IMY fastställer krav för ackreditering av certifierings­organ

IMY har nu fastställt krav för ackreditering av certifieringsorgan. Kraven ska tillämpas av Styrelsen för ackreditering och teknisk kontroll (Swedac) vid ackreditering av certifieringsorgan som ska utfärda certifieringar enligt dataskyddsförordningen.

– Certifiering är ett instrument som gör det lättare för företag och andra organisationer att följa dataskyddsförordningen. Med andra ord kan certifiering vara ett sätt för att visa att en viss typ av personuppgiftsbehandling är laglig. Detta kan vara intressant för till exempel företag som levererar it-tjänster som personuppgiftsbiträden eller organisationer som har känsliga personuppgiftsbehandlingar, säger Cedric Voss som är jurist på IMY och har arbetat med ärendet.

IMY:s beslut gör det nu möjligt för certifieringsorgan som vill utfärda certifikat i Sverige att starta upp sin verksamhet. Det kan gälla certifikat för personuppgiftsbehandling inom hela EES-området, så kallade europeiska dataskyddssigill (EU data protection seal), eller certifikat för personuppgiftsbehandling som främst sker i Sverige. Genom att bli ackrediterade av Swedac säkerställs certifieringsorganens kompetens och oberoende.

– Ackreditering är en kvalitetsstämpel som säkerställer att certifieringsorganens prövningar utförs opartiskt, korrekt och i enlighet med internationellt erkända standarder. Certifieringsorgan som vill utfärda certifikat enligt dataskyddsförordningen måste vara ackrediterade för att bedriva sin verksamhet.

Certifikaten ska utfärdas enligt certifieringsordningar som godkänts av behörig tillsynsmyndighet eller Europeiska dataskyddsstyrelsen (EDPB). På så vis garanteras en hög nivå av dataskydd för de personuppgiftsbehandlingar som blir certifierade.

Med IMY:s beslut är det nu möjligt att ansöka om ackreditering av certifieringsorgan hos Swedac. För den som vill ansöka om att få en certifieringsordning godkänd ska däremot en ansökan lämnas in till IMY.