Title: wetten.nl - Regeling - NL accreditatie-vereisten voor organen die toezicht houden op de AVG-gedragscode - BWBR0044921

Source: https://wetten.overheid.nl/BWBR0044921/

Content:
{"title": "wetten.nl - Regeling - NL accreditatie-vereisten voor organen die toezicht houden op de AVG-gedragscode - BWBR0044921", "content": "NL accreditatie-vereisten voor organen die toezicht houden op de AVG-gedragscode\n\nDe Autoriteit Persoonsgegevens (hierna te noemen: AP),\n\nOverwegende dat in artikel 41, eerste lid, van de Algemene Verordening Gegevensbescherming\n                                    (AVG) 2016/679 van 26\u00a0april 2016 wordt gesteld dat toezicht op de naleving van goedgekeurde\n                                    gedragscodes uitgeoefend kan worden door een onpartijdig toezichthoudend orgaan dat\n                                    over de passende deskundigheid met betrekking tot het onderwerp van de gedragscode\n                                    beschikt en daartoe door de bevoegde toezichthoudende autoriteit is geaccrediteerd;\n\nOverwegende dat in artikel 41, derde lid, AVG, wordt gesteld dat de bevoegde toezichthoudende\n                                    autoriteit de ontwerpcriteria voor accreditatie van een in het eerste lid van artikel\n                                    41 bedoeld orgaan voorlegt aan het Comit\u00e9 overeenkomstig het in artikel 63 en artikel\n                                    64, eerste lid, onderdeel c, bedoelde coherentiemechanisme;\n\nOverwegende dat in artikel 57, eerste lid, aanhef en onder p, AVG, wordt bepaald dat\n                                    elke toezichthoudende autoriteit verantwoordelijk is voor het opstellen en het bekendmaken\n                                    van de vereisten voor de accreditatie van een orgaan voor het toezicht op gedragscodes\n                                    op grond van artikel 41 van de AVG;\n\nOverwegende dat in artikel 6, tweede lid, van de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG) wordt bepaald dat de AP de toezichthoudende autoriteit is, als bedoeld\n                                    in artikel 51, eerste lid, van de AVG;\n\nOverwegende dat het Europees Comit\u00e9 voor gegevensbescherming (EDPB) Guidelines 1/2019 on Codes of Conduct and Monitoring Bodies under Regulation 2016/679, heeft aangenomen, en met name paragraaf 60 daarvan;\n\nOverwegende dat in deze richtsnoeren een aantal vereisten wordt genoemd waaraan het\n                                    voorgestelde toezichthoudend orgaan moet voldoen om accreditatie te krijgen, waarbij\n                                    met name aan de volgende voorwaarden moet worden voldaan:\n\n\u2013 Aantonen van onafhankelijkheid en deskundigheid met betrekking tot het onderwerp van\n                                          de gedragscode conform artikel 41, tweede lid, onderdeel a.\n\n\u2013 Aantonen van vastgestelde procedures op grond waarvan het kan beoordelen of de betrokken\n                                          verwerkingsverantwoordelijken en verwerkers in aanmerking komen om de gedragscode\n                                          toe te passen, het toezicht kan houden op de naleving van de bepalingen van de gedragscode\n                                          door deze laatsten en het de werking van de gedragscode op gezette tijden kan toetsen\n                                          conform artikel 41, tweede lid, onderdeel b.\n\n\u2013 Aantonen van vastgestelde procedures en structuren om klachten te behandelen over\n                                          inbreuken op de gedragscode of over de wijze waarop daaraan uitvoering is of wordt\n                                          gegeven door een verwerkingsverantwoordelijke of verwerker, en om die procedures en\n                                          structuren voor betrokkenen en het publiek transparant te maken conform artikel 41, tweede lid, onderdeel c.\n\n\u2013 Aantonen ten genoegen van de bevoegde toezichthoudende autoriteit dat zijn taken en\n                                          bevoegdheden niet tot een belangenconflict leiden conform artikel 41, tweede lid, onderdeel d.\n\nOverwegende dat de EDPB op 23\u00a0juli 2020 Opinion 07/2020 on the draft decision of the competent supervisory authority of Netherlands\n                                             regarding the approval of the requirement for accreditation of a code of conduct monitoring\n                                             body pursuant to article 41 GDPR heeft aangenomen.\n\nHeeft op 23\u00a0februari 2021 het volgende besluit genomen inzake de accreditatie-vereisten\n                                          voor organen die toezicht houden op de AVG-gedragscode:\n\nAccreditatie-vereisten\n\nMet dit besluit wil de AP de ontwikkeling van gedragscodes voor kleine, middelgrote\n                                    en micro-ondernemingen aanmoedigen teneinde een consistente uitvoering van de AVG\n                                    te bevorderen, de rechtszekerheid voor verwerkingsverantwoordelijken en verwerkers\n                                    te vergroten en het vertrouwen van de betrokkenen te versterken. De eis dat gedragscodes\n                                    onder toezicht moeten staan van een geaccrediteerd toezichthoudend orgaan mag de ontwikkeling\n                                    van gedragscodes niet in de weg staan. Bij de toepassing van accreditatie-eisen voor\n                                    toezichthoudende organen moet derhalve rekening worden gehouden met de specifieke\n                                    kenmerken van de verwerking in elke sector. De toepassing moet daarnaast zo flexibel\n                                    mogelijk zijn terwijl tegelijkertijd wordt voldaan aan het wettelijk kader dat wordt\n                                    gevormd door de AVG, de Guidelines 01/2019 en de relevante Adviezen van de EDPB.\n\nDe AP behoudt zich het recht voor een op risicoanalyse gebaseerde toetsing van het\n                                    toezichthoudend orgaan uit te voeren om te waarborgen dat het orgaan nog steeds voldoet\n                                    aan de eisen voor accreditatie. Een dergelijke toetsing kan (onder andere) worden\n                                    ge\u00efnitieerd door wijzigingen van de gedragscode, wezenlijke veranderingen bij het\n                                    toezichthoudend orgaan of wanneer het toezichthoudend orgaan nalaat zijn toezichthoudende\n                                    functies uit te voeren. In het geval van wezenlijke veranderingen bij het toezichthoudend\n                                    orgaan die betrekking hebben op de mogelijkheid van het orgaan om onafhankelijk en\n                                    effectief te functioneren, wordt een toetsing altijd uitgevoerd.