Article 37
in forceDUE DILIGENCE OBLIGATIONS FOR A TRANSPARENT AND SAFE ONLINE ENVIRONMENT
1. Providers of very large online platforms and of very large online search engines shall be subject, at their own expense and at least once a year, to independent audits to assess compliance with the following:
(a) the obligations set out in Chapter III;
(b) any commitments undertaken pursuant to the codes of conduct referred to in Articles 45 and 46 and the crisis protocols referred to in Article 48.
2. Providers of very large online platforms and of very large online search engines shall afford the organisations carrying out the audits pursuant to this Article the cooperation and assistance necessary to enable them to conduct those audits in an effective, efficient and timely manner, including by giving them access to all relevant data and premises and by answering oral or written questions. They shall refrain from hampering, unduly influencing or undermining the performance of the audit.
Such audits shall ensure an adequate level of confidentiality and professional secrecy in respect of the information obtained from the providers of very large online platforms and of very large online search engines and third parties in the context of the audits, including after the termination of the audits. However, complying with that requirement shall not adversely affect the performance of the audits and other provisions of this Regulation, in particular those on transparency, supervision and enforcement. Where necessary for the purpose of the transparency reporting pursuant to Article 42(4), the audit report and the audit implementation report referred to in paragraphs 4 and 6 of this Article shall be accompanied with versions that do not contain any information that could reasonably be considered to be confidential.
3. Audits performed pursuant to paragraph 1 shall be performed by organisations which:
(a) are independent from, and do not have any conflicts of interest with, the provider of very large online platforms or of very large online search engines concerned and any legal person connected to that provider; in particular: (i) have not provided non-audit services related to the matters audited to the provider of very large online platform or of very large online search engine concerned and to any legal person connected to that provider in the 12 months’ period before the beginning of the audit and have committed to not providing them with such services in the 12 months’ period after the completion of the audit; (ii) have not provided auditing services pursuant to this Article to the provider of very large online platform or of very large online search engine concerned and any legal person connected to that provider during a period longer than 10 consecutive years; (iii) are not performing the audit in return for fees which are contingent on the result of the audit;
(i) have not provided non-audit services related to the matters audited to the provider of very large online platform or of very large online search engine concerned and to any legal person connected to that provider in the 12 months’ period before the beginning of the audit and have committed to not providing them with such services in the 12 months’ period after the completion of the audit;
(ii) have not provided auditing services pursuant to this Article to the provider of very large online platform or of very large online search engine concerned and any legal person connected to that provider during a period longer than 10 consecutive years;
(iii) are not performing the audit in return for fees which are contingent on the result of the audit;
(b) have proven expertise in the area of risk management, technical competence and capabilities;
(c) have proven objectivity and professional ethics, based in particular on adherence to codes of practice or appropriate standards.
4. Providers of very large online platforms and of very large online search engines shall ensure that the organisations that perform the audits establish an audit report for each audit. That report shall be substantiated, in writing, and shall include at least the following:
(a) the name, address and the point of contact of the provider of the very large online platform or of the very large online search engine subject to the audit and the period covered;
(b) the name and address of the organisation or organisations performing the audit;
(c) a declaration of interests;
(d) a description of the specific elements audited, and the methodology applied;
(e) a description and a summary of the main findings drawn from the audit;
(f) a list of the third parties consulted as part of the audit;
(g) an audit opinion on whether the provider of the very large online platform or of the very large online search engine subject to the audit complied with the obligations and with the commitments referred to in paragraph 1, namely ‘positive’, ‘positive with comments’ or ‘negative’;
(h) where the audit opinion is not ‘positive’, operational recommendations on specific measures to achieve compliance and the recommended timeframe to achieve compliance.
5. Where the organisation performing the audit was unable to audit certain specific elements or to express an audit opinion based on its investigations, the audit report shall include an explanation of the circumstances and the reasons why those elements could not be audited.
