Source: http://www.dpoitlaw.com/reglamento-general-de-proteccion-de-datos-rgpd/unidad-iv-4-codigos-de-conducta-y-entidades-de-certificacion/
Timestamp: 2020-08-08 05:49:34+00:00

Document:
RGPD – Unidad IV : 4. Códigos de Conducta y Entidades de Certificación - DPO & it law
HomeReglamento General de Protección de DatosRGPD – Unidad IV : 4. Códigos de Conducta y Entidades de Certificación
RGPD – Unidad IV : 4. Códigos de Conducta y Entidades de Certificación
4. CÓDIGOS DE CONDUCTA Y ENTIEDADES DE CERTIFICACIÓN
A. CODIGOS DE CONDUCTA
Los códigos de conducta se encuentran regulados en el art. 40 y considerando 98 a 99 del RGPD.
Artículo 40: Códigos de conducta
las medidas y procedimientos a que se refieren los artículos 24 (Responsabilidad del responsable del tratamiento) y 25 (Protección de datos desde el diseño y por defecto) y las medidas para garantizar la seguridad del tratamiento a que se refiere el artículo 32 (Seguridad del tratamiento);
los procedimientos extrajudiciales y otros procedimientos de resolución de conflictos que permitan resolver las controversias entre los responsables del tratamiento y los interesados relativas al tratamiento, sin perjuicio de los derechos de los interesados en virtud de los artículos 77 (Derecho a presentar una reclamación ante una autoridad de control) y 79 (Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento).
Además de la adhesión de los responsables o encargados del tratamiento a los que se aplica el presente Reglamento, los responsables o encargados a los que no se aplica el presente Reglamento en virtud del artículo 3 (Ámbito territorial) podrán adherirse también a códigos de conducta aprobados de conformidad con el apartado 5 del presente artículo y que tengan validez general en virtud del apartado 9 del presente artículo, a fin de ofrecer garantías adecuadas en el marco de las transferencias de datos personales a terceros países u organizaciones internacionales a tenor del artículo 46, apartado 2, letra e). Dichos responsables o encargados deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, incluidas las relativas a los derechos de los interesados.
Si un proyecto de código de conducta guarda relación con actividades de tratamiento en varios Estados miembros, la autoridad de control que sea competente en virtud del artículo 55 lo presentará por el procedimiento mencionado en el artículo 63, antes de su aprobación o de la modificación o ampliación, al Comité, el cual dictaminará si dicho proyecto, modificación o ampliación es conforme con el presente Reglamento o, en la situación indicada en el apartado 3, ofrece garantías adecuadas.
La Comisión podrá, mediante actos de ejecución, decidir que el código de conducta o la modificación o ampliación aprobados y presentados con arreglo al apartado 8 tengan validez general dentro de la Unión. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.
Artículo 41: Supervisión de códigos de conducta aprobados
Sin perjuicio de las funciones y los poderes de la autoridad de control competente en virtud de los artículos 57 (Funciones) y 58 (Poderes), podrá supervisar el cumplimiento de un código de conducta en virtud del artículo 40) (Códigos de conducta) un organismo que tenga el nivel adecuado de pericia en relación con el objeto del código y que haya sido acreditado para tal fin por la autoridad de control competente.
La autoridad de control competente someterá al Comité, con arreglo al mecanismo de coherencia a que se refiere el artículo 63 (Mecanismo de coherencia), el proyecto que fije los criterios de acreditación de un organismo a que se refiere el apartado 1 del presente artículo.
Sin perjuicio de las funciones y los poderes de la autoridad de control competente y de lo dispuesto en el capítulo VIII, un organismo a tenor del apartado 1 deberá, con sujeción a garantías adecuadas, tomar las medidas oportunas en caso de infracción del código por un responsable o encargado del tratamiento, incluida la suspensión o exclusión de este. Informará de dichas medidas y de las razones de las mismas a la autoridad de control competente.
