Certificiranje prema Općoj uredbi o zaštiti podataka

Neovisna provjera, jasno određen opseg i veće povjerenje u obradu osobnih podataka.

Certificiranje je dobrovoljan i transparentan postupak u kojem neovisno i stručno tijelo procjenjuje ispunjavaju li jasno određeni postupci obrade osobnih podataka unaprijed utvrđene i odobrene kriterije.

Mehanizmi certificiranja mogu pridonijeti većoj transparentnosti i usklađenosti s Općom uredbom o zaštiti podataka te omogućiti ispitanicima, poslovnim partnerima i drugim zainteresiranim osobama da lakše procijene razinu zaštite osobnih podataka povezanu s određenim proizvodom, uslugom ili procesom.

Agencija za zaštitu osobnih podataka potiče razvoj i korištenje vjerodostojnih mehanizama certificiranja koji organizacijama pomažu dokazivati usklađenost, a istodobno jačaju zaštitu prava i sloboda ispitanika.

Što je certificiranje prema Općoj uredbi?

Mehanizam certificiranja, koji se u praksi naziva i certifikacijskom shemom, obuhvaća kriterije certificiranja, metodologiju ocjenjivanja te pravila i postupke za izdavanje, praćenje, obnovu, suspenziju i povlačenje certifikata.

Certifikat je rezultat provedenog postupka ocjenjivanja. Njime se potvrđuje da su određeni postupci obrade, u opsegu navedenom u certifikatu, ocijenjeni sukladnima kriterijima konkretnog mehanizma certificiranja. Pečat ili oznaka za zaštitu podataka mogu se upotrebljavati samo u skladu s pravilima pripadajućeg mehanizma.

Najjednostavnije rečeno: AZOP ili Europski odbor za zaštitu podataka odobravaju kriterije, nacionalno akreditacijsko tijelo akreditira certifikacijsko tijelo, a akreditirano certifikacijsko tijelo ocjenjuje postupke obrade i izdaje certifikat.

Odluka o pristupanju certificiranju je dobrovoljna. Međutim, nakon izdavanja certifikata organizacija je dužna tijekom cijelog razdoblja njegova važenja ispunjavati odobrene kriterije, prijavljivati relevantne promjene i podvrgavati se nadzornim provjerama certifikacijskog tijela.

Zašto se certificirati?

Certificiranje organizacijama može donijeti niz koristi:

• Pomaže pretvoriti zahtjeve Opće uredbe u jasne, provjerljive i dokumentirane zahtjeve za točno određene postupke obrade.
• Omogućuje neovisnu vanjsku procjenu pravnih, organizacijskih i tehničkih mjera koje organizacija primjenjuje u praksi.
• Pomaže pravodobno prepoznati nedostatke, urediti odgovornosti i unaprijediti unutarnje procese upravljanja zaštitom osobnih podataka.
• Omogućuje organizaciji da kupcima, korisnicima, zaposlenicima, poslovnim partnerima i nadležnim tijelima vjerodostojnije prikaže rezultate svojih ulaganja u zaštitu osobnih podataka.
• Povećava transparentnost i može ojačati povjerenje ispitanika u certificirane postupke obrade.
• Može olakšati provjeru poslovnih partnera i izvršitelja obrade. Certifikat izvršitelja obrade može biti jedan od elemenata kojima dokazuje pružanje dovoljnih jamstava iz članka 28. Opće uredbe.
• Može pridonijeti tržišnom razlikovanju organizacije, osobito mikro, malih i srednjih poduzeća koja žele na prepoznatljiv način pokazati razinu zaštite koju pružaju.

Pridržavanje odobrenog mehanizma certificiranja može služiti kao element dokazivanja ispunjavanja pojedinih obveza iz članaka 24., 25., 28. i 32. Opće uredbe o zaštiti podataka.

Što se može certificirati?

Prema članku 42. Opće uredbe certificiraju se postupci obrade osobnih podataka koje provode voditelji obrade ili izvršitelji obrade.

Proizvod, usluga, proces ili podatkovni sustav može biti naveden kao predmet certificiranja samo u mjeri u kojoj su jasno određeni postupci obrade osobnih podataka povezani s tim proizvodom, uslugom, procesom ili sustavom.

