Title: wetten.nl - Regeling - NL aanvullende accreditatie-eisen certificeringsorganen Autoriteit Persoonsgegevens - BWBR0045241

Source: https://wetten.overheid.nl/BWBR0045241/

Content:
{"title": "wetten.nl - Regeling - NL aanvullende accreditatie-eisen certificeringsorganen Autoriteit Persoonsgegevens - BWBR0045241", "content": "NL aanvullende accreditatie-eisen certificeringsorganen Autoriteit Persoonsgegevens\n\nDe Autoriteit Persoonsgegevens (hierna: AP) heeft op 8\u00a0juni 2021 het volgende besluit\n                                    genomen inzake de aanvullende accreditatie-eisen voor certificeringsorganen met betrekking\n                                    tot ISO/IEC 17065:2012 (hierna: ISO 17065) en overeenkomstig artikel 43, eerste lid,\n                                    onder b, en artikel 43, derde lid, van de AVG:\n\nDe onderstaande punten (afgezien van punt 9) verwijzen naar de secties in ISO 17065\n                                    en geven de aanvullende eisen weer voor de desbetreffende ISO 17065-normelementen.\n\nDe taken en verantwoordelijkheden van de AP en de Raad voor Accreditatie (hierna:\n                                       RvA) als de nationale accreditatie-instantie (NAI) met betrekking tot accreditatie\n                                       voor AVG-certificeringsschema\u2019s zijn beschreven in de Uitvoeringswet Algemene Verordening Gegevensbescherming (hierna: UAVG) en in een ministeri\u00eble regeling (Regeling van de Minister voor Rechtsbescherming van 16\u00a0mei 2018 tot aanwijzing van\n                                          de Raad voor Accreditatie als accrediterende instantie als bedoeld in artikel 43,\n                                          eerste lid, van de Algemene verordening gegevensbescherming).2 De operationele procedures met betrekking tot de accreditatie voor AVG-certificeringsschema\u2019s\n                                       zijn vastgelegd in een informatieprotocol tussen de AP en de RvA.3\n\nDit document bevat aanvullende eisen bij ISO 17065 voor de beoordeling van de competentie,\n                                       de consistente werkwijze en de onpartijdigheid van AVG-certificeringsorganen.\n\nDe reikwijdte van ISO 17065 wordt toegepast in overeenstemming met de AVG. In de EDPB-richtsnoeren\n                                       inzake accreditatie en certificering wordt nadere informatie gegeven. De brede reikwijdte\n                                       van ISO 17065, die producten, processen en diensten omvat, prevaleert niet boven de\n                                       AVG of doet hier geen afbreuk aan. Derhalve moet certificering betrekking hebben op\n                                       de verwerking van persoonsgegevens. En hoewel een governancesysteem, bijvoorbeeld\n                                       een privacy-informatiemanagementsysteem, deel kan uitmaken van een certificeringsmechanisme,\n                                       mag het niet het enige element zijn.\n\nDe reikwijdte van een certificeringsmechanisme, bijvoorbeeld de certificering van\n                                       de verwerking van clouddiensten, moet worden meegenomen in de beoordeling door de\n                                       RvA en de AP tijdens het accreditatieproces, met name ten aanzien van criteria, deskundigheid\n                                       en evaluatiemethodiek.\n\nTen slotte kan op grond van artikel 42, eerste lid, van de AVG alleen een AVG-certificering\n                                       worden toegekend met betrekking tot de verwerkingsactiviteiten van de verwerkingsverantwoordelijke\n                                       en de verwerker.\n\nDe AVG prevaleert boven ISO 17065. Indien in de aanvullende eisen of door middel van\n                                       een certificeringsmechanisme wordt verwezen naar andere ISO-normen, worden deze ge\u00efnterpreteerd\n                                       in overeenstemming met de eisen die in de AVG zijn vastgesteld.\n\nDe termen en begripsomschrijvingen van de richtsnoeren inzake accreditatie4 en certificering5 zijn van toepassing en hebben voorrang op de ISO-definities. Voor het gemak worden\n                                       de belangrijkste definities die in dit document worden gebruikt, hieronder opgesomd.\n\n\u2022 \nAlgemene verordening gegevensbescherming (AVG): Verordening (EU) 2016/679.\n\n\u2022 \nUAVG:\nUitvoeringswet Algemene Verordening Gegevensbescherming, de Nederlandse wet voor uitvoering van de AVG.\n\n\u2022 \nISO 17065: ISO/IEC 17065:2012.\n\n\u2022 \nCertificering: de beoordeling en het onpartijdige attest van een derde partij dat de naleving van\n                                             de certificeringscriteria is aangetoond met betrekking tot de verwerkingsactiviteiten\n                                             van een verwerkingsverantwoordelijke of een verwerker.\n\n\u2022 \nAccreditatie: attest van een derde partij met betrekking tot de activiteiten van een certificeringsorgaan.\n                                             Dit is het resultaat van het beoordelingsproces voor een succesvol certificeringsorgaan\n                                             (als onderdeel van het accreditatieproces).\n\n\u2022 \nNationale accreditatie-instantie (NAI): de enige instantie in een lidstaat die door die staat gemachtigd is accreditaties\n                                             te verlenen overeenkomstig Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad. In Nederland is de Raad voor Accreditatie\n                                             (RvA) de NAI.