\n\nHet toezichthoudend orgaan behoudt zijn accreditatiestatus tenzij de uitkomst van\n                                    deze toetsing is dat niet langer wordt voldaan aan de vereisten voor accreditatie.\n\nWanneer een nieuw of aanvullend orgaan wordt ge\u00efntroduceerd om toezicht te houden\n                                    op een gedragscode dient het nieuwe orgaan beoordeeld te worden in lijn met de accreditatiecriteria.\n\nDe in dit document opgesomde vereisten zijn op een toezichthoudend orgaan van toepassing\n                                    ongeacht of het een intern of extern orgaan betreft, tenzij in het vereiste anders\n                                    is vermeld.\n\nToelichting:\n\nHet toezichthoudend orgaan toont zijn onafhankelijkheid en onpartijdigheid aan. Het\n                                       toezichthoudend orgaan toont aan hoe zijn structuur en formele benoemingsregels waarborgen\n                                       dat het vrij van instructies kan handelen en dat het beschermd is tegen elke vorm\n                                       van inmenging of sancties van de deelnemers aan de gedragscode of de gedragscodehouder\n                                       ten gevolge van de uitoefening van zijn taken.\n\nDe onderstaande eisen geven aan wat verstaan wordt onder onafhankelijkheid. Dit dient\n                                       te worden aangetoond op vier belangrijke gebieden: juridische en besluitvormingsprocedures,\n                                       financi\u00ebn, organisatie en verantwoording. Onafhankelijkheid van een toezichthoudend\n                                       orgaan kan opgevat worden als een serie formele regels en procedures voor de benoeming,\n                                       het mandaat en het functioneren van het toezichthoudend orgaan. Deze regels en procedures\n                                       stellen het toezichthoudend orgaan in staat zijn toezichthoudende taken uit te voeren\n                                       zonder invloed van de deelnemers aan de gedragscode of de gedragscodehouder.\n\nDe structuur en leiding van toezichthoudende organen is zodanig dat hun onafhankelijkheid\n                                       en onpartijdigheid gewaarborgd is en zij moeten dit bij indiening aantonen aan de\n                                       AP.\n\nInterne organen moeten bewijs overleggen om te waarborgen dat de onafhankelijkheid\n                                       van hun toezichthoudende activiteiten niet wordt gecompromitteerd.\n\nEisen:\n\n1.1 Juridische en besluitvormingsprocedures\n\n1.1.1 Juridische en besluitvormingsprocedures\n\n\u2013 De juridische structuur van het toezichthoudend orgaan, met inbegrip van de eigendom,\n                                                         moet het toezichthoudend orgaan afschermen van be\u00efnvloeding van buitenaf met betrekking\n                                                         tot de gedragscodehouder en de deelnemers aan de gedragscode. Dit kan bijvoorbeeld\n                                                         worden aangetoond door indiening van de volgende documenten: de statuten (de formele\n                                                         documenten die bij een overheidsinstantie zijn ingediend om de oprichting van een\n                                                         onderneming rechtsgeldig te maken) van het toezichthoudend orgaan en de statuten van\n                                                         de gedragscodehouder. Ook kan worden aangetoond dat de termijn, of het verstrijken\n                                                         van het mandaat, van het toezichthoudend orgaan zodanig is dat voorkomen wordt dat\n                                                         men te zeer afhankelijk is van een verlenging of te bang is de aanstelling te verliezen\n                                                         waardoor de onafhankelijkheid bij het uitvoeren van de toezichthoudende activiteiten\n                                                         door het toezichthoudend orgaan in het geding komt.\n\n\u2013 Het toezichthoudend orgaan maakt melding van elke juridische en economische band die\n                                                         mogelijk bestaat tussen het toezichthoudend orgaan en de gedragscodehouder of deelnemers\n                                                         aan de code, alsmede met betrekking tot de beroepsgroep, branche of sector waarop\n                                                         de code betrekking heeft.\n\n\u2013 De besluitvormingsprocessen van het toezichthoudend orgaan moeten waarborgen dat het\n                                                         toezichthoudend orgaan tijdens de besluitvorming, vanaf het bedenken van een besluit\n                                                         tot de tenuitvoerlegging ervan, beschermd wordt tegen ongepaste be\u00efnvloeding. De onafhankelijkheid\n                                                         en onpartijdigheid van de besluitvormingsprocedure kan bijvoorbeeld worden aangetoond\n                                                         door overlegging van het organogram van het toezichthoudend orgaan en de gedragscodehouder;\n                                                         een beschrijving van het besluitvormingsproces waarin ook gewezen wordt op de rollen\n                                                         en prerogatieven van alle partijen die betrokken zijn bij het besluitvormingsproces\n                                                         achter de besluitvormingsprocedure.\n\n\u2013 Het toezichthoudend orgaan kan een intern of extern orgaan zijn. Van belang is dat\n                                                         onderbouwd kan worden dat er adequate procedures en regels zijn die het mogelijk maken\n                                                         toezicht op de naleving van een gedragscode te houden zonder ongepaste druk of be\u00efnvloeding\n                                                         van de gedragscodehouder of deelnemers aan de gedragscode.