Primjerice, organizacija može zatražiti certificiranje postupaka obrade koji se provode u okviru određene digitalne usluge ili samo postupka autentifikacije korisnika te usluge. U certifikatu mora biti nedvosmisleno navedeno što je bilo predmet ocjenjivanja, koje su granice certificiranog postupka i na koju se verziju proizvoda ili usluge certifikat odnosi.

Certifikat se stoga ne odnosi automatski na cijelu organizaciju, sve njezine obrade, cjelokupni proizvod ili softver. Organizacija ne bi smjela isticati da je "u cijelosti usklađena s GDPR-om" ako se certifikat odnosi samo na jedan proizvod, uslugu ili skup postupaka obrade.

Certifikate informacijskih ili upravljačkih sustava, kao što su ISO/IEC 27001 ili ISO/IEC 27701, te certifikate o stručnim kompetencijama službenika za zaštitu podataka ne treba poistovjećivati s certificiranjem iz članaka 42. i 43. Opće uredbe. Oni mogu predstavljati koristan dokaz o određenim mjerama ili znanjima, ali nisu certifikati prema članku 42. ako nisu izdani u okviru odobrenog mehanizma i od propisno akreditiranog certifikacijskog tijela.

Što certifikat potvrđuje, a što ne potvrđuje?

Certifikat potvrđuje da je podnositelj zahtjeva certifikacijskom tijelu pružio dokumente, dokaze i pristup stvarnim praksama potrebne za dokazivanje ispunjavanja kriterija određene certifikacijske sheme.

Certifikat je dokaz usklađenosti s odobrenim kriterijima unutar opsega navedenog u certifikatu. On nije potvrda potpune i trajne usklađenosti organizacije sa svim odredbama Opće uredbe.

Certificiranje ne umanjuje odgovornost voditelja ili izvršitelja obrade, ne zamjenjuje njihove zakonske obveze i ne ograničava zadaće i ovlasti AZOP-a. Certificirana organizacija može biti predmet nadzora i mjera ako se utvrdi povreda Opće uredbe, neovisno o postojanju certifikata.

Pridržavanje odobrenog mehanizma certificiranja jedan je od čimbenika koje nadzorno tijelo može uzeti u obzir prema članku 83. stavku 2. točki (j) Opće uredbe. Postojanje certifikata samo po sebi ne jamči blažu mjeru ili upravnu novčanu kaznu.

Nacionalni mehanizam certificiranja i Europski pečat za zaštitu podataka

Pravno je preciznije razlikovati nacionalni mehanizam certificiranja od Europskog pečata, a ne samo "nacionalni" i "europski certifikat".

	Nacionalni mehanizam certificiranja	Europski pečat za zaštitu podataka
Odobravanje kriterija	Kriterije odobrava AZOP nakon mišljenja EDPB-a u okviru mehanizma konzistentnosti.	Kriterije odobrava EDPB, što rezultira zajedničkom certifikacijom - Europskim pečatom za zaštitu podataka.
Područje primjene	Primjenjuje se u državi ili državama u kojima su kriteriji odobreni. Nema automatsko priznanje u cijeloj Europskoj uniji.	Namijenjen je primjeni i priznavanju u cijeloj Europskoj uniji odnosno Europskom gospodarskom prostoru.
Nacionalne posebnosti	Kriteriji uzimaju u obzir hrvatski pravni i sektorski okvir. Isti kriteriji mogu biti naknadno odobreni i u drugim državama.	Mehanizam mora sadržavati način uzimanja u obzir relevantnih nacionalnih i sektorskih propisa u svakoj državi u kojoj se primjenjuje.
Izdavanje certifikata	Certifikat izdaje certifikacijsko tijelo akreditirano za taj konkretni mehanizam.	Certifikat izdaje certifikacijsko tijelo propisno akreditirano za taj Europski pečat i odgovarajuće područje djelovanja. EDPB ne izdaje pojedinačne certifikate organizacijama.

Ni Europski pečat nije opća potvrda usklađenosti organizacije. I on se odnosi samo na predmet, opseg, verziju i razdoblje navedene u pojedinačnom certifikatu.

Kako se dobiva certifikat?

