Hvilken sikring kræver GDPR af en lille virksomhed?

Passende sikkerhed er risikobaseret, ikke en fast tjekliste

Artikel 32 i GDPR'en kræver ikke en fast liste over tekniske foranstaltninger, men et sikkerhedsniveau, der passer til den risiko, som behandlingen af persondata indebærer. Loven nævner fire ting, der tages hensyn til: teknologiens stand, omkostningerne ved gennemførelse, behandlingens art, omfang, kontekst og formål, samt risici for rettighederne og frihederne for de personer, hvis data behandles. Som eksempel på foranstaltninger nævner artiklen blandt andet pseudonymisering og kryptering, evnen til at sikre fortrolighed, integritet, tilgængelighed og modstandskraft i systemer, evnen til at genoprette data rettidigt efter en hændelse, og en proces til regelmæssigt at teste effektiviteten af foranstaltningerne.

Hvad dette betyder for en lille virksomhed varierer efter, hvad der behandles. En webshop, der kun gemmer navn og leveringsadresse, befinder sig i en anden risikokategori end en praksis, der behandler medicinske data, eller et bureau, der i stort omfang sporer besøgendes adfærd. Sikkerhed, der er passende for den ene — for eksempel adgangskontrol, adgangskodesikkerhed og regelmæssig sikkerhedskopiering — behøver ikke at være tilstrækkelig for den anden. Loven kræver, at du foretager denne afvejning og kan dokumentere, at den er foretaget, ikke at du opfylder en enkelt fast standard.

Hvor dette kommer fra i artikel 32 i GDPR'en

Dette krav fremgår direkte af artikel 32 i GDPR'en, som forordning gælder ens i alle medlemsstater — kernen i, hvad "passende" betyder, varierer således ikke mellem lande. Det, der varierer, er, hvem der fører tilsyn: i Danmark er det Datatilsynet, i Tyskland er det tilsynsmyndigheden i den delstat, hvor virksomheden er beliggende. For yderligere vejledning offentliggør Datatilsynet praktisk information om sikring af persondata.