\n\n1.1.2 Het toezichthoudend orgaan toont aan dat het onafhankelijk zal handelen in zijn keuze\n                                                   en toepassing van maatregelen en sancties. Dit kan worden onderbouwd door formele\n                                                   regels voor benoeming, mandaten, bevoegdheden en functioneren van elk van de comit\u00e9s\n                                                   of medewerkers die betrokken kunnen zijn bij een intern toezichthoudend orgaan (bijv.\n                                                   comit\u00e9s of medewerkers dienen vrij te zijn van elke vorm van commerci\u00eble, financi\u00eble\n                                                   of andersoortige druk die van invloed kan zijn op besluiten).\n\n1.1.3 Een intern toezichthoudend orgaan verstrekt informatie met betrekking tot zijn relatie\n                                                   tot de grotere eenheid (met name de gedragscodehouder) en onderbouwt zijn onpartijdigheid.\n                                                   Hiertoe kunnen bewijzen worden overgelegd zoals barri\u00e8res voor toegang tot informatie,\n                                                   gescheiden rapportage en gescheiden operationele en managementfuncties.\n\n1.1.4 Het toezichthoudend orgaan toont organisatorische onafhankelijkheid aan. Zo kan een\n                                                   intern toezichthoudend orgaan in voorkomend geval andere logo's of namen gebruiken,\n                                                   barri\u00e8res voor toegang tot informatie of gescheiden rapportagestructuren instellen.\n\n1.1.5 Het toezichthoudend orgaan verleent geen diensten aan deelnemers aan de code die zijn\n                                                   onafhankelijkheid in het geding zouden brengen.\n\n1.1.6 Elk besluit van het toezichthoudend orgaan dat betrekking heeft op zijn functies is\n                                                   niet onderworpen aan goedkeuring door een andere organisatie, met inbegrip van de\n                                                   gedragscode.\n\n1.2 Financi\u00ebn\n\n1.2.1 Het toezichthoudend orgaan toont aan dat het financieel stabiel is en over middelen\n                                                   beschikt om zijn activiteiten uit te voeren en aan zijn verplichtingen te voldoen.\n                                                   De middelen moeten in verhouding staan tot het verwachte aantal en de verwachte omvang\n                                                   en complexiteit van de deelnemers aan de code (zijnde de entiteiten waarop toezicht\n                                                   wordt gehouden), de aard en reikwijdte van de code (het onderwerp van de code) en\n                                                   de risico's die verbonden zijn aan de verwerkingsactiviteit(en).\n\n1.2.2 Het toezichthoudend orgaan is in staat om onafhankelijk zijn eigen budget en middelen\n                                                   te beheren en op effectieve wijze toe te zien op de naleving zonder enige vorm van\n                                                   be\u00efnvloeding van de gedragscodehouder of deelnemers aan de code.\n\nHiertoe kunnen bewijzen worden overgelegd die aantonen dat de middelen waarmee het\n                                                   orgaan financi\u00eble ondersteuning krijgt, zijn onafhankelijkheid niet in het geding\n                                                   brengen. Een toezichthoudend orgaan wordt bijvoorbeeld niet als financieel onafhankelijk\n                                                   beschouwd als volgens de regels inzake financi\u00eble ondersteuning een deelnemer aan\n                                                   de code, die onder toezicht staat van het toezichthoudende orgaan, zijn financi\u00eble\n                                                   bijdrage aan het orgaan kan stopzetten om een mogelijke sanctie van het orgaan te\n                                                   ontlopen.\n\n1.2.3 Het toezichthoudend orgaan toont de AP aan op welke wijze het de financi\u00eble ondersteuning\n                                                   krijgt om zijn toezichthoudende rol te kunnen uitoefenen en legt uit hoe dit zijn\n                                                   onafhankelijkheid niet compromitteert. Dit kan worden onderbouwd door overlegging\n                                                   van contractuele bepalingen of overige documentatie waaruit blijkt hoe het toezichthoudend\n                                                   orgaan financi\u00eble ondersteuning krijgt voor zijn toezichthoudende rol.\n\n1.3 Organisatie\n\n1.3.1 Het toezichthoudend orgaan toont aan dat het over adequate middelen (waaronder technische\n                                                   middelen) en medewerkers beschikt om zijn taken op effectieve wijze uit te voeren.\n                                                   De middelen moeten in verhouding staan tot het verwachte aantal en de verwachte omvang\n                                                   en complexiteit van de deelnemers aan de code en complexiteit en mate van risico's\n                                                   die verbonden zijn aan de gegevensverwerking. Het orgaan moet daarnaast aantonen dat\n                                                   het onafhankelijk van de gedragscodehouder en deelnemers aan de code kan handelen\n                                                   en beschermd is tegen inmenging of sancties als gevolg van deze taak.\n\n1.3.2 Het toezichthoudend orgaan overlegt tijdens het aanvraagproces bewijzen dat zijn medewerkers\n                                                   onafhankelijk kunnen handelen en zonder ongepaste druk of be\u00efnvloeding in relatie\n                                                   tot:\n\na. toezicht op middelen en financi\u00ebn van het toezichthoudend orgaan;\n\nb. besluiten over en prestaties op het gebied van toezicht op de naleving; en\n\nc. waarborgen van onpartijdigheid.\n\nDergelijk bewijs kan onder andere bestaan uit gedocumenteerde wervings/benoemingsprocessen,\n                                                   functieomschrijvingen, risicoregisters, risicobehandelingen, notulen van bijeenkomsten\n                                                   en andere gedocumenteerde processen, naargelang van toepassing.