Het certificeringsraamwerk van de AVG, artikelen 42 en 43, is geen bijzaak. Het is een bewust ontworpen instrument om compliance aantoonbaar, vergelijkbaar en onafhankelijk getoetst te maken. Organisaties die een aangewezen certificering dragen, kunnen dat gebruiken als bewijs van conformiteit richting toezichthouders. Opdrachtgevers kunnen erop vertrouwen. De markt krijgt een gemeenschappelijke taal.

De AVG voorziet daarvoor in twee routes. De eerste is nationaal: de bevoegde nationale toezichthouder, in Nederland de AP, keurt certificeringscriteria goed, waarna de Raad voor Accreditatie certificeringsinstellingen kan accrediteren. Het resulterende certificaat is geldig in die ene lidstaat, Nederland. De tweede route loopt via het EDPB: als de Europese privacytoezichthouders gezamenlijk criteria goedkeuren via het coherentiemechanisme van artikel 63, ontstaat een Europees gegevensbeschermingszegel, geldig in alle EU-lidstaten.

Die tweede route heeft in meer dan acht jaar AVG één resultaat opgeleverd: het CARPA-certificaat voor juridische dienstverleners, goedgekeurd eind 2022.

De nationale route heeft in Nederland de criteria opgeleverd. De AP keurde het schema van Brand Compliance goed in november 2023, het EDPB bevestigde dat in december 2024. Maar er is daarmee nog geen operationeel certificaat. De EDPB-bevestiging maakt BC 5701 bovendien geen Europees zegel: het blijft een nationaal schema, zonder waarde buiten Nederland. Organisaties die grensoverschrijdend opereren staan ook na een eventuele Nederlandse accreditatie per definitie in een onbekend gebied.

Er is geen publiek ankerpunt voor wat AVG-compliance betekent, nationaal niet en Europees niet. Dat heeft een vacuüm gecreëerd dat is ingenomen voordat de criteria überhaupt werden goedgekeurd.

Omdat er geen aangewezen AVG-certificering bestaat, grepen aanbieders naar wat wél bestaat: bestaande normenkaders met een eigen accreditatiestructuur, aangevuld met branche-eigen initiatieven en zelfverklaring. Het resultaat is een markt van vier kenmerken, elk met een eigen product en een eigen claim.

ISO 27001 en NEN 7510

Dit zijn de meest serieuze. Ze worden uitgegeven via geaccrediteerde audits, kennen onafhankelijke certificerende instellingen en zijn internationaal herkenbaar. ISO 27001 speelt ook een legitieme rol als basisvoorwaarde: voor NIS2-verplichtingen, voor aanbestedingen, als signaal van procesrijpheid. Maar de norm meet informatiebeveiliging: de bescherming van data tegen ongeautoriseerde toegang. Ze zegt niets over de rechtmatigheid van de verwerking zelf.

Een organisatie kan ISO 27001 dragen en tegelijkertijd zonder geldige grondslag persoonsgegevens verwerken, toestemmingen verzamelen via een pre-ticked box, of doelbinding structureel negeren. De audit toetst het slot op de deur, niet wat er achter die deur gebeurt. ISO 27001 is geen AVG-certificering. Het is een beveiligingsnorm die als AVG-certificering wordt verkocht, omdat er niets anders is. Aangevuld met de ISO 27701 norm wordt de AVG wel grotendeels afgedekt.

Branche-eigen keurmerken 

Daarvan is de meest bekende in Nederland het DDMA Privacy Waarborg. Deze vullen de ruimte die ISO laat. Ze hebben een markttoegangsfunctie: adverteerders werken bij voorkeur of uitsluitend met gecertificeerde partijen. Maar de certificering wordt uitgegeven door de branchevereniging zelf, via een eigen Compliance Comité, zonder AP-aanwijzing. De sector bepaalt wie compliant heet te zijn, het is niet onafhankelijk.

Eigen “keurmerken”

De stickers van individuele aanbieders zijn in de meeste gevallen niet meer dan marketing. Een privacy-badge op een website, een zelfverklaarde "GDPR-compliant" aanduiding, een intern auditrapport dat niet openbaar is. Er zijn bedrijven met het woord "privacy" in het dienstenaanbod, die een eigen certificaat of keurmerk voeren. Formeel niet verboden maar inhoudelijk nietszeggend. Samen creëren ze een markt waarin de koper niet kan onderscheiden wat hij koopt.

