STAATSCOURANT
Nr. 30081
16 juni
2021
Officiële uitgave van het Koninkrijk der Nederlanden sinds 1814.
NL aanvullende accreditatie-eisen voor certificeringsorganen1, Autoriteit
Persoonsgegevens
De Autoriteit Persoonsgegevens (hierna: AP) heeft op 8 juni 2021 het volgende besluit genomen inzake
de aanvullende accreditatie-eisen voor certificeringsorganen met betrekking tot ISO/IEC 17065:2012
(hierna: ISO 17065) en overeenkomstig artikel 43, eerste lid, onder b, en artikel 43, derde lid, van de
AVG:
De onderstaande punten (afgezien van punt 9) verwijzen naar de secties in ISO 17065 en geven de
aanvullende eisen weer voor de desbetreffende ISO 17065-normelementen.
0 Voorwoord
De taken en verantwoordelijkheden van de AP en de Raad voor Accreditatie (hierna: RvA) als de
nationale accreditatie-instantie (NAI) met betrekking tot accreditatie voor AVG-certificeringsschema’s
zijn beschreven in de Uitvoeringswet Algemene Verordening Gegevensbescherming (hierna: UAVG)
en in een ministeriële regeling (Regeling van de Minister voor Rechtsbescherming van 16 mei 2018 tot
aanwijzing van de Raad voor Accreditatie als accrediterende instantie als bedoeld in artikel 43, eerste
lid, van de Algemene verordening gegevensbescherming).2 De operationele procedures met betrek-
king tot de accreditatie voor AVG-certificeringsschema’s zijn vastgelegd in een informatieprotocol
tussen de AP en de RvA.3
1 Reikwijdte
Dit document bevat aanvullende eisen bij ISO 17065 voor de beoordeling van de competentie, de
consistente werkwijze en de onpartijdigheid van AVG-certificeringsorganen.
De reikwijdte van ISO 17065 wordt toegepast in overeenstemming met de AVG. In de EDPB-
richtsnoeren inzake accreditatie en certificering wordt nadere informatie gegeven. De brede reikwijdte
van ISO 17065, die producten, processen en diensten omvat, prevaleert niet boven de AVG of doet hier
geen afbreuk aan. Derhalve moet certificering betrekking hebben op de verwerking van persoonsgege-
vens. En hoewel een governancesysteem, bijvoorbeeld een privacy-informatiemanagementsysteem,
deel kan uitmaken van een certificeringsmechanisme, mag het niet het enige element zijn.
De reikwijdte van een certificeringsmechanisme, bijvoorbeeld de certificering van de verwerking van
clouddiensten, moet worden meegenomen in de beoordeling door de RvA en de AP tijdens het
accreditatieproces, met name ten aanzien van criteria, deskundigheid en evaluatiemethodiek.
Ten slotte kan op grond van artikel 42, eerste lid, van de AVG alleen een AVG-certificering worden
toegekend met betrekking tot de verwerkingsactiviteiten van de verwerkingsverantwoordelijke en de
verwerker.
2 Normatieve referentie
De AVG prevaleert boven ISO 17065. Indien in de aanvullende eisen of door middel van een certifice-
ringsmechanisme wordt verwezen naar andere ISO-normen, worden deze geïnterpreteerd in
overeenstemming met de eisen die in de AVG zijn vastgesteld.
3 Termen en begripsomschrijvingen
De termen en begripsomschrijvingen van de richtsnoeren inzake accreditatie4 en certificering5 zijn van
toepassing en hebben voorrang op de ISO-definities. Voor het gemak worden de belangrijkste
definities die in dit document worden gebruikt, hieronder opgesomd.
• Algemene verordening gegevensbescherming (AVG): Verordening (EU) 2016/679.
1
De tekst van deze aanvullende eisen in de Engelse taal is authentiek. Bij interpretatieverschillen is de Engelse tekst leidend.
2
Staatscourant 2018, 28116.
3
Staatscourant 2020, 11507.
4
Guidelines 4/2018 on the accreditation of certification bodies under Article 43 of the General Data Protection Regulation.
5
Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation.
1 Staatscourant 2021 nr. 30081 16 juni 2021
• UAVG: Uitvoeringswet Algemene Verordening Gegevensbescherming, de Nederlandse wet voor
uitvoering van de AVG.
• ISO 17065: ISO/IEC 17065:2012.
• Certificering: de beoordeling en het onpartijdige attest van een derde partij dat de naleving van de
certificeringscriteria is aangetoond met betrekking tot de verwerkingsactiviteiten van een verwerkings-
verantwoordelijke of een verwerker.
• Accreditatie: attest van een derde partij met betrekking tot de activiteiten van een certificerings-
orgaan. Dit is het resultaat van het beoordelingsproces voor een succesvol certificeringsorgaan (als
onderdeel van het accreditatieproces).
