come dimostro di essere conforme al GDPR senza un costoso certificato

Sì, con documenti e comportamento dimostrabile invece di un certificato

Un certificato ISO non è un requisito legale secondo il GDPR e la sua assenza non significa che un'azienda non sia conforme al GDPR. Ciò che il GDPR richiede effettivamente è il cosiddetto principio di responsabilizzazione: un'organizzazione deve essere in grado di dimostrare di conformarsi ai principi del regolamento, non di possedere un marchio di qualità. Nella pratica, questa dimostrazione avviene attraverso una combinazione di documenti, accordi documentati e procedure organizzate correttamente: un registro delle attività di trattamento aggiornato, accordi di trattamento sottoscritti con i fornitori, una dichiarazione sulla privacy e la prova che sono stati considerati i rischi connessi ai nuovi trattamenti.

Nella pratica, questo di solito significa un fascicolo che cresce insieme all'attività dell'azienda, non un singolo marchio che si ottiene una sola volta. Pensi alla domanda cosa deve contenere un registro delle attività di trattamento e, per un libero professionista, se anche mantenere un registro delle attività di trattamento è obbligatorio. Anche una buona risposta a il questionario sulla privacy di un cliente o a ciò che un appalto chiede sulla privacy conta come dimostrazione: un'organizzazione che sa rispondere a quel tipo di domande con documenti concreti dimostra in pratica più di un certificato appeso alla parete.

Dove questo deriva da: articoli 5 e 28 GDPR

Il principio di responsabilizzazione si trova nell'articolo 5 del GDPR, che enuncia i principi del regolamento e stabilisce esplicitamente che il titolare del trattamento deve essere in grado di dimostrare il rispetto di tali principi. L'articolo 28 del GDPR disciplina inoltre gli accordi che devono essere stipulati con i responsabili del trattamento, e questi accordi stessi costituiscono parte della prova. Quello che un'autorità di controllo vuole concretamente vedere durante un controllo non è un certificato, ma proprio questo tipo di documenti — vedi anche ciò che puoi mostrare se l'Autorità olandese per la protezione dei dati viene a fare un controllo. Questi obblighi si applicano direttamente in tutta l'UE; chi si chiede come viene valutato al riguardo rientra nella giurisdizione dell'autorità di controllo del paese in cui è stabilito — nei Paesi Bassi è l'Autorità olandese per la protezione dei dati, negli altri Stati membri è l'autorità di controllo nazionale di quel paese.