\n\n1.3.3 Wanneer een toezichthoudend orgaan gebruikmaakt van onderaannemers, zorgt het ervoor\n                                                   dat er voldoende waarborgen zijn in termen van kennis, betrouwbaarheid en middelen\n                                                   bij de onderaannemer en dat verplichtingen die op het toezichthoudend orgaan van toepassing\n                                                   zijn op dezelfde wijze op de onderaannemer van toepassing zijn. Ook wanneer gebruik\n                                                   wordt gemaakt van onderaannemers waarborgt het toezichthoudend orgaan dat effectief\n                                                   toezicht wordt gehouden op de door de aannemer geleverde diensten. Het gebruik van\n                                                   onderaannemers laat de verantwoordelijkheid van het toezichthoudend orgaan onverlet.\n                                                   Dit kan onderbouwd worden met bewijs dat onder andere het volgende kan omvatten:\n\na. schriftelijke overeenkomsten of afspraken over bijvoorbeeld verantwoordelijkheden,\n                                                         geheimhouding, het soort gegevens dat wordt bewaard en een vereiste dat de gegevens\n                                                         veilig worden bewaard;\n\nb. er moet tevens een heldere procedure voor onderaanneming worden gedocumenteerd met\n                                                         inbegrip van de voorwaarden waaronder dit mag plaatsvinden, een goedkeuringsproces\n                                                         en het toezicht op onderaannemers;\n\nc. vereisten met betrekking tot het be\u00ebindigen van deze overeenkomsten, met name om te\n                                                         waarborgen dat onderaannemers aan hun verplichtingen inzake gegevensbescherming voldoen;\n\nen\n\nd. het toezichthoudend orgaan verzekert dat er voldoende gedocumenteerde procedures zijn\n                                                         om de onafhankelijkheid, deskundigheid en ontbreken van belangenverstrengeling bij\n                                                         de onderaannemers te waarborgen.\n\n1.4 Verantwoordingsplicht\n\n1.4.1 Het toezichthoudend orgaan overlegt bewijzen om te onderbouwen dat het verantwoording\n                                                   aflegt voor zijn besluiten en maatregelen, bijvoorbeeld door het opstellen van een\n                                                   kader voor zijn rollen en verslagleggingsprocedures en zijn besluitvormingsproces\n                                                   teneinde de onafhankelijkheid te waarborgen. Dergelijk bewijs zou onder andere kunnen\n                                                   bestaan uit functieomschrijvingen, managementrapporten en beleid om bewustwording\n                                                   onder de medewerkers omtrent bestuursstructuren en bestaande procedures te vergroten\n                                                   (bijvoorbeeld door training).\n\nToelichting:\n\nMet de onderstaande eisen wordt beoogd te waarborgen dat het toezichthoudend orgaan\n                                       over adequate competenties beschikt om op effectieve wijze toezicht te houden op een\n                                       gedragscode. De eisen die aan deze deskundigheid worden gesteld worden nader uitgewerkt\n                                       in de gedragscode zelf. Deze code-specifieke eisen zijn afhankelijk van factoren als\n                                       de omvang van de betreffende sector, de verschillende belangen en de risico's verbonden\n                                       aan de verwerkingsactiviteiten. Deze code-specifieke eisen worden beschouwd als onderdeel\n                                       van de accreditatie.\n\nWil een toezichthoudend orgaan voldoen aan de eisen omtrent deskundigheid, dan dient\n                                       het aan te tonen dat zijn medewerkers over de vereiste deskundigheid en ervaring beschikken\n                                       in relatie tot de sector, verwerkingsactiviteit, wetgeving inzake gegevensbescherming\n                                       en controles om het toezicht op de naleving op effectieve wijze uit te voeren. Dit\n                                       kan ten behoeve van de AP worden onderbouwd door onder andere functiebeschrijvingen\n                                       van medewerkers, specificatievereisten, kwalificaties, vereiste of relevante ervaring,\n                                       gepubliceerde rapporten, etc.\n\nEisen:\n\n2.1 Het toezichthoudend orgaan toont aan dat het een diepgaand inzicht, grondige kennis\n                                             en gedegen ervaring heeft met betrekking tot de specifieke gegevensverwerkingsactiviteiten\n                                             in relatie tot de gedragscode. Om te bewijzen dat het orgaan over erkende deskundigheid\n                                             beschikt kan het zijn status aantonen als beroepsorganisatie, intern comit\u00e9, brancheorganisatie,\n                                             belangengroep, federatie, maatschappij, sectoraal, juridisch of controleorgaan of\n                                             soortgelijk orgaan die of dat erkend en vindbaar is.\n\n2.2 Het toezichthoudend orgaan waarborgt dat medewerkers die zijn toezichthoudende functies\n                                             uitvoeren of namens het toezichthoudend orgaan besluiten nemen, beschikken over grondige\n                                             kennis over de sector en gegevensbescherming en over operationele deskundigheid, training\n                                             en kwalificaties zoals eerder opgedane deskundigheid op het gebied van controles,\n                                             toezicht of kwaliteitsborging.\n\n2.3 Het toezichthoudend orgaan toont aan dat het voldoet aan de eisen inzake deskundigheid\n                                             van 2.1 en 2.2 en tevens aan de relevante deskundigheidseisen zoals omschreven in\n                                             de gedragscode. Deskundigheid kan bijvoorbeeld worden aangetoond door het overleggen\n                                             van bewijs dat er op dit gebied op adequate wijze getrainde, deskundige en ervaren\n                                             medewerkers werkzaam zijn. Hiertoe kunnen bijvoorbeeld diploma's, certificaten en\n                                             bewijzen van ervaring worden overgelegd.