Ātrā atbilde: GDPR atbilstība prasa, lai jebkura organizācija, kas apstrādā ES iedzīvotāju personas datus, ievērotu stingrus noteikumus par piekrišanu, datu minimizāciju, pārkāpumu paziņošanu un individuālajām tiesībām, neatkarīgi no tā, kur atrodas uzņēmums. 2026. gadā izpilde ir agresīvāka nekā jebkad agrāk: kopējās naudas sodi ir pārsnieguši 7,1 miljardu eiro kopš 2018. gada, un ikdienas pārkāpumu paziņojumu vidējais skaits ir 443 dienā [1]. Strukturēta GDPR atbilstības kontrolsaraksta izmantošana ir visdrošākais veids, kā identificēt trūkumus pirms regulatoriem.
Galvenie secinājumi
- GDPR attiecas uz jebkuru uzņēmumu, kas apstrādā ES/EEZ iedzīvotāju personas datus, ne tikai uz Eiropas uzņēmumiem.
- Kopējie GDPR sodi 2025. gadā pārsniedza 7,1 miljardu eiro, no kuriem aptuveni 1,2 miljardi tika piemēroti tikai 2025. gadā [1].
- Pilns GDPR atbilstības kontrolsaraksts aptver datu kartēšanu, juridiskos pamatus, piekrišanas mehānismus, pārkāpumu reakciju, piegādātāju līgumus un regulāras revīzijas [5][6].
- Sodi sasniedz līdz 20 miljoniem eiro vai 4% no globālajiem gada ieņēmumiem, atkarībā no tā, kas ir augstāks.
- gada jūnijā ES vienošanās vienkāršos pārrobežu izpildi, padarot daudzjurisdikciju pārkāpumus vieglāk izsekojamus [2].
- Mazajiem uzņēmumiem un lielajiem uzņēmumiem ir vienādas juridiskās saistības, lai gan proporcionalitāte attiecas uz dažiem izpildes lēmumiem.
- 44% Lielbritānijas mazumtirdzniecības darbinieku nav pārliecināti par to, kā pareizi apstrādāt klientu datus, un 19% nekad nav saņēmuši formālu GDPR apmācību [4].
- Atbilstība nav vienreizējs projekts, nepieciešamas ikgadējas revīzijas un nepārtraukta uzraudzība.
Kas ir GDPR atbilstība un kāpēc tā ir svarīga Jūsu uzņēmumam
GDPR (Vispārīgā datu aizsardzības regula) ir ES galvenais datu privātuma likums, kas stājas spēkā 2018. gada maijā. Tas nosaka, kā organizācijas vāc, glabā, apstrādā un pārsūta personas datus, kas pieder ES un EEA iedzīvotājiem. Neatbilstība pakļauj uzņēmumus būtiskiem sodiem, reputācijas zaudēšanai un klientu uzticības zudumam.
Regulējums ir svarīgs, jo izpilde ir pastiprinājusies gadu no gada. 2025. gadā ikdienas pārkāpumu paziņojumi pārsniedza 443, kas ir par 22% vairāk nekā iepriekšējā gadā, un Īrijas Datu aizsardzības komisija vien izsniedza 4,04 miljardus eiro kopējo sodu, tostarp 530 miljonu eiro sodu pret TikTok par nelikumīgām starptautiskām datu pārsūtīšanām [1]. Regulators ir skaidrs: procedūru atbilstība ir sagaidāma, nevis izvēles jautājums.
Kas ir jāievēro: Jebkura organizācija, neatkarīgi no atrašanās vietas, kas piedāvā preces vai pakalpojumus ES/EEZ iedzīvotājiem vai uzrauga viņu uzvedību (piemēram, izmantojot tīmekļa analīzi vai sīkdatnes).
GDPR atbilstības kontrolsaraksts 2026: Ko Jums Jādara
Pašreizējais GDPR atbilstības kontrolsaraksts aptver vismaz deviņas operatīvās jomas. Sistemātiska katras jomas izskatīšana ir visefektīvākais veids, kā novērtēt un aizvērt trūkumus [5][6][8].
Pamatkontrolsaraksta jomas:
- Datu kartēšana un Apstrādes darbību reģistrs (ROPA): Dokumentējiet katru personas datu kategoriju, ko jūs vācat, tās avotu, mērķi, juridisko pamatu, glabāšanas periodu un saņēmējus.
