cum demonstrez că respect RGPD fără să obțin un certificat scump

Da, cu documente și comportament demonstrabil în loc de certificat

Un certificat ISO nu este o cerință legală în cadrul GDPR și absența acestuia nu înseamnă că o întreprindere nu respectă GDPR. Ceea ce GDPR cere este principiul responsabilității: o organizație trebuie să poată demonstra că respectă principiile regulamentului, nu că deține o marcă de conformitate. În practică, aceasta se face printr-o combinație de documente, acorduri formalizate și proceduri corespunzătoare: un registru curent al activităților de prelucrare, acorduri semnate cu furnizorii, o declarație de confidențialitate și dovezi că s-a gândit la riscuri în cazul unor noi prelucrări.

În practică, aceasta se rezumă de obicei la un dosar care crește o dată cu activitatea, nu la o singură marcă de conformitate pe care o obții vreodată. Gândește-te la întrebarea ce trebuie să conțină un registru al activităților de prelucrare și, pentru un independent, dacă acolo este obligatoriu să menții un registru al activităților de prelucrare Și un răspuns bun la lista de verificare privind confidențialitatea unui client sau la ceea ce cere o achiziție publică privind confidențialitatea contează, de asemenea, ca demonstrabilitate: o organizație care poate răspunde la aceste întrebări cu documente concrete arată mai mult în practică decât un certificat pe zid.

De unde rezultă aceasta: articolul 5 și articolul 28 GDPR

Principiul responsabilității se găsește în articolul 5 al GDPR, care enumeră principiile regulamentului și stabilește în mod explicit că responsabilul de prelucrare trebuie să poată demonstra aceste principii. Articolul 28 al GDPR reglementează, de asemenea, acordurile care trebuie încheiate cu procesatorii, iar aceste acorduri formează ele înseși o parte a dovezii. Ceea ce o autoritate de supraveghere vrea să vadă în mod concret într-o inspecție nu este deci un certificat, ci tocmai aceste documente — vezi și ceea ce poți arăta dacă Autoritatea Națională de Supraveghere pentru Protecția Datelor vine să te controleze. Aceste obligații se aplică direct în întreaga UE; cine se întreabă cum este evaluat, cade sub autoritatea de supraveghere a țării în care este stabilit — în România este vorba despre autoritatea națională de supraveghere pentru protecția datelor, în alte state membre despre autoritatea de supraveghere din acea țară.