Eén aanbieder

Brand Compliance, de enige aanbieder met AP-goedgekeurde criteria, geeft BC 5701-certificaten uit uit een eigen certificatenregister. Nu al, vóórdat de RvA-accreditatie voor die specifieke norm is afgerond. Dat gebeurt transparant: ze geven het zelf aan en het demonstreren van het schema aan klanten is formeel onderdeel van het accreditatieproces.

Maar de koper ontvangt een certificaat dat buiten de officieel erkende IAF CertSearch-database valt. De AP waarschuwt hier op haar eigen website letterlijk voor: organisaties kunnen worden benaderd door aanbieders die een AVG-certificaat aanbieden terwijl ze nog niet zijn geaccrediteerd: controleer de RvA-database.

Dat de enige serieuze kandidaat voor officiële AVG-certificering intussen al certificaten uitgeeft die buiten die formele erkenning vallen, is geen verwijt aan Brand Compliance. Het is een illustratie van hoe de markt structureel vooruitloopt op de normering die dit gat zou moeten opvullen.

Wie de IT-wereld iets langer meelopen heeft, herkent dit patroon. CMMI (het Capability Maturity Model Integration) had dezelfde belofte: een objectief rijpheidsmodel waarmee je de kwaliteit van softwareontwikkelprocessen kon meten en vergelijken. CMMI-niveau 5 werd al snel een aanbestedingscriterium, een verkoopargument, een kwaliteitsstempel.

Totdat bleek dat een CMMI-5 organisatie prachtig gedocumenteerde processen kon hebben voor het bouwen van volstrekt verkeerde software. Het model meet procesrijpheid, niet inhoudelijke kwaliteit. De sector ontwikkelde een vocabulaire en een auditpraktijk die het certificaat bediende, niet de onderliggende vraag.

Dat is compliance theater. En het speelt vandaag precies zo bij AVG-certificering: organisaties leren ISO-taal te spreken, auditpaden in te richten, verwerkingsregisters bij te houden, terwijl de vraag of de verwerking zelf rechtmatig is, systematisch buiten de scope van de toetsing blijft. De audit is een product. Het risico blijft.

Het resultaat is een markt die niet kan onderscheiden. Inkopers en aanbesteders vragen om ISO 27001 omdat ze iets moeten vragen. Auditors toetsen op procesinrichting omdat dat de scope is van hun opdracht. Juridische afdelingen accepteren het certificaat als afdekking.

Dat werkt, tot het niet meer werkt. Als aanbestedende diensten straks verplicht worden om AVG-rechtmatigheid te toetsen via een DPIA-eis of als Cyberbeveiligingswet-leveranciersverplichtingen aanscherpen, valt de badge door de mand. En als een (collectieve) rechtszaak aantoont dat de verwerking achter het certificaat niet deugde, biedt het certificaat geen vrijwaring. Het toont alleen aan dat de processen op orde waren, niet dat het recht werd gerespecteerd.

Voor organisaties die het serieus nemen is dit frustrerend: ze investeren in echte compliance maar concurreren in een markt die het verschil niet ziet. Voor organisaties die het niet serieus nemen is het comfortabel, althans, voorlopig.

Nederland staat hierin niet alleen, maar loopt wel achter. In Duitsland worden GDPR-gerelateerde certificaten via TÜV en vergelijkbare instellingen al langer aangeboden, niet perfect, maar operationeel. In Frankrijk heeft de CNIL een eigen certificeringskader ontwikkeld voor specifieke verwerkingscategorieën. Het Europese certificeringssysteem is ontworpen als geharmoniseerd mechanisme, maar de uitvoering verschilt per lidstaat aanzienlijk.

Die fragmentatie zit structureel ingebakken in de AVG-architectuur zelf. Nationaal goedgekeurde certificeringsregelingen zijn uitsluitend geldig in de lidstaat waar ze zijn goedgekeurd. Er bestaat geen wederzijdse erkenning tussen lidstaten. Een Nederlands bedrijf dat ook in België of Duitsland persoonsgegevens verwerkt, heeft aan een Nederlands AVG-certificaat in die landen niets.

De AVG voorziet in één route die dat zou oplossen: het Europees gegevensbeschermingszegel, tot stand te brengen via het EDPB-coherentiemechanisme van artikel 63, met EU-brede geldigheid. Dat zegel bestaat niet. In meer dan acht jaar AVG heeft geen enkele combinatie van nationale toezichthouders en het EDPB dit mechanisme tot een operationeel resultaat gebracht.