\n\n\u2022 \nAccreditatie-instantie: instantie die de accreditatie uitvoert. In dit document wordt met deze term de RvA\n                                             bedoeld.\n\n\u2022 \nCertificeringsorgaan: derde-partij-conformiteitsbeoordelingsinstantie die certificeringsschema\u2019s uitvoert.\n\n\u2022 \nCertificeringscriteria: de criteria waaraan de verwerkingsactiviteiten van een organisatie worden getoetst\n                                             voor een bepaald certificeringsschema.\n\n\u2022 \nCertificeringsschema: een certificeringssysteem met betrekking tot gespecificeerde producten, processen\n                                             en diensten waarop dezelfde gespecificeerde eisen, specifieke regels en procedures\n                                             van toepassing zijn. Het omvat de certificeringscriteria en de beoordelingsmethodologie.\n\n\u2022 \nCertificeringsmechanisme: een goedgekeurd certificeringsschema dat beschikbaar is voor de aanvrager. Het is\n                                             een dienst die wordt verleend door een geaccrediteerd certificeringsorgaan op basis\n                                             van goedgekeurde criteria en beoordelingsmethodologie. Het is het systeem waarmee\n                                             een verwerkingsverantwoordelijke of een verwerker wordt gecertificeerd.\n\n\u2022 \nTarget of Evaluation (ToE): het voorwerp van de certificering. In het geval van een AVG-certificering zijn dit\n                                             de relevante verwerkingen die de verwerkingsverantwoordelijke of verwerker aanvraagt\n                                             ter evaluatie en certificering.\n\n\u2022 \nAanvrager: de organisatie die een aanvraag heeft ingediend om haar verwerkingsactiviteiten te\n                                             laten certificeren.\n\n\u2022 \nCli\u00ebnt: de organisatie die is gecertificeerd (voorheen de aanvrager).\n\nEen certificeringsorgaan moet (te allen tijde) aan de RvA kunnen aantonen te beschikken\n                                             over up-to-date procedures waaruit blijkt dat de wettelijke verantwoordelijkheden\n                                             worden nageleefd die zijn vastgelegd in de accreditatievoorwaarden, inclusief de aanvullende\n                                             eisen met betrekking tot de toepassing van de AVG.\n\nHet certificeringsorgaan dient aan te kunnen tonen dat zijn procedures en maatregelen\n                                             die specifiek gericht zijn op de controle en behandeling van de persoonsgegevens van\n                                             de organisatie van de aanvrager en de cli\u00ebnt in het kader van het certificeringproces\n                                             voldoen aan de AVG en de UAVG. Als zodanig moet het in staat zijn het bewijs te leveren dat aan de eisen van het\n                                             accreditatieproces is voldaan.\n\nHet certificeringsorgaan levert het bewijs van naleving zoals vereist tijdens het\n                                             accreditatieproces.\n\nDit houdt in ieder geval in dat het certificeringsorgaan aan de RvA bevestigt dat\n                                             het niet onderworpen is aan een AP-onderzoek dat of regelgevende actie die zou kunnen\n                                             inhouden dat het niet aan deze eis kan voldoen en als zodanig de accreditatie zou\n                                             kunnen verhinderen.\n\nHet certificeringsorgaan dient naast de eisen van ISO 17065 aan te tonen dat zijn\n                                             certificeringovereenkomsten:\n\n1 vereisen dat de aanvrager altijd voldoet aan zowel de algemene certificeringseisen\n                                                   in de zin van 4.1.2.2.a van ISO 17065 als aan de criteria die door het AP of de EDPB\n                                                   overeenkomstig artikel 43, tweede lid, onder b), en artikel 42, vijfde lid, van de\n                                                   AVG zijn goedgekeurd;\n\n2 vereisen dat de aanvrager de AP volledige transparantie biedt met betrekking tot de\n                                                   certificeringsprocedure, met inbegrip van al het vertrouwelijke materiaal, contractueel\n                                                   of anderszins, met betrekking tot de naleving van de gegevensbeschermingsvoorschriften\n                                                   overeenkomstig artikel 42, zevende lid, en artikel 58, eerste lid, onder c), van de\n                                                   AVG;\n\n3 vereisen dat de aanvrager het certificeringsorgaan alle informatie en toegang tot\n                                                   zijn verwerkingsactiviteiten verstrekt die nodig zijn om de certificeringsprocedure\n                                                   overeenkomstig artikel 42, zesde lid, van de AVG uit te voeren;\n\n4 vereisen dat de aanvrager de toepasselijke termijnen en procedures in acht neemt.