\n\nToelichting:\n\nMet de onderstaande eisen wordt beoogd te waarborgen dat de voorstellen voor toezicht\n                                       operationeel haalbaar zijn; het toezichtsproces moet specifiek worden omschreven en\n                                       aangetoond moet worden hoe het toezichtsmechanisme van de code handen en voeten krijgt.\n\nHet toezichthoudend orgaan moet bij de AP aantonen dat het procedures, structuren\n                                       en middelen heeft vastgesteld om te kunnen beoordelen of de verwerkingsverantwoordelijke\n                                       of de verwerker de gedragscode kan toepassen, toezicht kan houden op de naleving ervan\n                                       en de werking van de code periodiek kan toetsen.\n\nBij toezichtsprocedures moet rekening worden gehouden met de risico's die verbonden\n                                       zijn aan gegevensverwerking, ontvangen klachten en het verwachte aantal en de omvang\n                                       van de deelnemers aan de code. Deze procedures kunnen leiden tot de publicatie van\n                                       informatie over het toezicht, waaronder controlerapporten of samenvattingen of periodieke\n                                       rapportages met bevindingen.\n\nHet toezichthoudend orgaan legt de corrigerende maatregelen en sancties op zoals omschreven\n                                       in de gedragscode.\n\nEisen:\n\n3.1 Het toezichthoudend orgaan toont aan dat het een procedure heeft om vooraf te controleren\n                                             of een beoogd deelnemer in staat is aan de gedragscode te voldoen, bijvoorbeeld door\n                                             te kijken of de verwerking van persoonsgegevens onder de reikwijdte van de desbetreffende\n                                             code valt.\n\n3.2 Het toezichthoudend orgaan toont aan dat er voorafgaande, ad hoc en reguliere procedures\n                                             zijn ingesteld om toe te zien op de naleving van deelnemers binnen een helder tijdsbestek.\n                                             Dit zijn bijvoorbeeld procedures die voorzien in controles die gedurende een vastgesteld\n                                             tijdsbestek en op grond van vooraf vastgestelde criteria worden uitgevoerd.\n\n3.3 Het toezichthoudend orgaan toont aan dat het een procedure heeft om toezicht te kunnen\n                                             houden op de naleving gedurende een vastgestelde termijn, waarbij rekening gehouden\n                                             wordt met onder andere de complexiteit en de bijbehorende risico's, het verwachte\n                                             aantal en de omvang van de deelnemers aan de code, de geografische reikwijdte en de\n                                             ontvangen klachten.\n\n3.4 Het toezichthoudend orgaan toont aan dat in hun controle- of toetsingsprocedures wordt\n                                             omschreven welke criteria worden beoordeeld, welke beoordelingen worden toegepast\n                                             en welke procedure er is om de bevindingen vast te leggen. Toetsingsprocedures kunnen\n                                             bijvoorbeeld controles, inspecties, rapportages, het toepassen van zelftoezicht of\n                                             vragenlijsten omvatten.\n\n3.5 Het toezichthoudend orgaan toont aan dat zij een procedure hebben voor het onderzoeken,\n                                             vaststellen en behandelen van inbreuken op de gedragscode door deelnemers daaraan\n                                             alsmede aanvullende controles om te waarborgen dat passende maatregelen worden genomen\n                                             om deze inbreuken ongedaan te maken zoals vervat in de relevante gedragscode.\n\n3.6 Het toezichthoudend orgaan is verantwoordelijk voor het beheer van alle informatie\n                                             die wordt verkregen of aangemaakt tijdens het toezichtsproces. Het toezichthoudend\n                                             orgaan waarborgt dat medewerkers alle informatie die wordt verkregen of aangemaakt\n                                             tijdens de uitvoering van hun taken vertrouwelijk houden, tenzij zij verplicht zijn\n                                             deze openbaar te maken of wettelijk zijn vrijgesteld.\n\nToelichting:\n\nTransparante en publiekelijk beschikbare procedures en structuren voor klachtenafhandeling\n                                       in relatie tot deelnemers aan de code, vormen een essentieel element in het toezicht\n                                       op gedragscodes. Het proces moet met voldoende middelen ondersteund en beheerd worden\n                                       en de medewerkers moeten blijk geven van voldoende (adequate) kennis en onpartijdigheid.\n\nOm aan deze eisen te voldoen moet het toezichthoudend orgaan bewijzen dat het beschikt\n                                       over een gedocumenteerd, onafhankelijk en transparant klachtenafhandelingsproces waarin\n                                       klachten binnen een redelijke termijn worden ontvangen, beoordeeld, opgevolgd, opgeslagen\n                                       en afgehandeld.\n\nWanneer van toepassing wordt informatie betreffende het besluit van het toezichthoudend\n                                       orgaan aan alle betrokkenen verstrekt binnen een termijn van ten hoogste drie maanden.\n\nEisen:\n\n4. Klachten over deelnemers aan de code\n\n4.1 Het toezichthoudend orgaan toont aan dat het over een helder kader voor een publiekelijk\n                                             beschikbare, toegankelijke en gemakkelijk te begrijpen klachtenafhandelings- en besluitvormingsproces\n                                             beschikt. Dit kan worden gedaan door bijvoorbeeld een overzicht te geven van de procedure\n                                             om klachten te ontvangen, te beheren en te verwerken. Dit overzicht moet eveneens\n                                             publiekelijk beschikbaar en gemakkelijk toegankelijk zijn. In deze procedure wordt\n                                             bijvoorbeeld het volgende gespecificeerd:\n\n\u2013 op welke wijze de klager wordt ge\u00efnformeerd;\n\n\u2013 de gevolgen indien de klacht wordt verworpen;\n\n\u2013 de gevolgen indien de klacht als gerechtvaardigd wordt beschouwd.