In dit artikel8
Wat zijn de CIPM en de CIPT?
De Certified Information Privacy Manager (CIPM) laat volgens de IAPP zien dat je privacyregels in de dagelijkse praktijk kunt toepassen. CIPM-houders zijn volgens de IAPP leiders in het beheren van privacyprogramma's. Ze kunnen privacy in alle fasen van de levenscyclus opzetten, onderhouden en beheren. Op de CIPM-pagina van de IAPP staat dat de CIPM een ANAB-geaccrediteerde aanduiding is voor leiders in de administratie van privacyprogramma's.
De Certified Information Privacy Technologist (CIPT) laat volgens de IAPP zien dat je technologie kunt gebruiken om gegevensbescherming in te bouwen in producten en diensten. Volgens het handboek hebben CIPT-houders een dubbele geletterdheid in privacy en technologie. De CIPT-pagina van de IAPP schrijft dat de certificering bewijst dat je technische oplossingen kunt inzetten om gegevensbescherming in te bouwen.
Beide certificeringen zijn geaccrediteerd door de ANSI National Accreditation Board (ANAB) onder ISO/IEC-norm 17024. Voor de examens noemt de IAPP op de FAQ-pagina geen toelatingseisen. Je koopt het examen en plant het daarna.
In één zin: de CIPM gaat over het programma, de CIPT over de technologie en de CIPP/E over de wet. Het verschil tussen privacy, security en compliance helpt bij het kiezen tussen die vakgebieden.
Wat dekt de CIPM?
De CIPM heeft zes domeinen. De tabel laat per domein zien wat het dekt en hoeveel vragen het examen minimaal en maximaal over dat domein stelt.
Domein | Wat het dekt | Vragen (min tot max) |
|---|---|---|
I. Privacy Program: Developing a Framework | De basis van het privacyprogramma, het doel ervan en wie verantwoordelijk is, met het governancemodel binnen de privacystrategie van de organisatie | 14 tot 18 |
II. Privacy Program: Establishing Program Governance | Hoe privacyvereisten in alle fasen van de privacy-levenscyclus in de organisatie worden ingevoerd: rollen, verantwoordelijkheden, training, beleid en procedures | 12 tot 16 |
III. Privacy Program Operational Life Cycle: Assessing Data | Het identificeren en beperken van privacyrisico's en het beoordelen van de privacyimpact van systemen, processen en producten | 12 tot 16 |
IV. Privacy Program Operational Life Cycle: Protecting Personal Data | Het beschermen van gegevens tijdens gebruik met privacy- en beveiligingsmaatregelen en -technologie | 9 tot 13 |
V. Privacy Program Operational Life Cycle: Sustaining Program Performance | Het in stand houden van het programma met metrics en auditprocedures | 7 tot 9 |
VI. Privacy Program Operational Life Cycle: Responding to Requests and Incidents | Privacy-incidenten en de rechten van betrokkenen | 10 tot 14 |
De CIPM-BoK is versie 4.2.0, goedgekeurd op 16 januari 2025 en van kracht vanaf 1 september 2025. Die versie vervangt 4.1.0. De IAPP beoordeelt de body of knowledge elk jaar en meldt wijzigingen minstens 90 dagen voordat de nieuwe inhoud in het examen verschijnt. Op de body of knowledge-pagina van de IAPP staat de actuele versie.
De zes domeinen vormen samen een cyclus: een raamwerk opzetten, governance inrichten, gegevens en systemen beoordelen, gegevens beschermen, prestaties bewaken en auditen, en reageren op verzoeken en incidenten. Wie een privacyprogramma bouwt of beheert, herkent die volgorde in het eigen werk. Domein I noemt ook de privacyrisico's van het gebruik van AI in de bedrijfsomgeving. Domein VI raakt aan de meldplicht datalekken, die is uitgelegd in het artikel over de meldplicht.
Wat dekt de CIPT?
De CIPT heeft vijf domeinen. De CIPT is geen security-examen. Het gaat over privacy in techniek en productontwerp: dataverwerking van verzamelen tot vernietigen, privacyrisico's, privacy by design en privacy engineering.