\n                                                   In de certificeringsovereenkomst moet worden bepaald dat de termijnen en procedures\n                                                   die bijvoorbeeld voortvloeien uit het certificeringsmechanisme of andere regelgeving\n                                                   moeten worden gevolgd en nageleefd;\n\n5 het certificeringsorgaan in staat stellen de redenen voor de toekenning of intrekking\n                                                   van de certificering overeenkomstig artikel 43, vijfde lid, van de AVG aan de AP bekend\n                                                   te maken, alsmede de informatie die de AP aan de EDPB zal moeten verstrekken om de\n                                                   EDPB in staat te stellen het certificeringsmechanisme op te nemen in een openbaar\n                                                   register overeenkomstig artikel 42, achtste lid, van de AVG;\n\n6 regels bevatten over de noodzakelijke voorzorgsmaatregelen voor het onderzoek van\n                                                   klachten in de zin van 4.1.2.2 onder c nr. 2, en onder j, ook expliciete verklaringen\n                                                   bevatten over de structuur en de procedure voor de behandeling van klachten overeenkomstig\n                                                   artikel 43, tweede lid, onder d;\n\n7 vereisen dat de aanvrager het certificeringsorgaan in kennis stelt van inbreuken op\n                                                   de AVG of de UAVG die door de AP en/of de gerechtelijke autoriteiten zijn vastgesteld en die van invloed\n                                                   kunnen zijn op de certificering zodra zij op de hoogte zijn van een dergelijke inbreuk;\n\n8 met betrekking tot 4.1.2.2, onder c), punt 1, van ISO 17065 de regels voor geldigheid,\n                                                   verlenging en intrekking overeenkomstig artikel 42, zevende lid, en artikel 43, vierde\n                                                   lid, van de AVG vaststellen, met inbegrip van regels die passende termijnen vaststellen\n                                                   voor herbeoordeling of herziening overeenkomstig artikel 42, zevende lid, van de AVG\n                                                   en punt 7.9 van deze vereisten;\n\n9 in aanvulling op de in punt 4.1.2.2 van ISO 17065 bedoelde minimumeisen, indien de\n                                                   gevolgen van de intrekking of opschorting van de accreditatie van het certificeringsorgaan\n                                                   gevolgen hebben voor de cli\u00ebnt, ook de eventuele gevolgen voor de cli\u00ebnt behandelen;\n\n10 de verantwoordelijkheid van de aanvrager of de cli\u00ebnt om, voor zover van toepassing,\n                                                   aan de AVG te voldoen, niet verminderen en geen afbreuk doen aan de taken en bevoegdheden\n                                                   van de bevoegde toezichthoudende autoriteiten overeenkomstig artikel 42, vijfde lid,\n                                                   van de AVG;\n\n11 bindende evaluatiemethoden bevatten met betrekking tot de Target of Evaluation (ToE).\n\nCertificaten, zegels en merken mogen alleen worden gebruikt in overeenstemming met\n                                             de artikelen 42 en 43 van de AVG en de richtsnoeren inzake accreditatie en certificering.\n\nIn aanvulling op de eisen van ISO 17065, met name 3.13 en 4.2, moet het certificeringsorgaan\n                                          aan de RvA aantonen:\n\n1 dat het certificeringsorgaan voldoet aan de aanvullende eisen van de AP (overeenkomstig\n                                                artikel 43, eerste lid, onder b), van de AVG) zoals uiteengezet in dit document;\n\n2 dat in de certificering overeenkomstig artikel 43, tweede lid, onder a), van de AVG\n                                                een afzonderlijk bewijs van zijn onafhankelijkheid wordt geleverd. Dit geldt met name\n                                                voor het bewijs van de financiering van het certificeringsorgaan voor zover het de\n                                                waarborging van de onpartijdigheid betreft;\n\n3 dat de taken en verplichtingen van het certificeringsorgaan niet leiden tot een belangenconflict\n                                                overeenkomstig artikel 43, tweede lid, onder e), van de AVG;\n\n4 dat het certificeringsorgaan geen relevante banden heeft met de door hem beoordeelde\n                                                aanvrager.\n\nIn aanvulling op de eis in 4.3.1 van ISO 17065 moet het certificeringsorgaan regelmatig\n                                          (d.w.z. eenmaal per jaar) aan het RvA aantonen over passende maatregelen te beschikken\n                                          (bijvoorbeeld verzekering en/of reserves) om zijn aansprakelijkheden in de geografische\n                                          regio's waar het actief is, te dekken. Voorts dient het certificeringsorgaan aan te\n                                          tonen dat het financieel stabiel en onafhankelijk is. Het besluit met betrekking tot\n                                          de selectie en de aanwijzing van de bewijsstukken valt onder de discretionaire bevoegdheid\n                                          van de RvA.\n\nDe eisen van 4.4 van ISO 17065 zijn van toepassing.\n\nDe eisen van 4.5 van ISO 17065 zijn van toepassing.