Συμπληρωματικές απαιτήσεις της Αρχής για τη διαπίστευση των φορέων πισ

Αθήνα, 27-04-2020 Αριθ. πρωτ.: Γ/ΕΞ/2883/27-04-2020 ΑΡΧΗ ΠΡΟ ΤΑ ΙΑ ∆Ε∆ΟΜΕΝΩΝ ΠΡΟ ΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ 8 /2020 Η Αρχή Προστασίας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε, µετά από πρόσκληση του Προέδρου της, σε τακτική συνεδρίαση µέσω τηλεδιάσκεψης την 0704-2020 σε συνέχεια των από 25.02.2020, 03.03.2020 και 10.03.2020 συνεδριάσεων στην έδρα της, προκειµένου να εξετάσει το ζήτηµα που αφορά τον ορισµό συµπληρωµατικών απαιτήσεων για τη διαπίστευση των φορέων που χορηγούν πιστοποιήσεις σε υπευθύνους επεξεργασίας και εκτελούντες επεξεργασία σύµφωνα µε τα άρθρα 42 και 43 του Κανονισµού (ΕΕ) 2016/679 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδοµένων προσωπικού χαρακτήρα (Γενικός Κανονισµός Προστασίας ∆εδοµένων – ΓΚΠ∆). Παρέστησαν o Προέδρος, Κωνσταντίνος Μενουδάκος, και τα τακτικά µέλη πυρίδων Βλαχόπουλος, Κωνσταντίνος Λαµπρινουδάκης, Χαράλαµπος Ανθόπουλος, ως εισηγητής και Ελένη Μαρτσούκου, επίσης ως εισηγήτρια. τη συνεδρίαση παρέστησαν, επίσης, µε εντολή του Προέδρου, χωρίς δικαίωµα ψήφου, οι ειδικοί επιστήµονες Ευφροσύνη ιουγλέ και Κωνσταντίνος Λιµνιώτης, πληροφορικοί, ως βοηθοί εισηγητές, οι οποίοι παρείχαν διευκρινίσεις και αποχώρησαν πριν από τη διάσκεψη και τη λήψη απόφασης, καθώς και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τµήµατος ∆ιοικητικών Υποθέσεων, ως γραµµατέας. Η Αρχή έλαβε υπόψη τα παρακάτω: Το άρθρο 42 παράγραφος 1 του ΓΚΠ∆ προβλέπει ότι τα κράτη µέλη, οι εποπτικές 1 αρχές, το Ευρωπαϊκό υµβούλιο Προστασίας ∆εδοµένων (Ε Π∆) και η Επιτροπή ενθαρρύνουν τη θέσπιση µηχανισµών πιστοποίησης προστασίας δεδοµένων. Και τούτο διότι η θέσπιση των εθελοντικών αυτών εργαλείων λογοδοσίας µπορεί να βελτιώσει τη διαφάνεια και τη συµµόρφωση µε τον ΓΚΠ∆ και να επιτρέπει στα υποκείµενα των δεδοµένων να αξιολογούν το επίπεδο προστασίας των δεδοµένων των σχετικών προϊόντων και υπηρεσιών (αιτιολογική σκέψη 100 ΓΚΠ∆). Ειδικότερα η τήρηση εγκεκριµένου µηχανισµού πιστοποίησης δύναται να χρησιµοποιηθεί ως στοιχείο για την απόδειξη της συµµόρφωσης µε τις υποχρεώσεις του υπευθύνου επεξεργασίας (άρθρο 24 παρ. 3 ΓΚΠ∆) ή ως στοιχείο για να αποδειχθεί ότι ο εκτελών την επεξεργασία παρέχει επαρκείς διαβεβαιώσεις σύµφωνα µε τις παρ. 