\n\n4.2 Het toezichthoudend orgaan bevestigt de ontvangst van de klacht en de klager wordt\n                                             zonder onnodige vertraging en uiterlijk drie maanden na ontvangst van de klacht in\n                                             kennis gesteld van de voortgang of het genomen besluit.\n\nDe periode waarin de klacht moet worden afgehandeld, kan indien nodig met een redelijke\n                                             termijn worden verlengd, rekening houdend met de complexiteit van de klacht. Het toezichthoudend\n                                             orgaan stelt de klager in kennis van een dergelijke verlenging binnen drie maanden\n                                             na ontvangst van de klacht, onder vermelding van de redenen voor de vertraging.\n\n4.3 Het toezichthoudend orgaan overlegt bewijs van passende corrigerende maatregelen,\n                                             zoals omschreven in de gedragscode, in gevallen waarin inbreuk op de code wordt gemaakt\n                                             teneinde daaraan een einde te maken en herhaling in de toekomst te voorkomen. Dergelijke\n                                             sancties kunnen mede omvatten: training, het geven van een waarschuwing, rapporteren\n                                             aan het bestuur van de deelnemer, formele kennisgeving waarin maatregelen worden verlangd,\n                                             schorsing of uitsluiting van de code.\n\n4.4 Het toezichthoudend orgaan overlegt bewijs van hun proces van onverwijlde kennisgeving\n                                             aan de AP, deelnemers aan de gedragscode en de gedragscodehouder, omtrent de genomen\n                                             maatregelen en onderbouwing van mogelijke inbreuken die tot de schorsing of uitsluiting\n                                             van een deelnemer aan de code hebben geleid.\n\n4.5 Het toezichthoudend orgaan houdt een register bij van alle klachten en acties en de\n                                             AP heeft hiertoe te allen tijde toegang.\n\n4.6 In overeenstemming met de EDPB-richtsnoeren worden besluiten van het toezichthoudend\n                                             orgaan publiekelijk beschikbaar gesteld conform zijn klachtenafhandelingsprocedure.\n                                             Besluiten worden gepubliceerd wanneer deze betrekking hebben op herhaalde en/of ernstige\n                                             schendingen van de code, zoals schendingen die kunnen leiden tot schorsing of uitsluiting\n                                             van de verwerkingsverantwoordelijke of verwerker.\n\nIn andere gevallen kan volstaan worden met publicatie van samenvattingen van besluiten\n                                             of van statistische gegevens.\n\nToelichting:\n\nMet de onderstaande eisen wordt beoogd te waarborgen dat het toezichthoudend orgaan\n                                       zijn toezichthoudende activiteiten op onpartijdige wijze kan uitvoeren, waarbij situaties\n                                       worden ge\u00efdentificeerd die waarschijnlijk tot tegengestelde belangen zouden kunnen\n                                       leiden en stappen worden genomen om dit te vermijden.\n\nHet is aan het toezichthoudend orgaan om uit te leggen op welke wijze de onpartijdigheid\n                                       wordt gewaarborgd en om de mechanismen aan te tonen waarmee deze risico's in voorkomend\n                                       geval worden weggenomen of verminderd. Factoren die een risico kunnen vormen voor\n                                       de onpartijdigheid van het toezichthoudend orgaan kunnen bijvoorbeeld te maken hebben\n                                       met eigendom, bestuur, management, personeel, gedeelde bronnen, financi\u00ebn, contracten,\n                                       uitbesteding, training, marketing en de betaling van verkoopprovisie.\n\nEen belangenconflict zou bijvoorbeeld kunnen optreden wanneer medewerkers die controles\n                                       uitvoeren of besluiten nemen namens een toezichthoudend orgaan eerder hebben gewerkt\n                                       bij een van de organisaties die zich bij de code hebben aangesloten. Om een dergelijk\n                                       belangenconflict te voorkomen zouden de medewerkers hiervan melding moeten maken en\n                                       zou het werk door anderen moeten worden uitgevoerd.\n\nEisen:\n\n5.1 Het toezichthoudend orgaan beschikt over een gedocumenteerde procedure voor het stelselmatig\n                                             identificeren, analyseren, evalueren, behandelen, monitoren en documenteren van mogelijke\n                                             risico's voor de onpartijdigheid die voortvloeien uit zijn activiteiten. De medewerkers\n                                             van het toezichthoudend orgaan verplichten zich deze eisen na te leven en elke situatie\n                                             die waarschijnlijk tot een belangenconflict leidt te melden. Het toezichthoudend orgaan\n                                             onthoudt zich van elke actie die onverenigbaar is met zijn taken en plichten.\n\n5.2 Het toezichthoudend orgaan kiest zijn eigen medewerkers of is verantwoordelijk voor\n                                             de aansturing of het management ervan. Dit kan worden aangetoond door overlegging\n                                             van bewijzen zoals functieomschrijvingen, personeelsdossiers, toewijzing middelen\n                                             personeelswerving en lijnmanagementstructuur.\n\nMedewerkers kunnen worden verstrekt door een ander orgaan dat los staat van de code.\n                                             Een voorbeeld van dit laatste zouden medewerkers kunnen zijn die zijn geworven door\n                                             een onafhankelijk derde bedrijf dat wervings- en human resourcesdiensten levert.