comment puis-je prouver que je me conforme au RGPD sans certificat coûteux

Oui, avec des documents et un comportement démontrable au lieu d'un certificat

Un certificat ISO n'est pas une exigence légale en vertu du RGPD et son absence ne signifie pas qu'une entreprise ne respecte pas le RGPD. Ce que le RGPD demande réellement, c'est ce qu'on appelle l'obligation de rendre des comptes : une organisation doit pouvoir démontrer qu'elle respecte les principes du règlement, non qu'elle possède un label de qualité. Cette démonstration se fait en pratique par une combinaison de documents, d'accords documentés et de procédures qui sont en ordre : un registre des activités de traitement à jour, des contrats signés avec les prestataires, une déclaration de confidentialité, et des preuves qu'on a réfléchi aux risques pour les nouveaux traitements.

En pratique, cela se traduit généralement par un dossier qui grandit avec l'exploitation de l'entreprise, non par un label unique que tu obtiens une fois. Pense à la question ce qui doit figurer dans un registre des activités de traitement et, pour un travailleur indépendant, si la tenue d'un registre des activités de traitement y est également obligatoire. Une bonne réponse à la liste de contrôle sur la confidentialité d'un client ou à ce qu'un appel d'offres demande sur la confidentialité compte également comme démonstration : une organisation qui peut répondre à ce type de questions avec des documents concrets montre en pratique plus qu'un certificat sur sa façade.

D'où cela découle : article 5 et article 28 du RGPD

L'obligation de rendre des comptes se trouve à l'article 5 du RGPD, qui énonce les principes du règlement et établit explicitement que le responsable du traitement doit pouvoir démontrer le respect de ces principes. L'article 28 du RGPD régit en outre les accords qui doivent être conclus avec les sous-traitants, et ces accords constituent eux-mêmes une partie de la preuve. Ce qu'une autorité de contrôle veut concrètement voir lors d'une inspection n'est donc pas un certificat mais précisément ce type de documents — voir aussi ce que tu peux montrer si l'Autorité de protection des données vient faire une inspection. Ces obligations s'appliquent directement dans l'ensemble de l'UE ; celui qui se demande comment il sera évalué à leur égard relève de l'autorité de contrôle du pays où il est établi — aux Pays-Bas, c'est l'Autorité de protection des données, dans les autres États membres, c'est l'autorité de contrôle nationale compétente.