Domein | Wat het dekt | Vragen (min tot max) |
|---|---|---|
I. The privacy technologist's role in the context of the organization | De algemene en technische verantwoordelijkheden van de privacytechnoloog | 15 tot 19 |
II. Data collection, use, dissemination and destruction | Strategieën en best practices voor verantwoorde en veilige verwerking van persoonsgegevens en het beperken van privacyrisico's bij verzamelen, gebruiken, verspreiden, bewaren en vernietigen | 19 tot 23 |
III. Privacy risk management | De samenhang tussen data-ethiek en privacy | 17 tot 21 |
IV. Privacy by design | Het strategisch inbouwen van principes om privacyrisico's in gebruikerservaringen te beheren, waardegevoelig ontwerp, en beheers- en monitoringmaatregelen | 7 tot 9 |
V. Privacy engineering and privacy governance | Privacy in technologiebeleid en -procedures, de rol en doelen van privacy engineering, privacyontwerppatronen en privacyrisicobeheer in de fasen van de ontwikkelcyclus | 9 tot 11 |
Domein IV en V gaan over privacy by design: principes die je in het ontwerp van een product inbouwt, en de plek van privacy engineering in de ontwikkelcyclus. De CIPT-BoK is versie 4.0.0, goedgekeurd op 25 maart 2025 en van kracht vanaf 1 september 2025. Die versie vervangt 3.2.0. Ook voor deze BoK geldt dat de actuele versie op de IAPP-pagina voor de body of knowledge staat.
Een technoloog die privacy inbouwt, krijgt met de CIPT een taal om met juristen en privacyofficers te praten. Het gaat daarbij om ontwerp en techniek, niet om technische security-vaardigheden zoals pentesten of systeembeheer. Meer over techniek en ontwerp vind je bij security-architectuur.
Hoe zien de examens eruit?
Beide examens hebben dezelfde vorm. De tabel zet de kenmerken naast elkaar.
Kenmerk | CIPM | CIPT |
|---|---|---|
Aantal vragen | 90 meerkeuzevragen | 90 meerkeuzevragen |
Duur | 2,5 uur | 2,5 uur |
Pauze | 15 minuten | 15 minuten |
Gescoorde vragen | 75 | 75 |
Ongescoorde vragen | 15 (proefvragen) | 15 (proefvragen) |
Talen | Engels, Duits, Frans, Chinees en Braziliaans Portugees | Alleen Engels |
Afname | Op afstand via Pearson VUE OnVUE, of in een Pearson VUE-testcentrum (meer dan 6.000 centra) | Hetzelfde |
Termijn | Afleggen binnen één jaar na aankoop | Hetzelfde |
De 15 ongescoorde vragen zijn niet van de gescoorde vragen te onderscheiden. Alle vragen zijn meerkeuzevragen, en sommige zijn gebaseerd op een casus. Scores lopen van 100 tot 500. De slagingsscore voor alle IAPP-examens is 300, en de IAPP schrijft zelf dat 300 niet overeenkomt met 60%.
Wie het examen niet haalt, koopt een nieuw examen. Een herkansing kan op zijn vroegst zeven dagen na de vorige poging worden gepland.
Voor de voorbereiding is de body of knowledge het uitgangspunt, met de exam blueprint erbij. De blueprint laat zien hoeveel vragen per domein maximaal en minimaal worden gesteld. De werkwoorden in de prestatie-indicatoren, zoals identificeren, evalueren, implementeren en definiëren, geven aan op welk niveau een vraag zit. Voor de CIPT biedt de IAPP daarnaast een oefenexamen van 90 vragen, gebaseerd op dezelfde body of knowledge als het echte examen.
Het CIPT-examen is alleen in het Engels beschikbaar. Nederlands staat voor geen van beide examens op de lijst met talen. Engelse vaktaal hoort daarom bij de voorbereiding.
Wat kosten de examens?
Volgens de IAPP-store voor het CIPM-examen kost het examen op 5 november 2026 USD 550, voor leden en niet-leden. Het CIPT-examen kost volgens de IAPP-store voor het CIPT-examen op dezelfde datum ook USD 550, eveneens voor leden en niet-leden.
Een training is apart en zit niet in deze prijs. De prijs van een training of van studiemateriaal staat niet in dit artikel. Kijk voor de actuele examenprijs in de IAPP-store.
Hoe onderhoud je de CIPM of de CIPT?
De certificeringstermijn is twee jaar. Het CPE-beleid van de IAPP is sinds 23 juni 2025 van kracht (versie 3.3.0). Per termijn doe je het volgende:
- Lever bewijs van 20 uur continuing professional education (CPE) in, per certificering. CPE's van IAPP-activiteiten worden automatisch toegevoegd. CPE's van activiteiten buiten de IAPP dien je zelf in via een formulier.
- Betaal de certification maintenance fee (CMF) van USD 250. Als lid dek je de CMF met je lidmaatschap, dat volgens de IAPP-FAQ USD 295 per jaar kost.
- Let op de schorsing. Bij een tekort aan CPE of een onbetaalde CMF wordt de certificering geschorst.
Heb je meerdere IAPP-certificeringen, dan kun je CPE-credits op alle certificeringen laten meetellen. De IAPP schrijft dat het zelden nodig zal zijn om voor elke aanduiding 20 unieke credits te halen. Maximaal 10 overtollige credits per certificering, behaald in de laatste zes maanden van de termijn, gaan mee naar de volgende termijn. Dat betekent niet dat een combinatie vanzelf goedkoper of makkelijker is.
