Informácia k certifikácií a akreditácií
Úrad na ochranu osobných údajov Slovenskej republiky (ďalej len „Úrad“) vyzýva odbornú aj laickú verejnosť k obozretnosti, nakoľko v ostatnom období dochádza k nesprávnej, či nevhodnej interpretácii alebo aplikácii požiadaviek pri zavádzaní certifikačných mechanizmov v zmysle čl. 42 Nariadenia EP a Rady (EÚ) 2016/679 (ďalej len „GDPR“).
Dňa 10.10.2022 Európsky výbor pre ochranu údajov (ďalej len „EDPB“) vo svojom „Opinion 28/2022 on the Europrivacy criteria of certification regarding their approval by the Board as European Data Protection Seal pursuant to Article 42.5 (GDPR)“ formálne schválil certifikačné kritériá (mechanizmus) Europrivacy (ďalej len „certifikačná schéma“), ktoré navrhlo Európske centrum pre certifikáciu a súkromie/the European Centre for Certification and Privacy (ďalej len „vlastník schémy“). Europrivacy predstavuje schválenie úplne prvej európskej pečate ochrany údajov zo strany EDPB podľa čl. 42 ods. 5 GDPR.
Úrad bol upozornený časťou odbornej verejnosti, že v poslednej dobe sa šíria niektoré informácie o ponukách podnikateľských subjektov certifikovať v zmysle čl. 42 GDPR, a to bez toho, aby sa jednalo o ponuku od akreditovaného certifikačného subjektu v zmysle čl. 43 GDPR – dozorný orgán alebo národný akreditačný orgán.
V praxi to znamená, že rôzne konzultačné spoločnosti a advokátske kancelárie deklarujú, že za pomoci uzatvorenia akejsi formy partnerstva s vlastníkom vyššie spomínanej schémy, sa stali oprávnenými subjektami na vykonávanie certifikácie v zmysle čl. 42 GDPR.
Nakoľko podľa čl. 43 GDPR majú členské štáty zabezpečiť, aby certifikačné subjekty boli riadne akreditované, a teda aby prešli riadnym procesom akreditácie, takéto tvrdenia uvedených subjektov o certifikácii v zmysle čl. 42 GDPR sa nezakladajú na pravde a majú potenciál uviesť adresátov do omylu (alebo spôsobiť škodu) vo vzťahu k certifikácii v zmysle GDPR. ->
Úrad apeluje na verejnosť k obozretnosti, nakoľko vyššie uvedené konanie vybraných poskytovateľov služieb, je v rozpore s čl. 43 GDPR. Úrad zdôrazňuje, že systém akreditácie (mechanizmus Europrivacy) pre certifikačné subjekty v oblasti ochrany osobných údajov nie je na Slovensku zatiaľ spustený. Nie je spustený žiadny akreditačný mechanizmus pre certifikačné subjekty, nielen Europrivacy.