jak prokážu, že splňuji požadavky GDPR bez drahého certifikátu

Ano, s dokumenty a prokazatelným chováním místo certifikátu

Certifikát ISO není právním požadavkem podle GDPR a jeho absence neznamená, že společnost není v souladu s GDPR. Co GDPR skutečně vyžaduje, je takzvaná odpovědnost za prokázání souladu: organizace musí být schopna prokázat, že dodržuje zásady nařízení, nikoli že má certifikaci. V praxi se to dokazuje kombinací dokumentů, písemných dohod a zavedeného pracovního postupu: aktuální registr činností zpracování, podepsané smlouvy se zpracovateli dodavatelů, prohlášení o ochraně osobních údajů a důkaz, že byla zvážena rizika při novém zpracování.

V praxi to obvykle znamená spis, který roste s provozem společnosti, nikoli jeden certifikát, který jednoho dne získáte. Mysleme na otázku co musí být v registru činností zpracování a pro OSVČ, zda je tam také povinné vést registr činností zpracování je. Také dobrá odpověď na dotazník o ochraně údajů od klienta nebo na co vyžaduje veřejná soutěž ohledně ochrany údajů se počítá jako prokázání souladu: organizace, která umí odpovědět na takové otázky konkrétními dokumenty, v praxi prokazuje více než certifikát na stěně.

Kde to vyplývá: článek 5 a články 28 GDPR

Odpovědnost za prokázání souladu je uvedena v článku 5 GDPR, který vyjmenovává zásady nařízení a explicitně stanovuje, že správce údajů musí být schopen tyto zásady prokázat. Článek 28 GDPR dále upravuje dohody, které musí být uzavřeny se zpracovateli, a tyto dohody samy o sobě tvoří součást důkazu. To, co kontrolní orgán při kontrole konkrétně chce vidět, není certifikát, ale právě tento druh dokumentů — viz také co můžete prokázat, když přijde Autorita na ochranu osobních údajů na kontrolu. Tyto povinnosti se uplatňují přímo v celé EU; když se někdo ptá, jak bude posuzován shoda, podléhá kontrolnímu orgánu země, kde je usazen — v Česku to je Úřad pro ochranu osobních údajů.