Intră în vigoare regulamentul european privind prelucrarea datelor personale. Totul despre noile tale drepturi și obligații

Regulamentul UE 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (GDPR – General Data Protection Regulation) va fi direct aplicabil în toate statele membre ale Uniunii Europene (UE) începând de vineri, 25 mai. El impune un set unic de reguli în materia protecţiei datelor cu caracter personal, înlocuind Directiva 1995/46/CE privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și, implicit, prevederile Legii 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date.

G4Media.ro a scris despre peripețiile prin care trece legea națională pe care Parlamentul României trebuie s-o adopte pentru crearea cadrului de aplicare a regulamentului european. Propunerea legislativă a fost inițiată după aproape 2 ani de la votarea regulamentului și cu doar 2 luni înainte de intrarea în vigoare. Pe lângă această întârziere, inițiatorii, senatoarea Carmen Dan (PSD), actualul ministru al afacerilor interne, și senatorul Șerban Nicolae (PSD), au și depus greșit propunerea la Senat în loc de Camera Deputaților, fiind nevoiți să o retragă, deși fuseseră parcurse deja etape din procesul legislativ.

Importanța reglementării unitare la nivel european

În expunerea de motive a Regulamentului UE 2016/679 se menționează că integrarea economică și socială, dar și evoluțiile tehnologice și globalizarea au dus la o creștere a fluxurilor transfrontaliere de date cu caracter personal, ceea ce impune organizarea unui cadru mai coerent în materie de protecție a datelor în Uniunea Europeană (UE). „Integrarea economică și socială care rezultă din funcționarea pieței interne a condus la o creștere substanțială a fluxurilor transfrontaliere de date cu caracter personal. Schimbul de date cu caracter personal între actori publici și privați, inclusiv persoane fizice, asociații și întreprinderi, s-a intensificat în întreaga Uniune.” (Pct. 5)

„Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea colectării și a schimbului de date cu caracter personal a crescut în mod semnificativ. Tehnologia permite atât societăților private, cât și autorităților publice să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților lor. Din ce în ce mai mult, persoanele fizice fac publice la nivel mondial informații cu caracter personal.” (Pct. 6)

„Aceste evoluții impun un cadru solid și mai coerent în materie de protecție a datelor în Uniune, însoțit de o aplicare riguroasă a normelor, luând în considerare importanța creării unui climat de încredere care va permite economiei digitale să se dezvolte pe piața internă. Persoanele fizice ar trebui să aibă control asupra propriilor date cu caracter personal, iar securitatea juridică și practică pentru persoane fizice, operatori economici și autorități publice ar trebui să fie consolidată.” (Pct. 7)

În expunerea de motive se explică și că prezentul regulament este necesar pentru a asigura libera circulație a datelor în cadrul pieței comune europene: „În vederea asigurării unui nivel uniform de protecție pentru persoanele fizice în întreaga Uniune și a preîntâm­pinării discrepanțelor care împiedică libera circulație a datelor în cadrul pieței interne, este necesar un regulament în scopul de a furniza securitate juridică și transparență pentru operatorii economici, inclusiv microîntreprinderi și întreprinderi mici și mijlocii, precum și de a oferi persoanelor fizice în toate statele membre același nivel de drepturi, obligații și responsabilități opozabile din punct de vedere juridic pentru operatori și persoanele împuter­nicite de aceștia, pentru a se asigura o monitorizare coerentă a prelucrării datelor cu caracter personal, sancțiuni echivalente în toate statele membre, precum și cooperarea eficace a autorităților de supraveghere ale diferitelor state membre.” (Pct. 13)

În ce cazuri se aplică prevederile noului regulament european

Regulamentul UE 2016/679 explică, la Art. 2, alin. (1), că prevederile acestui act legislativ european „se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care sunt destinate să facă parte dintr-un sistem de evidență a datelor”. Regulamentul precizează că, printre cazurile în care nu se aplică prevederile acestuia, se numără prelucrarea datelor cu caracter personal de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice (Art. 2, alin. [2], lit. [c]) și prelucrarea de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora (Art. 2, alin. [2], lit. [d]).

