¿cómo demuestro que cumplo con el RGPD sin un certificado costoso

Sí, con documentos y conducta demostrables en lugar de un certificado

Un certificado ISO no es un requisito legal conforme a la RGPD y su ausencia no significa que una empresa no cumpla con la RGPD. Lo que la RGPD sí exige es la denominada obligación de rendición de cuentas: una organización debe poder demostrar que cumple con los principios de la normativa, no que posea una certificación. En la práctica, esta demostración se realiza con una combinación de documentos, acuerdos documentados y procedimientos adecuados: un registro de actividades de tratamiento actualizado, acuerdos de encargado de tratamiento firmados con proveedores, una declaración de privacidad, y prueba de que se han evaluado los riesgos en los nuevos tratamientos.

En la práctica, esto generalmente implica un expediente que crece junto con la operación empresarial, no una única certificación que se obtiene una sola vez. Piensa en la pregunta qué debe incluirse en un registro de actividades de tratamiento y, para un trabajador autónomo, si también mantener un registro de actividades de tratamiento es obligatorio. Una buena respuesta a la lista de verificación de privacidad de un cliente o a lo que una contratación pública pregunta sobre privacidad también cuenta como demostración: una organización que pueda responder a ese tipo de preguntas con documentos concretos demuestra en la práctica más que un certificado en la pared.

De donde se deduce esto: artículo 5 y artículo 28 RGPD

La obligación de rendición de cuentas se establece en el artículo 5 de la RGPD, que enuncia los principios de la normativa y establece explícitamente que el responsable del tratamiento debe poder demostrar esos principios. El artículo 28 de la RGPD regula además los acuerdos que deben celebrarse con los encargados de tratamiento, y esos acuerdos constituyen en sí mismos parte de la prueba. Lo que un supervisor de control querría ver en una inspección no es un certificado sino precisamente este tipo de documentos — véase también qué puedes mostrar si la Autoridad de Protección de Datos viene a inspeccionar. Estas obligaciones se aplican directamente en toda la UE; quien se pregunta cómo será evaluado cae bajo la supervisión de la autoridad del país donde esté establecido — en los Países Bajos es la Autoridad de Protección de Datos, en otros Estados miembros la autoridad supervisora nacional correspondiente.