Een certificeringsorgaan moet (te allen tijde) aan de RvA kunnen aantonen te beschikken over up-to-date procedures waaruit blijkt dat de wettelijke verantwoordelijkheden worden nageleefd die zijn vastgelegd in de accreditatievoorwaarden, inclusief de aanvullende eisen met betrekking tot de toepassing van de AVG.
Het certificeringsorgaan dient aan te kunnen tonen dat zijn procedures en maatregelen die specifiek gericht zijn op de controle en behandeling van de persoonsgegevens van de organisatie van de aanvrager en de cliënt in het kader van het certificeringproces voldoen aan de AVG en de UAVG. Als zodanig moet het in staat zijn het bewijs te leveren dat aan de eisen van het accreditatieproces is voldaan.
Het certificeringsorgaan levert het bewijs van naleving zoals vereist tijdens het accreditatieproces.
Dit houdt in ieder geval in dat het certificeringsorgaan aan de RvA bevestigt dat het niet onderworpen is aan een AP-onderzoek dat of regelgevende actie die zou kunnen inhouden dat het niet aan deze eis kan voldoen en als zodanig de accreditatie zou kunnen verhinderen.
Het certificeringsorgaan dient naast de eisen van ISO 17065 aan te tonen dat zijn certificeringovereenkomsten:
vereisen dat de aanvrager altijd voldoet aan zowel de algemene certificeringseisen in de zin van 4.1.2.2.a van ISO 17065 als aan de criteria die door het AP of de EDPB overeenkomstig artikel 43, tweede lid, onder b), en artikel 42, vijfde lid, van de AVG zijn goedgekeurd;
vereisen dat de aanvrager de AP volledige transparantie biedt met betrekking tot de certificeringsprocedure, met inbegrip van al het vertrouwelijke materiaal, contractueel of anderszins, met betrekking tot de naleving van de gegevensbeschermingsvoorschriften overeenkomstig artikel 42, zevende lid, en artikel 58, eerste lid, onder c), van de AVG;
vereisen dat de aanvrager het certificeringsorgaan alle informatie en toegang tot zijn verwerkingsactiviteiten verstrekt die nodig zijn om de certificeringsprocedure overeenkomstig artikel 42, zesde lid, van de AVG uit te voeren;
vereisen dat de aanvrager de toepasselijke termijnen en procedures in acht neemt. In de certificeringsovereenkomst moet worden bepaald dat de termijnen en procedures die bijvoorbeeld voortvloeien uit het certificeringsmechanisme of andere regelgeving moeten worden gevolgd en nageleefd;
het certificeringsorgaan in staat stellen de redenen voor de toekenning of intrekking van de certificering overeenkomstig artikel 43, vijfde lid, van de AVG aan de AP bekend te maken, alsmede de informatie die de AP aan de EDPB zal moeten verstrekken om de EDPB in staat te stellen het certificeringsmechanisme op te nemen in een openbaar register overeenkomstig artikel 42, achtste lid, van de AVG;
regels bevatten over de noodzakelijke voorzorgsmaatregelen voor het onderzoek van klachten in de zin van 4.1.2.2 onder c nr. 2, en onder j, ook expliciete verklaringen bevatten over de structuur en de procedure voor de behandeling van klachten overeenkomstig artikel 43, tweede lid, onder d;
vereisen dat de aanvrager het certificeringsorgaan in kennis stelt van inbreuken op de AVG of de UAVG die door de AP en/of de gerechtelijke autoriteiten zijn vastgesteld en die van invloed kunnen zijn op de certificering zodra zij op de hoogte zijn van een dergelijke inbreuk;
met betrekking tot 4.1.2.2, onder c), punt 1, van ISO 17065 de regels voor geldigheid, verlenging en intrekking overeenkomstig artikel 42, zevende lid, en artikel 43, vierde lid, van de AVG vaststellen, met inbegrip van regels die passende termijnen vaststellen voor herbeoordeling of herziening overeenkomstig artikel 42, zevende lid, van de AVG en punt 7.9 van deze vereisten;
in aanvulling op de in punt 4.1.2.2 van ISO 17065 bedoelde minimumeisen, indien de gevolgen van de intrekking of opschorting van de accreditatie van het certificeringsorgaan gevolgen hebben voor de cliënt, ook de eventuele gevolgen voor de cliënt behandelen;
de verantwoordelijkheid van de aanvrager of de cliënt om, voor zover van toepassing, aan de AVG te voldoen, niet verminderen en geen afbreuk doen aan de taken en bevoegdheden van de bevoegde toezichthoudende autoriteiten overeenkomstig artikel 42, vijfde lid, van de AVG;
bindende evaluatiemethoden bevatten met betrekking tot de Target of Evaluation (ToE).
Certificaten, zegels en merken mogen alleen worden gebruikt in overeenstemming met de artikelen 42 en 43 van de AVG en de richtsnoeren inzake accreditatie en certificering.
In aanvulling op de eisen van ISO 17065, met name 3.13 en 4.2, moet het certificeringsorgaan aan de RvA aantonen:
dat het certificeringsorgaan voldoet aan de aanvullende eisen van de AP (overeenkomstig artikel 43, eerste lid, onder b), van de AVG) zoals uiteengezet in dit document;
dat in de certificering overeenkomstig artikel 43, tweede lid, onder a), van de AVG een afzonderlijk bewijs van zijn onafhankelijkheid wordt geleverd. Dit geldt met name voor het bewijs van de financiering van het certificeringsorgaan voor zover het de waarborging van de onpartijdigheid betreft;
dat de taken en verplichtingen van het certificeringsorgaan niet leiden tot een belangenconflict overeenkomstig artikel 43, tweede lid, onder e), van de AVG;
dat het certificeringsorgaan geen relevante banden heeft met de door hem beoordeelde aanvrager.
In aanvulling op de eis in 4.3.1 van ISO 17065 moet het certificeringsorgaan regelmatig (d.w.z. eenmaal per jaar) aan het RvA aantonen over passende maatregelen te beschikken (bijvoorbeeld verzekering en/of reserves) om zijn aansprakelijkheden in de geografische regio's waar het actief is, te dekken. Voorts dient het certificeringsorgaan aan te tonen dat het financieel stabiel en onafhankelijk is. Het besluit met betrekking tot de selectie en de aanwijzing van de bewijsstukken valt onder de discretionaire bevoegdheid van de RvA.
De eisen van 4.4 van ISO 17065 zijn van toepassing.
De eisen van 4.5 van ISO 17065 zijn van toepassing.
In aanvulling op de eisen in 4.6 van ISO 17065 moet het certificeringsorgaan aan de RvA aantonen dat:
alle (huidige en vorige) versies van de goedgekeurde criteria uit hoofde van artikel 42, vijfde lid, van de AVG worden gepubliceerd en gemakkelijk publiek toegankelijk zijn, en alsmede een toelichting op hoog niveau en op zinvolle wijze over de certificeringsprocedures en de desbetreffende geldigheidsperiode;
informatie over klachtenbehandelingsprocedures en beroepsprocedures openbaar worden gemaakt overeenkomstig artikel 43, tweede lid, onder d), van de AVG.
Artikel 4
Algemene eisen voor accreditatie
Onderdeel van NL aanvullende accreditatie-eisen certificeringsorganen Autoriteit Persoonsgegevens· Privacy
Deze tekst geldt sinds 16 juni 2021