适用于以数据控制者或处理者身份处理个人数据的组织。乌干达、肯尼亚和卢旺达均已施行数据保护法律。

• 差距评估将现行做法与要求进行比较。
• 最高管理层批准范围、方针和目标。
• 个人数据流程已进行映射，控制者或处理者的角色已确定。
• 流程运行足够长的时间以向审核员提供证据。
• 内部审核和管理评审已完成。
• 由认证机构进行的第 1 阶段和第 2 阶段审核将导致证书颁发。

员工人数、场所数量和体系范围决定了大部分成本。现有做法很重要,因为每一项差距都需要员工时间和外部支持来弥补。审核天数由认证机构根据认可规则,依据员工人数和复杂程度确定。所处理个人数据的数量和敏感程度决定了所需的控制措施。认证后两年内每年都将进行监督审核。

所需时间取决于规模、范围和准备程度。实践规范的小型组织通常四至六个月即可完成。较大或多场所的组织通常需要九至十二个月。证书有效期为三年,期满后需重新认证。

认证证书由获 ISO/IEC 17021-1 认可的认证机构颁发。您的实施人员和审核员必须不同，以确保审核的独立性。