用途：为处理者认证/鉴证建立接受框架，判断哪些认证可被认可、如何评估，以及认证覆盖不足时需补充哪些材料。依据 GDPR 第28(5)条与 EDPB Guidelines 07/2020 第86段，认证可作为处理者可靠性的指标，但不免除控制者自行评估的义务。
主要能力：按层级收录认证。A 级为强隐私认证：ISO/IEC 27701:2019（PIMS，三年周期含年度监督审核，需确认 Annex B 处理者控制项在范围内）、GDPR 第42条认证（需第43条认可机构签发，截至 2026 年 3 月此类认证极少）。B 级为含隐私要素的强安全认证：SOC 2 Type II 含 Privacy 准则、SOC 2 Type II 仅安全准则、ISO/IEC 27001:2022。C 级为领域认证：ISO/IEC 27018:2019（须与 ISO 27001 组合）、CSA STAR Level 2、APEC CBPR、EU Cloud Code of Conduct（2021 年经比利时 DPA 批准）。D 级为自评与基础认证：CSA STAR Level 1、供应商隐私政策自声明、HITRUST CSF、Cyber Essentials（UK），仅作补充证据。
评估方式：提供认证等效矩阵，将各认证对照 GDPR 第28(3)(a)至(h)、第33(2)条及第五章跨境传输要求，标注 Full/Partial/None。缺口补足要求包括：DSR 处理程序与 SLA、子处理者清单与通知机制、事件响应计划与通知时限、传输影响评估、删除程序与删除证明、审计权条款与实际访问确认。验证流程共八步：取得证书与审计报告、核验认证机构认可、核验有效期、核验范围覆盖相关服务、审查例外或保留意见、按矩阵识别缺口、索取补充证据、记录接受决定。
适用场景：评估云服务商等供应商的认证可接受性，作为供应商评估文件的一部分。
限制：SOC 2 偏美国框架，ISO 27001 不涵盖隐私特有要求，APEC CBPR 不替代 GDPR 合规，自评类不可单独作为认证使用；具体价格、平台与操作步骤资料未提供。