kako dokazujem da se pridržavam GDPR-a bez skupog certifikata

Da, s dokumentima i dokazivim ponašanjem umjesto certifikata

ISO-certifikat nije zakonski zahtjev prema GDPR-u i njegova odsutnost ne znači da tvrtka ne zadovoljava GDPR. Ono što GDPR zaista traži jest tzv. načelo odgovornosti: organizacija mora moći dokazati da se pridržava načela uredbe, ne da posjeduje označavanje kvalitete. To se u praksi dokazuje kombinacijom dokumentacije, dogovorenih odredbi i uspostavljenih postupaka: aktualni registar aktivnosti obrade, potpisani ugovori s dobavljačima, izjava o privatnosti i dokaz da su razmotreni rizici pri novim obradama.

U praksi se to obično svodi na dosje koji raste s poslovanjem, a ne na jednu oznaku kvalitete koju si ikad nabavio. Razmisli o pitanju što mora biti u registru obrade podataka i, za samozaposlenoga, je li tamo održavanje registra aktivnosti obrade obavezno. Kvalitetan odgovor na popis pitanja o privatnosti od strane klijenta ili na što javni natječaj traži u vezi s privatnosti također se broji kao dokazivost: organizacija koja može odgovoriti na takva pitanja konkretnim dokumentima pokazuje u praksi više nego certifikat na fasadi.

Gdje se ovo nalazi: članak 5 i članak 28 GDPR-a

Načelo odgovornosti nalazi se u članku 5 GDPR-a, koji navodi načela uredbe i eksplicitno određuje da voditelj obrade mora moći dokazati ta načela. Članak 28 GDPR-a ujedno uređuje dogovore koji se moraju zaključiti s obrađivačima, a ti dogovori sami po sebi čine dio dokaza. Ono što nadzorni organ pri pregledu konkretno želi vidjeti nije certifikat već upravo ovakve dokumente — vidi također što možeš pokazati ako Autoritet za zaštitu podataka dođe na inspekciju. Te obveze vrijede izravno u cijeloj EU; tko se pita kako će biti osuđen prema njima, pada pod nadzorni organ zemlje u kojoj je registriran — u Nizozemskoj je to Autoritet za zaštitu podataka, u drugim državama članicama nacionalni nadzorni organ u toj državi.