Sin perjuicio de las funciones y poderes de acreditación de la autoridad de control competente en virtud de los artículos 57 y 58 del Reglamento (UE) 2016/679, la acreditación de las instituciones de certificación a las que se refiere el artículo 43.1 del citado reglamento podrá ser llevada a cabo por la Entidad Nacional de Acreditación (ENAC), que comunicará a la Agencia Española de Protección de Datos y a las autoridades de protección de datos de las comunidades autónomas las concesiones, denegaciones o revocaciones de las acreditaciones, así como su motivación.
1. Marco Normativo
El Reglamento General de Protección de Datos (RGPD) establece un marco para la certificación en protección de datos, incluyendo la acreditación de las entidades que pueden emitir estas certificaciones. El artículo 42 del RGPDpermite que los organismos de certificación emitan certificados de cumplimiento del RGPD a responsables y encargados del tratamiento, pero estas instituciones deben estar acreditadas por un organismo competente.
2. Entidades de Acreditación
Las entidades de certificación deben ser acreditadas por:
- Las autoridades nacionales de protección de datos (en el caso de España, la Agencia Española de Protección de Datos – AEPD).
- El organismo nacional de acreditación, que en España es la Entidad Nacional de Acreditación (ENAC).
Estas entidades de acreditación son responsables de evaluar si los organismos de certificación cumplen con los requisitos establecidos por el RGPD y otras normativas aplicables.
3. Requisitos para la Acreditación
Para ser acreditadas, las instituciones de certificación deben cumplir con una serie de requisitos:
a. Independencia e Imparcialidad
Las entidades de certificación deben ser independientes e imparciales. No deben tener conflictos de intereses en relación con las organizaciones que auditan o certifican.
b. Competencia Técnica
Deben demostrar que tienen la competencia técnica necesaria para evaluar el cumplimiento del RGPD. Esto incluye disponer de personal cualificado con experiencia en protección de datos y en los procesos de auditoría y certificación.
c. Cumplimiento de Normas Internacionales
Las entidades de certificación deben cumplir con normas internacionales relevantes, como la ISO/IEC 17065, que especifica los requisitos para organismos que certifican productos, procesos y servicios.
d. Procedimientos Transparentes
Las entidades de certificación deben tener procedimientos claros, transparentes y accesibles para la emisión de certificaciones, así como para la evaluación del cumplimiento del RGPD por parte de las organizaciones solicitantes.
e. Supervisión Continua
Las entidades acreditadas están sujetas a supervisión continua por parte del organismo de acreditación, para asegurar que mantienen los estándares exigidos durante el tiempo que tienen la acreditación.
4. Proceso de Acreditación
El proceso de acreditación generalmente sigue estos pasos:
- Solicitud: La institución de certificación presenta una solicitud de acreditación al organismo competente.
- Evaluación: Se realiza una evaluación exhaustiva de la entidad solicitante, que incluye una revisión de sus procedimientos, la cualificación de su personal y su cumplimiento de las normas aplicables.
- Decisión de Acreditación: Si la evaluación es favorable, el organismo de acreditación emite la acreditación. Si no se cumple con los requisitos, se pueden solicitar mejoras o rechazar la solicitud.
- Supervisión Continua: La entidad de certificación acreditada es supervisada regularmente para garantizar que sigue cumpliendo con los estándares requeridos.
5. Beneficios de la Acreditación
La acreditación de instituciones de certificación ofrece varios beneficios:
- Confianza y Credibilidad: Garantiza que las certificaciones emitidas son fiables y que las organizaciones que las reciben cumplen realmente con el RGPD.
- Reconocimiento Internacional: Las certificaciones emitidas por entidades acreditadas según normas internacionales pueden ser reconocidas y aceptadas en otros países.
- Mejora del Cumplimiento: Fomenta la mejora continua en las prácticas de protección de datos dentro de las organizaciones.
6. Supervisión por parte de la AEPD
En España, la AEPD juega un papel clave en la supervisión del proceso de acreditación y en garantizar que las entidades de certificación actúan de acuerdo con los requisitos del RGPD. La AEPD puede intervenir en el proceso de acreditación, colaborar con la ENAC y realizar controles sobre las entidades acreditadas.