kuidas näitan, et täidan GDPR-i nõudeid ilma kallis sertifikaadita

Jah, dokumentidega ja tõendatava käitumisega sertifikaadi asemel

ISO-sertifikaat ei ole AVG-nõue ja selle puudumine ei tähenda, et ettevõte AVG-nõuetele ei vasta. AVG küsib nn vastutusele võtmise kohustust: organisatsioon peab suutma näidata, et ta järgib määruse põhimõtteid, mitte et tal oleks tunnustus. Praktikas näidatakse seda dokumentide, kirjalike lepingute ja korrastatud tööviiside kombinatsiooniga: ajakohasne andmetöötlemise tegevuste register, allkirjastatud andmetöötleja lepingud tarnijatega, privaatsusavaldus ja tõendid, et riskide üle on uute andmetöötlemiste puhul mõeldud.

Praktikas tähendab see üldjuhul kasvavat kausta äritoimimisega koos, mitte ühte tunnustust, mille kord kätte saad. Mõelge küsimusele mis peab andmetöötlemise registris olema ja zzp'i jaoks, kas seal peab ka andmetöötlemise tegevuste registrit pidama kohustuslik on. Ka hea vastus kliendi privaatsuse küsimustikule või mida korraldamine privaatsuse kohta küsib loetakse tõendamise aluseks: organisatsioon, kes suudab selliseid küsimusi konkreetsete dokumentidega vastata, näitab praktikas rohkemat kui sertifikaat seinale kinnitatud.

Kust see tuleneb: artikkel 5 ja artikkel 28 AVG

Vastutuse põhimõte on sätestatud AVG artikli 5 lõikes, mis nimetab määruse põhimõtteid ja sätestab selgesõnaliselt, et andmehalduril peab olema võimalik neid põhimõtteid tõendada. AVG artikkel 28 reguleerib teisalt andmetöötlejatega tehtavaid kokkuleppeid, ja need kokkulepete moodustavad endid tõendi osad. Mida kontrollija kontrolli käigus konkreetselt näha soovib, pole seega sertifikaat, vaid just sellist dokumenti — vt ka mida saad näidata, kui Andmekaitse Amet tuleb kontrollima. Need kohustused kehtivad otse kogu ELs; kes küsib, kuidas talle toetätakse, kuulub selle riigi järelevalveorgan alla, kus ta on registreeritud — Hollandis on see Andmekaitse Amet, teistes liikmesriikides seal toimiv rahvuslik järelevalveorgan.