• Nationale accreditatie-instantie (NAI): de enige instantie in een lidstaat die door die staat gemachtigd
is accreditaties te verlenen overeenkomstig Verordening (EG) nr. 765/2008 van het Europees Parlement
en de Raad. In Nederland is de Raad voor Accreditatie (RvA) de NAI.
• Accreditatie-instantie: instantie die de accreditatie uitvoert. In dit document wordt met deze term de
RvA bedoeld.
• Certificeringsorgaan: derde-partij-conformiteitsbeoordelingsinstantie die certificeringsschema’s
uitvoert.
• Certificeringscriteria: de criteria waaraan de verwerkingsactiviteiten van een organisatie worden
getoetst voor een bepaald certificeringsschema.
• Certificeringsschema: een certificeringssysteem met betrekking tot gespecificeerde producten,
processen en diensten waarop dezelfde gespecificeerde eisen, specifieke regels en procedures van
toepassing zijn. Het omvat de certificeringscriteria en de beoordelingsmethodologie.
• Certificeringsmechanisme: een goedgekeurd certificeringsschema dat beschikbaar is voor de
aanvrager. Het is een dienst die wordt verleend door een geaccrediteerd certificeringsorgaan op basis
van goedgekeurde criteria en beoordelingsmethodologie. Het is het systeem waarmee een verwer-
kingsverantwoordelijke of een verwerker wordt gecertificeerd.
• Target of Evaluation (ToE): het voorwerp van de certificering. In het geval van een AVG-certificering
zijn dit de relevante verwerkingen die de verwerkingsverantwoordelijke of verwerker aanvraagt ter
evaluatie en certificering.
• Aanvrager: de organisatie die een aanvraag heeft ingediend om haar verwerkingsactiviteiten te laten
certificeren.
• Cliënt: de organisatie die is gecertificeerd (voorheen de aanvrager).
4 Algemene eisen voor accreditatie
4.1 Juridische en contractuele aangelegenheden
4.1.1 Wettelijke verantwoordelijkheid
Een certificeringsorgaan moet (te allen tijde) aan de RvA kunnen aantonen te beschikken over
up-to-date procedures waaruit blijkt dat de wettelijke verantwoordelijkheden worden nageleefd die zijn
vastgelegd in de accreditatievoorwaarden, inclusief de aanvullende eisen met betrekking tot de
toepassing van de AVG.
Het certificeringsorgaan dient aan te kunnen tonen dat zijn procedures en maatregelen die specifiek
gericht zijn op de controle en behandeling van de persoonsgegevens van de organisatie van de
aanvrager en de cliënt in het kader van het certificeringproces voldoen aan de AVG en de UAVG. Als
zodanig moet het in staat zijn het bewijs te leveren dat aan de eisen van het accreditatieproces is
voldaan.
Het certificeringsorgaan levert het bewijs van naleving zoals vereist tijdens het accreditatieproces.
Dit houdt in ieder geval in dat het certificeringsorgaan aan de RvA bevestigt dat het niet onderworpen
is aan een AP-onderzoek dat of regelgevende actie die zou kunnen inhouden dat het niet aan deze eis
kan voldoen en als zodanig de accreditatie zou kunnen verhinderen.