6. Providers of very large online platforms or of very large online search engines receiving an audit report that is not ‘positive’ shall take due account of the operational recommendations addressed to them with a view to take the necessary measures to implement them. They shall, within one month from receiving those recommendations, adopt an audit implementation report setting out those measures. Where they do not implement the operational recommendations, they shall justify in the audit implementation report the reasons for not doing so and set out any alternative measures that they have taken to address any instances of non-compliance identified.
7. The Commission is empowered to adopt delegated acts in accordance with Article 87 to supplement this Regulation by laying down the necessary rules for the performance of the audits pursuant to this Article, in particular as regards the necessary rules on the procedural steps, auditing methodologies and reporting templates for the audits performed pursuant to this Article. Those delegated acts shall take into account any voluntary auditing standards referred to in Article 44(1), point (e).
1. Aanbieders van zeer grote onlineplatforms en van zeer grote onlinezoekmachines worden, op hun eigen kosten en ten minste één keer per jaar, onderworpen aan onafhankelijke controles om de naleving te beoordelen van:
a) de in hoofdstuk III uiteengezette verplichtingen;
b) toezeggingen die zijn gedaan krachtens de in de artikelen 45 en 46 bedoelde gedragscodes en de in artikel 48 bedoelde crisisprotocollen.
2. Aanbieders van zeer grote onlineplatforms en van zeer grote onlinezoekmachines bieden de organisaties die de controles krachtens dit artikel uitvoeren de nodige samenwerking en bijstand om hen in staat te stellen die controles op doeltreffende, efficiënte en tijdige wijze uit te voeren, onder meer door hun toegang te verlenen tot alle relevante gegevens en gebouwen en door mondelinge of schriftelijke vragen te beantwoorden. Zij onthouden zich ervan de uitvoering van de controle te belemmeren, onnodig te beïnvloeden of te ondermijnen.
Dergelijke controles waarborgen, ook na beëindiging van de controles, een passend niveau van vertrouwelijkheid en het beroepsgeheim ten aanzien van de informatie die in het kader van de controles van de aanbieders van zeer grote onlineplatforms en van zeer grote onlinezoekmachines en derden is verkregen. De naleving van dat vereiste mag echter geen negatieve gevolgen hebben voor de uitvoering van de controles en andere bepalingen van deze verordening, met name die inzake transparantie, toezicht en handhaving. Indien dit nodig is voor de transparantierapportage krachtens artikel 42, lid 4, gaat het controlerapport en het in de leden 4 en 6 van dit artikel bedoelde controle-uitvoeringsrapport vergezeld van versies die geen informatie bevatten die redelijkerwijs als vertrouwelijk zou kunnen worden beschouwd.
3. Controles krachtens lid 1 worden uitgevoerd door organisaties die:
a) onafhankelijk zijn van en geen belangenconflicten hebben met de betrokken aanbieder van zeer grote onlineplatforms of van de zeer grote onlinezoekmachines en met eender welke met die aanbieder verbonden rechtspersoon, en die met name: i) in de periode van twaalf maanden vóór de start van de controle geen niet-controlediensten met betrekking tot de gecontroleerde zaken hebben verleend aan de betrokken aanbieder van het zeer grote onlineplatform of van de zeer grote onlinezoekmachine, noch aan eender welke met die aanbieder verbonden rechtspersoon, en zich ertoe hebben verbonden hen zulke diensten niet te aan te bieden in de periode van twaalf maanden na voltooiing van de controle; ii) gedurende een periode van meer dan tien opeenvolgende jaren geen controlediensten krachtens dit artikel hebben verstrekt aan de betrokken aanbieder van het zeer grote onlineplatform of van de zeer grote onlinezoekmachine en eender welke met die aanbieder verbonden rechtspersoon; iii) de controle niet uitvoeren tegen vergoedingen die afhankelijk zijn van het resultaat van de controle;
i) in de periode van twaalf maanden vóór de start van de controle geen niet-controlediensten met betrekking tot de gecontroleerde zaken hebben verleend aan de betrokken aanbieder van het zeer grote onlineplatform of van de zeer grote onlinezoekmachine, noch aan eender welke met die aanbieder verbonden rechtspersoon, en zich ertoe hebben verbonden hen zulke diensten niet te aan te bieden in de periode van twaalf maanden na voltooiing van de controle;
ii) gedurende een periode van meer dan tien opeenvolgende jaren geen controlediensten krachtens dit artikel hebben verstrekt aan de betrokken aanbieder van het zeer grote onlineplatform of van de zeer grote onlinezoekmachine en eender welke met die aanbieder verbonden rechtspersoon;
iii) de controle niet uitvoeren tegen vergoedingen die afhankelijk zijn van het resultaat van de controle;
b) expertise hebben aangetoond op het gebied van risicobeheer, technische competentie en capaciteiten;
c) blijk hebben gegeven van objectiviteit en beroepsethiek, met name op basis van het naleven van codes voor goede praktijken of gepaste normen.
