable du traitement ou le sous-traitant qui soumet son traitement au mécanisme de certification fournit à l'organisme de certification visé à l'article 43 ou, le cas échéant, à l'autorité de contrôle compétente toutes les informations ainsi que l'accès à ses activités de traitement, qui sont nécessaires pour mener la procédure de certification.

fr · official · sha256:8a31c7ad89506f58bacaa051a8f2b3153c4856c8cc645e488587f9ca95a3caf1FR

La certification est délivrée à un responsable du traitement ou à un sous-traitant pour une durée maximale de trois ans et peut être renouvelée dans les mêmes conditions tant que les critères applicables continuent d’être respectés. La certification est retirée, s’il y a lieu, par les organismes de certification visés à l’article 43 ou par l’autorité de contrôle compétente lorsque les critères applicables à la certification ne sont pas ou plus respectés.

Referencing norms: Article42PeriodExceedsMaximum, Article42PeriodWithinMaximum, Article42WithdrawalDuty, WithdrawCertification

fr · official · sha256:345aa3c12ec77e3a365ff5caf80070d189a60b0fdccefa54f972c5aa290716ebFR

Le comité consigne dans un registre tous les mécanismes de certification et les labels ou les marques en matière de protection des données et les met à la disposition du public par tout moyen approprié.

fr · official · sha256:1418a64cda956a3d1fafcba62bcc37a1f22aae26bda12be037f8c9d25a3cb853FR

l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56;

fr · official · sha256:b3a3575b41e429628c14183936d4799fa0a9679461643d60d193ffd83e981dc6FR

l'organisme national d'accréditation désigné conformément au règlement (CE) n o  765/2008 du Parlement européen et du Conseil ( 2 ), conformément à la norme EN-ISO/IEC 17065/2012 et aux exigences supplémentaires établies par l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56.

fr · official · sha256:c6cfe9481b31dc70c2ed04938d99abc54062e48b6b9a1fced57338ed3bccaa24FR

Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre des articles 57 et 58, les organismes de certification disposant d'un niveau d'expertise approprié en matière de protection des données délivrent et renouvellent les certifications, après en avoir informé l'autorité de contrôle pour qu'elle puisse exercer au besoin les pouvoirs qui lui sont dévolus en vertu de l'article 58, paragraphe 2, point h). Les États membres veillent à ce que ces organismes de certification soient agréés par une des entités suivantes ou les deux:

fr · official · sha256:35485c407863f17260a320320f4482bd7dd40c6ecc3ed82fa7cdf76fff0ad4c0FR

démontré, à la satisfaction de l'autorité de contrôle compétente, leur indépendance et leur expertise au regard de l'objet de la certification;

Referencing norms: Article43CertificationBodyAccreditable

fr · official · sha256:4bad8131ed1b6fa57750e2b404045940f24f0d384713aabdb9546d85b01b1ae3FR

pris l'engagement de respecter les critères visés à l'article 42, paragraphe 5, et approuvés par l'autorité de contrôle qui est compétente en vertu de l'article 55 ou 56 ou par le comité, en vertu de l'article 63;

Referencing norms: Article43CertificationBodyAccreditable

fr · official · sha256:52ee431c56a4a6f8a5c582fc179ed8d0dd69c51a395017d37d4a97ae2e2b59d7FR

mis en place des procédures en vue de la délivrance, de l'examen périodique et du retrait d'une certification, de labels et de marques en matière de protection des données;

Referencing norms: Article43CertificationBodyAccreditable

fr · official · sha256:cd1c1a1a08f22fda105319ed02e6d9e27e31a20e6b52c2f0e19be3011edf366dFR

établi des procédures et des structures pour traiter les réclamations relatives aux violations de la certification ou à la manière dont la certification a été ou est appliquée par un responsable du traitement ou un sous-traitant, et pour rendre ces procédures et structures transparentes à l'égard des personnes concernées et du public; et

Referencing norms: Article43CertificationBodyAccreditable

fr · official · sha256:7b987738fa90a8fd359aab8508785d1bb3232d16752a2e652e80d7194eafa8dfFR

démontré, à la satisfaction de l'autorité de contrôle compétente, que leurs tâches et leurs missions n'entraînent pas de conflit d'intérêts.