El art. 40 del RGPD expresamente establece la necesidad por parte de las Autoridades de Control el Comité y la Comisión, de promocionar la elaboración de códigos de conducta destinados a contribuir a una correcta aplicación del RGPD. El objetivo de dicha promoción es la autorregulación sectorial por parte de Asociaciones u otros organismos, que teniendo en cuenta las características propias del sector al que representan consigan elaborar o modificar los ya existentes de tal manera que su cumplimiento por parte de responsables o encargados implique el cumplimiento del RGPD. Dicho art.40 especifica que los Códigos de conducta podrán regular:
los tratamientos leales y transparentes.
los intereses legítimos perseguidos por los responsables.
la información proporcionada a los niños y la protección de estos, así como la manera de obtener el consentimiento de los titulares de la patria potestad o tutela sobre el niño.
las medidas y procedimientos de Privacidad por defecto y Privacidad por diseño, así como las medidas para garantizar la seguridad del tratamiento.
los procedimientos extrajudiciales y otros procedimientos de resolución de conflictos.
Para que dichos Códigos de Conducta sean efectivos deberán ser previamente aprobados por las Autoridades de Control, Comité y Comisión dependiendo del ámbito de aplicación de los mismos. Apartados 5 a 11 del art. 40 del RGPD.
Señala también el art.40 que los Códigos de Conducta podrán ser utilizados por responsables o encargados no establecidos en la UE a fin de ofrecer garantías adecuadas en el marco de las transferencias de datos personales a terceros países u organizaciones internacionales. Para ello los responsables o encargados no establecidos en la UE deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, la cuales deberán incluir las relativas a los derechos de los interesados.
Por lo que respecta a la supervisión de los Códigos de Conducta el art. 41 del RGPD que se podrá supervisar el cumplimiento de un código de conducta por un organismo que tenga el nivel adecuado de pericia en relación con el objeto del código y que haya sido acreditado para tal fin por la Autoridad de Control competente. Para ello dicho organismo deberá cumplir con los siguientes requisitos:
Demostrar su independencia y pericia en relación con el objeto del código.
Establecer procedimientos que permitan evaluar:
La idoneidad de los responsables y encargados para aplicar el código.
Supervisar el cumplimiento de sus disposiciones
Examinar periódicamente su aplicación.
Establecer procedimientos y estructuras para tratar las reclamaciones relativas a infracciones del código las cuales deberán ser transparentes para los interesados.
Demostrar, que sus funciones y cometidos no dan lugar a conflicto de intereses.
El procedimiento que fije los criterios de acreditación de un organismo de supervisión de códigos de conducta deberá ser sometido por la Autoridad de Control al Comité conforme el art. 63 del RGPD. Así mismo se establece que el organismo de supervisión deberá tomar las medidas oportunas en caso de infracción del código por un responsable o encargado del tratamiento, incluida la suspensión o exclusión de este, debiendo informa a la autoridad de control competente.
Por último, se establece por el art.41 que el mismo no será aplicará al tratamiento realizado por autoridades y organismos públicos.
B. MECANISMOS DE CERTIFICIÓN.
Los procedimientos de certificación se encuentran regulados en el art. 42 y 43, y considerando 100 del RGPD.
Artículo 42: Certificación
Además de la adhesión de los responsables o encargados del tratamiento sujetos al presente Reglamento, podrán establecerse mecanismos de certificación, sellos o marcas de protección de datos aprobados de conformidad con el apartado 5 (Principios relativos al tratamiento), con objeto de demostrar la existencia de garantías adecuadas ofrecidas por los responsables o encargados no sujetos al presente Reglamento con arreglo al artículo 3 (Ámbito de aplicación material) en el marco de transferencias de datos personales a terceros países u organizaciones internacionales a tenor del artículo 46 (Transferencias mediante garantías adecuadas), apartado 2, letra f). Dichos responsables o encargados deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, incluidas las relativas a los derechos de los interesados.
La certificación a que se refiere el presente artículo no limitará la responsabilidad del responsable o encargado del tratamiento en cuanto al cumplimiento del presente Reglamento y se entenderá sin perjuicio de las funciones y los poderes de las autoridades de control que sean competentes en virtud del artículo 55 (Competencias) o 56 (Competencia de la autoridad de control principal).
La certificación en virtud del presente artículo será expedida por los organismos de certificación a que se refiere el artículo 43 (Organismo de certificación) o por la autoridad de control competente, sobre la base de los criterios aprobados por dicha autoridad de conformidad con el artículo 58 (Poderes), apartado 3, o por el Comité de conformidad con el artículo 63 (Mecanismo de coherencia). Cuando los criterios sean aprobados por el Comité, esto podrá dar lugar a una certificación común: el Sello Europeo de Protección de Datos.