Prevederile regulamentului se aplică și pentru activitățile din cadrul unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii, indiferent dacă prelucrarea are loc sau nu pe teritoriul Uniunii (Art. 3, alin. [1]), dar și, printre altele, în cazul unor persoane vizate care se află în Uniune de către un operator sau o persoană împuternicită de operator care nu este stabilit(ă) în Uniune, atunci când activitățile de prelucrare sunt legate de oferirea de bunuri sau servicii unor astfel de persoane vizate în Uniune, indiferent dacă se solicită sau nu efectuarea unei plăți de către persoana vizată (Art. 3, alin. [2], lit. [a]) și legate de monitorizarea comportamentului lor dacă acesta se manifestă în cadrul Uniunii (Art. 3, alin. [2], lit. [b]).

Definiții

„Datele cu caracter personal” înseamnă „orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale” (Art. 4, pct. 1).

„Operatorul” este „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern” (Art. 4, pct. 7).

„Prelucrarea” reprezintă „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregis­trarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea” (Art. 4, pct. 2).

„Creare de profiluri” înseamnă „orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special, pentru a analiza sau prevedea aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia” (Art. 4, pct. 4).

„Pseudonimizare” înseamnă „prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri de natură tehnică și organizatorică, care (!) să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile” (Art. 4, pct. 5).

Ce înseamnă consimțământul

În definiția regulamentului european, „consimțământul” persoanei vizate înseamnă „orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate” (Art. 4, pct. 11). Regulamentul explică și faptul că persoana care și-a dat consimțământul poate să-l retragă în orice moment dorește. „Persoana vizată are dreptul să își retragă în orice moment consimțământul. Retragerea consimțământului nu afectează legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia. Înainte de acordarea consimțământului, persoana vizată este informată cu privire la acest lucru. Retragerea consimțământului se face la fel de simplu ca acordarea acestuia.” (Art. 7, alin. [3])

Dreptul la opoziție

Art. 21, alin. (1) stabilește că, „în orice moment, persoana vizată are dreptul de a se opune, din motive legate de situația particulară în care se află, prelucrării (…) datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.”. Regulamentul prevede și că, „atunci când prelucrarea datelor cu caracter personal are drept scop marketingul direct, persoana vizată are dreptul de a se opune în orice moment prelucrării în acest scop a datelor cu caracter personal care o privesc, inclusiv creării de profiluri, în măsura în care este legată de marketingul direct respectiv.” (Art. 21, alin [2]). De asemenea, regulamentul mai prevede că, în cazul în care datele cu caracter personal sunt prelucrate în scopuri de cercetare științifică sau istorică sau în scopuri statistice (scopuri de arhivare în interes public, scopuri de cercetare științifică sau istorică, scopuri statistice), persoana vizată, din motive legate de situația sa particulară, are dreptul de a se opune prelucrării datelor cu caracter personal care o privesc, cu excepția cazului în care prelucrarea este necesară pentru îndeplinirea unei sarcini din motive de interes public (Art. 21, alin [6]).

Dreptul de acces al persoanei vizate la propriile date persoanele

Art. 15, alin. (1) spune că „persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

(a) – scopurile prelucrării,

(b) – categoriile de date cu caracter personal vizate,

(c) – destinatarii sau categoriile de destinatari cărora datele cu caracter personal le-au fost sau urmează să le fie divulgate, în special, destinatari din țări terțe sau organizații internaționale,

(d) – acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă,

(e) – existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării,

(f) – dreptul de a depune o plângere în fața unei autorități de supraveghere,

(g) – în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora,

(h) – existența unui proces decizional automatizat incluzând crearea de profiluri, precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.”.

Dreptul la solicitarea ștergerii datelor („dreptul de a fi uitat”)

Art. 17, alin. (1) prevede că persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică, printre altele, unul dintre următoarele motive:

– datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate (Art. 17, alin. [1], lit. [a]),

– persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea și nu există niciun alt temei juridic pentru prelucrare (Art. 17, alin. [1], lit. [b]),

– persoana vizată se opune prelucrării, și nu există motive legitime care să prevaleze în ceea ce privește prelucrarea lor, în mai multe situații, precum prelucrarea ce are drept scop marketingul direct (Art. 17, alin. [1], lit. [c]),

– datele cu caracter personal au fost prelucrate ilegal (Art. 17, alin. [1], lit. [d]).