1. Određivanje predmeta certificiranja

Organizacija najprije mora jasno odrediti postupke obrade koje želi certificirati, njihove svrhe, uloge voditelja i izvršitelja obrade, korištene sustave, sučelja, primatelje, izvršitelje i moguće prijenose osobnih podataka.

1. Odabir odgovarajućeg mehanizma certificiranja

Potrebno je provjeriti postoji li odobreni nacionalni ili europski mehanizam koji obuhvaća takvu vrstu obrade i je li namijenjen voditelju ili izvršitelju obrade koji podnosi zahtjev.

Odobrene mehanizme moguće je provjeriti u javnom registru EDPB-a.

1. Odabir akreditiranog certifikacijskog tijela

Zahtjev se podnosi certifikacijskom tijelu koje je akreditirano upravo za odabrani mehanizam. Sama činjenica da je određena certifikacijska shema odobrena ne znači da je svako certifikacijsko tijelo ovlašteno izdavati certifikate prema toj shemi.

Prije podnošenja zahtjeva potrebno je provjeriti područje akreditacije certifikacijskog tijela, teritorijalni opseg njegova djelovanja, postupak, očekivane rokove i troškove. Troškove certificiranja određuje certifikacijsko tijelo i oni ovise o složenosti i opsegu obrade, spremnosti organizacije te potrebnim provjerama.

1. Priprema i dostava dokaza

Podnositelj zahtjeva mora certifikacijskom tijelu pružiti sve potrebne informacije, dokumentaciju i pristup postupcima obrade. To može uključivati evidencije aktivnosti obrade, pravne osnove, obavijesti ispitanicima, ugovore s izvršiteljima, procjene rizika, procjene učinka na zaštitu podataka, politike čuvanja i brisanja, dokumentaciju o tehničkim i organizacijskim mjerama, postupke ostvarivanja prava i upravljanja povredama osobnih podataka.

1. Neovisno ocjenjivanje

Certifikacijsko tijelo ocjenjuje ispunjava li podnositelj zahtjeva za certifikat primjenjive kriterije. Ocjenjivanje može uključivati pregled dokumentacije, razgovore sa zaposlenicima, posjet lokaciji, provjeru stvarne primjene mjera i odgovarajuća tehnička testiranja.

1. Odluka, izdavanje certifikata i nadzor

Ako su ispunjeni svi primjenjivi kriteriji, certifikacijsko tijelo izdaje certifikat. Nakon izdavanja provodi se redoviti nadzor kako bi se utvrdilo održava li organizacija usklađenost tijekom cijelog razdoblja važenja certifikata.

Sudionik	Uloga
AZOP	Potiče certificiranje, odobrava nacionalne kriterije nakon mišljenja EDPB-a, određuje dodatne zahtjeve za akreditaciju, obavlja regulatorni nadzor i može narediti da se certifikat ne izda ili da se povuče ako uvjeti nisu ili više nisu ispunjeni.
Hrvatska akreditacijska agencija (HAA)	Kao nacionalno akreditacijsko tijelo akreditira certifikacijska tijela u skladu s normom EN-ISO/IEC 17065 i dodatnim zahtjevima AZOP-a.
EDPB	Odobrava kriterije Europskog pečata, daje mišljenja o nacionalnim kriterijima i vodi javni registar mehanizama certificiranja, pečata i oznaka.
Vlasnik certifikacijske sheme	Razvija i održava kriterije, metodologiju i pravila mehanizma te ih ažurira u skladu s promjenama propisa, sudske prakse, smjernica i razvoja tehnologije.
Certifikacijsko tijelo	Provodi neovisno ocjenjivanje, donosi odluku o izdavanju i obnovi certifikata, provodi nadzor, rješava pritužbe te prema potrebi suspendira ili povlači certifikat.
Voditelj ili izvršitelj obrade koji se želi certificirati	Određuje predmet certificiranja, dostavlja potrebne dokaze i omogućuje pristup obradi, održava usklađenost i zadržava punu odgovornost za poštovanje Opće uredbe.

Prema članku 5. Zakona o provedbi Opće uredbe o zaštiti podataka, nacionalno akreditacijsko tijelo nadležno je za akreditiranje certifikacijskih tijela u Republici Hrvatskoj.

Koliko dugo vrijedi certifikat?

