kaip galiu parodyti, kad laikausi BDAR, nenaudodamas brangaus sertifikavimo

Taip, su dokumentais ir patikrintinu elgesiu vietoj sertifikato

ISO sertifikas nėra teisinė pareiga pagal GDPR ir jo nebuvimas nereiškia, kad įmonė neatitinka GDPR. Tai, ko tikrai reikalauja GDPR, yra vadinamasis atskaitomybės principas: organizacija turi sugebėti parodyti, kad ji laikosi šios reglamentacijos principų, o ne tik turi kokį nors sertifikatą. Praktikoje tai pasiekiama derinant dokumentus, užfiksuotus susitarimus ir tvarkingą darbo organizavimą: atnaujintą duomenų tvarkymo veiklų registrą, pasirašytas duomenų tvarkymo sutartis su tiekėjais, privatumo politiką ir įrodymą, kad buvo apsvarstyti rizikai susiję su naujomis duomenų tvarkymo veiklomis.

Praktikoje tai dažniausiai reiškia bylinę, kuri auga verslo žalioje rankoje, o ne vieną sertifikatą, kurį kartą gauni. Pagalvok apie klausimą kas turi būti duomenų tvarkymo registre ir, savarankiškam profesionalui, ar ten taip pat reikalingas duomenų tvarkymo veiklų registras privalomas. Geras atsakymas į klientės duomenų apsaugos klausimyną arba į ką viešųjų pirkimų procedūra klausia apie duomenų apsaugą taip pat svarbi kaip įrodymas: organizacija, galinti atsakyti į tokius klausimus konkrečiais dokumentais, praktikoje rodo daugiau nei sertifikatą ant sienos.

Iš kur tai kyla: GDPR 5 ir 28 straipsniai

Atskaitomybės principas yra GDPR 5 straipsnyje, kuriame nustatomi šios reglamentacijos principai ir aiškiai nurodoma, kad duomenų tvarkymo vadovas turi sugebėti šiuos principus pagrįsti. GDPR 28 straipsnis taip pat nustato susitarimus, kurie turi būti sudaryti su duomenų tvarkytojais, ir šie susitarimai patys yra įrodymo dalis. Tai, ką priežiūros institucija konkrečiai nori matyti atliekant patikrą, nėra sertifikas, o būtent šio tipo dokumentai — žr. taip pat ką tu gali parodyti, jei Nacionalinė duomenų apsaugos tarnyba ateis tikrinti. Šios pareigos tiesiogiai taikomos visoje ES; norinčiajam žinoti, kaip jis bus vertinamas, taikoma to šalies priežiūros institucija, kurioje jis yra registruotas — Nyderlanduose tai yra Nacionalinė duomenų apsaugos tarnyba, kitose valstybėse narėse — atitinkama nacionalinė priežiūros institucija.