Dreptul la despăgubiri

Orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament, fără, însă, a aduce atingere oricăror alte căi de atac administrative sau judiciare (Art. 77, alin. [1]).

Regulamentul prevede, la Art. 82, alin. (1), că orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.

Ce obligații are operatorul

Operatorul are obligația de a asigura protecția datelor începând cu momentul conceperii și implicit, potrivit Art. 25. „Având în vedere stadiul actual al tehnologiei, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, pune în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor, precum reducerea la minimum a datelor, și să integreze garanțiile necesare în cadrul prelucrării pentru a îndeplini cerințele prezentului regulament și a proteja drepturile persoanelor vizate” (Art. 25, alin. [1]). „Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligație se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor. În special, astfel de măsuri asigură că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane.” (Art. 25, alin. [2])

În cazul operatorilor asociați, Regulamentul UE 2016/679 stabilește că aceștia trebuie să-și stabilească într-un mod transparent responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin (Art. 26, alin. [1]).

Art. 28, alin. (1) spune că, în cazul în care prelucrarea urmează să fie realizată în numele unui operator, operatorul recurge doar la persoane împuternicite care oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să respecte cerințele prevăzute în prezentul regulament și să asigure protecția drepturilor persoanei vizate.

Când operatorul este o întreprindere sau organizație cu mai mult de 250 de angajați, dar și o întreprindere sau organizație, dacă prelucrarea pe care o efectuează este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, prelucrarea nu este ocazională sau prelucrarea include categorii speciale de date (precum cele care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice și cele referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe), acesta are obligația de a păstra o evidență a activităților de prelucrare. „Fiecare operator și, după caz, reprezentantul acestuia păstrează o evidență a activităților de prelucrare desfășurate sub responsabilitatea lor.” (Art. 30, alin. [1])

În ceea ce privește securitate prelucrării, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz:

– pseudonimizarea și criptarea datelor cu caracter personal (Art. 32, alin. [1], lit. [a]),

– capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare (Art. 32, alin. [1], lit. [b]),

– capacitatea de a restabili disponibilitatea datelor cu caracter personal și accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică (Art. 32, alin. [1], lit. [c]),

– un proces pentru testarea, evaluarea și aprecierea periodice ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării (Art. 32, alin. [1], lit. [d]).

Operatorul are, totodată, obligația de a informa persoana vizată dacă se produce încălcarea securității datelor sale cu caracter personal: „În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare.” (Art. 34, alin. [1]). Nu este necesară informarea persoanei vizate dacă: a implementat măsuri de protecție tehnice și organizatorice în cazul datelor cu caracter personal afectate de încălcarea securității, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea (Art. 34, alin. [3], lit. [a]), dacă operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat pentru drepturile și libertățile persoanelor vizate nu mai este susceptibil să se materializeze (Art. 34, alin. [3], lit. [b]) și dacă ar necesita un efort disproporționat; în această situație, se efectuează în loc o informare publică sau se ia o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace (Art. 34, alin. [3], lit. [c]).

Operatorul efectuează, înaintea prelucrării, o evaluare a impactului operațiunilor de prelucrare prevăzute asupra protecției datelor cu caracter personal având în vedere natura, domeniul de aplicare, contextul și scopurile prelucrării în cazul în care un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice (Art. 35, alin. [1]).

Amenzile administrative, potrivit Art. 83, pot atinge 20 milioane de euro și, în cazul unei întreprinderi, până la 4% din cifra de afaceri mondială.

Responsabilul cu protecția datelor

Operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor ori de câte ori:

– prelucrarea este efectuată de o autoritate sau un organism public, cu excepția instanțelor care acționează în exercițiul funcției lor jurisdicționale (Art. 37, alin. [1], lit. [a]),

– activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrare care, prin natura, domeniul de aplicare și/sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă (Art. 37, alin. [1], lit. [b]),

– activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor categorii speciale de date, precum cele care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice și cele referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe (Art. 37, alin. [1], lit. [c]).

Regulamentul mai prevede că se poate desemna un responsabil cu protecția datelor unic pentru mai multe entități, precum un grup de întreprinderi, autorități sau organisme publice sau asociații și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori (Art. 37, alin. [2], [3], [4]).