\n\nIn aanvulling op de eisen in 4.6 van ISO 17065 moet het certificeringsorgaan aan de\n                                          RvA aantonen dat:\n\n1 alle (huidige en vorige) versies van de goedgekeurde criteria uit hoofde van artikel\n                                                42, vijfde lid, van de AVG worden gepubliceerd en gemakkelijk publiek toegankelijk\n                                                zijn, en alsmede een toelichting op hoog niveau en op zinvolle wijze over de certificeringsprocedures\n                                                en de desbetreffende geldigheidsperiode;\n\n2 informatie over klachtenbehandelingsprocedures en beroepsprocedures openbaar worden\n                                                gemaakt overeenkomstig artikel 43, tweede lid, onder d), van de AVG.\n\nDe eisen van 5.1 van ISO 17065 zijn van toepassing.\n\nDe eisen van 5.2 van ISO 17065 zijn van toepassing.\n\nIn aanvulling op de eis in punt 6 van ISO 17065 moet het certificeringsorgaan aan\n                                          de RvA aantonen dat zijn medewerkers:\n\n1 blijk hebben gegeven van passende en voortdurende deskundigheid (kennis en ervaring)\n                                                met betrekking tot gegevensbescherming overeenkomstig artikel 43, eerste lid, van\n                                                de AVG;\n\n2 onafhankelijk zijn en voortdurend over deskundigheid beschikken met betrekking tot\n                                                het voorwerp van de certificering overeenkomstig artikel 43, tweede lid, onder a),\n                                                van de AVG en geen belangenconflict hebben overeenkomstig artikel 43, tweede lid,\n                                                onder e), van de AVG;\n\n3 zich ertoe verbinden de in artikel 42, vijfde lid, van de AVG bedoelde criteria overeenkomstig\n                                                artikel 43, tweede lid, onder b), van de AVG in acht te nemen;\n\n4 aantoonbare, relevante en passende kennis van en ervaring met de toepassing van de\n                                                gegevensbeschermingswetgeving hebben, waarbij de beoordelaars over meer specialistische\n                                                deskundigheid en beroepservaring op het gebied van technische procedures (bijvoorbeeld\n                                                audits en certificeringen) beschikken, terwijl de besluitvormers over meer algemene\n                                                en uitgebreide deskundigheid en beroepservaring op het gebied van gegevensbescherming\n                                                beschikken;\n\n5 aantoonbare, relevante en passende kennis van en ervaring met technische en organisatorische\n                                                maatregelen op het gebied van gegevensbescherming hebben;\n\n6 aantoonbare ervaring hebben op de gebieden die in deze aanvullende eisen worden genoemd,\n                                                in het bijzonder:\n\nVoor medewerkers met technische expertise:\n\n\u2022 Een kwalificatie op een relevant gebied van technische expertise hebben behaald op\n                                                ten minste EKK-niveau6 6 of een erkende beschermde titel (bijvoorbeeld Dipl. Ing.) in het relevante gereglementeerde\n                                                beroep, of een aanzienlijke relevante beroepservaring op dat gebied hebben.\n\n\u2022 Medewerkers die verantwoordelijk zijn voor certificeringsbeslissingen moeten beschikken\n                                                over aanzienlijke beroepservaring in het identificeren en uitvoeren van gegevensbeschermingsmaatregelen.\n\n\u2022 Medewerkers die verantwoordelijk zijn voor evaluaties dienen te beschikken over beroepservaring\n                                                op het gebied van technische gegevensbescherming en kennis van en ervaring met vergelijkbare\n                                                procedures (bijvoorbeeld certificeringen/audits), en moeten, indien van toepassing,\n                                                zijn geregistreerd.\n\n\u2022 Medewerkers dienen aan te tonen dat zij domeinspecifieke kennis op het gebied van\n                                                technische en auditvaardigheden op peil houden door middel van voortdurende professionele\n                                                ontwikkeling.\n\nVoor medewerkers met juridische expertise:\n\n\u2022 Juridische studie aan een door de EU of de staat erkende universiteit gedurende ten\n                                                minste acht semesters, met inbegrip van de academische graad Master (LL.M.) of gelijkwaardig,\n                                                of significante beroepservaring.\n\n\u2022 Medewerkers die verantwoordelijk zijn voor certificeringsbeslissingen dienen aan te\n                                                tonen over significante beroepservaring te beschikken op het gebied van gegevensbeschermingsrecht\n                                                en dienen te zijn geregistreerd, voor zover van toepassing.\n\n\u2022 Medewerkers die verantwoordelijk zijn voor de evaluaties dienen aan te tonen dat zij\n                                                ten minste twee jaar beroepservaring hebben op het gebied van het gegevensbeschermingsrecht\n                                                en kennis van en ervaring met vergelijkbare procedures (bijvoorbeeld certificeringen/audits),\n                                                en dienen te zijn geregistreerd, voor zover van toepassing.