wetzoeker

7.4 — Evaluatie NL aanvullende accreditatie-eisen certificeringsorganen Autoriteit Persoonsgegevens

Evaluatie

In aanvulling op punt 7.4 van ISO 17065 moeten in het certificeringssysteem toereikende evaluatiemethoden worden beschreven om te beoordelen of de verwerkingshandeling(en) aan de certificeringscriteria voldoet (voldoen), met inbegrip van onderwerpen als:

1 een methode voor de beoordeling van de noodzaak en de evenredigheid van de verwerkingen gezien het doel en de betrokkenen;

2 een methode voor de evaluatie van de dekking, de samenstelling en de beoordeling van alle risico's die door de verwerkingsverantwoordelijke en de verwerker worden overwogen met betrekking tot de juridische gevolgen overeenkomstig de artikelen 30, 32 en 35 en 36 van de AVG en met betrekking tot de vaststelling van technische en organisatorische maatregelen overeenkomstig de artikelen 24, 25 en 32 van de AVG, voor zover de bovengenoemde artikelen van toepassing zijn op het voorwerp van de certificering, en

3 een methode voor de beoordeling van de middelen, waaronder garanties, voorzorgsmaatregelen en procedures, waarmee de bescherming van persoonsgegevens wordt gewaarborgd binnen de te certificeren verwerkingen, en om aan te tonen dat wordt voldaan aan de wettelijke eisen zoals die in de vastgestelde criteria zijn vastgelegd; en

4 documenteren van methoden en bevindingen.

Het certificeringsorgaan dient erop toe te zien dat deze evaluatiemethoden worden gestandaardiseerd en consequent worden toegepast. Dit betekent dat vergelijkbare evaluatiemethoden worden gebruikt voor vergelijkbare ToE's. Elke afwijking van deze procedure moet door het certificeringsorgaan worden gemotiveerd.

In aanvulling op punt 7.4.2 van ISO 17065 mag de evaluatie worden uitgevoerd door onderaannemers die door het certificeringsorgaan zijn erkend, met gebruikmaking van dezelfde vereisten voor medewerkers vermeld in punt 6.

In aanvulling op punt 7.4.5 van ISO 17065 moet worden bepaald dat in het kader van een nieuwe evaluatie rekening mag worden gehouden met bestaande certificering, die betrekking heeft op hetzelfde voorwerp van de certificering. Het certificaat alleen is echter niet voldoende bewijs en het certificeringsorgaan is verplicht te controleren of aan de criteria met betrekking tot het voorwerp van de certificering wordt voldaan. Het volledige evaluatierapport en andere relevante informatie die een evaluatie van de bestaande certificering en de resultaten daarvan mogelijk maakt, worden in aanmerking genomen om tot een geïnformeerd besluit te komen.

Indien in het kader van een nieuwe evaluatie rekening wordt gehouden met bestaande certificering, dient de reikwijdte van die certificering ook in detail te worden beoordeeld met betrekking tot de naleving van de relevante certificeringscriteria.

In aanvulling op punt 7.4.6 van ISO 17065 moet het certificeringsorgaan in zijn certificeringregeling gedetailleerd vastleggen hoe de aanvrager door de in punt 7.4.6 vereiste informatie op de hoogte is van afwijkingen van de regeling. Dit omvat ten minste de aard en het tijdstip van deze informatie.

In aanvulling op punt 7.4.9 van ISO 17065 moet de evaluatiedocumentatie op verzoek volledig toegankelijk worden gemaakt voor de AP.

Regeling
NL aanvullende accreditatie-eisen certificeringsorganen Autoriteit Persoonsgegevens
Soort
ZBO-regeling
Geldend vanaf
16-06-2021
BWB-id
BWBR0045241
Versie
2021-06-16_0

In de hele regeling · Officiële tekst op wetten.overheid.nl