Artículo 43 RGPD - Organismo de certificación

1. Sin perjuicio de las funciones y poderes de la autoridad de control competente en virtud de los artículos 57 y 58, los organismos de certificación que tengan un nivel adecuado de pericia en materia de protección de datos expedirán y renovarán las certificaciones una vez informada la autoridad de control, a fin de esta que pueda ejercer, si así se requiere, sus poderes en virtud del artículo 58, apartado 2, letra h). Los Estados miembros garantizarán que dichos organismos de certificación sean acreditados por la autoridad o el organismo indicado a continuación, o por ambos:
a) la autoridad de control que sea competente en virtud del artículo 55 o 56;
b) el organismo nacional de acreditación designado de conformidad con el Reglamento (CE) n.º 765/2008 del Parlamento Europeo y del Consejo con arreglo a la norma EN ISO/IEC 17065/2012 y a los requisitos adicionales establecidos por la autoridad de control que sea competente en virtud del artículo 55 o 56.
2. Los organismos de certificación mencionados en el apartado 1 únicamente serán acreditados de conformidad con dicho apartado si:
a) han demostrado, a satisfacción de la autoridad de control competente, su independencia y su pericia en relación con el objeto de la certificación;
b) se han comprometido a respetar los criterios mencionados en el artículo 42, apartado 5, y aprobados por la autoridad de control que sea competente en virtud del artículo 55 o 56, o por el Comité de conformidad con el artículo 63;
c) han establecido procedimientos para la expedición, la revisión periódica y la retirada de certificaciones, sellos y marcas de protección de datos;
d) han establecido procedimientos y estructuras para tratar las reclamaciones relativas a infracciones de la certificación o a la manera en que la certificación haya sido o esté siendo aplicada por un responsable o encargado del tratamiento, y para hacer dichos procedimientos y estructuras transparentes para los interesados y el público, y
e) han demostrado, a satisfacción de la autoridad de control competente, que sus funciones y cometidos no dan lugar a conflicto de intereses.
3. La acreditación de los organismos de certificación a que se refieren los apartados 1 y 2 del presente artículo se realizará sobre la base de los requisitos aprobados por la autoridad de control que sea competente en virtud del artículo 55 o 56 o por el Comité en virtud del artículo 63. En caso de acreditación de conformidad con el apartado 1, letra b), del presente artículo, estos requisitos complementarán los contemplados en el Reglamento (CE) n.º 765/2008 y las normas técnicas que describen los métodos y procedimientos de los organismos de certificación.
4. Los organismos de certificación a que se refiere el apartado 1 serán responsable de la correcta evaluación a efectos de certificación o retirada de la certificación, sin perjuicio de la responsabilidad del responsable o del encargado del tratamiento en cuanto al cumplimiento del presente Reglamento. La acreditación se expedirá por un período máximo de cinco años y podrá ser renovada en las mismas condiciones, siempre y cuando el organismo de certificación cumpla los requisitos establecidos en el presente artículo.
5. Los organismos de certificación a que se refiere el apartado 1 comunicarán a las autoridades de control competentes las razones de la expedición de la certificación solicitada o de su retirada.
6. La autoridad de control hará públicos los requisitos a que se refiere el apartado 3 del presente artículo y los criterios a que se a refiere el artículo 42, apartado 5, en una forma fácilmente accesible. Las autoridades de control comunicarán también dichos requisitos y criterios al Comité. 7. No obstante lo dispuesto en el capítulo VIII, la autoridad de control competente o el organismo nacional de acreditación revocará la acreditación a un organismo de certificación a tenor del apartado 1 del presente artículo si las condiciones de la acreditación no se cumplen o han dejado de cumplirse, o si la actuación de dicho organismo de certificación infringe el presente Reglamento.
8. La Comisión estará facultada para adoptar actos delegados, de conformidad con el artículo 92, a fin de especificar las condiciones que deberán tenerse en cuenta para los mecanismos de certificación en materia de protección de datos a que se refiere el artículo 42, apartado 1.
9. La Comisión podrá adoptar actos de ejecución que establezcan normas técnicas para los mecanismos de certificación y los sellos y marcas de protección de datos, y mecanismos para promover y reconocer dichos mecanismos de certificación, sellos y marcas. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.

Considerandos relevantes

Preguntas frecuentes

Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.

Con arreglo al artículo 43, apartado 1, los Estados miembros deben garantizar que los organismos de certificación sean acreditados por la autoridad de control competente en virtud del artículo 55 o 56, por el organismo nacional de acreditación designado de conformidad con el Reglamento (CE) n.º 765/2008 con arreglo a la norma EN ISO/IEC 17065/2012 y a los requisitos adicionales establecidos por la autoridad de control competente, o por ambos. Antes de expedir o renovar una certificación, el organismo debe informar a la autoridad de control a fin de que esta pueda ejercer, si así se requiere, sus poderes en virtud del artículo 58, apartado 2, letra h).

El apartado 2 exige que el organismo demuestre, a satisfacción de la autoridad de control competente, su independencia y su pericia en relación con el objeto de la certificación, que se comprometa a respetar los criterios mencionados en el artículo 42, apartado 5, que establezca procedimientos para la expedición, la revisión periódica y la retirada de certificaciones, sellos y marcas, que establezca procedimientos y estructuras transparentes para tratar las reclamaciones, y que demuestre la ausencia de conflicto de intereses. Estas condiciones son cumulativas.

La acreditación se expedirá por un período máximo de cinco años y podrá ser renovada en las mismas condiciones, siempre y cuando el organismo siga cumpliendo los requisitos establecidos en el artículo, conforme al apartado 4. El apartado 7 obliga a la autoridad de control competente o al organismo nacional de acreditación a revocar la acreditación si las condiciones no se cumplen o han dejado de cumplirse, o si la actuación de dicho organismo infringe el Reglamento, sin perjuicio de lo dispuesto en el capítulo VIII.

No. El apartado 4 hace responsable al organismo de certificación de la correcta evaluación a efectos de certificación o retirada de la certificación, pero expresamente sin perjuicio de la responsabilidad del responsable o del encargado del tratamiento en cuanto al cumplimiento del Reglamento. Esto se corresponde con el artículo 42, apartado 4, según el cual la certificación no limita dicha responsabilidad.

Los organismos de certificación deben comunicar a las autoridades de control competentes las razones de la expedición de la certificación o de su retirada conforme al apartado 5, y en virtud del apartado 6 la autoridad de control debe hacer públicos, en una forma fácilmente accesible, los requisitos de acreditación y los criterios a que se refiere el artículo 42, apartado 5, así como comunicarlos al Comité. Los apartados 8 y 9 facultan además a la Comisión para adoptar actos delegados que especifiquen las condiciones aplicables a los mecanismos de certificación y actos de ejecución que establezcan normas técnicas y mecanismos para su promoción y reconocimiento.