4.1.2 Certificeringsovereenkomst
Het certificeringsorgaan dient naast de eisen van ISO 17065 aan te tonen dat zijn certificeringovereen-
komsten:
1 vereisen dat de aanvrager altijd voldoet aan zowel de algemene certificeringseisen in de zin van
4.1.2.2.a van ISO 17065 als aan de criteria die door het AP of de EDPB overeenkomstig artikel 43,
tweede lid, onder b), en artikel 42, vijfde lid, van de AVG zijn goedgekeurd;
2 vereisen dat de aanvrager de AP volledige transparantie biedt met betrekking tot de certificerings-
procedure, met inbegrip van al het vertrouwelijke materiaal, contractueel of anderszins, met
betrekking tot de naleving van de gegevensbeschermingsvoorschriften overeenkomstig artikel 42,
zevende lid, en artikel 58, eerste lid, onder c), van de AVG;
2 Staatscourant 2021 nr. 30081 16 juni 2021
3 vereisen dat de aanvrager het certificeringsorgaan alle informatie en toegang tot zijn verwerkings-
activiteiten verstrekt die nodig zijn om de certificeringsprocedure overeenkomstig artikel 42, zesde
lid, van de AVG uit te voeren;
4 vereisen dat de aanvrager de toepasselijke termijnen en procedures in acht neemt. In de certifice-
ringsovereenkomst moet worden bepaald dat de termijnen en procedures die bijvoorbeeld
voortvloeien uit het certificeringsmechanisme of andere regelgeving moeten worden gevolgd en
nageleefd;
5 het certificeringsorgaan in staat stellen de redenen voor de toekenning of intrekking van de
certificering overeenkomstig artikel 43, vijfde lid, van de AVG aan de AP bekend te maken, alsmede
de informatie die de AP aan de EDPB zal moeten verstrekken om de EDPB in staat te stellen het
certificeringsmechanisme op te nemen in een openbaar register overeenkomstig artikel 42, achtste
lid, van de AVG;
6 regels bevatten over de noodzakelijke voorzorgsmaatregelen voor het onderzoek van klachten in
de zin van 4.1.2.2 onder c nr. 2, en onder j, ook expliciete verklaringen bevatten over de structuur
en de procedure voor de behandeling van klachten overeenkomstig artikel 43, tweede lid, onder d;
7 vereisen dat de aanvrager het certificeringsorgaan in kennis stelt van inbreuken op de AVG of de
UAVG die door de AP en/of de gerechtelijke autoriteiten zijn vastgesteld en die van invloed kunnen
zijn op de certificering zodra zij op de hoogte zijn van een dergelijke inbreuk;
8 met betrekking tot 4.1.2.2, onder c), punt 1, van ISO 17065 de regels voor geldigheid, verlenging en
intrekking overeenkomstig artikel 42, zevende lid, en artikel 43, vierde lid, van de AVG vaststellen,
met inbegrip van regels die passende termijnen vaststellen voor herbeoordeling of herziening
overeenkomstig artikel 42, zevende lid, van de AVG en punt 7.9 van deze vereisten;
9 in aanvulling op de in punt 4.1.2.2 van ISO 17065 bedoelde minimumeisen, indien de gevolgen van
de intrekking of opschorting van de accreditatie van het certificeringsorgaan gevolgen hebben
voor de cliënt, ook de eventuele gevolgen voor de cliënt behandelen;
10 de verantwoordelijkheid van de aanvrager of de cliënt om, voor zover van toepassing, aan de AVG
te voldoen, niet verminderen en geen afbreuk doen aan de taken en bevoegdheden van de
bevoegde toezichthoudende autoriteiten overeenkomstig artikel 42, vijfde lid, van de AVG;
11 bindende evaluatiemethoden bevatten met betrekking tot de Target of Evaluation (ToE).
4.1.3 Gebruik van gegevensbeschermingszegels en -merken
Certificaten, zegels en merken mogen alleen worden gebruikt in overeenstemming met de artikelen 42
en 43 van de AVG en de richtsnoeren inzake accreditatie en certificering.
4.2 Omgaan met onpartijdigheid
In aanvulling op de eisen van ISO 17065, met name 3.13 en 4.2, moet het certificeringsorgaan aan de
RvA aantonen:
1 dat het certificeringsorgaan voldoet aan de aanvullende eisen van de AP (overeenkomstig artikel
43, eerste lid, onder b), van de AVG) zoals uiteengezet in dit document;
2 dat in de certificering overeenkomstig artikel 43, tweede lid, onder a), van de AVG een afzonderlijk
bewijs van zijn onafhankelijkheid wordt geleverd. Dit geldt met name voor het bewijs van de
financiering van het certificeringsorgaan voor zover het de waarborging van de onpartijdigheid
betreft;
3 dat de taken en verplichtingen van het certificeringsorgaan niet leiden tot een belangenconflict
overeenkomstig artikel 43, tweede lid, onder e), van de AVG;
4 dat het certificeringsorgaan geen relevante banden heeft met de door hem beoordeelde aanvrager.
4.3 Aansprakelijkheid en financiering
In aanvulling op de eis in 4.3.1 van ISO 17065 moet het certificeringsorgaan regelmatig (d.w.z.
eenmaal per jaar) aan het RvA aantonen over passende maatregelen te beschikken (bijvoorbeeld
verzekering en/of reserves) om zijn aansprakelijkheden in de geografische regio’s waar het actief is, te
dekken. Voorts dient het certificeringsorgaan aan te tonen dat het financieel stabiel en onafhankelijk is.
Het besluit met betrekking tot de selectie en de aanwijzing van de bewijsstukken valt onder de
discretionaire bevoegdheid van de RvA.
4.4 Niet-discriminatoire voorwaarden
De eisen van 4.4 van ISO 17065 zijn van toepassing.
4.5 Vertrouwelijkheid
De eisen van 4.5 van ISO 17065 zijn van toepassing.
