Företag måste kunna visa att de följer GDPR i praktiken, inklusive de grundläggande principerna, och hur det sker. Många frågar sig vad som verkligen krävs för att uppfylla principen om ansvarsskyldighet i praktiken. Det kan ske på olika sätt, bland annat genom att upprätta skriftliga interna rutiner. 

Här är några tips på hur organisationer kan säkerställa att de uppfyller principen om ansvarsskyldighet:

Skriftliga rutiner: Upprättande av skriftliga rutiner för gallring av personuppgifter, hantering av personuppgiftsincidenter och övriga interna policyer som samtliga medarbetare ska var skyldiga att följa.

Dokumenterade bedömningar och beslut: Dessutom kan den skriftliga dokumentationen bestå i dokumenterade överväganden, riskbedömningar och beslut rörande de behandlingar av personuppgifter som företaget utför. I vissa fall är det även ett krav enligt GDPR att utföra bedömningar och skriftligen notera besluten. Exempelvis konsekvensbedömning av dataskydd (DPIA) eller överföring av personuppgifter till ett tredelad (TIA).  

Avtal och register: Företag behöver även upprätta skriftliga personuppgiftsbiträdesavtal enligt artikel 28 GDPR (om tillämpligt) och även en skriftlig registerförteckning enligt artikel 30 GDPR. 

Regelbunden översyn: Företag bör regelbundet granska och uppdatera sina dataskyddspolicyer och interna styrdokument, för att säkerställa fortsatt efterlevnad av GDPR. 

Ett flertal företag har fått betala sanktionsavgifter för att de saknat lämpliga GDPR dokument och avtal. Därför är det viktigt att ha korrekt skriftligt underlag, för att undvika detta. Konsekvenserna kan bli stora för företag som inte följer GDPR.