- Juridiskā pamata identificēšana: Apstipriniet derīgu juridisko pamatu (piekrišana, līgums, likumīgas intereses, juridiskā saistība, vitālas intereses vai publiskais uzdevums) katrai apstrādes darbībai.
- Privātuma paziņojumi: Nodrošiniet, lai visi paziņojumi būtu skaidri, slāņoti un pieejami datu vākšanas brīdī.
- Piekrišanas pārvaldība: Ieviesiet mehānismu, kas fiksē, glabā un ļauj atsaukt piekrišanu. Speciāla Piekrišanas pārvaldības platforma (CMP), piemēram, Biscotti CMP, var apstrādāt sīkdatņu piekrišanu, priekšroku reģistrus un revīzijas pēdas vienā risinājumā.
- Datu subjekta tiesību (DSR) procedūras: Izveidojiet darba plūsmas piekļuves, labojumu, dzēšanas, pārneses, ierobežošanas un iebildumu pieprasījumiem 30 dienu likumiskajā logā.
- Datu aizsardzības ietekmes novērtējumi (DPIA): Veiciet DPIA pirms jebkuras augsta riska apstrādes darbības (piemēram, plaša mēroga profilēšana, biometrijas dati, sistemātiska uzraudzība).
- Piegādātāju un apstrādātāju pārvaldība: Nodrošiniet, lai ar katru trešo pušu apstrādātāju būtu noslēgti Datu apstrādes līgumi (DPA).
- Pārkāpumu reakcijas plāns: Uzturiet dokumentētu procedūru pārkāpumu atklāšanai, ierobežošanai un paziņošanai attiecīgajai uzraudzības iestādei 72 stundu laikā.
- Apmācība un informētība: Nodrošiniet regulāras, lomu specifiskas GDPR apmācības. 2026. gada jūnijā ziņojums atklāja, ka 19% Lielbritānijas mazumtirdzniecības darbinieku nekad nav saņēmuši formālu atbilstības apmācību [4], kas ir trūkums, ko regulatori uzskata par pastiprinošu faktoru.
Kā Es Varu Uzzināt, Vai Mans Uzņēmums Ir GDPR Atbilstošs
Uzņēmums var novērtēt savu atbilstības statusu, veicot strukturētu iekšējo revīziju, kas sakrīt ar iepriekš minētajām kontrolsaraksta jomām. Patiesa atbilstība prasa dokumentētus pierādījumus, nevis tikai labas nodomus.
Trīs rādītāji par atbilstības trūkumu:
- Nav ROPA vai tā ir novecojusi (pēdējo reizi pārskatīta pirms vairāk nekā 12 mēnešiem).
- Piekrišanas ieraksti, kurus nevar atgūt vai pierādīt pēc pieprasījuma.
- Nav parakstītu DPA ar mākoņu pakalpojumu sniedzējiem, analītikas piegādātājiem vai e-pasta platformām.
Ja kāds no šiem piemērojas, uzņēmums, visticamāk, nav atbilstošs vismaz vienā būtiskā jomā.
GDPR atbilstības prasības: Mazie uzņēmumi pret Lielajiem uzņēmumiem
Gan mazie uzņēmumi, gan lielie uzņēmumi ir pakļauti vienādām GDPR saistībām. Regulējums neizveido oficiālu SMB izņēmumu, lai gan uzraudzības iestādes var ņemt vērā proporcionalitāti, nosakot sodus.
Galvenās atšķirības praksē:
| Joma | Mazais uzņēmums | Lielais uzņēmums |
|---|---|---|
| DPO prasība | Parasti nav obligāta | Obligāta, ja tiek veikta liela mēroga apstrāde |
| DPIA biežums | Zemāks apjoms, mazāk iemeslu | Bieži; sarežģītas apstrādes darbības |
| Piegādātāju līgumi | Mazāk apstrādātāju, ko pārvaldīt | Desmitiem līdz simtiem DPA nepieciešami |
| Pārkāpumu reakcija | Vienkāršāka iekšējā procedūra | Nepieciešama formāla incidentu reaģēšanas komanda |
| Apmācība | Pamata ikgadējā apmācība | Nepārtraukta, lomu stratificēta programma |
Uzņēmumi, kas apstrādā datus lielā apjomā, īpaši SaaS platformas, e-komercijas operatori un aģentūras, kas apstrādā klientu datus, saskaras ar visaugstāko revīzijas uzmanību un jāuztver atbilstība kā nepārtraukta operatīvā funkcija, nevis periodisks projekts.
