1. Los Estados miembros, las autoridades de control, el Comité y la Comisión promoverán, en particular a nivel de la Unión, la creación de mecanismos de certificación en materia de protección de datos y de sellos y marcas de protección de datos a fin de demostrar el cumplimiento de lo dispuesto en el presente Reglamento en las operaciones de tratamiento de los responsables y los encargados. Se tendrán en cuenta las necesidades específicas de las microempresas y las pequeñas y medianas empresas.
Artículo 42 RGPD - Certificación
2. Además de la adhesión de los responsables o encargados del tratamiento sujetos al presente Reglamento, podrán establecerse mecanismos de certificación, sellos o marcas de protección de datos aprobados de conformidad con el apartado 5, con objeto de demostrar la existencia de garantías adecuadas ofrecidas por los responsables o encargados no sujetos al presente Reglamento con arreglo al artículo 3 en el marco de transferencias de datos personales a terceros países u organizaciones internacionales a tenor del artículo 46, apartado 2, letra f). Dichos responsables o encargados deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, incluidas las relativas a los derechos de los interesados.
3. La certificación será voluntaria y estará disponible a través de un proceso transparente.
4. La certificación a que se refiere el presente artículo no limitará la responsabilidad del responsable o encargado del tratamiento en cuanto al cumplimiento del presente Reglamento y se entenderá sin perjuicio de las funciones y los poderes de las autoridades de control que sean competentes en virtud del artículo 55 o 56.
5. La certificación en virtud del presente artículo será expedida por los organismos de certificación a que se refiere el artículo 43 o por la autoridad de control competente, sobre la base de los criterios aprobados por dicha autoridad de conformidad con el artículo 58, apartado 3, o por el Comité de conformidad con el artículo 63. Cuando los criterios sean aprobados por el Comité, esto podrá dar lugar a una certificación común: el Sello Europeo de Protección de Datos.
6. Los responsables o encargados que sometan su tratamiento al mecanismo de certificación dará al organismo de certificación mencionado en el artículo 43, o en su caso a la autoridad de control competente, toda la información y acceso a sus actividades de tratamiento que necesite para llevar a cabo el procedimiento de certificación.
7. La certificación se expedirá a un responsable o encargado de tratamiento por un período máximo de tres años y podrá ser renovada en las mismas condiciones, siempre y cuando se sigan cumpliendo los criterios pertinentes. La certificación será retirada, cuando proceda, por los organismos de certificación a que se refiere el artículo 43, o en su caso por la autoridad de control competente, cuando no se cumplan o se hayan dejado de cumplir los criterios para la certificación.
8. El Comité archivará en un registro todos los mecanismos de certificación y sellos y marcas de protección de datos y los pondrá a disposición pública por cualquier medio apropiado.
Considerandos relevantes
Preguntas frecuentes
Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.
Con arreglo al artículo 42, apartado 1, los mecanismos de certificación y los sellos y marcas de protección de datos sirven para demostrar el cumplimiento de lo dispuesto en el Reglamento en las operaciones de tratamiento de los responsables y los encargados del tratamiento. Los Estados miembros, las autoridades de control, el Comité y la Comisión están llamados a promover su creación, en particular a nivel de la Unión, teniendo en cuenta las necesidades específicas de las microempresas y las pequeñas y medianas empresas.
No en ninguno de los dos aspectos. El apartado 3 configura la certificación como voluntaria y exige que esté disponible a través de un proceso transparente, y el apartado 4 establece que la certificación no limitará la responsabilidad del responsable o encargado del tratamiento en cuanto al cumplimiento y se entenderá sin perjuicio de las funciones y los poderes de las autoridades de control competentes en virtud del artículo 55 o 56. Una organización certificada sigue por tanto plenamente sujeta a la responsabilidad del artículo 5, apartado 2.
Sí. El apartado 2 permite que los mecanismos de certificación, sellos o marcas aprobados demuestren la existencia de garantías adecuadas ofrecidas por responsables o encargados del tratamiento no sujetos al Reglamento con arreglo al artículo 3, en el marco de transferencias a terceros países a tenor del artículo 46, apartado 2, letra f). Dichos responsables o encargados deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar esas garantías, incluidas las relativas a los derechos de los interesados.
En virtud del apartado 5, la certificación será expedida por los organismos de certificación a que se refiere el artículo 43 o por la autoridad de control competente, sobre la base de los criterios aprobados por dicha autoridad de conformidad con el artículo 58, apartado 3, o por el Comité de conformidad con el artículo 63. Cuando los criterios sean aprobados por el Comité, esto podrá dar lugar a una certificación común, el Sello Europeo de Protección de Datos.
El apartado 7 limita la certificación a un período máximo de tres años, renovable en las mismas condiciones siempre y cuando se sigan cumpliendo los criterios pertinentes, y exige su retirada por el organismo de certificación o la autoridad de control cuando no se cumplan o se hayan dejado de cumplir los criterios. El apartado 6 respalda este régimen al obligar al responsable o encargado del tratamiento certificado a dar al certificador toda la información y acceso a sus actividades de tratamiento que necesite para llevar a cabo el procedimiento, y el apartado 8 exige que el Comité archive en un registro público todos los mecanismos, sellos y marcas.