L'Agence pour la protection des données personnelles (AZOP), l'autorité de contrôle croate, a publié des orientations sur les mécanismes de certification prévus par le RGPD, clarifiant leur portée, leurs bénéfices et les procédures associées.

La certification est une démarche volontaire permettant aux responsables de traitement et sous-traitants de démontrer la conformité de leurs opérations de traitement spécifiques aux exigences du RGPD, conformément aux article 42 et article 43. Un certificat, valable au maximum trois ans, ne couvre pas l'ensemble d'une organisation mais uniquement les opérations, produits ou services évalués. Il ne réduit pas la responsabilité légale de l'entité mais peut être pris en compte par l'autorité de contrôle lors de l'imposition de sanctions, en vertu de l' article 83, paragraphe 2, point j). Il existe deux types de mécanismes : les mécanismes nationaux, approuvés par l'autorité de contrôle nationale après avis du Comité européen de la protection des données (CEPD), et le Sceau européen de protection des données, approuvé directement par le CEPD pour une reconnaissance dans toute l'Union européenne.

L'AZOP précise qu'à ce jour, aucun mécanisme de certification national n'a été approuvé en Croatie et l'Agence croate d'accréditation (HAA) n'a accrédité aucun organisme de certification. Les organisations croates souhaitant obtenir une certification doivent donc se tourner vers un Sceau européen de protection des données et s'adresser à un organisme de certification accrédité dans un autre État membre, à condition que celui-ci soit autorisé à fournir ses services en Croatie. Les certificats de type ISO ne sont pas considérés comme des certifications au sens du RGPD, sauf s'ils sont délivrés dans le cadre d'un mécanisme approuvé. De même, la certification ne peut servir d'outil pour les transferts de données vers des pays tiers que si le mécanisme a été spécifiquement approuvé à cette fin, conformément à l'article 46, paragraphe 2, point f).