Kādi Ir Sodi par GDPR Neievērošanu
GDPR sodi darbojas divu līmeņu struktūrā. Mazāk nopietni pārkāpumi (piemēram, neuzturēšana ierakstu) piesaista sodus līdz 10 miljoniem eiro vai 2% no globālajiem gada ieņēmumiem. Smagāki pārkāpumi (piemēram, nelikumīga apstrāde, datu subjekta tiesību pārkāpšana) piesaista sodus līdz 20 miljoniem eiro vai 4% no globālajiem gada ieņēmumiem, atkarībā no tā, kas ir augstāks.
Nesenā izpilde 2026. gada aprīlī ilustrē diapazonu: YOTI saņēma 950 000 eiro sodu par biometrijas datu apstrādi bez juridiska pamata; Enel Energia tika sodīta ar 563 052 eiro par mārketinga atteikuma pieprasījumu neievērošanu; un Renault Commercial Roumanie tika sodīta par nepietiekamiem drošības pasākumiem pēc kiberuzbrukuma [3]. Šie ir vidēja lieluma sodi, nevis izņēmumi, kas rezervēti tehnoloģiju gigantiem.
Papildus naudai regulatori var izsniegt apstrādes aizliegumus, kas var būt operatīvi katastrofāli datiem atkarīgiem uzņēmumiem.
Vai Man Ir Nepieciešama GDPR Atbilstība, Ja Es Neesmu Eiropā
Jā. GDPR ir skaidri noteikta ārējā piemērošana saskaņā ar 3. pantu. Jebkura organizācija ārpus ES, kas piedāvā preces vai pakalpojumus ES iedzīvotājiem vai uzrauga viņu uzvedību (ieskaitot tīmekļa sīkdatnes, analītiku vai uzvedības reklāmu), ir jāievēro.
Tas nozīmē, ka SaaS uzņēmums, kas atrodas Amerikas Savienotajās Valstīs, Kanādā vai Austrālijā un kam ir ES klienti, ir pakļauts GDPR. TikTok sods 530 miljonu eiro apmērā 2025. gadā, ko izsniedza Īrijas DPC pret uzņēmumu, kas nav reģistrēts ES, apstiprina, ka regulatori aktīvi izseko pārrobežu pārkāpumus [1].
Praktiska nozīme: Ja jūsu tīmekļa vietne ir pieejama ES lietotājiem un jūs izmantojat izsekošanas tehnoloģijas, jums ir nepieciešams atbilstošs piekrišanas mehānisms un privātuma paziņojums, kas atbilst GDPR standartiem.
GDPR atbilstība e-komercijai pret SaaS pret aģentūrām
Katram biznesa modelim ir atšķirīgi atbilstības spiediena punkti.
E-komercija: Liels darījumu un uzvedības datu apjoms. Galvenie riski ietver nelikumīgu pirkumu vēstures izmantošanu profilēšanai, nepietiekamus sīkdatņu piekrišanas banerus un atteikuma pieprasījumu neievērošanu bijušajiem klientiem.
SaaS: Parasti darbojas kā datu apstrādātājs klientiem (kuri ir kontrolieri). Jānodrošina spēcīgi DPA, jānodrošina datu pārnesamība un jāatbalsta klientu DSR darba plūsmas. Ja SaaS platforma arī apstrādā datus saviem mērķiem (piemēram, produktu analītikai), tā kļūst par kontrolieri šai apakšgrupai.
Aģentūras: Bieži apstrādā personas datus vairāku klientu vārdā vienlaikus. Katram klienta attiecībām ir nepieciešams atsevišķs DPA. Aģentūrām arī jānodrošina, ka apakšuzņēmēji (piemēram, reklāmas platformas, analītikas rīki) ir segti ar atbilstošiem līguma noteikumiem.
Biežākās GDPR atbilstības kļūdas, ko pieļauj uzņēmumi
Visbiežākās atbilstības neveiksmes ir strukturālas, nevis tehniskas. To iepriekš zināšana novērš dārgas remonta izmaksas.
