hogyan igazolom a GDPR-nak való megfelelést drága tanúsítvány nélkül

Igen, dokumentumokkal és igazolható viselkedéssel a tanúsítvány helyett

Az ISO-tanúsítvány nem jogszabályi követelmény az GDPR-ban, és hiánya nem jelenti azt, hogy egy vállalkozás nem felel meg az GDPR-nak. Az GDPR azonban azt követeli meg, amit elszámoltathatósági kötelezettségnek neveznek: egy szervezetnek igazolnia kell, hogy betartja a rendelet alapelveit, nem azt, hogy rendelkezik-e minősítéssel. A gyakorlatban ezt dokumentumok, rögzített megállapodások és rendezett munkafolyamatok kombinációjával lehet igazolni: egy aktuális adatkezelési nyilvántartás, az ellátók által aláírt adatkezelési szerződések, egy adatvédelmi nyilatkozat, és annak bizonyítéka, hogy az új adatkezelésekhez kapcsolódó kockázatokra gondoltak.

A gyakorlatban ez általában egy olyan mappát jelent, amely nő az üzleti tevékenységgel, nem egyetlen minősítést, amelyet egyszer elértek. Gondoljunk a kérdésre mit kell szerepelnie a feldolgozási tevékenységek nyilvántartásában és egy vállalkozó számára arra, hogy szintén egy adatkezelési nyilvántartást kell vezetni kötelező-e. Egy ügyfél adatvédelmi kérdőívére vagy arra mit kér egy beszerzés az adatvédelemről számít az igazolhatóságra: egy szervezet, amely az ilyen kérdésekre konkrét dokumentumokkal tud válaszolni, a gyakorlatban többet mutat, mint egy faliújságon lógó tanúsítvány.

Ehhez szükséges: az AVG 5. és 28. cikke

Az elszámoltathatósági kötelezettség az AVG 5. cikkében szerepel, amely a rendelet elveit nevesíti és kifejezetten előírja, hogy az adatkezelő ezeket az elveket igazolni tudja. Az AVG 28. cikke továbbá az adatkezelőkkel kötendő megállapodásokat szabályozza, és ezek a megállapodások maguk is a bizonyítékok részét képezik. Amit egy felügyeleti hatóság egy ellenőrzés során konkrétan látni akar, az tehát nem tanúsítvány, hanem éppen az ilyen dokumentumok — valamint amit igazolhatsz az Adatvédelmi Hatóság ellenőrzésekor. Ezek a kötelezettségek közvetlenül érvényesek az egész EU-ban; aki arra kíváncsi, hogy miként lesz elbírálva, annak a letelepedési helye szerinti felügyeleti hatóság alá tartozik — Hollandiában ez az Adatvédelmi Hatóság, más tagállamokban az ottani nemzeti felügyeleti hatóság.