Certifikat se izdaje na najviše tri godine. Konkretno razdoblje važenja može biti kraće, ovisno o pravilima certifikacijskog mehanizma.

Obnova nije automatska. Prije obnove mora se ponovno utvrditi da su relevantni kriteriji i dalje ispunjeni.

Prema Dodatnim zahtjevima AZOP-a, nadzorne aktivnosti trebaju biti utemeljene na riziku i razmjerne te se provoditi najmanje dvaput tijekom certifikacijskog ciklusa.

Organizacija mora bez odgađanja obavijestiti certifikacijsko tijelo o bitnim promjenama koje mogu utjecati na certifikat. To uključuje promjene svrhe ili načina obrade, tehnologije, opsega podataka, uključenih izvršitelja, prijenosa, sigurnosnih mjera ili pravnog okvira.

Ako kriteriji više nisu ispunjeni, certifikat se može ograničiti, suspendirati ili povući. Akreditaciju certifikacijskog tijela, koja se razlikuje od certifikata organizacije, moguće je izdati na najviše pet godina.

Certificiranje i prijenosi osobnih podataka u treće zemlje

Redoviti nacionalni certifikat ili Europski pečat za zaštitu podataka nije samim time instrument za prijenos osobnih podataka u treću zemlju.

Samo mehanizam certificiranja koji je izričito odobren za svrhu iz članka 46. stavka 2. točke (f) Opće uredbe, zajedno s obvezujućim i provedivim obvezama uvoznika podataka, može predstavljati odgovarajuću zaštitnu mjeru za prijenos.

U registru EDPB-a moguće je posebno provjeriti je li određeni mehanizam odobren kao alat za prijenose.

Postoje li u Hrvatskoj odobrene sheme i akreditirana certifikacijska tijela?

U Republici Hrvatskoj još uvijek nema nacionalnog mehanizma certificiranja odobrenog prema članku 42. stavku 5. Opće uredbe o zaštiti podataka i objavljenog u registru Europskog odbora za zaštitu podataka. Hrvatska akreditacijska agencija (HAA) također još nije akreditirala nijedno certifikacijsko tijelo za certificiranje prema člancima 42. i 43. Opće uredbe.

Stoga u ovom trenutku nije moguće dobiti certifikat na temelju hrvatske nacionalne sheme certificiranja.

Kome se mogu obratiti hrvatske organizacije?

Nepostojanje hrvatske nacionalne sheme ne sprječava voditelje i izvršitelje obrade sa sjedištem u Hrvatskoj da zatraže certificiranje prema odobrenom Europskom pečatu za zaštitu podataka.

Organizacija se izravno obraća certifikacijskom tijelu iz druge države članice EU-a ili EGP-a koje:

• ima važeću akreditaciju prema članku 43. Opće uredbe;
• akreditirano je upravo za odabrani Europski pečat;
• ima područje akreditacije koje obuhvaća postupke obrade koje organizacija želi certificirati; i
• ovlašteno je pružati uslugu certificiranja organizacijama u Republici Hrvatskoj.

Za podnošenje zahtjeva nije potrebno prethodno odobrenje AZOP-a ili Hrvatske akreditacijske agencije. Zahtjev se ne podnosi Europskom odboru za zaštitu podataka, nego neposredno odabranom certifikacijskom tijelu.

Sama akreditacija prema normi EN ISO/IEC 17065 nije dovoljna. Isto tako, akreditacija za nacionalnu shemu druge države članice ne daje automatski pravo izdavanja certifikata s učinkom u Hrvatskoj. Za prekogranično certificiranje potrebno je odabrati Europski pečat i tijelo akreditirano upravo za taj mehanizam.

Prije ugovaranja preporučuje se provjeriti:

1. je li mehanizam u registru EDPB-a označen kao "Europski pečat za zaštitu podataka";
2. obuhvaća li mehanizam ulogu organizacije kao voditelja ili izvršitelja obrade;
3. važenje i točan opseg akreditacije certifikacijskog tijela;
4. obuhvaća li akreditacija pružanje usluge u Hrvatskoj;
5. predmet certificiranja, postupak ocjenjivanja, troškove i način nadzora tijekom važenja certifikata.