\n\n\u2022 Medewerkers dienen aan te tonen dat zij door middel van voortdurende professionele\n                                                ontwikkeling domeinspecifieke kennis op het gebied van juridische en auditvaardigheden\n                                                op peil houden.\n\nDe eisen van 6.2 van ISO 17065 zijn van toepassing\n\nIn aanvulling op de vereiste in 7.1 van ISO 17065 moet de RvA het volgende waarborgen:\n\n1 dat de certificeringsorganen aan deze aanvullende eisen voldoen (overeenkomstig artikel\n                                                43, eerste lid, onder b), van de AVG), zodat de taken en verplichtingen niet leiden\n                                                tot een belangenconflict overeenkomstig artikel 43, tweede lid, onder e), van de AVG;\n\n2 dat de bevoegde toezichthoudende autoriteit in kennis wordt gesteld voordat een certificeringsorgaan\n                                                vanuit een nevenvestiging een goedgekeurd Europees gegevensbeschermingszegel in een\n                                                nieuwe lidstaat in gebruik neemt.\n\nIn aanvulling op punt 7.2 van ISO 17065 eist het certificeringsorgaan dat de aanvraag:\n\n1 een gedetailleerde beschrijving van de Target of Evaluation (ToE) bevat. Dit omvat\n                                                ook interfaces en overdrachten naar andere systemen en organisaties, protocollen en\n                                                andere waarborgen;\n\n2 specificeert of er verwerkers worden gebruikt, en wanneer verwerkers de aanvrager\n                                                zijn, worden hun verantwoordelijkheden en taken beschreven, en de aanvraag zal het\n                                                (de) desbetreffende contract(en) voor de verwerkingsverantwoordelijken/verwerkers\n                                                bevatten;\n\n3 specificeert of gezamenlijke verwerkingsverantwoordelijken bij de verwerking betrokken\n                                                zijn, en wanneer de gezamenlijke verwerkingsverantwoordelijke de aanvrager is, worden\n                                                zijn verantwoordelijkheden en taken beschreven, en bevat de aanvraag de overeengekomen\n                                                regeling; en\n\n4 alle lopende of recente onderzoeken of regelgevende maatregelen van de AP bevat waaraan\n                                                de aanvrager is onderworpen die relevant zijn gezien de reikwijdte van de certificering\n                                                en de verwerking(en) waarop de certificering betrekking heeft.\n\nIn aanvulling op punt 7.3 van ISO 17065:\n\n\u2022 dient bij de beoordeling volgens punt 7.3, onder e), van ISO 17065 of er voldoende\n                                                deskundigheid is, in passende mate rekening worden gehouden met zowel technische als\n                                                juridische deskundigheid op het gebied van gegevensbescherming;\n\n\u2022 dient bij de beoordeling van de aanvraag rekening te worden gehouden met de in punt\n                                                7.2, onder 4), van dit document genoemde controles op de naleving van de gegevensbeschermingsvoorschriften\n                                                en dient het certificeringsorgaan zich ervan te vergewissen dat de aanvrager een geschikte\n                                                kandidaat is voor certificering op het gebied van gegevensbescherming.\n\nIn aanvulling op punt 7.4 van ISO 17065 moeten in het certificeringssysteem toereikende\n                                          evaluatiemethoden worden beschreven om te beoordelen of de verwerkingshandeling(en)\n                                          aan de certificeringscriteria voldoet (voldoen), met inbegrip van onderwerpen als:\n\n1 een methode voor de beoordeling van de noodzaak en de evenredigheid van de verwerkingen\n                                                gezien het doel en de betrokkenen;\n\n2 een methode voor de evaluatie van de dekking, de samenstelling en de beoordeling van\n                                                alle risico's die door de verwerkingsverantwoordelijke en de verwerker worden overwogen\n                                                met betrekking tot de juridische gevolgen overeenkomstig de artikelen 30, 32 en 35\n                                                en 36 van de AVG en met betrekking tot de vaststelling van technische en organisatorische\n                                                maatregelen overeenkomstig de artikelen 24, 25 en 32 van de AVG, voor zover de bovengenoemde\n                                                artikelen van toepassing zijn op het voorwerp van de certificering, en\n\n3 een methode voor de beoordeling van de middelen, waaronder garanties, voorzorgsmaatregelen\n                                                en procedures, waarmee de bescherming van persoonsgegevens wordt gewaarborgd binnen\n                                                de te certificeren verwerkingen, en om aan te tonen dat wordt voldaan aan de wettelijke\n                                                eisen zoals die in de vastgestelde criteria zijn vastgelegd; en\n\n4 documenteren van methoden en bevindingen.