L'autorité croate de protection des données (AZOP) a publié une foire aux questions détaillant les modalités de création, d'approbation et de suivi des codes de conduite prévus par le RGPD.

L'autorité invite les associations et organismes représentant des catégories de responsables de traitement ou de sous-traitants à lui soumettre des projets de codes, conformément à l'article 40 du RGPD. Ces instruments volontaires visent à traduire les obligations générales du règlement en normes et procédures concrètes adaptées à un secteur spécifique, comme la santé ou les services en nuage. Bien que non obligatoires, l'adhésion à un code approuvé engage l'organisation à en respecter les règles et constitue un élément de preuve de sa conformité. Un code ne peut ni modifier ni remplacer les obligations du RGPD, ce dernier prévalant en cas de divergence. Le document souligne que les codes renforcent la transparence, standardisent les pratiques et peuvent servir d'outil pour les transferts de données hors de l'Espace Économique Européen sous les conditions de l'article 46 du RGPD.

L'approbation d'un code relève de l'autorité de contrôle compétente, avec l'intervention du Comité européen de la protection des données (CEPD) pour les codes transnationaux. Pour les entités privées, le suivi de l'application du code doit être assuré par un organisme de surveillance accrédité, qui doit démontrer son indépendance et son expertise. Cet organisme est chargé de prendre des mesures en cas de violation, pouvant aller de l'avertissement à l'exclusion du membre, sans préjudice des pouvoirs de l'autorité de contrôle. Le CEPD tient un registre public des codes approuvés, l'autorité croate précisant qu'aucun code n'est actuellement approuvé en Croatie.