1 και 4 του άρθρου 28 (άρθρο 28 παρ. 5 ΓΚΠ∆). Επίσης, λαµβάνεται υπόψη κατά τη λήψη απόφασης σχετικά µε την επιβολή διοικητικού προστίµου καθώς και σχετικά µε το ύψος του διοικητικού προστίµου (άρθρο 83 παράγραφος 2 στοιχείο ι) ΓΚΠ∆). Η πιστοποίηση χορηγείται από διαπιστευµένο προς τούτο φορέα πιστοποίησης, βάσει του άρθρου 43 του ΓΚΠ∆, σε υπεύθυνο επεξεργασίας ή εκτελούντα επεξεργασία, ο οποίος έχει υποβάλει τη σχετική επεξεργασία του στο µηχανισµό πιστοποίησης. Η διαπίστευση των φορέων πιστοποίησης έχει ιδιαίτερη σηµασία καθώς παρέχει επίσηµη βεβαίωση της σχετικής αρµοδιότητας των φορέων αυτών καθιστώντας δυνατή την ανάπτυξη εµπιστοσύνης προς το µηχανισµό πιστοποίησης. Η διαπίστευση φορέα πιστοποίησης πραγµατοποιείται από την αρµόδια εποπτική αρχή ή τον εθνικό οργανισµό διαπίστευσης ή από αµφότερους τους φορείς αυτούς (άρθρο 43 παρ. 1 ΓΚΠ∆) και χορηγείται για µέγιστη περίοδο πέντε ετών, µπορεί δε να αναθεωρηθεί µε τους ίδιους όρους, υπό την προϋπόθεση ότι ο φορέας πιστοποίησης πληροί τις απαιτήσεις του άρθρου 43 (άρθρο 43 παρ. 4 ΓΚΠ∆). Εάν η διαπίστευση διενεργείται από τον εθνικό οργανισµό διαπίστευσης σύµφωνα µε το πρότυπο ENISO/IEC 17065/2012 (ISO 17065), πρέπει επίσης να εφαρµόζονται οι συµπληρωµατικές απαιτήσεις που έχουν οριστεί από την αρµόδια εποπτική αρχή. Η Αρχή αφού άκουσε τους εισηγητές, καθώς και τους βοηθούς εισηγητές, οι οποίοι στη συνέχεια αποχώρησαν, και κατόπιν διεξοδικής συζήτησης, 2 Σ ΕΦΘΗ Ε ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. το άρθρο 43 παρ. 1 του ΓΚΠ∆ προβλέπεται ότι «Με την επ φύλαξη των καθηκόντων κα των αρµοδ οτήτων της αρµόδ ας εποπτ κής αρχής σύµφωνα µε τα άρθρα 57 κα 58, ο φορείς π στοποίησης που δ αθέτουν το ενδεδε γµένο επίπεδο εµπε ρογνωµοσύνης σε σχέση µε την προστασία των δεδοµένων, αφού ενηµερώσουν την εποπτ κή αρχή προκε µένου να µπορέσε να ασκήσε τ ς αρµοδ ότητές της δυνάµε του άρθρου 58 παράγραφος 2 στο χείο η) όπου απα τείτα , χορηγούν κα ανανεώνουν π στοπο ήσε ς. Το κράτος µέλος δ ασφαλίζε ότ η δ απίστευση των εν λόγω φορέων π στοποίησης πραγµατοπο είτα από ένα ή αµφότερα τα ακόλουθα: α) την εποπτ κή αρχή που είνα αρµόδ α δυνάµε των άρθρων 55 ή 56, β) τον εθν κό οργαν σµό δ απίστευσης που ορίζετα σύµφωνα µε τον κανον σµό (ΕΚ) αρ θ. 765/2008 του Ευρωπαϊκού Κο νοβουλίου κα του Συµβουλίου