AZOP ne odabire niti preporučuje pojedina komercijalna certifikacijska tijela. Organizacije trebaju koristiti aktualne podatke iz registra EDPB-a, registra nacionalnog akreditacijskog tijela koje je izdalo akreditaciju i službenih podataka vlasnika odabrane sheme.

Želite razviti novu certifikacijsku shemu?

Certifikacijsku shemu može razviti javna ili privatna organizacija, primjerice strukovna ili sektorska udruga, organizacija specijalizirana za zaštitu osobnih podataka, udruga za zaštitu potrošača ili certifikacijsko tijelo.

Za nacionalni mehanizam kriteriji se podnose AZOP-u. Nakon provedenog postupka i mišljenja EDPB-a AZOP odlučuje o njihovu odobravanju. Ako se želi uspostaviti Europski pečat, prijedlog se podnosi putem nadležnog nacionalnog nadzornog tijela radi postupka pred EDPB-om.

Prijedlog mora sadržavati jasno određen predmet i područje primjene, provjerljive kriterije, metodologiju ocjenjivanja, pravila izdavanja i nadzora, postupke rješavanja pritužbi, pravila uporabe oznake, postupak povlačenja certifikata te način redovitog ažuriranja mehanizma.

Želite postati certifikacijsko tijelo?

Organizacija koja želi izdavati certifikate prema člancima 42. i 43. Opće uredbe mora dokazati odgovarajuću stručnost, neovisnost, nepristranost i nepostojanje sukoba interesa te uspostaviti pouzdanu metodologiju ocjenjivanja i transparentan sustav rješavanja pritužbi.

Za akreditaciju u Republici Hrvatskoj zahtjev se podnosi Hrvatskoj akreditacijskoj agenciji. Primjenjuju se zahtjevi norme EN-ISO/IEC 17065 i Dodatni zahtjevi AZOP-a.

Često postavljana pitanja

Je li certificiranje obvezno?

Ne. Certificiranje prema članku 42. Opće uredbe je dobrovoljno. Međutim, organizacija koja dobije certifikat mora tijekom njegova važenja poštovati kriterije i prihvatiti propisani nadzor.

Znači li certifikat da je cijela organizacija usklađena?

Ne. Certifikat vrijedi samo za predmet, opseg, verziju i razdoblje navedene u certifikatu.

Je li ISO certifikat ujedno GDPR certifikat?

Ne. ISO certifikat može pružiti korisne dokaze o sigurnosti ili upravljanju, ali nije certifikat prema članku 42. ako nije izdan u okviru odobrenog mehanizma certificiranja i od certifikacijskog tijela akreditiranog upravo za taj mehanizam.

Zamjenjuje li certifikat procjenu učinka, ugovor s izvršiteljem ili druge obveze?

Ne. Certificiranje može pomoći u dokazivanju određenih elemenata usklađenosti, ali ne zamjenjuje procjenu učinka na zaštitu podataka kada je ona potrebna, pravnu osnovu obrade, obavještavanje ispitanika, ugovor iz članka 28., odgovarajuće sigurnosne mjere ili druge obveze iz Opće uredbe.

Koliko certificiranje košta i koliko traje?

Cijenu i očekivano trajanje određuje certifikacijsko tijelo. Oni ovise o opsegu i složenosti certificiranih obrada, veličini i spremnosti organizacije te vrsti potrebnih provjera.

Kako provjeriti je li certifikat vjerodostojan?

Potrebno je provjeriti naziv certifikacijskog mehanizma, točan predmet i opseg certifikata, datum izdavanja i isteka, tijelo koje ga je izdalo te je li certifikacijsko tijelo akreditirano za navedeni mehanizam. Treba provjeriti i javni registar certifikacijskog tijela, registar nadležnog akreditacijskog tijela te stranice AZOP-a /ili registar EDPB-a.

Odobreni mehanizmi, certifikacijska tijela i dokumenti

• EDPB-ov registar mehanizama certificiranja, pečata i oznaka
• Smjernice EDPB-a 1/2018 o certificiranju i kriterijima certificiranja
• Smjernice EDPB-a 4/2018 o akreditaciji certifikacijskih tijela
• Mišljenje EDPB-a 13/2023 o hrvatskim dodatnim zahtjevima za akreditaciju
• Hrvatska akreditacijska agencija - e-Akreditacija i registar akreditacija