Source: https://gdpr-expert.com/article.html?mid=1&id=41
Timestamp: 2020-01-20 07:09:09+00:00

Document:
GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 41 : Suivi des codes de conduite - GDPR.expert
Suivi des codes de conduite
Afficher les articles et mots clés liés à l’article 41 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 41 keyboard_arrow_up
Mots clés liés à l'article 41
mécanisme de contrôle de la cohérence
niveau d'expertise approprié
Il n'y a pas de considérant du Règlement lié à l'article 41.
Il n'y pas de considérant de la Directive 95/46 lié à l'article 41.
L’article 41 autorise, sous certaines conditions, un organisme indépendant à contrôler le respect d’un code de conduite agréé visé à l’article 40, sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre de l'article 57 et 58. Le 1er paragraphe précise que seul un organisme disposant d'un niveau d'expertise approprié au regard de l'objet du code agréé peut exercer ce contrôle.
Le deuxième paragraphe définit les conditions auxquelles doit répondre ledit organisme pour effectuer le contrôle :
-il doit prouver son indépendance et son expertise au regard de l’objet du code dont il assure le contrôle (a) ;
-il doit offrir des procédures lui permettant d’apprécier, de contrôler le respect du code par les responsables ou sous-traitants, et d’examiner périodiquement son fonctionnement (b) ;
-il doit établir des procédures transparentes pour traiter des réclamations relatives aux violations ou à l’application du code par un responsable ou un sous-traitant, tout en garantissant l’absence de conflits d’intérêts (c) ;
-il doit également démontrer à l’autorité de contrôle que ses taches n’entrainent pas de conflits d’intérêts (d).
Il appartient à l’autorité de contrôle compétente de soumettre le projet d’agrément au comité européen de la protection des données, conformément au mécanisme de contrôle de la cohérence visé à l'article 63 (§3).
Sans préjudice des compétences des autorités de contrôle, ledit organisme peut, sous réserve des garanties requises, prendre des mesures appropriées en cas de violation du code par un responsable du traitement ou un sous-traitant, y compris suspendre ou exclure le responsable du traitement ou le sous-traitant concerné de l'application du code. Il informe l'autorité de contrôle compétente de ces mesures et des raisons pour lesquelles elles ont été prises (§4).
L'autorité de contrôle compétente révoque l'agrément de l’organisme, si les conditions d'agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l'organisme ne sont pas conformes au Règlement (§5).
La disposition ne s'applique pas au traitement de données à caractère personnel effectué par les autorités et les organismes publics (§6).
Aucune disposition de la Directive ne prévoyait un suivi des Codes approuvés dès lors qu’aucune procédure d’agrément de tels codes n’était prévue.
On peut se demander quel sera en droit national le statut de l’organisme de contrôle, distinct de l’autorité de contrôle national. A priori, il ne s’agira pas d’une institution publique, mais privée, qui aurait dès lors des pouvoirs de sanctions quant à une entreprise, établie le cas échéant dans un pays tiers.
Le Règlement ne dit rien non plus quant à la prise en charge des coûts de ce contrôle obligatoire, ce qui risque de poser également difficultés, outre la gestion d’éventuels conflits d’intérêts.
Notons également que la disposition ne s’applique pas aux autorités et institutions publiques alors même que ceux-ci ne sont pas exclus de l’article 38 et sont donc poussés également à l’adoption de codes. On peut aussi se demander à quelles conditions précises répondent ces qualifications d’autorités publiques, qui ne sont pas définies par le Règlement.
arrow_back Article précédent • Article 41 • Article suivant arrow_forward
arrow_back Article précédent • Article 41 Article suivant arrow_forward
1. Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre des articles 57 et 58, le contrôle du respect du code de conduite en vertu de l'article 40 peut être effectué par un organisme qui dispose d'un niveau d'expertise approprié au regard de l'objet du code et qui est agréé à cette fin par l'autorité de contrôle compétente.
2. Un organisme visé au paragraphe 1 peut être agréé pour contrôler le respect d'un code de conduite lorsque cet organisme a:
a) prouvé, à la satisfaction de l'autorité de contrôle compétente, son indépendance et son expertise au regard de l'objet du code;
d) prouvé, à la satisfaction de l'autorité de contrôle compétente, que ses tâches et ses missions n'entraînent pas de conflit d'intérêts.
3. L'autorité de contrôle compétente soumet le projet de critères d'agrément d'un organisme visé au paragraphe 1 du présent article au comité en application du mécanisme de contrôle de la cohérence visé à l'article 63.
4. Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente et des dispositions du chapitre VIII, un organisme visé au paragraphe 1 prend, sous réserve des garanties appropriées, des mesures appropriées en cas de violation du code par un responsable du traitement ou un sous-traitant, et peut notamment suspendre ou exclure le responsable du traitement ou le sous-traitant concerné de l'application du code. Il informe l'autorité de contrôle compétente de ces mesures et des raisons pour lesquelles elles ont été prises.
5. L'autorité de contrôle compétente révoque l'agrément d'un organisme visé au paragraphe 1 si les conditions d'agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l'organisme constituent une violation du présent règlement.
6. Le présent article ne s'applique pas au traitement effectué par les autorités publiques et les organismes publics.
1. Sans préjudice des missions et des pouvoirs de l'autorité de contrôle compétente au titre des articles 52 et 53, le contrôle du respect du code de conduite visé à l'article 38, paragraphe 1 ter, peut être effectué par un organisme disposant d'un niveau d'expertise approprié au regard de l'objet du code agréé à cette fin par l'autorité de contrôle compétente.
2. Un organisme visé au paragraphe 1 peut être agréé à cette fin si:
a) il a prouvé, à la satisfaction de l'autorité de contrôle compétente, son indépendance et l'expertise dont il dispose au regard de l'objet du code;
b) il a établi des procédures qui lui permettent d'apprécier si les responsables du traitement ou les sous-traitants satisfont aux conditions pour appliquer le code, de contrôler le respect des dispositions dudit code et d'examiner son fonctionnement périodiquement;
c) il a établi des procédures et des structures pour traiter les réclamations relatives aux violations du code ou à la manière dont le code a été ou est appliqué par un responsable du traitement ou un sous-traitant, et rendre ces procédures et structures transparentes à l'égard des personnes concernées et du public;
d) il prouve, à la satisfaction de l'autorité de contrôle compétente, que ses tâches et ses missions n'entraînent pas de conflit d'intérêt.
3. L'autorité de contrôle compétente soumet le projet relatif aux critères d'agrément d'un organisme visé au paragraphe 1 au comité européen de la protection des données conformément au mécanisme de contrôle de la cohérence visé à l'article 57.
4. Sans préjudice des dispositions du chapitre VIII, un organisme visé au paragraphe 1 peut, sous réserve des garanties requises, prendre des mesures appropriées en cas de violation du code par un responsable du traitement ou un sous-traitant, y compris suspendre ou exclure le responsable du traitement ou le sous-traitant concerné de l'application du code. Il informe l'autorité de contrôle compétente de ces mesures et des raisons pour lesquelles elles ont été prises.
5. L'autorité de contrôle compétente révoque l'agrément d'un organisme visé au paragraphe 1 si les conditions d'agrément ne sont pas ou ne sont plus réunies ou si les mesures prises par l'organisme ne sont pas conformes au présent règlement.
6. Le présent article ne s'applique pas au traitement de données à caractère personnel effectué par les autorités et les organismes publics.

References: l'article 41
 l'article 41
 l'article 41
 l'article 57
 l'article 63
 l'article 40
 l'article 63
 l'article 38
 l'article 57