(20), σύµφωνα µε το πρότυπο EN-ISO/IEC 17065/2012 κα σύµφωνα µε τ ς συµπληρωµατ κές απα τήσε ς που έχουν ορ στεί από την εποπτ κή αρχή που είνα αρµόδ α δυνάµε του άρθρου 55 ή 56.»

το άρθρο 43 παρ. 3 του ΓΚΠ∆ προβλέπεται ότι «Η δ απίστευση των φορέων π στοποίησης όπως αναφέρετα στ ς παραγράφους 1 κα 2 του παρόντος άρθρου πραγµατοπο είτα βάσε των απα τήσεων που έχουν εγκρ θεί από την εποπτ κή αρχή που είνα αρµόδ α δυνάµε του άρθρου 55 ή 56, ή από το Συµβούλ ο Προστασίας ∆εδοµένων δυνάµε του άρθρου
Σε περίπτωση δ απίστευσης δυνάµε του στο χείου β) της παραγράφου 1 του παρόντος άρθρου, ο εν λόγω απα τήσε ς συµπληρώνουν τ ς απα τήσε ς που προβλέποντα στον κανον σµό (ΕΚ) αρ θ. 765/2008 κα τους τεχν κούς κανόνες που περ γράφουν τ ς µεθόδους κα τ ς δ αδ κασίες των φορέων π στοποίησης».
το άρθρο 37 παρ. 1 του ν. 4624/2019 προβλέπεται ότι «Η δ απίστευση των φορέων που χορηγούν π στοπο ήσε ς σύµφωνα µε το άρθρο 42 του ΓΚΠ∆ πραγµατοπο είτα από το Εθν κό Σύστηµα ∆ απίστευσης (Ε.ΣΥ.∆.) µε βάση το πρότυπο EN- ISO/IEC17065:2012 κα σύµφωνα µε συµπληρωµατ κές απα τήσε ς που έχουν ορ στεί από την Αρχή.».
το άρθρο 43 παρ. 6 του ΓΚΠ∆ προβλέπεται ότι «Ο απα τήσε ς της παραγράφου 3 του παρόντος άρθρου κα τα κρ τήρ α που αναφέροντα στο άρθρο 42 παράγραφος 5 δηµοσ οπο ούντα από την εποπτ κή αρχή σε ευχερώς προσβάσ µη µορφή. Ο εποπτ κές 3 αρχές δ αβ βάζουν επίσης τ ς εν λόγω απα τήσε ς κα τα κρ τήρ α στο Συµβούλ ο Προστασίας ∆εδοµένων».
το άρθρο 64 παρ. 1 του ΓΚΠ∆ προβλέπεται ότι «
Το Συµβούλ ο εκδίδε γνώµη όποτε µ α αρµόδ α εποπτ κή αρχή προτίθετα να θεσπίσε οπο οδήποτε από τα κατωτέρω µέτρα. Γ α τον σκοπό αυτό, η αρµόδ α εποπτ κή αρχή ανακο νώνε το σχέδ ο απόφασης στο Συµβούλ ο, όταν: (..) γ) αποσκοπεί στην έγκρ ση των απα τήσεων γ α τη δ απίστευση φορέα σύµφωνα µε το άρθρο 41 παράγραφος 3, φορέα π στοποίησης σύµφωνα µε το άρθρο 43 παράγραφος 3 ή των κρ τηρίων π στοποίησης του άρθρου 42 παράγραφος 5 (…)».
Το Ε Π∆ εξέδωσε τις κατευθυντήριες γραµµές 4/2018 µε τίτλο «Κατευθυντήρ ες γραµµές 4/2018 σχετ κά µε τη δ απίστευση των φορέων π στοποίησης βάσε του άρθρου 43 του Γεν κού Κανον σµού γ α την Προστασία ∆εδοµένων (2016/679)»
τόχος τους είναι η παροχή καθοδήγησης σχετικά µε τον τρόπο ερµηνείας και εφαρµογής των διατάξεων του άρθρου 43 του ΓΚΠ∆ ώστε να καθιερωθεί µια συνεκτική και εναρµονισµένη βάση αναφοράς για τη διαπίστευση των φορέων πιστοποίησης που εκδίδουν πιστοποιήσεις σύµφωνα µε τον ΓΚΠ∆. Ειδικότερα, στο παράρτηµα των κατευθυντήριων αυτών γραµµών παρέχεται καθοδήγηση σχετικά µε τρόπους προσδιορισµού συµπληρωµατικών απαιτήσεων διαπίστευσης και προτείνονται απαιτήσεις τις οποίες οι εποπτικές αρχές και οι εθνικοί οργανισµοί διαπίστευσης πρέπει να εξετάζουν για τη διασφάλιση της συµµόρφωσης µε τον ΓΚΠ∆. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή, αποφασίζει τον ορισµό συµπληρωµατικών, σε σχέση µε το πρότυπο ISO 17065, απαιτήσεων για τη διαπίστευση των φορέων πιστοποίησης προς εκπλήρωση της υποχρέωσής της όπως απορρέει από το άρθρο 43 παρ. 1 στοιχείο β) και παρ. 3 του ΓΚΠ∆ καθώς και το άρθρο 37 παρ. 1 του ν.4624/
Οι εν λόγω συµπληρωµατικές απαιτήσεις διαπίστευσης βασίζονται στις κατευθυντήριες γραµµές 4/2018 του Ε Π∆ 1 ∆ιαθέσιµες στο σύνδεσµο https://edpb.europa.eu/our-work-tools/ourdocuments/retningslinjer/guidelines-42018-accreditation-certification-bodies_el 4 και εφαρµόζονται από το Ε. Υ.∆. κατά τη διαδικασία διαπίστευσης των φορέων πιστοποίησης σε συνδυασµό µε το ως άνω πρότυπο. Οι παρούσες συµπληρωµατικές απαιτήσεις διαπίστευσης υποβάλλονται στο Ε Π∆ σύµφωνα µε τον προβλεπόµενο στο άρθρο 63 του ΓΚΠ∆ µηχανισµό συνεκτικότητας και δεν δηµοσιοποιούνται από την Αρχή µέχρι την ολοκλήρωση της εν λόγω διαδικασίας. Ο Πρόεδρος Η Γραµµατέας ωνσταντίνος Μενουδάκος Ειρήνη Παπαγεωργοπούλου . 5

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.

Συμπληρωματικές απαιτήσεις της Αρχής για τη διαπίστευση των φορέων πιστοποίησης σύμφωνα με το άρθρο 43 παράγραφος 1 στοιχείο β) και το άρθρο 43 παράγρ