Dans son étude annuelle de 2014 consacrée au numérique et aux droits fondamentaux, le Conseil d'État propose de créer une obligation de certification périodique (complétant l'examen a priori par l'autorité de contrôle effectué) par un organisme tiers indépendant et accrédité par l'autorité de contrôle pour les catégories de traitements présentant les risques les plus importants ; il préconise que cette obligation soit prévue au niveau européen (proposition no 19). Cette possibilité de certification périodique générale n'est pas prévue par le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, adopté depuis l'édiction du rapport du Conseil d'Etat. Toutefois, l'article 42 du règlement incite à la mise en place de certifications, de labels et de marques, afin d'encourager la transparence et favoriser le respect des règles par les responsables de traitement et les sous-traitants. Le règlement précise que les processus de certification seront volontaires et que les certifications pourront être délivrées par les autorités de contrôle ou par des organismes certificateurs.  Cela étant, le règlement prévoit d'autres garanties pour les catégories de traitements présentant les risques les plus importants. Ainsi, pour ces traitements, le responsable de traitement pourra être tenu de réaliser une analyse d'impact (article 35), voire de consulter préalablement l'autorité de contrôle selon le résultat de cette analyse (article 36), ou encore de désigner un délégué à la protection des données au sein de sa structure (article 37). En outre, les dispositions du règlement permettent aux Etats membres de renforcer les obligations des responsables de traitement dans certaines matières (comme par exemple pour les traitements de données génétiques, des données biométriques ou des données concernant la santé – article 9). Il reviendra donc le cas échéant au législateur national ou au pouvoir réglementaire de prévoir des garanties supplémentaires si cela s'avère nécessaire. L'ensemble de ces garanties a été jugé suffisant par le législateur européen pour permettre l'encadrement des traitements présentant les risques les plus importants sans qu'il ait été besoin de prévoir une certification périodique générale pour des catégories de traitements prédéfinies. Les dispositions du règlement précité seront, le cas échéant, précisées par le législateur national, le pouvoir réglementaire ou par l'autorité de contrôle, d'ici l'entrée en application du règlement le 25 mai 2018.