3 Staatscourant 2021 nr. 30081 16 juni 2021
4.6 Openbare informatie
In aanvulling op de eisen in 4.6 van ISO 17065 moet het certificeringsorgaan aan de RvA aantonen dat:
1 alle (huidige en vorige) versies van de goedgekeurde criteria uit hoofde van artikel 42, vijfde lid,
van de AVG worden gepubliceerd en gemakkelijk publiek toegankelijk zijn, en alsmede een
toelichting op hoog niveau en op zinvolle wijze over de certificeringsprocedures en de desbetref-
fende geldigheidsperiode;
2 informatie over klachtenbehandelingsprocedures en beroepsprocedures openbaar worden
gemaakt overeenkomstig artikel 43, tweede lid, onder d), van de AVG.
5 Eisen aan de structuur Artikel 43, vierde lid van de AVG [“juiste” beoordeling]
5.1 Organisatiestructuur en topmanagement
De eisen van 5.1 van ISO 17065 zijn van toepassing.
5.2 Mechanismen ter waarborging van onpartijdigheid
De eisen van 5.2 van ISO 17065 zijn van toepassing.
6 Eisen aan het personeel
6.1 Medewerkers van het certificeringsorgaan
In aanvulling op de eis in punt 6 van ISO 17065 moet het certificeringsorgaan aan de RvA aantonen
dat zijn medewerkers:
1 blijk hebben gegeven van passende en voortdurende deskundigheid (kennis en ervaring) met
betrekking tot gegevensbescherming overeenkomstig artikel 43, eerste lid, van de AVG;
2 onafhankelijk zijn en voortdurend over deskundigheid beschikken met betrekking tot het voorwerp
van de certificering overeenkomstig artikel 43, tweede lid, onder a), van de AVG en geen belangen-
conflict hebben overeenkomstig artikel 43, tweede lid, onder e), van de AVG;
3 zich ertoe verbinden de in artikel 42, vijfde lid, van de AVG bedoelde criteria overeenkomstig artikel
43, tweede lid, onder b), van de AVG in acht te nemen;
4 aantoonbare, relevante en passende kennis van en ervaring met de toepassing van de gegevens-
beschermingswetgeving hebben, waarbij de beoordelaars over meer specialistische deskundig-
heid en beroepservaring op het gebied van technische procedures (bijvoorbeeld audits en
certificeringen) beschikken, terwijl de besluitvormers over meer algemene en uitgebreide
deskundigheid en beroepservaring op het gebied van gegevensbescherming beschikken;
5 aantoonbare, relevante en passende kennis van en ervaring met technische en organisatorische
maatregelen op het gebied van gegevensbescherming hebben;
6 aantoonbare ervaring hebben op de gebieden die in deze aanvullende eisen worden genoemd, in
het bijzonder:
Voor medewerkers met technische expertise:
• Een kwalificatie op een relevant gebied van technische expertise hebben behaald op ten minste
EKK-niveau6 6 of een erkende beschermde titel (bijvoorbeeld Dipl. Ing.) in het relevante geregle-
menteerde beroep, of een aanzienlijke relevante beroepservaring op dat gebied hebben.
• Medewerkers die verantwoordelijk zijn voor certificeringsbeslissingen moeten beschikken over
aanzienlijke beroepservaring in het identificeren en uitvoeren van gegevensbeschermingsmaatre-
gelen.
• Medewerkers die verantwoordelijk zijn voor evaluaties dienen te beschikken over beroepservaring
op het gebied van technische gegevensbescherming en kennis van en ervaring met vergelijkbare
procedures (bijvoorbeeld certificeringen/audits), en moeten, indien van toepassing, zijn geregis-
treerd.
• Medewerkers dienen aan te tonen dat zij domeinspecifieke kennis op het gebied van technische en
auditvaardigheden op peil houden door middel van voortdurende professionele ontwikkeling.
Voor medewerkers met juridische expertise:
• Juridische studie aan een door de EU of de staat erkende universiteit gedurende ten minste acht
semesters, met inbegrip van de academische graad Master (LL.M.) of gelijkwaardig, of significante
beroepservaring.
• Medewerkers die verantwoordelijk zijn voor certificeringsbeslissingen dienen aan te tonen over
significante beroepservaring te beschikken op het gebied van gegevensbeschermingsrecht en
6
Zie het vergelijkingsinstrument voor het kwalificatiekader op https://ec.europa.eu/ploteus/en/compare?
4 Staatscourant 2021 nr. 30081 16 juni 2021
dienen te zijn geregistreerd, voor zover van toepassing.
• Medewerkers die verantwoordelijk zijn voor de evaluaties dienen aan te tonen dat zij ten minste
twee jaar beroepservaring hebben op het gebied van het gegevensbeschermingsrecht en kennis
van en ervaring met vergelijkbare procedures (bijvoorbeeld certificeringen/audits), en dienen te
zijn geregistreerd, voor zover van toepassing.
