L'autorité croate de protection des données (AZOP) a publié une décision détaillant les exigences pour l'accréditation des organismes chargés de surveiller les codes de conduite.

Fondée sur l'article 41 du RGPD et les lignes directrices du Comité européen de la protection des données (CEPD), cette décision établit les conditions qu'un organisme doit remplir pour être accrédité. L'organisme doit démontrer son indépendance juridique, financière et organisationnelle vis-à-vis des membres du code et du propriétaire du code, avec des règles strictes pour éviter tout conflit d'intérêts. Des garanties spécifiques, telles que des budgets et un personnel distincts, sont exigées pour les organismes internes, dont le mandat ne peut excéder cinq ans. Il doit également prouver son expertise, notamment par une expérience professionnelle d'au moins deux ans en protection des données pour le personnel juridique. L'organisme, qui doit être une personne morale établie dans l'Espace économique européen (EEE), est responsable de ses actions.

L'accréditation est subordonnée à la mise en place de procédures documentées pour évaluer l'éligibilité des adhérents, surveiller leur conformité, et réviser périodiquement l'application du code. L'organisme doit être en mesure de prendre des mesures correctives en cas de violation, y compris la suspension ou l'exclusion d'un membre, conformément à l'article 41, paragraphe 4 du RGPD. Il doit disposer d'une structure transparente et accessible pour le traitement des plaintes et communiquer efficacement avec l'AZOP, notamment en lui rapportant au moins une fois par an les mesures prises. La sous-traitance de certaines activités est possible, mais l'organisme de surveillance conserve l'entière responsabilité et ne peut déléguer le processus décisionnel.