Wie geen CPE wil indienen, kan opnieuw examen doen om de certificering te verlengen. Staat de certificering aan het einde van een termijn nog geschorst, dan wordt ze ingetrokken en moet je het examen opnieuw halen. Het CPE-overzicht van de IAPP beschrijft de regels per termijn.
CIPM, CIPT of CIPP/E: wat past bij jou?
Certificering | Waar het over gaat | Past bij |
|---|---|---|
CIPM | Hoe een organisatie privacyregels in een werkend programma omzet | Data Protection Officers, Privacy Officers, Compliance Officers en GRC-consultants die een privacyprogramma bouwen, bijhouden of toetsen |
CIPT | Hoe privacy in producten en systemen zelf wordt ingebouwd | Security-architecten, security-engineers en ontwikkelaars of productmensen die privacy in systemen bouwen |
CIPP/E | Wat de wet zegt: pan-Europese en nationale wet- en regelgeving voor gegevensbescherming | Het startpunt voor wie de wetgeving beter wil kennen |
Drie vragen, drie certificeringen: wat zegt de wet, hoe zet een organisatie die regels om in een programma, en hoe bouw je privacy in een product. Sommige professionals combineren er twee. De IAPP noemt op de FAQ-pagina geen verplichte volgorde en geen toelatingseisen.
Voor wie uit de beveiliging komt, sluit de CIPT aan op privacy by design en op security-architectuur. Voor wie uit compliance komt, sluit de CIPM aan op governance, beleid en audit. Wie de wetgeving beter wil kennen, begint bij de CIPP/E. Voor de wet zelf, de AVG, helpt het artikel over de AVG voor privacy-professionals. Wil je weten welke certificering bij welke functie past, gebruik dan de keuzegids per functie.
Voor welke functies passen de CIPM en de CIPT?
De CIPM past bij functies die een privacyprogramma bouwen, bijhouden of toetsen: Data Protection Officer, Privacy Officer, Compliance Officer en GRC-consultant. De CIPT past bij Security Architect, Security Engineer en Application Security Engineer, en bij ontwikkelaars en productmensen die privacy in systemen bouwen.
Voor de Data Protection Officer beschrijft de rolgids wat de functie inhoudt. Op de werkgeverspagina voor de Data Protection Officer zie je welke werkgevers deze functie hebben. Privacy en compliance als vakgebied staat op de vakgebiedpagina.
Of een werkgever een certificering vraagt, verschilt per organisatie. Een certificering vervangt geen ervaring, en werkgevers wegen certificering en ervaring per functie anders. Kijk in de vacatures voor jouw functie wat doelwerkgevers noemen, ook of ze de CIPM noemen. Meer over de keuze en de vakgebieden vind je in de kennisbank.
Wat is het verschil tussen de CIPM en de CIPT?
De CIPM kijkt naar het privacyprogramma van een organisatie: raamwerk, governance, risico's, bescherming, bewaking en reactie op verzoeken en incidenten. De CIPT kijkt naar het product of systeem en hoe privacy daarin wordt ingebouwd. Beide zijn IAPP-certificeringen met hetzelfde examenformaat van 90 meerkeuzevragen in 2,5 uur.
Hoe ziet het CIPM- of CIPT-examen eruit?
Het examen bestaat uit 90 meerkeuzevragen in 2,5 uur, met een pauze van 15 minuten. Daarvan tellen 75 vragen mee voor je score. Je slaagt met een score van 300 op een schaal van 100 tot 500. Volgens de IAPP-store kosten beide examens op 5 november 2026 USD 550. Het CIPT-examen is alleen in het Engels beschikbaar.
Moet je eerst de CIPP/E halen?
De IAPP noemt op de FAQ-pagina geen toelatingseisen en geen verplichte volgorde. Het startpunt hangt af van je werk. Wie de wetgeving beter wil kennen, begint bij de CIPP/E. Wie vooral het programma of de technologie bouwt, kijkt eerst naar de CIPM of de CIPT.
Hoe onderhoud je de CIPM en de CIPT?
De certificeringstermijn is twee jaar. Per termijn lever je 20 uur CPE per certificering in en betaal je een CMF van USD 250, of je dekt die met het lidmaatschap van USD 295 per jaar. CPE-credits kunnen voor meerdere IAPP-certificeringen meetellen. Wie geen CPE wil indienen, kan opnieuw examen doen om de certificering te verlengen.
Voor welke functies passen de CIPM en de CIPT?
De CIPM past bij Data Protection Officers, Privacy Officers, Compliance Officers en GRC-consultants. De CIPT past bij Security Architects, Security Engineers en Application Security Engineers, en bij ontwikkelaars en productmensen die privacy in systemen bouwen. Of een werkgever een certificering vraagt, verschilt per organisatie. Kijk in de vacatures welke werkgevers de CIPM of de CIPT noemen.