πώς αποδεικνύω ότι συμμορφώνομαι με το GDPR χωρίς δαπανηρό πιστοποιητικό

Ναι, με έγγραφα και αποδείξιμη συμπεριφορά αντί για πιστοποίηση

Ένα πιστοποιητικό ISO δεν είναι νόμιμη απαίτηση σύμφωνα με τον GDPR και η απουσία του δεν σημαίνει ότι μια επιχείρηση δεν συμμορφώνεται με τον GDPR. Αυτό που ο GDPR ζητά είναι η αρχή της λογοδοσίας: ένας οργανισμός πρέπει να μπορεί να αποδείξει ότι συμμορφώνεται με τις αρχές του κανονισμού, όχι ότι έχει ένα σήμα εγκρίσεως. Αυτή η απόδειξη γίνεται στην πράξη με ένα συνδυασμό εγγράφων, καθορισμένων συμφωνιών και τεκμηριωμένων διαδικασιών: ένα ενημερωμένο αρχείο εγγραφής δραστηριοτήτων επεξεργασίας, υπογεγραμμένες συμφωνίες επεξεργασίας με προμηθευτές, δήλωση προστασίας δεδομένων, και στοιχεία ότι έχει γίνει σκέψη για κινδύνους σε νέες επεξεργασίες.

Στην πράξη, αυτό σημαίνει συνήθως ένα φάκελο που αυξάνεται καθώς αναπτύσσεται η επιχειρηματική δραστηριότητα, όχι ένα μόνο σήμα που αποκτάς κάποια στιγμή. Σκέψου το ερώτημα τι πρέπει να περιέχεται σε ένα αρχείο καταγραφής δραστηριοτήτων επεξεργασίας και, για έναν ελεύθερο επαγγελματία, εάν εκεί η τήρηση αρχείου εγγραφής δραστηριοτήτων επεξεργασίας είναι υποχρεωτική. Και μια ικανοποιητική απάντηση σε τη λίστα ερωτήσεων προστασίας δεδομένων ενός πελάτη ή σε τι ρωτά ένας διαγωνισμός για προστασία δεδομένων λογαριάζεται και ως απόδειξη συμμόρφωσης: ένας οργανισμός που μπορεί να απαντήσει σε τέτοια ερωτήματα με συγκεκριμένα έγγραφα, αποδεικνύει στην πράξη περισσότερα από ένα πιστοποιητικό στον τοίχο.

Πού προκύπτει αυτό: άρθρο 5 και άρθρο 28 GDPR

Η αρχή της λογοδοσίας περιέχεται στο άρθρο 5 του GDPR, το οποίο ορίζει τις αρχές του κανονισμού και ρητά ορίζει ότι ο υπεύθυνος επεξεργασίας πρέπει να μπορεί να αποδείξει αυτές τις αρχές. Το άρθρο 28 του GDPR ρυθμίζει επιπλέον τις συμφωνίες που πρέπει να κάνουν με τους επεξεργαστές, και αυτές οι συμφωνίες αποτελούν και αυτές μέρος της απόδειξης. Αυτό που ένας ελεγκτής θέλει να δει συγκεκριμένα κατά τον έλεγχο δεν είναι πιστοποιητικό αλλά ακριβώς αυτού του είδους τα έγγραφα — βλ. επίσης τι μπορείς να δείξεις αν η Αρχή Προστασίας Δεδομένων έρθει να κάνει έλεγχο. Αυτές οι υποχρεώσεις ισχύουν άμεσα σε ολόκληρη την ΕΕ· όποιος αναρωτιέται πώς θα αξιολογηθεί σε σχέση με αυτές, πέφτει υπό την εποπτεία του ελεγκτή της χώρας όπου είναι εγκαταστημένος — στην Ολλανδία είναι η Αρχή Προστασίας Δεδομένων, σε άλλα κράτη μέλη ο εθνικός ελεγκτής εκεί.