- Iepriekš atzīmētas piekrišanas kastes: Vēl joprojām plaši izmantotas, neskatoties uz to, ka GDPR tās skaidri aizliedz.
- Apvienota piekrišana: Piekrišanas apvienošana vairākiem mērķiem vienā atzīmē.
- Likumīgas intereses novērtējumu ignorēšana: Apgalvojot likumīgu interesi, neveicot dokumentētu līdzsvara testu.
- Novecojusi privātuma paziņojumi: Paziņojumi, kas atsaucas uz apstrādes darbībām, kas vairs netiek izmantotas, vai izslēdz jaunas.
- Nav piegādātāju revīzijas pēdas: Pieņemot, ka piegādātājs ir atbilstošs, bez parakstīta DPA vai periodiskas pārbaudes.
- Atbilstības uzskatīšana par vienreizēju projektu: GDPR atbilstība pasliktinās laika gaitā, jo sistēmas, piegādātāji un apstrādes darbības mainās.
GDPR atbilstības rīki un cik tas maksā
GDPR atbilstības rīki iedalās vairākās kategorijās: piekrišanas pārvaldības platformas, datu kartēšanas programmatūra, DPA pārvaldības rīki un pārkāpumu reakcijas sistēmas. Biscotti CMP risina piekrišanas pārvaldības slāni, fiksējot, glabājot un pārvaldot sīkdatņu un izsekošanas piekrišanu ar pārbaudāmu revīzijas pēdu, kas ir viena no visbiežāk auditētajām atbilstības jomām.
Izmaksu aplēses (aptuvenas, ne garantētas):
- Mazais uzņēmums, pamata atbilstība: 1 000, 5 000 eiro sākotnējai uzstādīšanai (juridiskā pārbaude, privātuma paziņojuma sagatavošana, CMP ieviešana).
- Vidējais tirgus: 10 000, 50 000 eiro gadā, ieskaitot DPO konsultāciju pakalpojumus, darbinieku apmācību un rīkus.
- Lielais uzņēmums: 100 000+ eiro gadā par speciālu DPO, juridisko konsultāciju, atbilstības programmatūras komplektu un nepārtrauktām revīzijām.
Šie ir norādītie diapazoni. Faktiskās izmaksas ir atkarīgas no datu sarežģītības, apstrādātāju skaita un vai tiek izmantoti iekšējie resursi vai ārējie konsultanti.
Cik Bieži Man Jāveic GDPR Atbilstības Revīzija
Pilna GDPR atbilstības revīzija jāveic vismaz reizi gadā, ar izsauktām pārbaudēm, kad notiek būtiskas izmaiņas, piemēram, jaunu produktu palaišana, jauna datu apstrādātāja pievienošana, jaunas tirgus iekarošana vai datu pārkāpuma gadījums.
- gada jūnija ES vienošanās par pārrobežu izpildes sadarbības stiprināšanu [2] palielina iespēju, ka pārkāpumi, kas identificēti vienā dalībvalstī, tiks paaugstināti citās jurisdikcijās. Uzņēmumiem, kas darbojas vairākās ES valstīs, jāuztver daudzautoritatīva pakļautība kā reāls risks, nevis teorētisks.
Revīzijas biežums pēc notikuma:
- Ikgadējā: Pilna ROPA pārskatīšana, privātuma paziņojuma atjaunināšana, piegādātāja DPA atjaunošanas pārbaude.
- Izsaukta: Jauna apstrādes darbība, jauns trešās puses rīks, darbinieku izmaiņas, kas ietekmē datu piekļuvi.
- Pēc incidenta: Pilna pārskatīšana pēc jebkura drošības incidenta vai tuva neveiksmes.
GDPR atbilstība attālinātām komandām un datu apstrāde
Attālinātais darbs ievieš specifiskus GDPR riskus: personas dati, kas piekļūst personīgajās ierīcēs, pārrobežu datu pārsūtīšana izkliedētajās komandās un neformāla sadarbības rīku izmantošana, kuriem var nebūt pietiekamu DPA.
Organizācijām ar attālinātām komandām jāievieš skaidra "Pats savs ierīces" (BYOD) politika, jānodrošina, ka visi sadarbības platformas (video konferences, projektu vadība, ziņojumapmaiņa) ir segti ar DPA, un jāpiemēro piekļuves kontroles, lai darbinieki apstrādātu tikai datus, kas nepieciešami viņu lomai (datu minimizācijas princips).
