hur visar jag att jag efterlever GDPR utan dyr certifiering

Ja, med dokument och verifierbar verksamhet istället för ett certifikat

Ett ISO-certifikat är ingen lagkrav enligt GDPR och frånvaron av det betyder inte att ett företag inte uppfyller GDPR. Det som GDPR faktiskt kräver är det så kallade accountability-principen: en organisation måste kunna visa att den följer förordningens principer, inte att den har ett märke. I praktiken görs detta med en kombination av dokument, registrerade avtal och väl ordnade arbetsmetoder: ett aktuellt register över behandlingsaktiviteter, undertecknade databehandlaravtal med leverantörer, en integritetspolicy och bevis på att risker har beräknats för nya behandlingar.

I praktiken handlar det oftast om ett register som växer tillsammans med verksamheten, inte om ett märke som du bara skaffar en gång. Tänk på frågan vad måste finnas i ett behandlingsregister och, för en ensam näringsidkare, huruvida det också krävs att ett register över behandlingsaktiviteter hålls obligatoriskt. Ett bra svar på kundens integritetsenkät eller på vad en upphandling frågar om integritet räknas också som accountability: en organisation som kan svara på sådana frågor med konkreta handlingar visar i praktiken mer än ett certifikat på väggen.

Var detta kommer från: artikel 5 och artikel 28 GDPR

Accountability-principen finns i artikel 5 i GDPR, som anger förordningens principer och uttryckligen slår fast att den personuppgiftsansvarige måste kunna visa att dessa principer följs. Artikel 28 i GDPR reglerar dessutom de avtal som måste träffas med databehandlare, och dessa avtal bildar själva också en del av beviset. Det en tillsynsmyndighet konkret vill se vid en kontroll är därför inte ett certifikat utan just denna typ av handlingar — se också vad du kan visa upp om Autoriteit Persoonsgegevens kommer och kontrollerar. Dessa skyldigheter gäller direkt i hela EU; den som undrar hur han granskas enligt dem faller under tillsynsmyndigheten i det land där han är etablerad — i Nederland är det Autoriteit Persoonsgegevens, i andra medlemsstater den nationella tillsynsmyndigheten där.