• Medewerkers dienen aan te tonen dat zij door middel van voortdurende professionele ontwikke-
ling domeinspecifieke kennis op het gebied van juridische en auditvaardigheden op peil houden.
6.2 Voorzieningen voor evaluatie
De eisen van 6.2 van ISO 17065 zijn van toepassing
7 Eisen aan de processen Artikel 43, tweede lid, onder c) en d), van de AVG.
7.1 Algemeen
In aanvulling op de vereiste in 7.1 van ISO 17065 moet de RvA het volgende waarborgen:
1 dat de certificeringsorganen aan deze aanvullende eisen voldoen (overeenkomstig artikel 43,
eerste lid, onder b), van de AVG), zodat de taken en verplichtingen niet leiden tot een belangencon-
flict overeenkomstig artikel 43, tweede lid, onder e), van de AVG;
2 dat de bevoegde toezichthoudende autoriteit in kennis wordt gesteld voordat een certificeringsor-
gaan vanuit een nevenvestiging een goedgekeurd Europees gegevensbeschermingszegel in een
nieuwe lidstaat in gebruik neemt.
7.2 Toepassing
In aanvulling op punt 7.2 van ISO 17065 eist het certificeringsorgaan dat de aanvraag:
1 een gedetailleerde beschrijving van de Target of Evaluation (ToE) bevat. Dit omvat ook interfaces
en overdrachten naar andere systemen en organisaties, protocollen en andere waarborgen;
2 specificeert of er verwerkers worden gebruikt, en wanneer verwerkers de aanvrager zijn, worden
hun verantwoordelijkheden en taken beschreven, en de aanvraag zal het (de) desbetreffende
contract(en) voor de verwerkingsverantwoordelijken/verwerkers bevatten;
3 specificeert of gezamenlijke verwerkingsverantwoordelijken bij de verwerking betrokken zijn, en
wanneer de gezamenlijke verwerkingsverantwoordelijke de aanvrager is, worden zijn verantwoor-
delijkheden en taken beschreven, en bevat de aanvraag de overeengekomen regeling; en
4 alle lopende of recente onderzoeken of regelgevende maatregelen van de AP bevat waaraan de
aanvrager is onderworpen die relevant zijn gezien de reikwijdte van de certificering en de
verwerking(en) waarop de certificering betrekking heeft.
7.3 Toetsing van de aanvraag
In aanvulling op punt 7.3 van ISO 17065:
• dient bij de beoordeling volgens punt 7.3, onder e), van ISO 17065 of er voldoende deskundigheid
is, in passende mate rekening worden gehouden met zowel technische als juridische deskundig-
heid op het gebied van gegevensbescherming;
• dient bij de beoordeling van de aanvraag rekening te worden gehouden met de in punt 7.2, onder
4), van dit document genoemde controles op de naleving van de gegevensbeschermingsvoor-
schriften en dient het certificeringsorgaan zich ervan te vergewissen dat de aanvrager een
geschikte kandidaat is voor certificering op het gebied van gegevensbescherming.
7.4 Evaluatie
In aanvulling op punt 7.4 van ISO 17065 moeten in het certificeringssysteem toereikende evaluatieme-
thoden worden beschreven om te beoordelen of de verwerkingshandeling(en) aan de certificeringscri-
teria voldoet (voldoen), met inbegrip van onderwerpen als:
1 een methode voor de beoordeling van de noodzaak en de evenredigheid van de verwerkingen
gezien het doel en de betrokkenen;
2 een methode voor de evaluatie van de dekking, de samenstelling en de beoordeling van alle
risico’s die door de verwerkingsverantwoordelijke en de verwerker worden overwogen met
betrekking tot de juridische gevolgen overeenkomstig de artikelen 30, 32 en 35 en 36 van de AVG
en met betrekking tot de vaststelling van technische en organisatorische maatregelen overeen-
komstig de artikelen 24, 25 en 32 van de AVG, voor zover de bovengenoemde artikelen van
toepassing zijn op het voorwerp van de certificering, en
3 een methode voor de beoordeling van de middelen, waaronder garanties, voorzorgsmaatregelen
en procedures, waarmee de bescherming van persoonsgegevens wordt gewaarborgd binnen de te
5 Staatscourant 2021 nr. 30081 16 juni 2021
certificeren verwerkingen, en om aan te tonen dat wordt voldaan aan de wettelijke eisen zoals die
in de vastgestelde criteria zijn vastgelegd; en
4 documenteren van methoden en bevindingen.
Het certificeringsorgaan dient erop toe te zien dat deze evaluatiemethoden worden gestandaardiseerd
en consequent worden toegepast. Dit betekent dat vergelijkbare evaluatiemethoden worden gebruikt
voor vergelijkbare ToE’s. Elke afwijking van deze procedure moet door het certificeringsorgaan
worden gemotiveerd.