\n\nHet certificeringsorgaan dient erop toe te zien dat deze evaluatiemethoden worden\n                                          gestandaardiseerd en consequent worden toegepast. Dit betekent dat vergelijkbare evaluatiemethoden\n                                          worden gebruikt voor vergelijkbare ToE's. Elke afwijking van deze procedure moet door\n                                          het certificeringsorgaan worden gemotiveerd.\n\nIn aanvulling op punt 7.4.2 van ISO 17065 mag de evaluatie worden uitgevoerd door\n                                          onderaannemers die door het certificeringsorgaan zijn erkend, met gebruikmaking van\n                                          dezelfde vereisten voor medewerkers vermeld in punt 6.\n\nIn aanvulling op punt 7.4.5 van ISO 17065 moet worden bepaald dat in het kader van\n                                          een nieuwe evaluatie rekening mag worden gehouden met bestaande certificering, die\n                                          betrekking heeft op hetzelfde voorwerp van de certificering. Het certificaat alleen\n                                          is echter niet voldoende bewijs en het certificeringsorgaan is verplicht te controleren\n                                          of aan de criteria met betrekking tot het voorwerp van de certificering wordt voldaan.\n                                          Het volledige evaluatierapport en andere relevante informatie die een evaluatie van\n                                          de bestaande certificering en de resultaten daarvan mogelijk maakt, worden in aanmerking\n                                          genomen om tot een ge\u00efnformeerd besluit te komen.\n\nIndien in het kader van een nieuwe evaluatie rekening wordt gehouden met bestaande\n                                          certificering, dient de reikwijdte van die certificering ook in detail te worden beoordeeld\n                                          met betrekking tot de naleving van de relevante certificeringscriteria.\n\nIn aanvulling op punt 7.4.6 van ISO 17065 moet het certificeringsorgaan in zijn certificeringregeling\n                                          gedetailleerd vastleggen hoe de aanvrager door de in punt 7.4.6 vereiste informatie\n                                          op de hoogte is van afwijkingen van de regeling. Dit omvat ten minste de aard en het\n                                          tijdstip van deze informatie.\n\nIn aanvulling op punt 7.4.9 van ISO 17065 moet de evaluatiedocumentatie op verzoek\n                                          volledig toegankelijk worden gemaakt voor de AP.\n\nIn aanvulling op punt 7.5 van ISO 17065 zijn procedures voor de toekenning, regelmatige\n                                          herziening en intrekking van de respectieve certificeringen overeenkomstig artikel\n                                          43, tweede en derde lid, van de AVG vereist.\n\nIn aanvulling op punt 7.6.1 van ISO 17065 moet het certificeringsorgaan in zijn procedures\n                                          gedetailleerd vastleggen hoe haar onafhankelijkheid en verantwoordelijkheden met betrekking\n                                          tot individuele certificeringsbeslissingen worden gewaarborgd.\n\nIn aanvulling op punt 7.6 van ISO 17065 moet het certificeringsorgaan onmiddellijk\n                                          v\u00f3\u00f3r de afgifte of verlenging van de certificering de AP op de hoogte stellen door\n                                          de ontwerp-goedkeuring, met inbegrip van de samenvatting van het evaluatierapport,\n                                          aan de AP voor te leggen. In de samenvatting wordt duidelijk beschreven hoe aan de\n                                          criteria wordt voldaan, zodat de redenen voor het verlenen of behouden van de certificering\n                                          worden vermeld.\n\nNaast de controle die wordt uitgevoerd in de aanvraagfase, voorafgaand aan de afgifte\n                                          van de certificering, moet het certificeringsorgaan bij de aanvrager nagaan of er\n                                          geen sprake is van een onderzoek of regelgevende maatregelen van de AP die de afgifte\n                                          van de certificering zouden kunnen verhinderen.\n\nIn aanvulling op punt 7.7.1, onder e), van ISO 17065 en in overeenstemming met artikel\n                                          42, zevende lid, van de AVG wordt vereist dat de geldigheidsduur van de certificeringen\n                                          maximaal drie jaar bedraagt.\n\nIn aanvulling op punt 7.7.1, onder e), van ISO 17065 wordt vereist dat de periode\n                                          van de voorgenomen monitoring in de zin van punt 7.9 van dit document wordt gedocumenteerd.\n\nIn aanvulling op punt 7.7.1, onder f), van ISO 17065 moet het certificeringsorgaan\n                                          het voorwerp van de certificering in de certificeringsdocumentatie vermelden (met\n                                          vermelding van de versiestatus of soortgelijke kenmerken, indien van toepassing).\n\nBij de afgifte van het certificaat moet het certificeringsorgaan een kopie van de\n                                          in punt 7.7.1 van ISO 17065 bedoelde certificeringsdocumentatie verstrekken aan de\n                                          AP.