GDPR: una obligación para todos, una certificación solo para los tratamientos.
El GDPR se aplica a cualquiera que trate datos personales. No existe una «certificación GDPR» de la empresa: el art. 42 prevé certificaciones voluntarias de los tratamientos, con esquemas aprobados. Europrivacy fue el primer sello europeo aprobado por el EDPB, y en Italia Accredia acredita a quien lo certifica.
Qué es
Datos tratados con una base, protegidos, y derechos respetados.
El GDPR fija las reglas para tratar datos personales: principios, bases jurídicas, derechos de los interesados, seguridad, transferencias fuera de la Unión. Una certificación del art. 42 se refiere a los tratamientos, no a la empresa en su conjunto, y no reduce la responsabilidad del responsable del tratamiento.
A quién le sirve
- Cualquiera que trate datos personales de clientes, empleados o pacientes
- Quien trata datos por cuenta de otros, como encargado del tratamiento
- Quien quiere demostrar un tratamiento con una certificación aprobada
- Quien tiene la ISO/IEC 27001 y quiere saber qué cubre y qué no
Qué pide, y qué arriesgas
Sanciones de hasta 20 millones de euros o el 4% de la facturación mundial anual, si esta cantidad es superior, por principios, bases jurídicas, derechos y transferencias; de hasta 10 millones o el 2% por las demás obligaciones.
Reg. (UE) 2016/679, art. 83(4) y 83(5)Una certificación aprobada puede servir al responsable del tratamiento para demostrar que cumple sus obligaciones, y la autoridad la tiene en cuenta al decidir una sanción.
Reg. (UE) 2016/679, art. 24(3) y art. 83(2)(j)Europrivacy fue el primer sello europeo aprobado por el EDPB; en Italia, Accredia acredita a los organismos que lo certifican.
EDPB, dictamen 28/2022; Accredia, Europrivacy
El camino
Qué tienes que hacer, en orden.
- 1
Mapear los tratamientos
Qué datos, de quién, para qué, con qué base jurídica y durante cuánto tiempo.
- 2
Medidas de seguridad
Medidas técnicas y organizativas adecuadas al riesgo, y las evaluaciones de impacto donde hagan falta.
- 3
Derechos y violaciones
Respuestas a los interesados en plazo, y las violaciones de datos notificadas al Garante en 72 horas cuando corresponda.
- 4
Certificación, si la quieres
Para tratamientos concretos, con un esquema aprobado según el art. 42 y un organismo acreditado. Dura como máximo tres años.
10ISO
Cómo te ayudará 10ISO
El trabajo que se repite lo harán los agentes; las decisiones siguen siendo tuyas y de quien te acompaña. 10ISO está por llegar: esto es lo que estamos construyendo.
- Registro de actividades de tratamiento, nombramientos y evaluaciones de impacto: llegarán con 10DPO, la expansión de 10Safety para la protección de datosPróximamente
- Las evidencias en común con la ISO/IEC 27001, subidas una vezPróximamente
- Las violaciones de datos registradas con los plazos de notificaciónPróximamente
- El camino hacia una certificación del art. 42, tratamiento por tratamientoPróximamente
Preguntas
Las primeras preguntas que llegan sobre GDPR.
¿Existe una «certificación GDPR» de la empresa?
No: se certifican los tratamientos, con esquemas aprobados según el art. 42. Europrivacy fue el primer sello europeo aprobado por el EDPB, y en Italia Accredia acredita a quien lo certifica.
Si estoy certificado, ¿evito las sanciones?
No: la certificación no reduce la responsabilidad del responsable del tratamiento. Pero la autoridad la tiene en cuenta al decidir el importe de una sanción.
¿ISDP©10003 vale como certificación GDPR?
Es un esquema acreditado por Accredia, pero a 28/09/2026 no figura en el registro del EDPB de los mecanismos aprobados según el art. 42, así que no tiene ese valor.
Fuentes
Cada referencia de esta ficha procede de una de estas fuentes, comprobadas el 28/09/2026. Si una ley o una norma cambia, la ficha se actualiza.
Fuentes
- Regulation (EU) 2016/679, GDPR (EUR-Lex) (se abre en una pestaña nueva)
- Garante privacy — certificazione e accreditamento (se abre en una pestaña nueva)
- EDPB — Opinion 28/2022 on the Europrivacy criteria of certification (se abre en una pestaña nueva)
- EDPB — Register of certification mechanisms, seals and marks (se abre en una pestaña nueva)
- Accredia — Europrivacy (se abre en una pestaña nueva)
- Accredia — protezione dei dati personali (ISDP©10003) (se abre en una pestaña nueva)
Lista de espera
Te escribimos cuando 10ISO abra.
Un minuto: quién eres, tu email y la norma que te interesa. No es una suscripción y no te pedimos tarjeta.