kako dokažem skladnost z GDPR brez dragega certifikata

Da, z dokumenti in dokazljivim ravnanjem namesto certifikata

Certifikat ISO ni zakonska zahteva po GDPR in njegova odsotnost ne pomeni, da se podjetje ne upošteva GDPR. Kaj GDPR res zahteva, je tako imenovana odgovornost: organizacija mora biti sposobna dokazati, da se ravna po načelih uredbe, ne pa da ima znak kakovosti. V praksi se to dokazuje s kombinacijo dokumentov, dogovorjenih sporazumov in urejenega poslovanja: sodobnega registra dejavnosti obdelave, podpisanih pogodb z dobavitelji, izjave o zasebnosti in dokazov, da se je razmislilo o tveganjih pri novi obdelavi podatkov.

V praksi se to navadno zmanjša na mapo, ki raste s poslovanjem, ne pa na en sam znak kakovosti, ki ga enkrat pridobiš. Pomisli na vprašanje kaj mora biti v registru dejavnosti obdelave in za samostojnega podjetnika, ali mora tudi voditi register dejavnosti obdelave je obvezno. Dober odgovor na vprašalnik o zasebnosti stranke ali na kaj javni poziv za ponudbe sprašuje o zasebnosti šteje tudi kot dokazljivost: organizacija, ki je lahko odgovori na tovrstna vprašanja s konkretnimi dokumenti, v praksi pokaže več kot certifikat na steni.

Od koder to izhaja: člen 5 in člen 28 GDPR

Odgovornost je zapisana v členu 5 GDPR, ki imenuje načela uredbe in izrecno določa, da mora odgovorna oseba ta načela dokazati. Člen 28 GDPR pa ureja tudi dogovore, ki jih je treba skleniti z obdelovalci podatkov, in ti dogovori sami predstavljajo del dokazila. Kaj nadzornik konkretno želi videti pri pregledu, torej ni certifikat, ampak prav tovrstni dokumenti — glej tudi kaj lahko pokažeš, če pride Avtorita za varstvo podatkov na kontrolo. Te obveznosti veljajo neposredno v celej EU; kdor se sprašuje, kako se bo preverjal proti njim, spada pod nadzornika države, kjer je registriran — v Sloveniji je to Avtorita za varstvo podatkov, v drugih državah članicah nacionalni nadzornik tam.