hvordan viser jeg, at jeg overholder GDPR uden dyrt certifikat

Ja, med dokumenter og påviselig praksis i stedet for et certifikat

Et ISO-certifikat er ikke et lovkrav under GDPR, og dets fravær betyder ikke, at en virksomhed ikke lever op til GDPR. Hvad GDPR faktisk kræver, er det såkaldte ansvarsprincip: en organisation skal kunne påvise, at den lever op til forordningens principper, ikke at den har en kvalitetsmærke. I praksis påvises dette med en kombination af dokumenter, fastsatte aftaler og ordnede arbejdsgange: et aktuelt register over behandlingsaktiviteter, underskrevne databehandleraftaler med leverandører, en privatlivserklæring og dokumentation for, at risici ved nye behandlinger er blevet vurderet.

I praksis drejer det sig normalt om en samling dokumenter, der vokser med virksomhedsudviklingen, ikke om ét kvalitetsmærke, som du opnår en gang. Tænk på spørgsmålet hvad skal der stå i et behandlingsregister og for en selvstændig erhvervsdrivende, om det også er obligatorisk at føre et register over behandlingsaktiviteter påkrævet. Et godt svar på kundens privatlivsspørgeskema eller på hvad en udbud spørger om inden for databeskyttelse tæller også som påviselig praksis: en organisation, der kan besvare den slags spørgsmål med konkrete dokumenter, demonstrerer i praksis mere end et certifikat på væggen.

Hvor dette følger fra: artikel 5 og artikel 28 i GDPR

Ansvarssprincippet er fastsat i artikel 5 i GDPR, som fastlægger forordningens principper og eksplicit kræver, at ansvarlig for behandlingen kan påvise disse principper. Artikel 28 i GDPR fastlægger desuden de aftaler, der skal indgåes med databehandlere, og disse aftaler udgør selv en del af dokumentationen. Hvad en tilsynsmyndighed konkret ønsker at se ved en kontrol, er derfor ikke et certifikat, men netop denne slags dokumentation — se også hvad du kan vise, hvis Datatilsynet kommer på kontrol. Disse forpligtelser gælder direkte i hele EU; den, der undrer sig over, hvordan han bliver vurderet, falder under tilsynsmyndigheden i det land, hvor han er etableret — i Danmark er det Datatilsynet, i andre medlemsstater den nationale tilsynsmyndighed dér.