gdpr-certification

实施数据保护认证

概述

第 42 至 43 条建立了数据保护认证机制、印章和标记框架，用于证明处理活动符合 GDPR。认证是自愿的，但可作为第 24(3) 条规定的问责工具，并可依据第 28(5) 条证明处理者提供了充分保证。认证不会减轻控制者或处理者的责任。

认证框架

第 42 条主要规定

• 第 42(1) 条：成员国、监督机构、EDPB 和欧盟委员会应鼓励建立认证机制、印章和标记。
• 第 42(3) 条：认证应为自愿认证，并通过透明流程提供。
• 第 42(5) 条：认证由经认可的认证机构或主管监督机构颁发，依据为该机构或 EDPB 批准的标准。
• 第 42(7) 条：认证的有效期最长为三年，并可在相同条件下续期。
• 第 42(7) 条：不再满足要求时，应撤销认证。

第 43 条认证机构

• 第 43(1) 条：认证机构必须证明其具备独立性和专业能力，且不存在利益冲突。
• 第 43(3) 条：认可由监督机构或国家认可机构授予（依据 Regulation (EC) No 765/2008）。
• 第 43(6) 条：认可的有效期最长为五年，并可续期。

制定认证标准

认证标准必须涵盖：

1. 处理活动范围：明确认证涵盖哪些处理活动。
2. 合规要求：将认证标准对应到具体的 GDPR 条款。
3. 技术措施：明确必须落实的技术控制措施（加密、访问控制、假名化）。
4. 组织措施：明确治理、培训、文档和问责要求。
5. 审计方法：明确如何评估合规情况（文档审查、技术测试、访谈）。
6. 持续合规：明确监控、报告和重新认证要求。

可用的 GDPR 认证方案

方案	范围	状态
EDPB 批准的 Europrivacy 标准	完整的 GDPR 合规认证	已获 EDPB 批准（Opinion 28/2022）
ISO/IEC 27701:2019	隐私信息管理体系	已广泛提供；并非正式的 GDPR 认证，但可证明合规
EuroPriSe（欧洲隐私印章）	产品、IT 系统和服务	自 2008 年起运行；已更新以符合 GDPR
CNIL 认证（法国）	DPO 能力认证	已获 CNIL 批准

实施路线图

阶段 1：准备情况评估（第 1-2 个月）

1. 确定适合组织需求的认证方案。
2. 根据认证标准进行差距评估。
3. 为已发现的差距制定整改计划。

阶段 2：实施（第 3-6 个月）

1. 实施所需的技术和组织措施。
2. 更新文档以满足认证标准。
3. 开展内部预评估审计。

阶段 3：认证审计（第 7-8 个月）

1. 委托经认可的认证机构。
2. 接受认证审计（文档审查、现场评估、技术测试）。
3. 解决审计中发现的任何不符合项。
4. 获得认证决定。

阶段 4：维护（持续进行）

1. 实施符合认证要求的持续监控。
2. 开展年度监督审计。
3. 在三年有效期届满前准备重新认证。
4. 向认证机构报告任何重大变更。