Jakou bezpečnost vyžaduje nařízení od malého podniku?

Odpovídající zabezpečení je zaměřeno na rizika, ne na pevný kontrolní seznam

Článek 32 GDPR nevyžaduje pevný seznam technických opatření, ale úroveň zabezpečení odpovídající riziku, které zpracování osobních údajů přináší. Zákon při tom zohledňuje čtyři věci: stav techniky, náklady na provedení, povahu, rozsah, kontext a cíle zpracování a rizika pro práva a svobody osob, jejichž údaje jsou zpracovávány. Jako příklady opatření článek zmiňuje mimo jiné pseudonymizaci a šifrování, schopnost zajistit důvěrnost, integritu, dostupnost a odolnost systémů, schopnost včasného obnovení po incidentu a proces pravidelného testování účinnosti opatření.

Co to znamená pro malou firmu, závisí na tom, co se zpracovává. E-shop, který si vede jen jméno a doručovací adresu, je v jiné kategории rizika než ordinace zpracovávající zdravotnické údaje nebo agentura, která ve velkém sleduje chování návštěvníků. Zabezpečení, které je vhodné pro jednu stranu — například řízení přístupu, politika hesel a pravidelné zálohování — nemusí být dostatečné pro druhou. Zákon vyžaduje, abyste si tu úvahu udělali a mohli prokázat, že jste ji udělali, nikoli abyste splnili jeden pevný standard.

Kde to z článku 32 GDPR vychází

Tato povinnost je přímo v článku 32 GDPR, který jako nařízení platí ve všech členských státech stejně — jádro toho, co znamená "odpovídající", se proto mezi zeměmi neliší. Co se liší, je kdo nad tím dohlíží: v Nizozemsku je to Úřad pro ochranu osobních údajů, v Německu dozorčí orgán spolkové země, kde se sídlo nachází. Další vysvětlení poskytuje Úřad pro ochranu osobních údajů prostřednictvím praktických informací o zabezpečení osobních údajů.