1. Au plus tard le 29 novembre 2022, la Commission soumet un rapport au Parlement européen, au Conseil et au Comité économique et social européen faisant état de son évaluation de la mise en œuvre du présent règlement, notamment en ce qui concerne:
a) l'application du présent règlement, en particulier aux ensembles de données composés à la fois de données à caractère personnel et de données à caractère non personnel, à la lumière de l'évolution des marchés et de l'évolution technologique qui pourraient élargir les possibilités de désanonymisation des données;
b) la mise en œuvre par les États membres de l'article 4, paragraphe 1, et en particulier l'exception relative à la sécurité publique; et
c) l'élaboration et la mise en œuvre effective des codes de conduite, ainsi que la fourniture effective d'informations par les fournisseurs de services.
2. Les États membres communiquent à la Commission toutes les informations nécessaires à l'établissement du rapport visé au paragraphe 1.
3. Au plus tard le 29 mai 2019, la Commission publie des lignes directrices sur l'interaction entre le présent règlement et le règlement (UE) 2016/679, en particulier en ce qui concerne les ensembles de données composés à la fois de données à caractère personnel et de données à caractère non personnel.