Какви мерки за защита изисква GDPR от малко предприятие?

Подходящата защита е ориентирана към риска, не е фиксирана контролна лист

Член 32 на GDPR не изисква фиксиран списък на техническите мерки, а ниво на защита, което отговаря на риска, който обработката на личните данни носи със себе си. Законът посочва четири неща, които трябва да се вземат под внимание: състоянието на техниката, разходите за прилагане, характерът, обхватът, контекстът и целите на обработката, както и рисковете за правата и свободите на хората, чиито данни се обработват. Като примери на мерки статията споменава псевдонимизацията и криптирането, способността да се гарантира поверителност, интегритет, достъпност и устойчивост на системите, способността да се възстановят навреме след инцидент и процес за редовното тестване на ефективността на мерките.

Какво означава това за малко предприятие, варира в зависимост от това какво се обработва. Онлайн магазин, който пази само имената и адреси за доставка, е в различна категория риск от практика, която обработва медицински данни, или бюро, което в голям мащаб проследява поведението на посетители. Защита, която е подходяща за единия — например контрол на достъпа, политика на пароли и редовни резервни копия — може да не е достатъчна за другия. Законът изисква да се направи тази оценка и да може да се покаже, че е направена, не да се спазва един фиксиран стандарт.

Откъде това следва от член 32 на GDPR

Това изискване е директно в член 32 на GDPR, който като разпоредба действа еднакво във всяка държава членка — следователно същината на това, което означава "подходящо", не се различава между страните. Това, което се различава, е кой осъществява надзор: в Нидерландия е това Управлението за защита на данните, в Германия — надзорния орган на федералната земя, където е разположено предприятието. За допълнително разяснение Управлението за защита на данните публикува практическа информация относно защитата на личните данни.