\n\n5.3 Het toezichthoudend orgaan waarborgt dat het geen instructies verlangt of ontvangt\n                                             van enige persoon, organisatie of vereniging en gevrijwaard blijft van externe invloeden.\n\n5.4 Het toezichthoudend orgaan wordt beschermd tegen sancties of inmenging van de gedragscodehouder,\n                                             andere relevante organen of de deelnemers aan de code.\n\nToelichting:\n\nIn dit onderdeel staat vermeld welke informatie het toezichthoudend orgaan aan de\n                                       AP moet verstrekken. Het betreft onder meer informatie over schorsing of uitsluiting\n                                       van deelnemers aan de code en alle wezenlijke veranderingen van zijn eigen rechtspositie.\n\nDe schorsing of uitsluiting van deelnemers aan de code is uitsluitend van toepassing\n                                       in ernstige omstandigheden; deelnemers worden eerst in de gelegenheid gesteld passende\n                                       corrigerende maatregelen te treffen, in samenspraak met het toezichthoudend orgaan.\n\nWezenlijke veranderingen die betrekking hebben op de mogelijkheid voor het toezichthoudend\n                                       orgaan om onafhankelijk en effectief te functioneren of op zijn deskundigheid en elk\n                                       belangenconflict kunnen leiden tot herziening van zijn accreditatie.\n\nEisen:\n\n6.1 Aanvragen voor accreditatie van het toezichthoudend orgaan en alle ondersteunende\n                                             documenten, zoals beschreven in de bovenstaande eisen, en alle overige correspondentie\n                                             moeten bij de AP in de Nederlandse of de Engelse taal worden ingediend.\n\n6.2 Het toezichthoudend orgaan moet aantonen dat het een duidelijk kader heeft voor het\n                                             rapporteren aan de AP van schorsingen of uitsluitingen van deelnemers aan de code.\n                                             Dit kader dient ten minste het volgende te omvatten:\n\na. onverwijld de AP schriftelijk in kennis stellen van elke schorsing of uitsluiting\n                                                   onder vermelding van geldige redenen voor het besluit;\n\nb. verstrekken van gedetailleerde informatie over de inbreuk en de genomen maatregelen;\n                                                   en\n\nc. verstrekken van bewijs dat er actie is ondernomen in lijn met het schorsings- en uitsluitingsproces.\n\n6.3 Het toezichthoudend orgaan heeft een gedocumenteerde procedure voor het opheffen van\n                                             de schorsing of uitsluiting van een deelnemer aan de code en voor het in kennis stellen\n                                             van die deelnemer en de AP van het resultaat van de toetsing of het onderzoek.\n\n6.4 Wezenlijke veranderingen bij het toezichthoudend orgaan kunnen onder andere betrekking\n                                             hebben op het volgende:\n\na. zijn juridische, commerci\u00eble of organisatorische status, eigendom of essentieel personeel;\n\nb. middelen en locatie(s); en\n\nc. veranderingen van de accreditatiegrondslag.\n\n6.5 Het toezichthoudend orgaan stelt de AP onverwijld en zonder onnodige vertraging in\n                                             kennis van alle wezenlijke veranderingen. Wezenlijke veranderingen leiden tot een\n                                             toetsing van de accreditatie.\n\nToelichting:\n\nToezichthoudende organen spelen een centrale rol bij de toetsing van de code in samenspraak\n                                       met de gedragscodehouder. Na de toetsing kan de gedragscode door de gedragscodehouder\n                                       worden gewijzigd of uitgebreid.\n\nEisen:\n\n7.1 Het toezichthoudend orgaan draagt bij aan de toetsing van de code zoals verzocht door\n                                             de gedragscodehouder. Het orgaan waarborgt derhalve dat het over gedocumenteerde plannen\n                                             en procedures beschikt om de werking van de code te toetsen om ervoor te zorgen dat\n                                             deze relevant blijft voor de deelnemers eraan en blijft voldoen aan de AVG.\n\nIn de toetsingsmechanismen moet rekening worden gehouden met mogelijke veranderingen\n                                             in de toepassing en interpretatie van de wet of met mogelijke nieuwe technologische\n                                             ontwikkelingen die van invloed zijn op de gegevensverwerking door de deelnemers aan\n                                             de code of de bepalingen daarvan.\n\n7.2 Het toezichthoudend orgaan stelt jaarlijks een verslag op van het functioneren van\n                                             de gedragscode en verstrekt dit aan de gedragscodehouder en aan elke in die code genoemde\n                                             instelling of instituut. Het verslag omvat:\n\na. informatie over nieuwe deelnemers aan de code;\n\nb. details over eventuele schorsingen en uitsluitingen van deelnemers aan de code;\n\nc. bevestiging dat er een toetsing van de code heeft plaatsgevonden en dat deze geen\n                                                   aanleiding heeft gegeven tot wijziging van de code;\n\nd. de melding dat er geen wezenlijke veranderingen zijn bij het toezichthoudend orgaan;\n                                                   en\n\ne. informatie over inbreuken in verband met persoonsgegevens, behandelde klachten en\n                                                   het soort en de resultaten van de toezichthoudende functies die hebben plaatsgevonden.\n\n7.3 Het toezichthoudend orgaan actualiseert de code en voert wijzigingen en uitbreidingen\n                                             van de code door op instructie van de gedragscodehouder.\n\n7.4 Het toezichthoudend orgaan waarborgt dat informatie over zijn toezichthoudende functies\n                                             wordt vastgelegd en naar behoefte aan de AP ter beschikking wordt gesteld.