\n\nIn aanvulling op punt 7.8 van ISO 17065 maakt het certificeringsorgaan een verslag\n                                          van de afgegeven certificeringen publiek toegankelijk, met inbegrip van informatie\n                                          over het certificeringsmechanisme en de geldigheidsduur van de certificeringen.\n\nHet certificeringsorgaan stelt een samenvatting van het evaluatierapport ter beschikking\n                                          aan het publiek. Het doel van deze samenvatting is om te helpen bij de transparantie\n                                          over wat is gecertificeerd en hoe dit is beoordeeld. De volgende onderwerpen zullen\n                                          worden toegelicht:\n\na) de reikwijdte van de certificering en een zinvolle beschrijving van het voorwerp van\n                                                de certificering (ToE),\n\nb) de respectieve certificeringscriteria (inclusief versie of functionele status),\n\nc) de uitgevoerde evaluatiemethoden en tests en\n\nd) het resultaat/de resultaten.\n\nIn aanvulling op de punten 7.9.1, 7.9.2 en 7.9.3 van ISO 17065 en overeenkomstig artikel\n                                          43, tweede lid, onder c), van de AVG zijn er regelmatig controlemaatregelen vereist\n                                          om de certificering tijdens de controleperiode te behouden. Dergelijke maatregelen\n                                          moeten risicogebaseerd en evenredig zijn en de maximale periode tussen de toezichtsactiviteiten\n                                          mag niet meer dan 12 maanden bedragen.\n\nIn aanvulling op de punten 7.10.1 en 7.10.2 van ISO 17065 moet het certificeringsorgaan\n                                          ook rekening houden met wijzigingen die van invloed zijn op de certificering:\n\n\u2022 elke inbreuk op persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk op\n                                                persoonsgegevens leidt tot een risico voor de rechten en vrijheden van natuurlijke\n                                                personen, of een door de AP en/of de gerechtelijke autoriteiten vastgestelde inbreuk\n                                                op de AVG of de UAVG die verband houdt met het voorwerp van de certificering, gemeld door de opdrachtgever\n                                                of de AP;\n\n\u2022 wijzigingen in de gegevensbeschermingswetgeving;\n\n\u2022 de vaststelling van gedelegeerde handelingen van de Europese Commissie overeenkomstig\n                                                artikel 43, achtste lid, en artikel 43, negende lid, van de AVG;\n\n\u2022 door het Europees Comit\u00e9 voor gegevensbescherming goedgekeurde documenten; en\n\n\u2022 rechterlijke beslissingen met betrekking tot gegevensbescherming;\n\n\u2022 wijzigingen in de stand van de techniek met betrekking tot gegevensbescherming of\n                                                het voorwerp van de certificering.\n\nDe door het certificeringsorgaan uit te voeren wijzigingsprocedures omvatten onder\n                                          meer: overgangsperioden, goedkeuringsproces met de AP, herbeoordeling van het relevante\n                                          voorwerp van de certificering en passende maatregelen om de certificering in te trekken\n                                          als de gecertificeerde verwerking niet langer in overeenstemming is met de bijgewerkte\n                                          criteria.\n\nIn aanvulling op punt 7.11.1 van ISO 17065 moet het certificeringsorgaan de AP en\n                                          de RvA onverwijld schriftelijk informeren over de genomen maatregelen en over voortzetting,\n                                          beperkingen, opschorting en intrekking van de certificering.\n\nIndien de AP overeenkomstig artikel 58, tweede lid, onder h), van de AVG vaststelt\n                                          dat niet of niet langer aan de eisen voor de certificering wordt voldaan, aanvaardt\n                                          het certificeringsorgaan besluiten of bevelen om de certificering in te trekken of\n                                          niet af te geven.\n\nIn aanvulling op punt 7.12 van ISO 17065 is het certificeringsorgaan verplicht om\n                                          alle documentatie volledig, begrijpelijk en up-to-date te houden en geschikt te maken\n                                          voor audits.\n\nIn aanvulling op punt 7.13.1 van ISO 17065 moet het certificeringsorgaan het volgende\n                                          beschrijven:\n\na) wie klachten of bezwaren kan indienen,\n\nb) wie deze verwerkt bij het certificeringsorgaan,\n\nc) welke verificaties in dit verband plaatsvinden; en\n\nd) de mogelijkheden voor raadpleging van de belanghebbende partijen.\n\nIn aanvulling op punt 7.13.2 van ISO 17065 moet het certificeringsorgaan het volgende\n                                          beschrijven:\n\na) hoe en aan wie een dergelijke bevestiging moet worden gegeven,\n\nb) de termijnen hiervoor; en\n\nc) welke processen daarna in gang worden gezet.\n\nDe certificeringsorganen maken hun klachtenbehandelingsprocedures openbaar en gemakkelijk\n                                          toegankelijk voor de betrokkenen.