Los responsables o encargados que sometan su tratamiento al mecanismo de certificación dará al organismo de certificación mencionado en el artículo 43 (Organismo de certificación), o en su caso a la autoridad de control competente, toda la información y acceso a sus actividades de tratamiento que necesite para llevar a cabo el procedimiento de certificación.
La certificación se expedirá a un responsable o encargado de tratamiento por un período máximo de tres años y podrá ser renovada en las mismas condiciones, siempre y cuando se sigan cumpliendo los requisitos pertinentes. La certificación será retirada, cuando proceda, por los organismos de certificación a que se refiere el artículo 43 (Organismo de certificación), o en su caso por la autoridad de control competente, cuando no se cumplan o se hayan dejado de cumplir los requisitos para la certificación.
Artículo 43: Organismo de certificación
Sin perjuicio de las funciones y poderes de la autoridad de control competente en virtud de los artículos 57 (Funciones) y 58 (Poderes), los organismos de certificación que tengan un nivel adecuado de pericia en materia de protección de datos expedirán y renovarán las certificaciones una vez informada la autoridad de control, a fin de esta que pueda ejercer, si así se requiere, sus poderes en virtud del artículo 58 (Poderes), apartado 2, letra h). Los Estados miembros garantizarán que dichos organismos de certificación sean acreditados por la autoridad o el organismo indicado a continuación, o por ambos:
el organismo nacional de acreditación designado de conformidad con el Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo con arreglo a la norma EN ISO/IEC 17065/2012 y a los requisitos adicionales establecidos por la autoridad de control que sea competente en virtud del artículo 55 (Competencia) o 56 (Competencia de la autoridad de control principal).
se han comprometido a respetar los criterios mencionados en el artículo 42 (Certificación), apartado 5, y aprobados por la autoridad de control que sea competente en virtud del artículo 55 (Competencia) o 56 (Competencia de la autoridad de control principal), o por el Comité de conformidad con el artículo 63 (Mecanismo de coherencia);
La acreditación de los organismos de certificación a que se refieren los apartados 1 y 2 se realizará sobre la base de los criterios aprobados por la autoridad de control que sea competente en virtud del artículo 55 (Competencia) o 56 0 (Competencia de la autoridad de control principal), o por el Comité de conformidad con el artículo 63 (Mecanismo de coherencia). En caso de acreditación de conformidad con el apartado 1, letra b), del presente artículo, estos requisitos complementarán los contemplados en el Reglamento (CE) n.o 765/2008 y las normas técnicas que describen los métodos y procedimientos de los organismos de certificación.
La autoridad de control hará públicos los requisitos a que se refiere el apartado 3 del presente artículo y los criterios a que se a refiere el artículo 42 (Certificación), apartado 5, en una forma fácilmente accesible. Las autoridades de control comunicarán también dichos requisitos y criterios al Comité. El Comité archivará en un registro todos los mecanismos de certificación y sellos de protección de datos y los pondrá a disposición pública por cualquier medio apropiado.
La Comisión estará facultada para adoptar actos delegados, de conformidad con el artículo 92, (Ejercicio de la delegación) a fin de especificar las condiciones que deberán tenerse en cuenta para los mecanismos de certificación en materia de protección de datos a que se refiere el artículo 42 (Certificación), apartado 1.
La Comisión podrá adoptar actos de ejecución que establezcan normas técnicas para los mecanismos de certificación y los sellos y marcas de protección de datos, y mecanismos para promover y reconocer dichos mecanismos de certificación, sellos y marcas. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 93, (Procedimiento de comité) apartado 2.
De forma similar a los Códigos de Conducta el art. 42 establece también la necesaria promoción y creación por los Estados miembros, las autoridades de control, el Comité y la Comisión en la Unión Europea, de Mecanismos de Certificación en materia de protección de datos y sellos y marcas de protección con el fin de demostrar el cumplimiento del RGPD en las operaciones de tratamiento de datos realizadas por los responsables y encargados.