Responsabilul cu protecția datelor are, printre sarcini, informarea și consilierea operatorului, sau a persoanei împuternicite de operator, precum și a angajaților care se ocupă de prelucrare cu privire la obligațiile legale în domeniul protecției datelor (Art. 39, alin. [1], lit. [a]), monitorizarea respectării obligațiilor legale în domeniul protecției datelor (Art. 39, alin. [1], lit. [b]) și cooperarea cu autoritatea de supraveghere (Art. 39, alin. [1], lit. [d]).

Operatorii, dacă doresc, pot obține certificări în domeniul protecției datelor. Art. 42, alin. (1) spune că statele membre, autoritățile de supraveghere, Comitetul European pentru Protecția Datelor și Comisia Europeană încurajează, în special la nivelul UE, instituirea de mecanisme de certificare în domeniul protecției datelor, precum și de sigilii și mărci în acest domeniu, care să permită demonstrarea faptului că operațiunile de prelucrare efectuate de operatori și de persoanele împuternicite de operatori respectă prezentul regulament; trebuie, însă, luate în considerare necesitățile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii.

Autoritatea de supraveghere

Regulamentul UE 2016/679 impune, prin Art. 51, alin. (1), și înființarea, la nivelul fiecărui stat membru, a unei sau a unor autorități de supraveghere: „Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monito­rizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii («autoritatea de supraveghere»)”.

Autoritatea de supraveghere are, printre altele, următoarele sarcini stabilite de regulamentul european:

– monitorizarea și asigurarea aplicării Regulamentului UE 2016/679 (Art. 57, alin. [1], lit. [a]),

– tratarea plângerilor depuse de o persoană vizată, un organism, o organizație sau o asociație și investigarea obiectului plângerii (Art. 57, alin. [1], lit. [f]),

– promovarea acțiunilor de sensibilizare a operatorilor și a persoanelor împuternicite de aceștia cu privire la obligațiile care le revin în temeiul prezentului regulament (Art. 57, alin. [1], lit. [d]),

– furnizarea, la cerere, de informații oricărei persoane vizate în legătură cu exercitarea drepturilor sale în conformitate cu prezentul regulament (Art. 57, alin. [1], lit. [e]).

Potrivit Art. 58, alin. (2), autoritățile de supraveghere pot emite, după caz, avertizări în atenția unui operator sau a unei persoane împuternicite de operator dacă operațiunile pot încălca dispozițiile legale în materie sau mustrări dacă operațiunile au încălcat dispozițiile legale, pot impune o limitare temporară sau definitivă, inclusiv o interdicție asupra prelucrării, rectificarea sau ștergerea datelor cu caracter personal, retragerea sau impunerea retragerii unei certificări și chiar pot impune amenzi administrative.

Comitetul European pentru Protecția Datelor

Comitetul European pentru Protecția Datelor este un organism al Uniunii Europene și are personalitate juridică. Este alcătuit din șeful autorității de supraveghere (sau unei autorități de supraveghere, dacă există mai multe) din fiecare stat membru și din Autoritatea Europeană pentru Protecția Datelor sau reprezentanții acesteia.

Comitetul European pentru Protecția Datelor are, printre altele, următoarele sarcini stabilite de regulamentul european:

– să monitorizeze și să asigure aplicarea corectă a prezentului regulament (Art. 70, alin. [1], lit. [a]),

– să ofere consiliere Comisiei Europene cu privire la orice aspect legat de protecția datelor cu caracter personal în cadrul UE (Art. 70, alin. [1], lit. [b]),

– să emită orientări, recomandări și bune practici în conformitate cu legislația în materie (Art. 70, alin. [1], lit. [d], [f], [g], [h], [i], [j]),

– să efectueze acreditarea organismelor de certificare și revizuirea periodică a acreditării și să țină un registru public al organismelor acreditate (Art. 70, alin. [1], lit. [o]),

– să promoveze cooperarea și schimbul eficient bilateral și multilateral de informații și bune practici între autoritățile de supraveghere (Art. 70, alin. [1], lit. [u]),

– să țină un registru electronic accesibil publicului cu deciziile luate de autoritățile de supraveghere și de instanțe cu privire la chestiuni tratate în cadrul mecanismului pentru asigurarea coerenței (Art. 70, alin. [1], lit. [y]).

(Surse foto: Pixabay.com, Facebook / European Parliament)