\n\nToelichting:\n\nHet toezichthoudend orgaan kan op verschillende manieren worden opgericht of ingesteld,\n                                       bijvoorbeeld als vennootschap of brancheorganisatie. Het overkoepelende beginsel is\n                                       echter dat ongeacht de vorm het toezichthoudend orgaan moet aantonen dat het over\n                                       voldoende financi\u00eble en overige middelen beschikt om zijn specifieke taken en verantwoordelijkheden\n                                       uit te voeren. Deze voldoende financi\u00eble en overige middelen moeten vergezeld gaan\n                                       van de noodzakelijke procedures om het functioneren van de gedragscode ook op langere\n                                       termijn te waarborgen. Het toezichthoudend orgaan moet derhalve bewijs van zijn rechtsvorm\n                                       overleggen aan de AP.\n\nEr kunnen boetes worden opgelegd aan een toezichthoudend orgaan dat zijn toezichthoudende\n                                       functies niet uitoefent en nalaat passende maatregelen te nemen wanneer er inbreuk\n                                       wordt gepleegd op de voorschriften van de code. Een toezichthoudend orgaan moet derhalve\n                                       aantonen dat het over de juiste status beschikt om zijn rol uit hoofde van de AVG,\n                                       artikel 41, vierde lid, uit te voeren.\n\nEisen:\n\n8.1 Het toezichthoudend orgaan geeft aan of het optreedt als intern of extern toezichthoudend\n                                             orgaan in relatie tot de gedragscodehouder.\n\n8.2 Het toezichthoudend orgaan overlegt bewijs aan de AP dat het de juiste rechtsvorm\n                                             heeft om te voldoen aan de eis dat het volledige verantwoordelijkheid draagt voor\n                                             zijn rol en over voldoende financi\u00eble en andere middelen beschikt. Dit geldt met name\n                                             met betrekking tot artikel 83 van de AVG en artikel 14, derde lid, en artikel 16, eerste lid van de UAVG, waarbij het orgaan passende maatregelen kan nemen in lijn met artikel 41 van de\n                                             AVG. Bovendien overlegt het bewijs dat het toegang heeft tot toereikende middelen\n                                             om zijn toezichthoudende verantwoordelijkheden na te komen.\n\nHet toezichthoudend orgaan toont ook aan dat het gedurende een passende termijn zorg\n                                             kan dragen voor het toezichtsmechanisme van de gedragscode.\n\nDergelijk bewijs kan afhankelijk zijn van de structuur van het toezichthoudend orgaan\n                                             en kan onder andere het volgende omvatten (niet limitatief):\n\na. volledige naam van de onderneming/handelsnaam, zetel van het toezichthoudend orgaan\n                                                   en KvK-nummer; en\n\nb. bewijs dat het toezichthoudend orgaan over toereikende financi\u00eble middelen beschikt\n                                                   om geldboeten te kunnen betalen, zodat voldaan kan worden aan de vereisten van de\n                                                   AVG, artikel 83, vierde lid, onderdeel c, en artikel 14, derde lid en artikel 16, eerste lid, van de UAVG.\n\n8.3 Het toezichthoudend orgaan is een rechtspersoon of een omschreven onderdeel van een\n                                             rechtspersoon, en is als zodanig juridisch aansprakelijk voor zijn toezichthoudende\n                                             activiteiten. Het toezichthoudend orgaan stemt erin toe verantwoordelijkheid voor\n                                             zijn toezichthoudende rol op zich te nemen en kan derhalve een geldboete opgelegd\n                                             krijgen krachtens artikel 83, vierde lid, onderdeel c, van de AVG en artikel 14, derde lid, van de UAVG.\n\n8.4 Het toezichthoudend orgaan is gevestigd in de Europese Economische Ruimte (EER).\n\nNaast de zetel van het toezichthoudend orgaan, worden tevens de namen van zijn vertegenwoordigers\n                                             en, indien deze anders zijn, de namen van de personen die verantwoordelijk zijn voor\n                                             de controle ervan, toegevoegd. Doel is vast te stellen wie verantwoordelijk is voor\n                                             de maatregelen van het toezichthoudend orgaan en de verantwoordelijke afdeling te\n                                             identificeren waartegen maatregelen kunnen worden genomen in geval van niet-naleving\n                                             van zijn verplichtingen.\n\nToelichting:\n\nToezichthoudende organen kunnen gebruikmaken van onderaannemers. In de onderstaande\n                                       eisen worden de relevante waarborgen behandeld bij het gebruikmaken van onderaannemers.\n\nOm deze waarborgen te onderbouwen moet het toezichthoudend orgaan bewijzen overleggen.\n\nEisen:\n\n9.1 Wanneer het toezichthoudend orgaan gebruikmaakt van een onderaannemer om een aantal\n                                             van zijn taken uit te voeren, blijft het toezichthoudend orgaan verantwoordelijk voor\n                                             alle uitbestede activiteiten.\n\n9.2 Het toezichthoudend orgaan specificeert de taken en rollen die de onderaannemers op\n                                             zich nemen wanneer het accreditatie aanvraagt.\n\n9.3 Het toezichthoudend orgaan toont aan dat de onderaannemer voldoet aan alle relevante\n                                             vereisten die in dit besluit zijn vervat, met name 1; 2; 3; 8.5.\n\nHet toezichthoudend orgaan toont aan dat de onderaannemer gehouden is aan deze vereisten\n                                             en eraan kan voldoen.\n\n9.4 Onverminderd vereiste 6.3 heeft het toezichthoudend orgaan een procedure ingesteld voor het onverwijld doorgeven\n                                             aan de AP van alle wezenlijke veranderingen met betrekking tot een onderaannemer die\n                                             invloed hebben op de organisatie en/of de structuur van het toezichthoudend orgaan\n                                             dat zijn vermogen effectief te functioneren kan be\u00efnvloeden. Dergelijke wezenlijke\n                                             veranderingen zijn onder andere:\n\n\u2013 het be\u00ebindigen van de overeenkomst met de onderaannemer;\n\n\u2013 het vervangen van de onderaannemer door een andere."}