20 straipsnis. Kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų priežiūra

1. Atitikties vertinimo įstaiga atlieka kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą jų lėšomis bent kas 24 mėnesius. Auditas turi patvirtinti, kad kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente ir Direktyvos (ES) 2022/2555 21 straipsnyje nustatytus reikalavimus. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai po to parengtą atitikties vertinimo ataskaitą priežiūros įstaigai pateikia per tris darbo dienas nuo jos gavimo dienos.

1a. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ne vėliau kaip prieš mėnesį iki planuojamų auditų informuoja priežiūros įstaigą ir leidžia priežiūros įstaigai jos prašymu dalyvauti stebėtojo teisėmis.

1b. Valstybės narės nepagrįstai nedelsdamos praneša Komisijai savo atitikties vertinimo įstaigų, nurodytų 1 dalyje, pavadinimus, adresus bei akreditavimo duomenis ir informuoja apie visus vėlesnius tų pavadinimų, adresų ir duomenų pasikeitimus. Komisija tą informaciją pateikia visoms valstybėms narėms.

2. Nedarant poveikio 1 daliai, priežiūros įstaiga gali bet kuriuo metu atlikti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų jų atitikties įvertinimą tų patikimumo užtikrinimo paslaugų teikėjų lėšomis, siekiant patvirtinti, kad jie ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kai manoma, kad buvo pažeistos asmens duomenų apsaugos taisyklės, priežiūros įstaiga nepagrįstai nedelsdama apie tai praneša kompetentingoms priežiūros institucijoms pagal Reglamento (ES) 2016/679 51 straipsnį.

3. Kvalifikuotam patikimumo užtikrinimo paslaugų teikėjui neįvykdžius kurio nors iš šiame reglamente nustatytų reikalavimų, priežiūros įstaiga reikalauja, kad jis ištaisytų reikalavimų vykdymo pažeidimą per nustatytą laikotarpį, jei taikytina.

Jei tas teikėjas pažeidimo neištaiso ir, kai taikytina, to nepadaro per priežiūros įstaigos nustatytą laikotarpį, priežiūros įstaiga, kai tai pateisinama, visų pirma atsižvelgiant į to pažeidimo mastą, trukmę ir pasekmes, panaikina to teikėjo arba paveiktos jo teikiamos paslaugos kvalifikacijos statusą.

3a. Jeigu pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį paskirtos ar įsteigtos kompetentingos institucijos informuoja priežiūros įstaigą, kad kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas nevykdo kurio nors iš tos direktyvos 21 straipsnyje nustatytų reikalavimų, priežiūros įstaiga, kai tai pateisinama, visų pirma atsižvelgiant į to pažeidimo mastą, trukmę ir pasekmes, panaikina to teikėjo arba paveiktos jo teikiamos paslaugos kvalifikacijos statusą.

3b. Jeigu pagal Reglamento (ES) 2016/679 51 straipsnį įsteigtos priežiūros institucijos informuoja priežiūros įstaigą, kad kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas nevykdo kurio nors iš tame reglamente nustatytų reikalavimų, priežiūros įstaiga, kai tai pateisinama visų pirma atsižvelgiant į to pažeidimo mastą, trukmę ir pasekmes, panaikina to teikėjo arba paveiktos jo teikiamos paslaugos kvalifikacijos statusą.

3c. Priežiūros įstaiga informuoja kvalifikuotą patikimumo užtikrinimo paslaugų teikėją apie jo kvalifikacijos statuso arba atitinkamos paslaugos kvalifikacijos statuso panaikinimą. Priežiūros įstaiga informuoja įstaigą, apie kurią pranešta pagal šio reglamento 22 straipsnio 3 dalį, kad ji atnaujintų to straipsnio 1 dalyje nurodytus patikimus sąrašus, ir pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį paskirtą ar įsteigtą kompetentingą instituciją.

4. Ne vėliau kaip 2025 m. gegužės 21 d. Komisija priima įgyvendinimo aktus, kuriais nustato referencinių standartų sąrašą ir, kai būtina, specifikacijas bei procedūras šiais tikslais:

a) atitikties vertinimo įstaigų akreditavimui ir 1 dalyje nurodytai atitikties vertinimo ataskaitai;

b) audito reikalavimams, kuriais atitikties vertinimo įstaigos turėtų remtis atlikdamos, kaip nurodyta 1 dalyje, kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą, įskaitant sudėtinį vertinimą;

c) atitikties vertinimo schemoms, pagal kurias atitikties vertinimo įstaigos turėtų atlikti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą ir pateikti 1 dalyje nurodytą ataskaitą.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.