hoe toon ik aan dat ik voldoe aan de AVG zonder duur certificaat

Ja, met documenten en aantoonbaar gedrag in plaats van een certificaat

Een ISO-certificaat is geen wettelijke eis onder de AVG en de afwezigheid ervan betekent niet dat een bedrijf niet aan de AVG voldoet. Wat de AVG wél vraagt, is de zogeheten verantwoordingsplicht: een organisatie moet kunnen laten zien dat zij aan de beginselen van de verordening voldoet, niet dat zij een keurmerk heeft. Dat aantonen gebeurt in de praktijk met een combinatie van documenten, vastgelegde afspraken en werkwijzen die op orde zijn: een actueel verwerkingsregister, getekende verwerkersovereenkomsten met leveranciers, een privacyverklaring, en bewijs dat er nagedacht is over risico's bij nieuwe verwerkingen.

In de praktijk komt dit meestal neer op een dossier dat groeit met de bedrijfsvoering, niet op één keurmerk dat je ooit behaalt. Denk aan de vraag wat moet er in een verwerkingsregister staan en, voor een zzp'er, of daar ook een verwerkingsregister bijhouden verplicht is. Ook een goed antwoord op de privacyvragenlijst van een klant of op wat een aanbesteding over privacy vraagt telt mee als aantoonbaarheid: een organisatie die dat soort vragen met concrete stukken kan beantwoorden, toont in de praktijk meer dan een certificaat op de gevel.

Waar dit uit volgt: artikel 5 en artikel 28 AVG

De verantwoordingsplicht staat in artikel 5 van de AVG, dat de beginselen van de verordening benoemt en expliciet vastlegt dat de verwerkingsverantwoordelijke die beginselen moet kunnen aantonen. Artikel 28 van de AVG regelt daarnaast de afspraken die met verwerkers gemaakt moeten worden, en die afspraken vormen zelf ook een stuk van het bewijs. Wat een toezichthouder bij een controle concreet wil zien, is dan ook geen certificaat maar juist dit soort stukken — zie ook wat je kunt laten zien als de Autoriteit Persoonsgegevens komt controleren. Deze verplichtingen gelden rechtstreeks in de hele EU; wie zich afvraagt hoe hij eraan getoetst wordt, valt onder de toezichthouder van het land waar hij is gevestigd — in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten de nationale toezichthouder aldaar.