jak udowodnić, że przestrzegam RODO bez kosztownego certyfikatu

Tak, z dokumentami i wykazalnym postępowaniem zamiast certyfikatu

Certyfikat ISO nie jest wymogiem prawnym na mocy RODO i jego brak nie oznacza, że przedsiębiorstwo nie spełnia wymogów RODO. To, o co RODO rzeczywiście prosi, to tzw. odpowiedzialność demonstracyjna: organizacja musi być w stanie wykazać, że spełnia zasady rozporządzenia, a nie że posiada znak jakości. W praktyce wykazanie tego odbywa się poprzez kombinację dokumentów, ustalonych umów i sprawnie działających procedur: aktualny rejestr działań przetwarzających, podpisane umowy przetwarzania z dostawcami, politykę prywatności i dowód, że rozpatrywane były ryzyka związane z nowymi przetwarzaniami.

W praktyce sprowadza się to zwykle do teczki, która rośnie wraz z prowadzeniem biznesu, a nie do jednego znaku jakości, który osiąga się kiedyś. Zastanów się nad pytaniem co musi znaleźć się w rejestrze czynności przetwarzania i, dla samozatrudnionego, czy prowadzenie rejestru działań przetwarzających jest tam obowiązkowe. Dobra odpowiedź na kwestionariusz dotyczący prywatności od klienta lub na to, o co pyta przetarg w kwestii prywatności również liczy się jako wykazalność: organizacja, która potrafi odpowiedzieć na tego rodzaju pytania konkretnymi dokumentami, wykazuje w praktyce więcej niż certyfikat na ścianie.

Skąd to wynika: artykuł 5 i artykuł 28 RODO

Odpowiedzialność demonstracyjna jest określona w artykule 5 RODO, który wymienia zasady rozporządzenia i wyraźnie stanowi, że administrator musi być w stanie wykazać te zasady. Artykuł 28 RODO reguluje ponadto umowy, które muszą być zawarte z procesorami, a te umowy same w sobie stanowią część dowodu. To, co organ nadzoru konkretnie chce zobaczyć podczas kontroli, to nie certyfikat, ale właśnie tego rodzaju dokumenty — zobacz również co możesz wykazać, jeśli przyjdzie kontrola Urzędu Ochrony Danych Osobowych. Obowiązki te stosują się bezpośrednio na całej terenie UE; każdy, kto zastanawia się, jak będzie oceniany, podlega organowi nadzoru kraju, w którym ma siedzibę — w Holandii jest to Urząd Ochrony Danych Osobowych, w innych państwach członkowskich — krajowy organ nadzoru tamtejszy.