In aanvulling op punt 7.4.2 van ISO 17065 mag de evaluatie worden uitgevoerd door onderaannemers
die door het certificeringsorgaan zijn erkend, met gebruikmaking van dezelfde vereisten voor
medewerkers vermeld in punt 6.
In aanvulling op punt 7.4.5 van ISO 17065 moet worden bepaald dat in het kader van een nieuwe
evaluatie rekening mag worden gehouden met bestaande certificering, die betrekking heeft op
hetzelfde voorwerp van de certificering. Het certificaat alleen is echter niet voldoende bewijs en het
certificeringsorgaan is verplicht te controleren of aan de criteria met betrekking tot het voorwerp van
de certificering wordt voldaan. Het volledige evaluatierapport en andere relevante informatie die een
evaluatie van de bestaande certificering en de resultaten daarvan mogelijk maakt, worden in aanmer-
king genomen om tot een geïnformeerd besluit te komen.
Indien in het kader van een nieuwe evaluatie rekening wordt gehouden met bestaande certificering,
dient de reikwijdte van die certificering ook in detail te worden beoordeeld met betrekking tot de
naleving van de relevante certificeringscriteria.
In aanvulling op punt 7.4.6 van ISO 17065 moet het certificeringsorgaan in zijn certificeringregeling
gedetailleerd vastleggen hoe de aanvrager door de in punt 7.4.6 vereiste informatie op de hoogte is
van afwijkingen van de regeling. Dit omvat ten minste de aard en het tijdstip van deze informatie.
In aanvulling op punt 7.4.9 van ISO 17065 moet de evaluatiedocumentatie op verzoek volledig
toegankelijk worden gemaakt voor de AP.
7.5 Herziening
In aanvulling op punt 7.5 van ISO 17065 zijn procedures voor de toekenning, regelmatige herziening
en intrekking van de respectieve certificeringen overeenkomstig artikel 43, tweede en derde lid, van de
AVG vereist.
7.6 Certificeringsbesluit
In aanvulling op punt 7.6.1 van ISO 17065 moet het certificeringsorgaan in zijn procedures gedetail-
leerd vastleggen hoe haar onafhankelijkheid en verantwoordelijkheden met betrekking tot individuele
certificeringsbeslissingen worden gewaarborgd.
In aanvulling op punt 7.6 van ISO 17065 moet het certificeringsorgaan onmiddellijk vóór de afgifte of
verlenging van de certificering de AP op de hoogte stellen door de ontwerp-goedkeuring, met inbegrip
van de samenvatting van het evaluatierapport, aan de AP voor te leggen. In de samenvatting wordt
duidelijk beschreven hoe aan de criteria wordt voldaan, zodat de redenen voor het verlenen of
behouden van de certificering worden vermeld.
Naast de controle die wordt uitgevoerd in de aanvraagfase, voorafgaand aan de afgifte van de
certificering, moet het certificeringsorgaan bij de aanvrager nagaan of er geen sprake is van een
onderzoek of regelgevende maatregelen van de AP die de afgifte van de certificering zouden kunnen
verhinderen.
7.7 Certificeringsdocumentatie
In aanvulling op punt 7.7.1, onder e), van ISO 17065 en in overeenstemming met artikel 42, zevende
lid, van de AVG wordt vereist dat de geldigheidsduur van de certificeringen maximaal drie jaar
bedraagt.
In aanvulling op punt 7.7.1, onder e), van ISO 17065 wordt vereist dat de periode van de voorgenomen
monitoring in de zin van punt 7.9 van dit document wordt gedocumenteerd.
In aanvulling op punt 7.7.1, onder f), van ISO 17065 moet het certificeringsorgaan het voorwerp van de
6 Staatscourant 2021 nr. 30081 16 juni 2021
certificering in de certificeringsdocumentatie vermelden (met vermelding van de versiestatus of
soortgelijke kenmerken, indien van toepassing).
Bij de afgifte van het certificaat moet het certificeringsorgaan een kopie van de in punt 7.7.1 van ISO
17065 bedoelde certificeringsdocumentatie verstrekken aan de AP.
7.8 Repertorium van gecertificeerde producten
In aanvulling op punt 7.8 van ISO 17065 maakt het certificeringsorgaan een verslag van de afgegeven
certificeringen publiek toegankelijk, met inbegrip van informatie over het certificeringsmechanisme en
de geldigheidsduur van de certificeringen.