Referencing norms: Article43CertificationBodyAccreditable

fr · official · sha256:2296b49144c1413fe8b64b9ba25fa7ad509b851b2cf67be175e48fc6f928e872FR

Les organismes de certification visés au paragraphe 1 ne sont agréés conformément audit paragraphe que lorsqu'ils ont:

Referencing norms: Article43CertificationBodyAccreditable

fr · official · sha256:c7bc1330d7d7a707a04887edf5460553e4b650d1f4f0283c0a4619fb405d10d9FR

L’agrément des organismes de certification visés aux paragraphes 1 et 2 du présent article se fait sur la base d’exigences approuvées par l’autorité de contrôle qui est compétente en vertu de l’article 55 ou 56 ou par le comité en vertu de l’article 63. En cas d'agrément en application du paragraphe 1, point b), du présent article, ces exigences complètent celles prévues dans le règlement (CE) n o  765/2008 et les règles techniques qui décrivent les méthodes et procédures des organismes de certification.

fr · official · sha256:42b8e9ae7586884a75d4fe0a65d02bf1ab2d3db42dd07704034602751ce45a86FR

Les organismes de certification visés au paragraphe 1 sont chargés de procéder à l'évaluation appropriée conduisant à la délivrance de la certification ou au retrait de cette certification, sans préjudice de la responsabilité du responsable du traitement ou du sous-traitant en ce qui concerne le respect du présent règlement. L'agrément est délivré pour une durée maximale de cinq ans et peut être renouvelé dans les mêmes conditions tant que l'organisme de certification satisfait aux exigences énoncées au présent article.

Referencing norms: Article43AccreditationExceedsMaximum, Article43AccreditationWithinMaximum

fr · official · sha256:c85d3394a30a303498bfacf9a587a7c6ced43992b655bdae44e22e8f305ee9f1FR

Les organismes de certification visés au paragraphe 1 communiquent aux autorités de contrôle compétentes les raisons de la délivrance ou du retrait de la certification demandée.

Referencing norms: Article43ReasonsDuty, ProvideReasonsForCertificationDecision

fr · official · sha256:9534ed66ed90c888204f6d4cd79af3b4e3be1cb33bfe2e0cdbe6cc7daa77c2d4FR

Les exigences visées au paragraphe 3 du présent article et les critères visés à l’article 42, paragraphe 5, sont publiés par les autorités de contrôle sous une forme aisément accessible. Les autorités de contrôle transmettent aussi ces exigences et ces critères au comité.

fr · official · sha256:4cc09e58572529fee35f69707de92cd1ba8795d1d744478dcdebc4e2e0e58737FR

Sans préjudice du chapitre VIII, l'autorité de contrôle compétente ou l'organisme national d'accréditation révoque l'agrément d'un organisme de certification en application du paragraphe 1 du présent article si les conditions d'agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l'organisme de certification constituent une violation du présent règlement.

Referencing norms: Article43RevocationDuty, Article43RevocationRequiredConditions, Article43RevocationRequiredInfringement, RevokeCertificationBodyAccreditation

fr · official · sha256:94159005edbab935c5a66b294530b1c1e60bde66de1b364a01cf155ba024bb8aFR

La Commission est habilitée à adopter des actes délégués en conformité avec l'article 92, aux fins de préciser les exigences à prendre en considération en ce qui concerne les mécanismes de certification en matière de protection des données visés à l'article 42, paragraphe 1.

fr · official · sha256:108685803a3b9ee0fa3049089d2a4aca1d85885ceb2843f4a006c400b1eecac4FR

La Commission peut adopter des actes d'exécution visant à fixer des normes techniques pour les mécanismes de certification, les labels et les marques en matière de protection des données, ainsi que les mécanismes aux fins de la promotion et de la reconnaissance de ces mécanismes de certification, labels et marques. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2.