Nye retningslinjer fra det Europæiske Databeskyttelsesråd

Den 4. juni 2019 blev Det Europæiske Databeskyttelsesråds (EDPB) ellevte plenarmøde afholdt i Bruxelles. På mødet deltog repræsentanter fra EU- og EØS-landenes databeskyttelsesmyndigheder og Den Europæiske Databeskyttelsesmyndighed, som til sammen udgør EDPB. Mødet resulterede blandt andet i vedtagelse af nye retningslinjer på området for adfærdskodekser samt af to nye bilag som tillæg til tidligere udstedte retningslinjer vedrørende henholdsvis certificering og akkreditering.

Nye retningslinjer for adfærdskodekser

På mødet vedtog EDPB først og fremmest et sæt nye retningslinjer for adfærdskodekser.

Adfærdskodekser er retningslinjer, som ikke er bindende, men som har til formål at medvirke til korrekt anvendelse af reglerne i Databeskyttelsesforordningen hos de forskellige virksomheder, som har tilsluttet sig de enkelte kodekser.

De vedtagne retningslinjer for adfærdskodekser skal fungere som en praktisk vejledning og som fortolkningsbistand ved anvendelsen af Databeskyttelsesforordningens artikel 40 og 41 som omhandler netop adfærdskodekser.

Formålet med retningslinjerne er særligt at præcisere reglerne for indgivelse, godkendelse og offentliggørelse af adfærdskodekser på både nationalt og europæisk plan. Dette må formodes at danne fundamentet for, at det måske bliver lettere for brancher at udgive adfærdskodekser fremover.


Nyt bilag til retningslinjerne for certificering

EDPB vedtog endvidere et nyt bilag til de tidligere udstedte retningslinjer om certificering.

Certificering kan blandt andet være med til at påvise overholdelse af Databeskyttelsesforordningen og kan desuden inddrages som et element eksempelvis når størrelsen af en sanktion for overtrædelse skal fastsættes.

Formålet med retningslinjerne om certificering er især at identificere de overordnede kriterier, som ofte er relevante for certificeringsmekanismer efter Databeskyttelsesforordningens artikel 42 og 43. Det nye bilag bidrager med en identifikation af de områder, som særligt skal overvejes og anvendes, når certificeringskriterierne for en certificeringsmekanisme skal godkendes. Det bemærkes, at opregningen i bilaget ikke er udtømmende, samt at retningslinjerne og bilaget, på samme måde som øvrige retningslinjer og eventuelle bilag hertil, alene er vejledende.


Nyt bilag til retningslinjerne for akkreditering

Det sidste, som EDPB vedtog på mødet, er et nyt bilag til de tidligere udstedte retningslinjer for akkreditering.

Akkreditering af certificeringsorganer er en form for tildeling af en bemyndigelse til at udstede de ovenfor omtalte certificeringer. Akkreditering af et certificeringsorgan medfører således, at organet kan certificere virksomheder og på denne måde påvise, at den certificerede virksomhed overholder Databeskyttelsesforordningen.

Formålet med de omtalte retningslinjer for akkreditering er at bidrage til korrekt fortolkning og anvendelse af Databeskyttelsesforordningens artikel 43 vedrørende certificeringsorganer. Formålet med det nye bilag er at vejlede tilsynsmyndighederne om de yderligere krav, som skal være opfyldt, når myndighederne akkrediterer nye certificeringsorganer.