Het certificeringsorgaan stelt een samenvatting van het evaluatierapport ter beschikking aan het
publiek. Het doel van deze samenvatting is om te helpen bij de transparantie over wat is gecertificeerd
en hoe dit is beoordeeld. De volgende onderwerpen zullen worden toegelicht:
a) de reikwijdte van de certificering en een zinvolle beschrijving van het voorwerp van de certificering
(ToE),
b) de respectieve certificeringscriteria (inclusief versie of functionele status),
c) de uitgevoerde evaluatiemethoden en tests en
d) het resultaat/de resultaten.
7.9 Toezicht
In aanvulling op de punten 7.9.1, 7.9.2 en 7.9.3 van ISO 17065 en overeenkomstig artikel 43, tweede
lid, onder c), van de AVG zijn er regelmatig controlemaatregelen vereist om de certificering tijdens de
controleperiode te behouden. Dergelijke maatregelen moeten risicogebaseerd en evenredig zijn en de
maximale periode tussen de toezichtsactiviteiten mag niet meer dan 12 maanden bedragen.
7.10 Wijzigingen die van invloed zijn op de certificering
In aanvulling op de punten 7.10.1 en 7.10.2 van ISO 17065 moet het certificeringsorgaan ook rekening
houden met wijzigingen die van invloed zijn op de certificering:
• elke inbreuk op persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk op persoonsgege-
vens leidt tot een risico voor de rechten en vrijheden van natuurlijke personen, of een door de AP
en/of de gerechtelijke autoriteiten vastgestelde inbreuk op de AVG of de UAVG die verband houdt
met het voorwerp van de certificering, gemeld door de opdrachtgever of de AP;
• wijzigingen in de gegevensbeschermingswetgeving;
• de vaststelling van gedelegeerde handelingen van de Europese Commissie overeenkomstig artikel
43, achtste lid, en artikel 43, negende lid, van de AVG;
• door het Europees Comité voor gegevensbescherming goedgekeurde documenten; en
• rechterlijke beslissingen met betrekking tot gegevensbescherming;
• wijzigingen in de stand van de techniek met betrekking tot gegevensbescherming of het voorwerp
van de certificering.
De door het certificeringsorgaan uit te voeren wijzigingsprocedures omvatten onder meer: overgangs-
perioden, goedkeuringsproces met de AP, herbeoordeling van het relevante voorwerp van de
certificering en passende maatregelen om de certificering in te trekken als de gecertificeerde verwer-
king niet langer in overeenstemming is met de bijgewerkte criteria.
7.11 Beëindiging, vermindering, opschorting of intrekking van de certificering
In aanvulling op punt 7.11.1 van ISO 17065 moet het certificeringsorgaan de AP en de RvA onverwijld
schriftelijk informeren over de genomen maatregelen en over voortzetting, beperkingen, opschorting
en intrekking van de certificering.
Indien de AP overeenkomstig artikel 58, tweede lid, onder h), van de AVG vaststelt dat niet of niet
langer aan de eisen voor de certificering wordt voldaan, aanvaardt het certificeringsorgaan besluiten
of bevelen om de certificering in te trekken of niet af te geven.
7.12 Registratie
In aanvulling op punt 7.12 van ISO 17065 is het certificeringsorgaan verplicht om alle documentatie
volledig, begrijpelijk en up-to-date te houden en geschikt te maken voor audits.
7 Staatscourant 2021 nr. 30081 16 juni 2021
7.13 Klachten en beroepsprocedures
In aanvulling op punt 7.13.1 van ISO 17065 moet het certificeringsorgaan het volgende beschrijven:
a) wie klachten of bezwaren kan indienen,
b) wie deze verwerkt bij het certificeringsorgaan,
c) welke verificaties in dit verband plaatsvinden; en
d) de mogelijkheden voor raadpleging van de belanghebbende partijen.
In aanvulling op punt 7.13.2 van ISO 17065 moet het certificeringsorgaan het volgende beschrijven:
a) hoe en aan wie een dergelijke bevestiging moet worden gegeven,
b) de termijnen hiervoor; en
c) welke processen daarna in gang worden gezet.
De certificeringsorganen maken hun klachtenbehandelingsprocedures openbaar en gemakkelijk
toegankelijk voor de betrokkenen.
Het certificeringsorgaan is verplicht de indiener van een klacht zonder onnodige vertraging en in ieder
geval binnen een maand na ontvangst van de klacht op de hoogte te stellen van de voortgang en/of
het resultaat van de klacht. Deze termijn kan zo nodig worden verlengd. In dat geval deelt het
certificeringsorgaan de indiener van de klacht binnen een maand na ontvangst van het verzoek mee
wanneer het resultaat kan worden verwacht.
In aanvulling op punt 7.13.1 van ISO 17065 moet het certificeringsorgaan bepalen hoe de scheiding
tussen certificeringactiviteiten en de behandeling van beroepsprocedures en klachten wordt gewaar-
borgd.
