como demonstro conformidade com o RGPD sem um certificado caro

Sim, com documentos e comportamento comprovável em vez de um certificado

Um certificado ISO não é um requisito legal sob o RGPD e a sua ausência não significa que uma empresa não está em conformidade com o RGPD. O que o RGPD exige é o chamado princípio da responsabilidade: uma organização deve ser capaz de demonstrar que cumpre os princípios do regulamento, não que possui um certificado de qualidade. Na prática, isso é demonstrado através de uma combinação de documentos, acordos formalizados e procedimentos adequados: um registo de atividades de tratamento atualizado, contratos de tratamento de dados assinados com fornecedores, uma declaração de privacidade, e prova de que foram considerados os riscos associados aos novos tratamentos.

Na prática, isto geralmente resulta num dossiê que cresce com as operações comerciais, não num único certificado que se obtém uma vez. Pense na questão o que deve constar num registo de atividades de tratamento e, para um trabalhador independente, se também manter um registo de atividades de tratamento é obrigatório. Uma resposta bem fundamentada a um questionário de privacidade de um cliente ou a o que um processo de contratação pública pergunta sobre privacidade também conta como demonstrabilidade: uma organização que consegue responder a esse tipo de perguntas com documentos concretos demonstra na prática mais do que um certificado na parede.

Onde isto decorre: artigo 5.º e artigo 28.º do RGPD

O princípio da responsabilidade está previsto no artigo 5.º do RGPD, que enumera os princípios do regulamento e estabelece explicitamente que o responsável pelo tratamento deve ser capaz de demonstrar esses princípios. O artigo 28.º do RGPD regula ainda os acordos que devem ser celebrados com os subcontratantes, sendo esses acordos em si mesmos parte da prova. O que uma autoridade de supervisão quer concretamente ver durante uma auditoria não é um certificado, mas precisamente este tipo de documentação — veja também o que pode mostrar se a Autoridade da Proteção de Dados vier fazer uma inspeção. Estas obrigações aplicam-se diretamente em toda a UE; quem se questiona como será avaliado nelas está sob a supervisão da autoridade do país onde está estabelecido — nos Países Baixos é a Autoridade da Proteção de Dados, noutros Estados-membros é a autoridade de supervisão nacional respetiva.