Cómo demostrar el cumplimiento del artículo 42 del RGPD

RGPD El artículo 42 describe la capacidad de una organización para obtener un nivel de certificación voluntaria, relacionada con sus operaciones de procesamiento de datos.

La certificación no es obligatoria, pero denota el compromiso de una organización de mejorar y promover su capacidad para cumplir diversas obligaciones reglamentarias y legales relacionadas con el RGPD.

Es importante tener en cuenta que la certificación no garantiza de ninguna manera el cumplimiento ni reduce de ninguna manera la obligación de una organización hacia las personas afectadas por su operación de procesamiento de datos.

RGPD Artículo 42 Texto Legal

Versión del RGPD de la UE

de Padi

1. Los Estados miembros, las autoridades de control, la Junta y la Comisión fomentarán, en particular a nivel de la Unión, el establecimiento de mecanismos de certificación de la protección de datos y de sellos y marcas de protección de datos, con el fin de demostrar el cumplimiento del presente Reglamento de las operaciones de tratamiento por controladores y procesadores. Se tendrán en cuenta las necesidades específicas de las micro, pequeñas y medianas empresas.
2. Además de la adhesión por parte de los responsables o encargados del tratamiento sujetos al presente Reglamento, se podrán establecer mecanismos, sellos o marcas de certificación de protección de datos aprobados de conformidad con el apartado 5 de este artículo con el fin de demostrar la existencia de salvaguardias apropiadas proporcionadas por los responsables o encargados del tratamiento que no estén sujetas al presente Reglamento de conformidad con el artículo 3 en el marco de transferencias de datos personales a terceros países u organizaciones internacionales en los términos a que se refiere el artículo 46, apartado 2, letra f). Dichos controladores o procesadores asumirán compromisos vinculantes y exigibles, a través de instrumentos contractuales u otros instrumentos legalmente vinculantes, para aplicar esas salvaguardias apropiadas, incluso con respecto a los derechos de los interesados.
3. La certificación será voluntaria y estará disponible a través de un proceso transparente.
4. Una certificación con arreglo al presente artículo no reduce la responsabilidad del responsable o del encargado del tratamiento por el cumplimiento del presente Reglamento y se entiende sin perjuicio de las tareas y competencias de las autoridades de control competentes con arreglo a los artículos 55 o 56.
5. Una certificación con arreglo al presente artículo será expedida por los organismos de certificación a que se refiere el artículo 43 o por la autoridad de control competente, sobre la base de criterios aprobados por dicha autoridad de control competente de conformidad con el artículo 58, apartado 3, o por la Junta de conformidad con el artículo 63. Cuando los criterios sean aprobados por la Junta, esto podrá dar lugar a una certificación común, el Sello Europeo de Protección de Datos.
6. El responsable o encargado del tratamiento que someta su tratamiento al mecanismo de certificación deberá proporcionar al organismo de certificación a que se refiere el artículo 43, o, en su caso, a la autoridad de control competente, toda la información y el acceso a sus actividades de tratamiento que sean necesarios para llevar a cabo el procedimiento de certificación.
7. La certificación se expedirá a favor de un responsable o encargado por un período máximo de tres años y podrá renovarse, en las mismas condiciones, siempre que se sigan cumpliendo los requisitos pertinentes. La certificación será retirada, según corresponda, por los organismos de certificación a que se refiere el artículo 43 o por la autoridad de control competente cuando los requisitos para la certificación no se cumplan o hayan dejado de cumplirse.
8. La Junta recogerá en un registro todos los mecanismos de certificación y sellos y marcas de protección de datos y los pondrá a disposición del público por cualquier medio adecuado.

Versión del RGPD del Reino Unido

de Padi

1. El Comisionado fomentará el establecimiento de mecanismos de certificación de protección de datos y de sellos y marcas de protección de datos, con el fin de demostrar el cumplimiento de este Reglamento de las operaciones de procesamiento por parte de los responsables y procesadores. Se tendrán en cuenta las necesidades específicas de las micro, pequeñas y medianas empresas.
2. Además de la adhesión por parte de los responsables o encargados del tratamiento sujetos al presente Reglamento, se podrán establecer mecanismos, sellos o marcas de certificación de protección de datos aprobados de conformidad con el apartado 5 de este artículo con el fin de demostrar la existencia de salvaguardias apropiadas proporcionadas por los responsables o encargados del tratamiento que no estén sujetas al presente Reglamento de conformidad con el artículo 3 en el marco de transferencias de datos personales a terceros países u organizaciones internacionales en los términos a que se refiere el artículo 46, apartado 2, letra f). Dichos controladores o procesadores asumirán compromisos vinculantes y exigibles, a través de instrumentos contractuales u otros instrumentos legalmente vinculantes, para aplicar esas salvaguardias apropiadas, incluso con respecto a los derechos de los interesados.
3. La certificación será voluntaria y estará disponible a través de un proceso transparente.
4. Una certificación con arreglo al presente artículo no reduce la responsabilidad del responsable o del encargado del tratamiento por el cumplimiento del presente Reglamento y se entiende sin perjuicio de las tareas y poderes del Comisario.
5. Una certificación conforme al presente artículo será expedida por los organismos de certificación mencionados en el artículo 43 o por el Comisionado, sobre la base de criterios aprobados por el Comisionado de conformidad con el artículo 58, apartado 3.
6. El responsable o encargado del tratamiento que someta su tratamiento al mecanismo de certificación deberá proporcionar al organismo de certificación a que se refiere el artículo 43, o cuando corresponda, al Comisionado, toda la información y el acceso a sus actividades de tratamiento que sean necesarios para llevar a cabo el procedimiento de certificación.
7. La certificación se expedirá a favor de un responsable o encargado por un período máximo de tres años y podrá renovarse, en las mismas condiciones, siempre que se sigan cumpliendo los requisitos pertinentes. La certificación será retirada, según corresponda, por los organismos de certificación a que se refiere el artículo 43 o por el Comisario, cuando los requisitos para la certificación no se cumplan o hayan dejado de cumplirse.
8. El Comisionado recogerá todos los mecanismos de certificación y sellos y marcas de protección de datos en un registro y los pondrá a disposición del público por cualquier medio adecuado.