Wat er wél is: het Luxemburgse GDPR-CARPA schema, het enige nationale AVG-certificeringsmechanisme in de EU dat volledig operationeel is. Luxemburg begon in 2018 met de eerste publieke consultatie, ontving in februari 2022 een EDPB-consistentieadvies onder artikel 64 lid 1 sub c AVG, en adopteerde het schema in mei 2022. Sindsdien zijn twee certificerende instellingen geaccrediteerd, EY Luxembourg en Grant Thornton Luxembourg, en kunnen organisaties gevestigd in Luxemburg daadwerkelijk een certificaat halen voor specifieke verwerkingsactiviteiten. Het schema is sectoronafhankelijk, procesgebonden en vrijwillig. Maar het is geen Europees zegel: het is uitsluitend geldig in Luxemburg en heeft buiten die grenzen geen rechtsgevolgen.

Luxemburg bewijst daarmee dat het model werkt. Vier jaar van ontwikkeling, consultatie en EDPB-toetsing leverde een operationeel systeem op. Nederland begon formeel in 2023 met goedgekeurde criteria en heeft in 2026 nog geen operationeel certificaat. Het model is bewezen. De wil om het te implementeren ontbreekt, en die ontbrekende wil wordt mede bepaald door de politieke context waarin de AP opereert.

Het Nederlandse achterblijven is dan ook geen technisch probleem. De criteria zijn er. De RvA kan als onafhankelijke en gezaghebbende instantie officieel erkennen en garanderen. Wat ontbreekt is de stap van kader naar operationele normering. Die stap wordt mede bepaald door de politieke context waarin de AP opereert.

De AP staat onder druk. De evaluatie die Berenschot en de Universiteit van Tilburg in maart 2025 afrondden bevestigt wat in de wandelgangen al langer bekend was: de AP wordt politiek aangestuurd op terughoudendheid. Het frame van “handelingsverlegenheid”, de gedachte dat de AP met haar opvattingen organisaties onnodig belemmert, heeft zijn weg gevonden van lobbygroepen via de Tweede Kamer naar de beleidspraktijk.

Dit is geen partijpolitiek argument. Het is een governance-vraag: als de toezichthouder wordt teruggehouden op normering, wie normeert dan? Als de criteria worden goedgekeurd maar de operationalisering uitblijft, wie vult het vacuüm dan; de markt, de brancheverenigingen, de aanbieders met hun eigen keurmerk?

Als de normering uitblijft, wordt compliance een kwestie van marketing in plaats van recht. Dat is geen overdrijving. Het is de beschrijving van de huidige situatie.

De WAMCA (de Wet afwikkeling massaschade in collectieve actie) maakt het voor stichtingen en belangenorganisaties mogelijk om namens grote groepen betrokkenen schadevergoeding te vorderen bij privacyschendingen. Stichting Data Bescherming Nederland en vergelijkbare organisaties gebruiken dit instrument. Collectieve privacyclaims zijn in Nederland geen theoretisch risico meer.

Dat maakt de vraag voor bestuurders concreet:

  1. Kunnen wij voor elke verwerkingsactiviteit de grondslag juridisch verdedigen, zonder te verwijzen naar ons certificaat?
  2. Is onze toestemmingsketen en doelbinding documenteerbaar over de volledige levenscyclus van de data, niet alleen op het moment van verzameling?
  3. Wat is ons antwoord als een collectieve actie of een plotselinge AP-handhaving ons certificaat als onvoldoende afdoet?

Als het antwoord op één van deze vragen "dat weten we eigenlijk niet" is, is het certificaat er een van risico-opbouw en niet de gewenste dekking.

Het ontbreken van aangewezen certificering betekent niet dat compliance onmogelijk is. Het betekent dat je zelf de lat moet definiëren en die lat hoger moet leggen dan een ISO-audit suggereert.

Concreet:

  • Toets de rechtmatigheid van elke verwerkingsactiviteit op de grondslag, niet alleen op de beveiliging.
  • Beoordeel of toestemmingen juridisch geldig zijn, niet alleen of ze zijn vastgelegd.
  • Controleer of doelbinding wordt gerespecteerd over de hele levenscyclus van de data.
  • En documenteer dat op een manier die een toezichthouder of een rechter kan volgen.

Het vacuüm is tijdelijk. De criteria zijn goedgekeurd, de accreditatieroute ligt open, en op enig moment komt er een operationeel systeem. Dan wordt zichtbaar wie de afgelopen jaren heeft gebouwd op een certificaat dat de rechtmatigheid niet raakte, of op een certificaat dat juridisch nog niet volledig bestond.

Wie nu bouwt op compliance theater, investeert in een dekking die straks misschien niets waard blijkt.