Zrzeszenia i inne podmioty, przedkładają projekt kodeksu, zmiany lub rozszerzenia właściwemu organowi nadzorczemu.
Organ nadzorczy wydaje opinię o zgodności projektu kodeksu, zmiany lub rozszerzenia z rozporządzeniem GDPR. Zatwierdza on przedstawiony projekt, jeżeli uzna, że zawiera on odpowiednie zabezpieczenia.
Organ nadzorczy, przed zatwierdzeniem projektu, przedstawia go Europejskiej Radzie Ochrony Danych, jeżeli projekt kodeksu postępowania dotyczy czynności przetwarzania prowadzonych w kilku państwach członkowskich. Następnie EROD wydaje opinię:
- o zgodności projektu z rozporządzeniem GDPR; lub
- o tym, czy projekt zapewnienia odpowiednie zabezpieczenia, w ramach przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych.
Nadanie kodeksowi mocy powszechnie obowiązującej
Jeżeli Europejska Rada Ochrony Danych zatwierdzi projekt, przedstawiony jej przez organ nadzorczy, informuje o tym Komisję.
Komisja może, w drodze aktów wykonawczych, stwierdzić, że zatwierdzony projekt, zyskuje moc powszechnie obowiązującą w Unii.
Mechanizm monitorowania przestrzegania kodeksu
Kodeks postępowania, musi przewidywać mechanizmy, pozwalające prowadzić monitorowanie przestrzegania jego przepisów, przez administratorów lub procesorów, którzy podjęli się jego stosowania.
Publikacja i rejestracja kodeksu postępowania
Publikacji i rejestracji, kodeksów niedotyczących czynności przetwarzania prowadzonych w kilku państwach członkowskich, dokonuje organ nadzorczy.
Europejska Rada Ochrony Danych gromadzi i udostępnia w swoim rejestrze wszystkie zatwierdzone kodeksy podstępowania.