Kas Notiek, Ja Klients Iesniedz GDPR Sūdzību Pret Jūsu Uzņēmumu
Klients (datu subjekts) var iesniegt sūdzību tieši savai valsts uzraudzības iestādei (piemēram, ICO Lielbritānijā, CNIL Francijā vai BfDI Vācijā). Iestāde tad veic izmeklēšanu un var pieprasīt dokumentāciju, veikt intervijas vai uzsākt formālu revīziju.
Uzņēmumam pilnībā jāsadarbojas un jāsniedz atbilstības pierādījumi, tāpēc dokumentēti ieraksti, piekrišanas žurnāli un DSR atbildes pēdas ir tik svarīgas. Neizpildes gadījumā pierādījumu sniegšana ir pati par sevi pārkāpums. Rezultāti svārstās no formāla brīdinājuma līdz saistošam remonta rīkojumam līdz finansiālam sodam.
Cik Ilgi Ilgst Pilnīgas GDPR Atbilstības Ieviešana
Mazam uzņēmumam ar ierobežotu datu apstrādi pamata atbilstību var sasniegt četru līdz astoņu nedēļu laikā ar koncentrētu piepūli. Vidēja lieluma organizācijai trīs līdz sešus mēnešus ir reāls laiks. Lielajiem uzņēmumiem ar sarežģītām datu ekosistēmām, vairākām jurisdikcijām un novecojušām sistēmām jāplāno seši līdz astoņpadsmit mēneši visaptverošai atbilstības programmai.
Visvairāk laika patērējošie elementi parasti ir datu kartēšana (ROPA izveide no nulles), piegādātāju revīzijas (DPA pārskatīšana un atjaunināšana visiem apstrādātājiem) un darbinieku apmācību programmas. Pakāpeniska pieeja, prioritizējot augsta riska apstrādes darbības vispirms, ir efektīvāka nekā mēģināt sasniegt pilnu atbilstību vienā sprintā.
Secinājums
GDPR atbilstības kontrolsaraksts nav birokrātiska formalitāte, tā ir dzīva operatīvā struktūra, kas jāattīsta līdz ar jūsu uzņēmumu. Ar kopējiem sodiem, kas pārsniedz 7,1 miljardu eiro, ikdienas pārkāpumu ziņojumiem pieaugot par 22% gadā [1], un jauniem pārrobežu izpildes mehānismiem, kas stājas spēkā [2], bezdarbības cena nekad nav bijusi augstāka.
Rīcības soļi 2026. gadam:
- Veiciet datu kartēšanas vingrinājumu un izveidojiet vai atjauniniet savu ROPA nākamo 30 dienu laikā.
- Pārbaudiet visus trešo pušu piegādātājus un nodrošiniet, ka ir noslēgti parakstīti DPA.
- Ieviesiet atbilstošu piekrišanas pārvaldības risinājumu, Biscotti CMP nodrošina strukturētu veidu, kā pārvaldīt sīkdatņu piekrišanu un uzturēt pārbaudāmas revīzijas žurnālus.
- Plānojiet ikgadējas atbilstības pārbaudes un definējiet izsaukšanas kritērijus starpposma revīzijām.
- Nodrošiniet lomu specifiskas GDPR apmācības visiem darbiniekiem, kas apstrādā personas datus.
Atbilstība nav galamērķis. Tā ir nepārtraukta procesa, kas prasa dokumentētus pierādījumus, regulāru pārskatu un organizācijas apņemšanos katrā līmenī.
Biežāk uzdotie jautājumi
Vai GDPR attiecas uz B2B uzņēmumiem, kas apstrādā tikai biznesa kontaktu datus? Jā, ja biznesa kontaktu dati attiecas uz identificējamiem indivīdiem (piemēram, nosauktiem darbiniekiem), tie kvalificējas kā personas dati saskaņā ar GDPR. B2B uzņēmumi nav izņēmums.
Kas ir Datu apstrādes līgums (DPA) un vai man tas ir nepieciešams? DPA ir juridiski saistošs līgums starp datu kontrolieri un datu apstrādātāju. GDPR 28. pants prasa to, kad jūs kopīgojat personas datus ar trešo pušu pakalpojumu sniedzēju. Bez tā abas puses ir pārkāpumā.
