FAQ del Garante su GDPR e certificazione trattamento dati

Che cos’è la certificazione a fini privacy? Quali garanzie fornisce l’accreditamento? Chi può rilasciare certificazioni sul trattamento dei dati e chi può richiederle? Un singolo prodotto, come un software per la gestione dei dati dei dipendenti, può essere certificato ai sensi del GDPR? A queste e ad altre domande rispondono le FAQ pubblicate dal Garante per la protezione dei dati personali e da Accredia, l’ente unico nazionale di accreditamento degli organismi di certificazione (OdC).

Il Garante e la certificazione dei trattamenti di dati

Il documento fornisce chiarimenti utili a tutti i titolari o responsabili del trattamento dei dati, sia del settore imprenditoriale che di quello della pubblica amministrazione, che desiderano ricorrere a una certificazione per dimostrare il loro impegno nel rispettare gli obblighi di protezione dei dati e la conformità dei trattamenti ai requisiti previsti dal GDPR. Attraverso la certificazione, titolari e responsabili del trattamento beneficiano dell’attestazione di una terza parte indipendente allo scopo di dimostrare la conformità delle loro operazioni di trattamento.

Queste prime FAQ, dedicate ad aspetti generali e a cui seguiranno altre più specifiche, sono state elaborate nell’ambito di una convenzione finalizzata allo scambio di informazioni riguardanti le attività di certificazione e accreditamento previste dal Regolamento UE sul trattamento dei dati. Qualsiasi ente o azienda, o comunque soggetto a vario titolo interessato, che operi in qualità di titolare e/o responsabile del trattamento di dati personali può richiedere una certificazione.

I titolari e/o responsabili del trattamento, infatti, possono aderire a meccanismi di certificazione al fine di dimostrare di aver improntato la propria attività ai principi del GDPR. Il GDPR istituisce meccanismi di certificazione e sigilli e marchi di protezione dei dati e richiede agli Stati membri di garantire che gli organismi di certificazione che rilasciano la certificazione ai sensi dell’articolo 42, paragrafo 1 siano accreditati dall’autorità di controllo competente o dall’organismo nazionale di accreditamento, o da entrambi. Se l’accreditamento è effettuato dall’organismo nazionale di accreditamento in conformità alla norma ISO/IEC 17065/2012, devono essere applicati anche i requisiti aggiuntivi stabiliti dall’autorità di controllo competente.