kuinka osoitan täyttäväni GDPR:n vaatimukset ilman kallista sertifiointia

Kyllä, asiakirjoilla ja todennettavalla käytöksellä, ei sertifikaatilla

ISO-sertifikaatti ei ole lakisääteinen vaatimus GDPR:n mukaan, ja sen puuttuminen ei tarkoita, että yritys ei noudata GDPR:tä. GDPR vaatii kuitenkin niin sanotun vastuullisuusperiaatteen: organisaation on pystyttävä osoittamaan, että se noudattaa asetuksen periaatteita, ei että sillä on sertifikaatti. Käytännössä tämä osoitetaan yhdistelmällä asiakirjoja, kirjallisia sopimuksia ja toimintamalleja, jotka ovat kunnossa: ajantasainen käsittelytietojen rekisteri, allekirjoitetut tietojen käsittelijöiden kanssa tehdyt sopimukset toimittajien kanssa, tietosuojaseloste ja todiste siitä, että uusien käsittelyjen riskit on arvioitu.

Käytännössä tämä merkitsee yleensä tiedostoa, joka kasvaa liiketoiminnan myötä, ei yhtä sertifikaattia, jonka saavutat kerran. Ajattele kysymystä mitä käsittelyrekisteriin on sisällyttävä ja itsenäisenä ammatinharjoittajana sitä, onko käsittelytietojen rekisterin ylläpito pakollista. Hyvä vastaus myös asiakkaan tietosuojakyselyyn tai mitä mitätöinti kysyy tietosuojasta on myös osoitus vastuullisuudesta: organisaatio, joka pystyy vastaamaan tällaisiin kysymyksiin konkreettisilla asiakirjoilla, osoittaa käytännössä enemmän kuin sertifikaatti seinällä.

Mistä tämä johtuu: GDPR:n 5. ja 28. artikla

Vastuullisuusperiaate on GDPR:n 5. artiklassa, joka määrittelee asetuksen periaatteet ja toteaa nimenomaisesti, että rekisterinpitäjän on pystyttävä osoittamaan näiden periaatteiden noudattamisen. GDPR:n 28. artikla sääntelee puolestaan tietojen käsittelijöiden kanssa tehtävät sopimukset, ja nämä sopimukset ovat itsessään osa näyttöä. Kun valvontaviranomainen halutaan nähdä tarkastuksessa, se ei ole sertifikaatti vaan juuri tämänkaltaiset asiakirjat — katso myös mitä voit osoittaa, jos Tietosuojavirasto tulee tarkastamaan. Nämä velvoitteet ovat voimassa koko EU:ssa; joka ihmettelee, miten häntä arvioidaan, kuuluu sen maan valvontaviranomaisen alaisuuteen, jossa hän on sijoittautunut — Suomessa se on Tietosuojavirasto, muissa jäsenmaissa paikallinen kansallinen valvontaviranomainen.