---
Version: "2022"
---
Normreferentie: [§4.3](BC5701_H4_Context.md)
Zie ook [§8.9 Wijzigingen in de context van het OvC](BC5701_H8_Uitvoeren.md#8.9%20Wijzigingen%20in%20de%20context%20van%20het%20OvC)


# Object van Certificering

Het onderwerp van de AVG is de verwerking van persoonsgegevens. AVG-certificering kan daarom alleen worden toegepast op verwerkingen (i.e. processen), en niet op organisaties, producten of diensten.

Op grond van [Art. 43](../AVG/AVG-OST/AVG2018-Art-43.md) moet certificering plaatsvinden op basis van de ISO 17065 (Conformity Assessments). Lidstaten zorgen ervoor dat de certificeringsorganen worden geaccrediteerd in overeenstemming met die norm.

Het Object van Certificering is de verzameling verwerkingen waarvoor de organisatie gecertificeerd wil worden. Wat een verwerking is, is gedefinieerd in [AVG art. 4.2](https://gdpr-text.com/nl/read/article-4/)

Principes achter het vaststellen van het OvC:
1. het perspectief van de **belanghebbenden** is leidend
2. uitgangspunt van certificering is het **verwerkingsdoel** (niet de verwerkingen)
3. de verwerkingen moeten **zelfstandig** zijn om betekenisvol te zijn

De EDPB stelt:
- De certificering moet **betekenisvol** zijn voor de betrokkenen, d.w.z. **zelfstandig**
- De certificering mag **niet misleiden**

De belanghebbende is de partij voor wie het certificaat betekenis moet hebben: de persoon of partij die aan de hand van het certificaat wil vaststellen dat de verwerkingen 'correct' gebeuren.
Bij certificering van een **verwerkingsverantwoordelijke** is de betrokkene de primair belanghebbende (daarom kom je op Sheet 10 principe 1 ook tegen als "de betrokkenen staan centraal"). Bij certificering van een **verwerker** is dat de verwerkingsverantwoordelijke/opdrachtgever. 

Het OvC wordt verwoord als:
`De verwerking van persoonsgegevens ten behoeve van <het zelfstandige verwerkingsdoel van de doelgroep>.`


***IS DIT WEL ZO???? ZIE OOK TOEPASSINGSGEBIED***
Het zelfstandig verwerkingsdoel moet betekenis hebben voor de **betrokkenen**, het Object van Certificering moet betekenis hebben voor de **organisatie**.
Daarmee moet het abstracte verwerkingsdoel heel precies vertaald worden naar eenduidige verwerkingen.
**ZOU MOETEN ZIJN, WS.** Het Object van Certificering is de verzameling verwerkingen waarvoor de organisatie gecertificeerd wil worden. Dit heeft betekenis voor de belanghebbende.

Het Toepassingsgebied is de organisationele scope van het OvC: de Processen, Partijen en Middelen die de verwerkingen ondersteunen. Dit heeft betekenis voor de organisatie.


Deze samenstellende verwerkingen van het OvC moeten terug te vinden zijn in het verwerkingsregister.

## Checklist voor vaststellen van het Object van Certificering

A. Vaststellen zelfstandig verwerkingsdoel
	1. Bepaal de verwerking
	2. bepaal de primair belanghebbende van de verwerking
	3. Bepaal door welk doel de verwerking in gang wordt gezet
	4. Bepaal of dat doel zelfstandig is – zo niet dan uitzoomen en terug naar 1.
B. Vaststellen van verwerkingen met relatie tot het OvC
	- herkomst en transfer gegevens, ondersteuning, afgeleide doelen – zie ook Scope
C. Valideren van het OvC / Toetsing
	1. Stel een representatieve doelgroep samen
	2. Leg het doel van certificering uit (voor de organisatie)
	3. Leg het belang van de perceptie van de doelgroep uit
	4. Geef inzicht in de verwerkingen
	5. Laat ze zelf hun verwerkingsdoel bepalen
	6. Laat de doelgroep bepalen wat tot het OvC behoort

M.b.t. de toetsing:
- in een bijeenkomst met ca. 10-15 personen per (sub)doelgroep, met als doel consensus (Kwalitatieve toetsing)
- een deelnemerslijst met contactgegevens en een getekende vragenlijst gelden als bewijs.

*(zie Tab 1, pp. 2-6; Sheets 16-28 digitaal)*

§4.3.a stelt dat het OvC **eenduidig** moet zijn:
- wat in de ogen van de doelgroep samenhangende verwerkingen zijn, moet voor de BC 5701 als **ondeelbaar** worden aangemerkt.
- binnen de doelgroep moet consensus zijn over de omschrijving van het zelfstandig verwerkingsdoel en de daartoe behorende verwerkingen.

De check van de omschrijving van het OvC gebeurt dus op Juistheid (in de perceptie van de doelgroep) en Volledigheid (geautomatiseerde besluitvorming, afgeleid gebruik, gezamenlijke verwerkingsverantwoordelijkheid, etc.)

Verwoording:
- niet moeilijker dan ERK-niveau B1
- geen loze toevoegingen


# Toepassingsgebied (Scope)

Het toepassingsgebied is de organisationele scope van het OvC: de Processen, Partijen en Middelen die de verwerkingen ondersteunen.

Het toepassingsgebied behelst:
- de **Processen** die de verwerking ondersteunen (ontwikkelproces; wijzigingsbeheer; risicomanagement, etc.)
- De **Partijen** die de verwerking en de processen ondersteunen (medewerkers; afdelingen; externen; verwerkers, etc.)
- De **Middelen** die de verwerking, de processen en de partijen ondersteunen (software; hardware; infrastructuur; etc. )

N.b.: Het zelfstandig verwerkingsdoel heeft betekenis voor de belanghebbende. Het toepassingsgebied heeft betekenis voor de organisatie.

Bij de inventarisatie van verwerkingen, processen, partijen en middelen kunnen de levenscycli worden gebruikt:
- Voor de verwerkingen zelf: verzamelen, opslaan, verwerken, delen, vernietigen
- Voor de bedrijfsprocessen: Ontwerpen, ontwikkelen, uitvoeren, wijzigen, beëindigen
- Voor de betrokken partijen: selecteren, contracteren, evalueren, beëindigen
- Voor de middelen: aanschaffen, gebruiken, onderhouden, buiten gebruik stellen

