Er bestaat een wezenlijk onderscheid tussen officiële certificering op grond van een wettelijk kader, en private conformiteitsbeoordelingen die door marktpartijen worden aangeboden op basis van eigen criteria.

Officiële certificering heeft een wettelijke grondslag. Een voorbeeld is de ISO/IEC 27001-certificering, waarbij een onafhankelijke, geaccrediteerde certificeringsinstelling vaststelt of uw managementsysteem voor informatiebeveiliging voldoet aan de eisen van de internationale norm. Een ander voorbeeld is de NEN 7510-certificering voor de zorgsector. Deze certificaten zijn herleidbaar naar vastgestelde criteria, worden afgegeven door geaccrediteerde instellingen en worden door toezichthouders en inkopers breed erkend.

Private conformiteitsbeoordelingen zijn iets anders. Verschillende advies- en auditbedrijven bieden "certificaten" of "keurmerken" aan op basis van eigen methodieken of checklists. Die beoordelingen kunnen zinvol zijn als interne managementinformatie of als signaal richting klanten, maar zij hebben geen wettelijke status en geven geen juridische vrijwaring. De naam die erop staat, is niet bepalend voor de juridische waarde.

De Algemene Verordening Gegevensbescherming voorziet in artikel 42 en 43 in een officieel certificeringsmechanisme. Toezichthoudende autoriteiten kunnen certificeringsschema's goedkeuren; organisaties die aan zo'n schema voldoen, kunnen dat gebruiken als element in het aantonen van naleving.

In de praktijk is dit mechanisme nauwelijks operationeel. De Autoriteit Persoonsgegevens heeft in Nederland tot op heden geen enkel certificeringsschema goedgekeurd. Het enige schema dat Europees is goedgekeurd door de European Data Protection Board (EDPB) onder artikel 42, is Europrivacy. Dat schema toetst of een organisatie specifieke verwerkingen uitvoert in overeenstemming met de AVG-vereisten.

Wat er in de markt veel wordt aangeboden onder benamingen als "AVG-certificaat" of "GDPR-audit", heeft geen officiële status in de zin van de verordening. Het gaat om private beoordelingen op basis van eigen criteria van de aanbiedende partij. Dat maakt ze niet waardeloos, maar het maakt ze ook niet tot een AVG-certificering in juridische zin. Een organisatie die een dergelijk rapport in bezit heeft, heeft geen garantie dat zij bij een AP-onderzoek of in een civiele procedure een sterker dossier heeft dan een organisatie die het niet heeft.

De praktische redenen voor het aanschaffen van private conformiteitsbeoordelingen zijn begrijpelijk. Inkopers eisen ze als selectiecriterium. Bestuurders willen intern kunnen aantonen dat er iets is ondernomen. Juridische afdelingen willen een due-diligence-argument achter de hand hebben. Die behoeften zijn reëel en rechtvaardigen een investering; de vraag is alleen welke investering de meeste inhoudelijke waarde levert ten opzichte van de kosten.

Een juridische en technische scan die herleidbaar is naar de werkelijke wettelijke vereisten, gedocumenteerd naar primaire bronnen, levert een adviesrapport op dat standhoudt bij de AP, bij een rechter en bij een zakelijke wederpartij die inhoudelijke vragen stelt. Dat is geen sticker, maar een onderbouwd oordeel.

Daarnaast kunnen organisaties die officiële certificering zinvol vinden, of die daartoe worden verplicht via sectorwetgeving of inkoopeisen, worden begeleid in een readiness-traject dat hen voorbereidt op een beoordeling door een geaccrediteerde certificeringsinstelling. Lexent verzorgt die voorbereiding: scopebepaling, gap-analyse, beleids- en procesinrichting, en begeleiding tot de drempel van de externe audit. De certificering zelf wordt afgegeven door de geaccrediteerde instelling.

Voor organisaties die in hun inkoopbeleid "AVG-certificaat" als eis hanteren zonder precies te weten wat zij daarmee bedoelen, kunnen wij ook aan de andere kant van de tafel zitten: die inkoopeis vertalen naar iets wat juridisch hout snijdt, en de leverancier helpen aan documentatie die een AP-toets zou doorstaan.

Lexent begeleidt organisaties bij het bepalen welke certificeringsvorm voor hun situatie zinvol is, bij de voorbereiding op officiële certificeringstrajecten en bij het opbouwen van een compliance-dossier dat inhoudelijk sterker is dan een private audit alleen. Alle beoordelingen worden uitgevoerd door onze eigen specialisten.

Wilt u weten wat in uw situatie de meeste waarde heeft? Neem contact met ons op voor een vrijblijvend gesprek.