Vai sīkdatņu piekrišanas baneris ir pietiekams GDPR atbilstībai? Nē. Piekrišanas baneris ir viena no atbilstības sastāvdaļām. Tam jābūt apvienotam ar pilnu privātuma paziņojumu, mehānismu piekrišanas atsaukšanai un ierakstiem, kas pierāda, ka piekrišana tika sniegta brīvi, konkrēti, informēti un nepārprotami.
Kas ir Datu aizsardzības speciālists (DPO) un kad tas ir nepieciešams? DPO ir iecelts atbilstības eksperts. Viens ir nepieciešams, ja jūsu organizācija apstrādā datus lielā apjomā kā galveno darbību, sistemātiski apstrādā īpašas kategorijas datus vai ir publiska iestāde. Daudzi mazāki uzņēmumi brīvprātīgi iecēl DPO.
Vai es varu izmantot likumīgu interesi, nevis piekrišanu mārketinga e-pastiem? Tikai ierobežotās situācijās, piemēram, "mīkstā opt-in" noteikums esošajiem klientiem dažās jurisdikcijās. Aukstai mārketinga pieejai jaunajiem kontaktiem parasti ir nepieciešama piekrišana. Dokumentēts likumīgas intereses novērtējums ir obligāts, ja jūs paļaujaties uz šo pamatu.
Kā man rīkoties ar datu pārkāpumu saskaņā ar GDPR? Ierobežojiet pārkāpumu, novērtējiet tā apjomu un risku datu subjektiem un paziņojiet attiecīgajai uzraudzības iestādei 72 stundu laikā, ja pārkāpums rada risku indivīdiem. Ja risks ir augsts, arī skartie indivīdi jāinformē bez nepamatotas kavēšanās.
Kas ir Standarta līguma klauzulas (SCC) un kad man tās ir nepieciešamas? SCC ir iepriekš apstiprināti līguma noteikumi personas datu pārsūtīšanai uz valstīm ārpus EEA, kurām nav atbilstības lēmuma. Tās ir nepieciešamas, kad izmantojat piegādātājus vai pārsūtāt datus uz ASV, Indiju vai citām valstīm, kurām nav atbilstības.
Vai GDPR attiecas uz datiem, kas glabājas mākoņu pakalpojumos? Jā. Mākoņu pakalpojumu sniedzēji darbojas kā datu apstrādātāji. Jums jābūt DPA ar savu mākoņu pakalpojumu sniedzēju un jānodrošina, ka dati tiek glabāti atbilstošās vietās vai aizsargāti ar atbilstošiem pārsūtīšanas mehānismiem (piemēram, SCC vai atbilstības lēmumiem).
Interaktīvs GDPR atbilstības pašnovērtējums
Atsauces
[1] Gdpr Fines Pass 1 Billion As Daily Breach Reports Top 400 - https://www.isec.news/2026/01/23/gdpr-fines-pass-1-billion-as-daily-breach-reports-top-400/?utm_source=openai
[2] consilium.europa.eu - https://www.consilium.europa.eu/en/press/press-releases/2025/06/16/data-protection-council-and-european-parliament-reach-deal-to-make-cross-border-gdpr-enforcement-work-better-for-citizens/pdf/?utm_source=openai
[3] Gdpr Fine April 2026 Renault Yoti Enel Bakeca Midsized Cyber - https://www.securitytoday.de/en/2026/04/25/gdpr-fine-april-2026-renault-yoti-enel-bakeca-midsized-cyber/?utm_source=openai
[4] Almost Half Of Uk Retail Workers Unsure Of How To Handle Data In Line With Gdpr - https://www.techradar.com/pro/almost-half-of-uk-retail-workers-unsure-of-how-to-handle-data-in-line-with-gdpr?utm_source=openai
[5] Compliance Checklist - https://provahq.io/frameworks/gdpr/compliance-checklist/?utm_source=openai
[6] Gdpr Compliance Checklist - https://www.legiscope.com/blog/gdpr-compliance-checklist.html?utm_source=openai
[7] Gdpr Compliance Checklist - https://genechecklist.com/checklist/gdpr-compliance-checklist?utm_source=openai
[8] Gdpr Compliance Checklist - https://visioncompliance.eu/en/blog/gdpr-compliance-checklist?utm_source=openai