Как доказвам, че спазвам Регламент (EU) 2016/679 без скъпо сертифициране?

Да, с документи и доказуемо поведение вместо сертификат

ISO сертификатът не е правно изискване по GDPR и отсъствието му не означава, че дадено предприятие не спазва GDPR. Това, което GDPR наистина изисква, е така наречената отчетност: организацията трябва да докаже, че спазва принципите на регламента, а не че има знак на качество. На практика това се доказва чрез комбинация от документи, фиксирани договори и утвърдени работни процеси: актуален регистър на дейностите по обработката, подписани договори с обработвателите на данни с доставчици, декларация за защита на личните данни и доказателство, че са обмислени рисковете при нови обработки.

На практика това обикновено означава досие, което нараства с развитието на бизнеса, а не един знак на качество, който някогда получаваш. Помисли на въпроса какво трябва да бъде в регистър на дейностите по обработка на данни и, за един самостоятелен работник, дали там поддържането на регистър на дейностите по обработката е задължително. Добър отговор на попълването на въпросника за защита на личните данни от клиент или на какво търси обществена поръчка относно защитата на личните данни също се счита за отчетност: организацията, която може да отговори на такива въпроси с конкретни документи, доказва на практика повече от сертификат на вратата.

От където произтича това: член 5 и член 28 GDPR

Отчетността е установена в член 5 на GDPR, който посочва принципите на регламента и изрично определя, че администраторът трябва да докаже тези принципи. Член 28 на GDPR регулира освен това договорите, които трябва да се сключат с обработвателите на данни, и тези договори сами по себе си представляват част от доказателството. Това, което контролният орган конкретно иска да види при проверка, не е сертификат, а точно такива документи — вижте също какво можеш да покажеш, ако дойде Autoriteit Persoonsgegevens да те контролира. Тези задължения се прилагат пряко в целия ЕС; всеки, който се чудеше как ще бъде оценяван, попада под контролния орган на държавата, където е установен — в Нидерландия това е Autoriteit Persoonsgegevens, в други държави членки — националният контролен орган там.