In de jaren sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG) is er een wildgroei ontstaan aan ‘privacy-keurmerken’, ‘AVG-oké stempels’ en zelfverklaringen. Voor de serieuze compliance professional en de zakelijke beslisser zorgt dit voor een diffuus beeld. Want wat is de werkelijke waarde van zo’n logo op een website? Biedt het juridische zekerheid, of is het vooral marketing? Als expert op het gebied van formele avg certificering zie ik dagelijks de verwarring tussen goedbedoelde eigen initiatieven en officieel erkende mechanismen. Dit artikel schept duidelijkheid over het cruciale verschil tussen een eigen verklaring en een geaccrediteerd avg certificaat onder Artikel 42 van de AVG, en waarom alleen dat laatste echt telt voor toezichthouders en kritische ketenpartners.
De wildgroei aan nietszeggende badges
Laten we eerlijk zijn: iedereen kan in Photoshop een groen vinkje met de tekst ‘Privacy Proof’ maken en dit op zijn website plakken. In de markt zien we talloze partijen die ‘certificeringen’ aanbieden die in feite niet meer zijn dan een momentopname gebaseerd op een vragenlijst die door de organisatie zelf is ingevuld.
Vanuit mijn ervaring waarschuw ik organisaties voor deze schijnveiligheid. Een dergelijke ‘audit’ zonder onafhankelijke toetsing en zonder formeel kader heeft juridisch gezien nul waarde. Wanneer de Autoriteit Persoonsgegevens (AP) aanklopt na een datalek, zullen zij zo’n zelfbedacht keurmerk direct terzijde schuiven. Het toont namelijk niet aan dat u structureel ‘in control’ bent. Het fundamentele verschil avg verklaring en certificaat zit hem in de onafhankelijkheid en de diepgang van de toetsing. Een verklaring is ‘wij zeggen dat we het goed doen’, een certificaat is ‘een onafhankelijke expert heeft vastgesteld dat zij het goed doen’.
De formele route: Artikel 42 en 43 van de AVG
De wetgever heeft deze wildgroei voorzien en heeft daarom in Artikel 42 en 43 van de AVG de kaders geschetst voor officiële certificeringsmechanismen. Dit is niet zomaar een vrijblijvende optie; het is de énige manier om formeel aan te tonen dat uw verwerkingen in overeenstemming zijn met de Verordening.
Een valide mechanisme vereist twee componenten: een goedgekeurde certificeringsstandaard (de criteria waarop getoetst wordt) en een geaccrediteerde certificerende instelling (de partij die toetst, zoals Brand Compliance). Accreditatie betekent dat de certificerende instelling zelf óók onder toezicht staat, in Nederland door de Raad voor Accreditatie (RvA). Deze avg certificering artikel 42 uitleg is essentieel: zonder accreditatie is een certificaat in de ogen van de wetgever niet het instrument zoals bedoeld in de AVG.
De zakelijke waarde van geaccrediteerde certificering
Waarom zou u de moeite nemen voor een zwaar, formeel traject als een ‘eigen stempel’ makkelijker is? Het antwoord ligt in de waarde geaccrediteerd avg certificaat voor uw bewijslast (accountability).
Een geaccrediteerd certificaat, zoals op basis van de BC 5701 standaard, biedt een gerechtvaardigd vertrouwen. Het betekent dat een auditor niet alleen naar uw beleid heeft gekeken, maar daadwerkelijk processen heeft doorlopen, medewerkers heeft geïnterviewd en steekproeven heeft genomen op de uitvoering. Voor toezichthouders is dit een sterk signaal dat u uw verantwoordelijkheid serieus neemt. Maar nog belangrijker: in de zakelijke markt wordt het steeds meer een ‘license to operate’. Grote opdrachtgevers accepteren geen zelfverklaringen meer; zij eisen onafhankelijk bewijs om hun eigen ketenrisico’s af te dekken. Een formeel Artikel 42-certificaat is dat bewijs.
FAQ: Veelgestelde vragen over AVG-keurmerken
- Mijn branchevereniging biedt een eigen privacy-keurmerk aan. Is dat voldoende?
Dat hangt ervan af. Als het keurmerk is gebaseerd op een door de AP goedgekeurde gedragscode (Artikel 40) of een geaccrediteerd schema (Artikel 42), heeft het formele waarde. Is het een eigen initiatief zonder deze formele kaders, dan biedt het weinig juridische zekerheid richting toezichthouders. - Is een ISO 27001 certificaat hetzelfde als een AVG-certificaat?
Nee. ISO 27001 gaat over informatiebeveiliging in brede zin. Hoewel goede beveiliging essentieel is voor de AVG (Artikel 32), dekt ISO 27001 niet de specifieke privacy-eisen af, zoals doelbinding, dataminimalisatie en de rechten van betrokkenen. Een specifiek AVG-certificaat doet dat wel. - Kan ik mijn hele organisatie in één keer certificeren onder Artikel 42?
De AVG stuurt aan op het certificeren van specifieke verwerkingsactiviteiten of processen, niet van complete organisaties. Het gaat erom dat u aantoont dat een bepaalde gegevensstroom (bijvoorbeeld uw HR-proces of een specifieke SaaS-dienst) compliant is.