De forma similar a los Códigos de Conducta se prevé que los mecanismos de certificación, sellos o marcas de protección de datos podrán ser utilizados por responsables o encargados no establecidos en la UE a fin de ofrecer garantías adecuadas en el marco de las transferencias de datos personales a terceros países u organizaciones internacionales. Para ello los responsables o encargados no establecidos en la UE deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, la cuales deberán incluir las relativas a los derechos de los interesados.
La certificación será voluntaria y deberá estar disponible a través de un proceso transparente.
Las certificaciones expedidas por organismos de certificación o por la Autoridad de control competente, deberá ser aprobada de conformidad con el artículo 58 por la Autoridad de Control, o de conformidad con el artículo 63 en el caso del Comité. Cuando los criterios de certificación sean aprobados por el Comité, podrá dar lugar a una certificación común, denominada Sello Europeo de Protección de Datos.
Los responsables o encargados que sometan a la certificación deberán facilitar toda la información y acceso a sus actividades de tratamiento al organismo de certificación, o en su caso a la autoridad de control competente, para llevar a cabo el procedimiento de certificación.
La certificación podrá expedirse por un período máximo de tres años y podrá ser renovada en las mismas condiciones, siempre y cuando se sigan cumpliendo los requisitos pertinentes. Igualmente, la certificación será retirada cuando se deje de cumplir los requisitos de certificación.
Por último, se establece que el Comité archivará en un registro todos los mecanismos de certificación y sellos y marcas de protección de datos y los pondrá a disposición pública por cualquier medio apropiado.
En relación con el Organismo de Certificación señala el art. 43 del RGPD, que los organismos de certificación que tengan un nivel adecuado de pericia en materia de protección de datos podrán expedir y renovar las certificaciones una vez informada la autoridad de control. Además se garantizará por los Estados miembros que dichos organismos de certificación serán acreditados por la autoridad de control que sea competente o por el organismo nacional de acreditación designado de conformidad con el Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo con arreglo a la norma EN ISO/IEC 17065/2012 y a los requisitos adicionales establecidos por la autoridad de control que sea competente en virtud del artículo 55 (Competencia) o 56 (Competencia de la autoridad de control principal).
Los organismos de certificación únicamente serán acreditados si cumplen con lo siguiente:
Demostrar su independencia y pericia en relación con el objeto de la certificación.
Se comprometen a respetar los criterios aprobados por la autoridad de control que sea competente o por el Comité.
procedimientos y estructuras para tratar las reclamaciones relativas a la certificación las cuales deberán ser transparentes para los interesados.
La acreditación emitida a los organismos de certificación se expedirá por un período máximo de cinco años y podrá ser renovada en las mismas condiciones, siempre y cuando el organismo de certificación cumpla los requisitos establecidos en el presente artículo.
Toda certificación o retirada de certificación deberá ser comunicada a las autoridades de control competentes por los organismos de certificación.
Códigos de Conducta deberán ser previamente aprobados por las Autoridades de Control, Comité o la Comisión.
La supervisión del cumplimiento del Código de Conducta podrá ser realizada por un organismo independiente que haya sido acreditado para tal fin por la Autoridad de Control competente.
Las certificaciones expedidas por organismos de certificación o por la Autoridad de control competente deberá ser previamente aprobada por la propia Autoridad de Control o por el Comité.
Las certificaciones podrán emitirse por un periodo máximo de 3 años.
Los organismos de certificación deberán ser acreditados por la Autoridad de Control o por el organismo nacional de acreditación designado de conformidad con el Reglamento (CE) n.o 765/2008, y no podrá durar más de 5 años.

References: Artículo 40
 artículo 32
 resolución 
 artículo 3
 artículo 46
 artículo 55
 artículo 63
 artículo 93

Artículo 41
 artículo 40
 artículo 63
 resolución 

Artículo 42
 artículo 3
 artículo 46
 artículo 55
 artículo 43
 artículo 58
 artículo 63
 artículo 43
 artículo 43

Artículo 43
 artículo 58
 artículo 55
 artículo 42
 artículo 55
 artículo 63
 artículo 55
 artículo 63
 artículo 42
 artículo 92
 artículo 42
 artículo 93
 artículo 58
 artículo 63
 artículo 55