Aprobado el primer “Certificado Europeo de Privacidad”
28 de octubre de 2022
El pasado 10 de octubre de 2022, el Consejo Europeo de Protección de Datos (EDPB) ha aprobado los criterios de Europrivacy para la certificación como «Sello Europeo de Protección de Datos» en virtud del artículo 42 (5) del Reglamento 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).
Los artículos 24.3 y 28.1 del RGPD disponen que, en el marco del régimen de garantías mínimas en el tratamiento de datos de Responsables y Encargados, que la adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones. Del mismo modo, señala esta obligación en el artículo 25.3, relativo a la protección de datos desde el diseño y por defecto: “Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo”.
Teniendo en cuenta lo anterior, la aprobación de Europrivacy supone un paso especialmente relevante en el sector al tratarse de la primera entidad que recibe la validación de su esquema de certificación de cumplimiento del RGPD. De esta manera, las organizaciones que lo apliquen pueden evaluar y generar evidencias de su cumplimiento del marco normativo vigente a través de un marco de certificación reconocido oficialmente en todos los países de la Unión Europea.
Principales aspectos del Mecanismo de certificación de Europrivacy
El mecanismo de certificación de Europrivacy, financiado, apoyado y desarrollado a través de los programas de investigación europeos Horizonte 2020 y Horizonte Europa , otorga cobertura a una amplia gama de tratamientos de datos realizados por Encargados y Responsables de diversos sectores de actividad, dotando a todos los interesados de un marco de certificación orientado a garantizar un alto nivel de cumplimiento de la normativa de protección de datos.
Los elementos principales de este mecanismo de certificación se componen de los «Criterios básicos» (Core Criteria), complementados por controles o medidas técnicas y organizativas, establecidas para garantizar la seguridad de los datos personales tratados. Los criterios incluyen «comprobaciones y controles contextuales complementarios» para los requisitos específicos del dominio y la tecnología.
Europrivacy se encuentra alineado con las normas ISO y complementa las certificaciones de sistemas de gestión, como la ISO/IEC 27001 o la 27701. Mientras que esta última permite certificar la calidad de un sistema de gestión de Seguridad de la información, Europrivacy ha sido diseñada para certificar la conformidad de las actividades de tratamiento de datos con el RGPD y las normativas nacionales complementarias de protección de datos, de acuerdo con las orientaciones del Consejo Europeo de Protección de Datos.
El proceso de certificación de Europrivacy se compone de los siguientes pasos:
- Recepción de un ”paquete de bienvenida de Europrivacy” donde se establecen los primeros parámetros a tener en cuenta para iniciar el proceso.
- Comunicación del compromiso de la entidad con la protección de los datos personales, a través de un documento marco a modo “declaración responsable”, el llamado Pacto de Privacidad.
- Documentación del cumplimiento de los criterios de Europrivacy, internamente o a través de apoyo de externos cualificados.
- Elección de un organismo de certificación para que evalúe su conformidad e informe de cualquier no conformidad residual que deba abordarse.
- Adopción de la decisión de certificación, una vez finalizado el proceso de evaluación interna e integradas las mejoras necesarias.
- Mantenimiento y mejora continua, a través de auditorías anuales y de las continuas actualizaciones de la normativa de protección de datos ofrecidas en el marco del esquema.
De conformidad con lo previsto en el esquema de certificación, todas las organizaciones que implanten el esquema deben nombrar a un responsable de la protección de datos (DPO), aunque el artículo 37 del GDPR no lo exija siempre.
Como resultado de la aprobación del esquema de certificación por parte de la EDPB, Europrivacy será inscrita en el registro público de mecanismos de certificación, sellos y marcas de protección de datos, de conformidad con el artículo 42, apartado 8, tan pronto como sea validado por las Autoridades competentes de Europa.
Conviene indicar que el mecanismo de certificación de Europrivacy excluye el tratamiento de datos genéticos, por lo que las organizaciones que traten datos personales de esta categoría deberán establecer otros mecanismos de supervisión específicamente para esta tipología de tratamiento.
Cómo puede beneficiar la implantación del esquema en una organización
En línea con lo indicado por la normativa referenciada en esta nota, los mecanismos de certificación proporcionan a las organizaciones la capacidad de poder demostrar que sus actividades de tratamiento son conformes con la normativa aplicable, lo que les permitirá mejorar sus sistemas de cumplimiento interno y proyectar al exterior una mayor confianza.
Además, la adhesión a los mecanismos de certificación aprobados es un criterio que las autoridades de protección de datos tendrán en cuenta como factor atenuante a la hora de imponer sanciones en virtud del RGPD (artículo 83, apartado 2, letra j), del Reglamento).
Teniendo en cuenta lo anterior, desde ECIJA ponemos a disposición de nuestros clientes un equipo de más de 100 profesionales, abogados e ingenieros, especializados en protección de datos y seguridad de la información para llevar a cabo el asesoramiento correspondiente para adecuar sus sistemas de gestión de cumplimiento del RGPD al esquema de certificación propuesto por Europrivacy.
Del mismo modo, ECIJA cuenta entre sus profesionales con el único profesional del mercado Ibérico (España y Portugal) que cuenta con la capacidad de auditar en representación de Europrivacy, tanto los aspectos jurídicos, como los relativos a las medidas de seguridad, por lo que tenemos capacidad de intervenir en todas las fases del proceso para lograr la consecución de la certificación Europrivacy.
Área de Privacidad y Protección de Datos de ECIJA
Telf: + 34 91.781.61.60