8 Eisen aan het managementsysteem
In aanvulling op hoofdstuk 8 van ISO 17065 moeten de managementbeginselen en de gedocumen-
teerde uitvoering ervan transparant zijn en door het geaccrediteerde certificeringsorgaan in de
accreditatieprocedure overeenkomstig artikel 58 van de AVG en vervolgens op verzoek van de AP op
elk moment tijdens een onderzoek worden bekendgemaakt in de vorm van gegevensbeschermings-
controles overeenkomstig artikel 58, eerste lid, onder b), van de AVG of een herziening van de
overeenkomstig artikel 42, zevende lid, van de AVG afgegeven certificeringen overeenkomstig artikel
58, eerste lid, onder c), van de AVG.
De procedures in geval van opschorting of intrekking van de accreditatie worden geïntegreerd in het
managementsysteem van het certificeringsorgaan, met inbegrip van de kennisgeving aan hun klanten
en aanvragers.
Het certificeringsorgaan stelt een klachtenbehandelingsproces met de nodige niveaus van onafhanke-
lijkheid vast als integraal onderdeel van het managementsysteem, waarmee met name de eisen van
punt 4.1.2.2, onder c), punt 4.1.2.2, onder j), punt 4.6, onder d), en punt 7.13 van ISO 17065 worden
uitgevoerd.
8.1 Algemene eisen voor het managementsysteem
De eisen van 8.1 Opties van ISO 17065 zijn van toepassing.
8.2 Documentatie voor het managementsysteem
De eisen van 8.2 van ISO 17065 zijn van toepassing.
8.3 Controle van documenten
De eisen van 8.3 van ISO 17065 zijn van toepassing.
8.4 Controle van dossiers
De eisen van 8.4 van ISO 17065 zijn van toepassing.
8.5 Managementbeoordeling
De eisen van 8.5 van ISO 17065 zijn van toepassing.
8 Staatscourant 2021 nr. 30081 16 juni 2021
8.6 Interne audits
De eisen van 8.6 van ISO 17065 zijn van toepassing.
8.7 Corrigerende acties
De eisen van 8.7 van ISO 17065 zijn van toepassing.
8.8 Preventieve acties
De eisen van 8.8 van ISO 17065 zijn van toepassing.
9. Verdere aanvullende eisen
9.1 Actualiseren van de evaluatiemethoden
Het certificeringsorgaan stelt procedures vast voor de bijwerking van de evaluatiemethoden voor de
toepassing in het kader van de evaluatie overeenkomstig punt 7.4 van ISO 17065 en onderhavig
document. De bijwerking moet plaatsvinden in het kader van wijzigingen in het wettelijk kader, de
relevante risico’s, de stand van de techniek en de uitvoeringskosten van de technische en organisatori-
sche maatregelen.
9.2 Behoud van deskundigheid
De certificeringsorganen stellen procedures vast om de opleiding van hun werknemers te waarborgen
met het oog op de actualisering van hun vaardigheden, rekening houdend met de in punt 9.1 van dit
document vermelde ontwikkelingen.
9.3 Verantwoordelijkheden en competenties
9.3.1 Communicatie tussen het certificeringsorgaan en zijn cliënten en aanvragers
Er dienen procedures te worden vastgesteld voor de toepassing van passende procedures en
communicatiestructuren tussen het certificeringsorgaan en zijn cliënt of aanvrager. Dit omvat:
1 Het bijhouden van documentatie over de taken en verantwoordelijkheden van het geaccrediteerde
certificeringsorgaan, met het oog op
– het beantwoorden van informatieverzoeken; of
– om contact op te nemen in geval van een klacht over een certificering.
2 Het onderhouden van een aanvraagprocedure met het oog op
– informatie over de status en het resultaat van een aanvraag;
– evaluaties door de AP met betrekking tot
– terugkoppeling;
– beslissingen van de AP.
9.3.2 Documentatie van de evaluatieactiviteiten
Er gelden geen aanvullende eisen.
9.3.3 Behandeling van klachten
Als integraal onderdeel van het managementsysteem wordt een klachtenbehandelingsprocedure
vastgesteld, waarmee name de eisen van punt 4.1.2.2, onder c), punt 4.1.2.2, onder j), punt 4.6, onder
d), en punt 7.13 van ISO 17065 moeten worden uitgevoerd.
Relevante klachten en bezwaren moeten met de AP worden gedeeld.
9.3.4. Management van intrekking
De procedures in geval van schorsing of intrekking van de accreditatie worden geïntegreerd in het
managementsysteem van het certificeringsorgaan, met inbegrip van de kennisgeving aan cliënten.
9 Staatscourant 2021 nr. 30081 16 juni 2021