\n\nHet certificeringsorgaan is verplicht de indiener van een klacht zonder onnodige vertraging\n                                          en in ieder geval binnen een maand na ontvangst van de klacht op de hoogte te stellen\n                                          van de voortgang en/of het resultaat van de klacht. Deze termijn kan zo nodig worden\n                                          verlengd. In dat geval deelt het certificeringsorgaan de indiener van de klacht binnen\n                                          een maand na ontvangst van het verzoek mee wanneer het resultaat kan worden verwacht.\n\nIn aanvulling op punt 7.13.1 van ISO 17065 moet het certificeringsorgaan bepalen hoe\n                                          de scheiding tussen certificeringactiviteiten en de behandeling van beroepsprocedures\n                                          en klachten wordt gewaarborgd.\n\nIn aanvulling op hoofdstuk 8 van ISO 17065 moeten de managementbeginselen en de gedocumenteerde\n                                       uitvoering ervan transparant zijn en door het geaccrediteerde certificeringsorgaan\n                                       in de accreditatieprocedure overeenkomstig artikel 58 van de AVG en vervolgens op\n                                       verzoek van de AP op elk moment tijdens een onderzoek worden bekendgemaakt in de vorm\n                                       van gegevensbeschermingscontroles overeenkomstig artikel 58, eerste lid, onder b),\n                                       van de AVG of een herziening van de overeenkomstig artikel 42, zevende lid, van de\n                                       AVG afgegeven certificeringen overeenkomstig artikel 58, eerste lid, onder c), van\n                                       de AVG.\n\nDe procedures in geval van opschorting of intrekking van de accreditatie worden ge\u00efntegreerd\n                                       in het managementsysteem van het certificeringsorgaan, met inbegrip van de kennisgeving\n                                       aan hun klanten en aanvragers.\n\nHet certificeringsorgaan stelt een klachtenbehandelingsproces met de nodige niveaus\n                                       van onafhankelijkheid vast als integraal onderdeel van het managementsysteem, waarmee\n                                       met name de eisen van punt 4.1.2.2, onder c), punt 4.1.2.2, onder j), punt 4.6, onder\n                                       d), en punt 7.13 van ISO 17065 worden uitgevoerd.\n\nDe eisen van 8.1 Opties van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.2 van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.3 van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.4 van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.5 van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.6 van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.7 van ISO 17065 zijn van toepassing.\n\nDe eisen van 8.8 van ISO 17065 zijn van toepassing.\n\nHet certificeringsorgaan stelt procedures vast voor de bijwerking van de evaluatiemethoden\n                                          voor de toepassing in het kader van de evaluatie overeenkomstig punt 7.4 van ISO 17065\n                                          en onderhavig document. De bijwerking moet plaatsvinden in het kader van wijzigingen\n                                          in het wettelijk kader, de relevante risico's, de stand van de techniek en de uitvoeringskosten\n                                          van de technische en organisatorische maatregelen.\n\nDe certificeringsorganen stellen procedures vast om de opleiding van hun werknemers\n                                          te waarborgen met het oog op de actualisering van hun vaardigheden, rekening houdend\n                                          met de in punt 9.1 van dit document vermelde ontwikkelingen.\n\nEr dienen procedures te worden vastgesteld voor de toepassing van passende procedures\n                                             en communicatiestructuren tussen het certificeringsorgaan en zijn cli\u00ebnt of aanvrager.\n                                             Dit omvat:\n\n1 Het bijhouden van documentatie over de taken en verantwoordelijkheden van het geaccrediteerde\n                                                   certificeringsorgaan, met het oog op\n\n\u2013 het beantwoorden van informatieverzoeken; of\n\n\u2013 om contact op te nemen in geval van een klacht over een certificering.\n\n2 Het onderhouden van een aanvraagprocedure met het oog op\n\n\u2013 informatie over de status en het resultaat van een aanvraag;\n\n\u2013 evaluaties door de AP met betrekking tot\n\n\u2013 terugkoppeling;\n\n\u2013 beslissingen van de AP.\n\nEr gelden geen aanvullende eisen.\n\nAls integraal onderdeel van het managementsysteem wordt een klachtenbehandelingsprocedure\n                                             vastgesteld, waarmee name de eisen van punt 4.1.2.2, onder c), punt 4.1.2.2, onder\n                                             j), punt 4.6, onder d), en punt 7.13 van ISO 17065 moeten worden uitgevoerd.\n\nRelevante klachten en bezwaren moeten met de AP worden gedeeld.\n\nDe procedures in geval van schorsing of intrekking van de accreditatie worden ge\u00efntegreerd\n                                             in het managementsysteem van het certificeringsorgaan, met inbegrip van de kennisgeving\n                                             aan cli\u00ebnten."}