1. Les États membres désignent un organe de contrôle établi sur leur territoire ou désignent, d’un commun accord avec un autre État membre, un organe de contrôle établi dans cet autre État membre. Cet organe de contrôle est chargé des tâches de contrôle dans l’État membre qui a procédé à la désignation en ce qui concerne les services de confiance.
Les organes de contrôle désignés en vertu du premier alinéa sont investis des pouvoirs nécessaires et dotés des ressources adéquates pour l’accomplissement de leurs tâches.
2. Les États membres notifient à la Commission les noms et adresses des organes de contrôle désignés en vertu du paragraphe 1 ainsi que toute modification ultérieure de ces informations. La Commission publie une liste des organes de contrôle notifiés.
3. Le rôle des organes de contrôle désignés en vertu du paragraphe 1 consiste:
a) à contrôler les prestataires de services de confiance qualifiés établis sur le territoire de l’État membre qui a procédé à la désignation, et à s’assurer, au moyen d’activités de contrôle a priori et a posteriori, que ces prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent satisfont aux exigences fixées dans le présent règlement;
b) à prendre des mesures, si nécessaire, en ce qui concerne les prestataires de services de confiance non qualifiés établis sur le territoire de l’État membre qui a procédé à la désignation, au moyen d’activités de contrôle a posteriori, lorsqu’ils sont informés que ces prestataires de services de confiance non qualifiés ou les services de confiance qu’ils fournissent ne satisferaient pas aux exigences fixées dans le présent règlement.
4. Les tâches des organes de contrôle désignés en vertu du paragraphe 1 consistent notamment:
a) à informer les autorités compétentes concernées, désignées ou établies en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555, des États membres concernés de toute atteinte à la sécurité importante ou de perte d’intégrité dont ils prennent connaissance dans l’exécution de leurs tâches et, en cas d’atteinte à la sécurité importante ou de perte d’intégrité qui concerne d’autres États membres, à informer le point de contact unique, désigné ou établi en vertu de l’article 8, paragraphe 3, de la directive (UE) 2022/2555, de l’État membre concerné et les points de contact uniques, désignés en vertu de l’article 46 quater, paragraphe 1, du présent règlement, dans les autres États membres concernés, et à informer le public ou à exiger du prestataire de services de confiance qu’il procède à cette information, lorsque l’organe de contrôle constate qu’il serait dans l’intérêt public de divulguer l’atteinte à la sécurité ou la perte d’intégrité;
b) à coopérer avec d’autres organes de contrôle et à leur apporter assistance conformément aux articles 46 quater et 46 sexies;
c) à analyser les rapports d’évaluation de la conformité visés à l’article 20, paragraphe 1, et à l’article 21, paragraphe 1;
d) à présenter un rapport à la Commission sur ses principales activités conformément au paragraphe 6 du présent article;
e) à procéder à des audits ou à demander à un organisme d’évaluation de la conformité d’effectuer une évaluation de la conformité des prestataires de services de confiance qualifiés conformément à l’article 20, paragraphe 2;
f) à coopérer avec les autorités de contrôle compétentes instituées en vertu de l’article 51 du règlement (UE) 2016/679, en particulier en les informant, dans les meilleurs délais, lorsqu’il apparaît que les règles en matière de protection des données à caractère personnel ont été violées, et en cas d’atteintes à la sécurité dont il apparaît qu’elles constituent des violations de données à caractère personnel;
g) à accorder le statut qualifié aux prestataires de services de confiance et aux services qu’ils fournissent et à retirer ce statut conformément aux articles 20 et 21;
h) à informer l’organisme chargé de la liste nationale de confiance visée à l’article 22, paragraphe 3, de ses décisions d’accorder ou de retirer le statut qualifié, à moins que cet organisme ne soit également l’organe de contrôle désigné en vertu du paragraphe 1 du présent article;
i) à vérifier l’existence et l’application correcte de dispositions relatives aux plans d’arrêt d’activité lorsque le prestataire de services de confiance qualifié cesse son activité, y compris la façon dont les informations restent accessibles conformément à l’article 24, paragraphe 2, point h);
j) à exiger que les prestataires de services de confiance remédient à tout manquement aux exigences fixées dans le présent règlement;
k) à enquêter sur les plaintes introduites par les fournisseurs de navigateurs internet en application de l’article 45 bis et à prendre des mesures si nécessaire.
5. Les États membres peuvent exiger de l’organe de contrôle désigné en vertu du paragraphe 1 qu’il établisse, gère et actualise une infrastructure de confiance conformément au droit national.
6. Au plus tard le 31 mars de chaque année, chaque organe de contrôle désigné en vertu du paragraphe 1 soumet à la Commission un rapport sur ses principales activités de l’année civile précédente. La Commission met ces rapports annuels à la disposition du Parlement européen et du Conseil.
7. Au plus tard le 21 mai 2025, la Commission adopte des lignes directrices sur l’exécution, par les organes de contrôle désignés en vertu du paragraphe 1 du présent article, des tâches visées au paragraphe 4 du présent article, et établit, au moyen d’actes d’exécution, les formats et les procédures applicables au rapport visé au paragraphe 6 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.