欧洲数据保护委员会关于EuroPrise认证标准的意见
事实总结
根据《通用数据保护条例》（GDPR）第42条第5款，德国实体EuroPriSe Cert GmbH起草的欧盟加工操作认证标准草案（版本：欧盟范围内的v1.5）由北莱茵-威斯特法伦州的数据保护与信息自由专员提交给欧洲数据保护委员会（EDPB）。德国监督机构于2024年4月29日根据GDPR第64条第2款向EDPB提交了该草案，文件完整性决定于2024年5月29日作出。该认证机制EuroPrise并非用于个人数据国际转移的认证机制，不适用于向第三国或国际组织转移个人数据。
评估
认证机制的范围与评估目标（ToE）
EDPB根据《通用数据保护条例》第42条第5款及相关指南对认证标准进行评估。该认证机制包含欧盟范围内加工处理认证方案的认证标准，适用于通过产品、过程和服务进行的加工操作及其辅助的产品和服务。认证申请者必须是数据处理者，包括被控制器直接授权处理个人数据的数据处理者。认证机制适用于在欧洲联盟（EU）或欧洲经济区（EEA）内设立的处理器。
处理操作
该标准的范围不限于特定类型的加工操作，而是采用通用方法论方法，适用于大量非常不同的加工操作。遵守方法论要求是确保认证标准一致应用和不同认证程序中测试水平可比性的关键。
数据处理的合法性和原则
标准要求检查认证所需的处理操作是否符合设计和默认的数据保护原则，涉及申请者协助控制器实施这些原则。虽然没有直接针对GDPR第6条合规性的标准，但标准旨在确保申请人设计要认证的处理操作以促进控制器实施GDPR第5条的数据保护原则。
控制者和处理者的通用义务
标准规定了处理器有义务制定数据保护影响评估（DPIA）模板，并包含GDPR第28条的所有要求。标准要求申请人任命一名数据保护官（DPO），并提供任命DPO的相关证明。标准检查DPO是否符合GDPR第37至39条的要求，并检查记录中与GDPR第30条相关的活动处理内容。
数据主体的权利
标准充分涵盖了GDPR第三章数据主体的信息权利，并要求采取相应的措施。此外，标准还要求采取措施以确保能够干预处理操作，从而保障数据主体的权利，并允许进行修正、删除或限制。
权利和自由的风险
标准要求处理器意识到与ToE相关的数据处理可能对自然人权利和自由造成的潜在风险。如果个人数据的处理可能导致对自然人权利和自由的高风险影响，则多个标准确保申请人证明其符合GDPR第35条的要求。
保障保护的技术和组织措施
标准要求应用技术与组织措施以确保处理操作的保密性、完整性和可用性。此外，标准还要求根据GDPR第25条和第32条，应用技术措施以设计和默认方式实施数据保护。标准要求应用相应的措施以确保个人数据泄露通知义务能够在适当的时间和范围内根据GDPR第33条得到履行。
证明个人数据传输存在适当保障措施的标准
标准要求识别所有涉及技术转移（ToE）的第三方国家和个人数据转移以及国际组织，并证明所选择的数据转移机制符合GDPR第五章的规定。
欧洲数据保护印章的额外标准
根据指南，评估应包括“评估标准是否能够考虑成员国的数据保护法律或情景”的问题。标准的第四部分要求申请人遵守适用的国家法律和相关行业数据保护法律。此外，委员会理解“国家法律合规报告”应由法律专家准备，前提是这些专家已在适用的国家法律方面展示了必要的专业水平。
结论 / 建议
EDPB认为草拟的认证标准与GDPR一致，并根据GDPR第70条第1款第o项规定批准了这些标准，从而形成共同认证（欧洲数据保护标志）。EDPB将在公共认证机制注册簿中登记“EuroPriSe标准目录（用于加工操作的处理器认证机制）”认证机制以及数据保护标志和标识。
最终备注
本意见旨在向北莱茵-威斯特法伦州的监督机构提交，并将根据GDPR第64条第5款(b)项的规定予以公开。
