ako preukážem, že spĺňam GDPR bez drahého certifikátu

Áno, s dokumentmi a preukázateľným správaním namiesto certifikátu

Certifikát ISO nie je zákonným požiadavkom podľa GDPR a jeho absencia neznamená, že podnik nespĺňa GDPR. To, čo GDPR skutočne požaduje, je takzvaná povinnosť zodpovednosti: organizácia musí vedieť preukázať, že spĺňa princípy nariadenia, nie že má značku kvality. V praxi sa to dokazuje kombináciou dokumentov, dohodnutých záväzkov a riadnych postupov: aktuálny register činností spracúvania, podpísané dohody so spracovateľmi s dodávateľmi, vyhlásenie o ochrane osobných údajov a dôkaz, že sa počítalo s rizikmi pri nových spracovaniach.

V praxi to zvyčajne znamená zložku, ktorá rastie s podnikaním, nie jeden certifikát, ktorý raz získate. Pomyslite na otázku čo musí byť zahrnuté v registri spracovateľskych činností a v prípade fyzickej osoby podnikajúcej samostatne, či je povinný vedieť aj register činností spracúvania Aj dobrá odpoveď na zoznam otázok o ochrane osobných údajov od klienta alebo na čo verejné obstarávanie pýta o ochrane osobných údajov sa počíta ako preukázateľnosť: organizácia, ktorá vie odpovedať na takéto otázky konkrétnymi dokumentmi, v praxi dokazuje viac ako certifikát na stene.

Kde to vyplýva: článok 5 a článok 28 GDPR

Povinnosť zodpovednosti je v článku 5 GDPR, ktorý uvádza princípy nariadenia a výslovne ustanovuje, že správca údajov musí vedieť tieto princípy preukázať. Článok 28 GDPR ďalej upravuje dohody, ktoré musia byť uzavreté so spracovateľmi, a tieto dohody samy osebe tvoria súčasť dôkazu. Čo chce kontrolný orgán pri kontrole konkrétne vidieť, nie je teda certifikát, ale práve takéto dokumenty — pozri tiež čo môžete preukázať, ak príde Autorita na ochranu osobných údajov na kontroluTieto povinnosti sa uplatňujú priamo v celej EÚ; kto sa pýta, ako bude hodnotiť jeho zhodu, podlieha dozornému orgánu krajiny, kde je sídliaci — v Holandsku je to Autorita na ochranu osobných údajov, v iných členských štátoch národný dozorný orgán v tej krajine.