4. Aanbieders van zeer grote onlineplatforms en van zeer grote onlinezoekmachines zullen ervoor zorgen dat de organisaties die de controles uitvoeren, van elke controle een controlerapport opstellen. Dat rapport wordt schriftelijk gemotiveerd en bevat ten minste het volgende:
a) de naam, het adres en het contactpunt van de aanbieder van het zeer grote onlineplatform die of van de zeer grote onlinezoekmachine dat aan de controle is onderworpen, alsook de gecontroleerde periode;
b) de naam en het adres van de organisatie of organisaties die de controle uitvoert respectievelijk uitvoeren;
c) een belangenverklaring;
d) een beschrijving van de specifieke gecontroleerde elementen en de toegepaste methodologie;
e) een beschrijving en een samenvatting van de belangrijkste bevindingen van de controle;
f) een lijst van de derden die in het kader van de controle zijn geraadpleegd;
g) een controleadvies over de vraag of de aanbieders van aan de controle onderworpen zeer grote onlineplatforms of zeer grote onderzoekmachines hebben voldaan aan de verplichtingen en aan de in lid 1 vermelde toezeggingen, met name “positief”, “positief met kanttekeningen” of “negatief”;
h) indien het controleadvies niet “positief” is, operationele aanbevelingen over specifieke maatregelen om naleving te bereiken, alsmede het aanbevolen tijdsbestek om naleving te bereiken.
5. Wanneer de organisatie die de controle uitvoert, niet in staat was bepaalde specifieke elementen te controleren of op basis van haar onderzoeken een controleoordeel te geven, bevat het controlerapport een toelichting op de omstandigheden en de redenen die ertoe leidden dat die elementen niet konden worden gecontroleerd.
6. Aanbieders van zeer grote onlineplatforms of van zeer grote onlinezoekmachines die geen positief controlerapport krijgen, houden naar behoren rekening met de aan hen gerichte operationele aanbevelingen teneinde de nodige maatregelen te nemen om ze uit te voeren. Binnen een maand na ontvangst van die aanbevelingen stellen zij een controle-uitvoeringsrapport vast waarin die maatregelen zijn uiteengezet. Wanneer zij de operationele aanbevelingen niet uitvoeren, geven zij in het controle-uitvoeringsrapport de redenen hiervoor alsook een overzicht van eventuele alternatieve maatregelen die zij hebben genomen om vastgestelde niet-naleving aan te pakken.
7. De Commissie is bevoegd overeenkomstig artikel 87 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen door de nodige voorschriften vast te stellen voor de uitvoering van de controles krachtens dit artikel, met name wat betreft de nodige regels inzake de procedurele stappen, controlemethoden en rapportagetemplates voor de krachtens dit artikel uitgevoerde controles. In die gedelegeerde handelingen wordt rekening gehouden met eventuele vrijwillige controlenormen als bedoeld in artikel 44, lid 1, punt e).