Innovatief certificeringsmodel

AVG-kerncriteria (G/GI): Het certificeringsproces begint altijd met de Europrivacy-lijst van AVG-kerncriteria, die de verschillende AVG-verplichtingen omvat, zoals hieronder toegelicht:

• Rechtmatigheid van gegevensverwerking
• Verwerking van bijzondere gegevens
• Rechten van de betrokkenen
• Verantwoordelijkheid van de verwerkingsverantwoordelijke
• Verwerkers en subverwerkers
• Beveiliging van de verwerking en gegevensbescherming door ontwerp (Privacy by Design)
• Beheer van datalekken
• Gegevensbeschermingseffectbeoordeling (GEB / DPIA)
• Functionaris voor gegevensbescherming (FG / DPO)
• Doorgifte van persoonsgegevens aan derde landen of internationale organisaties (indien van toepassing)

C – Aanvullende controles en verificaties: De kerncriteria worden aangevuld met aanvullende controles en verificaties om te beoordelen of voldaan wordt aan de domeinspecifieke en technologiespecifieke verplichtingen die mogelijk van toepassing zijn op het Evaluatiedoel.

T – Technische en organisatorische maatregelen: De controles en verificaties van technische en organisatorische maatregelen zijn gericht op het beoordelen van de geschiktheid van de genomen maatregelen om de verwerkte gegevens te beveiligen. Behalve bij gegevensverwerking met een hoog risico kan dit worden vervangen door een geldig ISO/IEC 27001-certificaat dat betrekking heeft op het Evaluatiedoel.

S – Checklist voor toezichtaudits: Er zijn enkele aanvullende criteria vastgesteld voor de toezichtaudits om continue naleving door de tijd heen te beoordelen en te waarborgen.

N – Nationale verplichtingen: Europrivacy ondersteunt de toetsing van de naleving van aanvullende nationale verplichtingen via verschillende instrumenten:

• Profielen voor nationale verplichtingen voor elk van de lidstaten van de Europese Economische Ruimte. Deze middelen kunnen worden gebruikt om een National Obligation Compliance Assessment Report (NOCAR) op te stellen.
• Europrivacy nationale criteria-uitbreiding om te beoordelen en te certificeren of een Evaluatiedoel voldoet aan aanvullende nationale regelgeving inzake gegevensbescherming. Deze uitbreidingen zijn optioneel en worden op vrijwillige basis gebruikt om een Europrivacy-certificering uit te breiden naar de desbetreffende niet-EU-rechtsgebieden.
• Analyse van potentiële wetsconflicten om te beoordelen of het nationaal recht dat van toepassing is op de Aanvrager in derde landen deze zou beletten te voldoen aan de AVG en de certificeringsvereisten.