Ποια ασφάλεια απαιτεί ο GDPR από μια μικρή επιχείρηση;

Η κατάλληλη ασφάλεια είναι προσανατολισμένη στον κίνδυνο, όχι ένα σταθερό ελεγκτικό κατάλογο

Το Άρθρο 32 του GDPR δεν απαιτεί ένα σταθερό κατάλογο τεχνικών μέτρων, αλλά ένα επίπεδο ασφάλειας που αντιστοιχεί στον κίνδυνο που συνεπάγεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ο νόμος αναφέρει τέσσερα στοιχεία που λαμβάνονται υπόψη: το επίπεδο της τεχνολογίας, το κόστος εφαρμογής, η φύση, η έκταση, το πλαίσιο και οι σκοποί της επεξεργασίας, και οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες των ατόμων των οποίων τα δεδομένα επεξεργάζονται. Ως παράδειγμα μέτρων, το άρθρο αναφέρει μεταξύ άλλων ψευδωνυμοποίηση και κρυπτογράφηση, την ικανότητα να εγγυηθεί την εμπιστευτικότητα, την ακεραιότητα, τη διαθεσιμότητα και την ανθεκτικότητα των συστημάτων, την ικανότητα να ανακάμψει έγκαιρα μετά από ένα περιστατικό, και μια διαδικασία για τη δοκιμή της αποτελεσματικότητας των μέτρων σε τακτική βάση.

Τι σημαίνει αυτό για μια μικρή επιχείρηση διαφέρει ανάλογα με το τι επεξεργάζεται. Ένα διαδικτυακό κατάστημα που διατηρεί μόνο όνομα και διεύθυνση αποστολής βρίσκεται σε μια διαφορετική κατηγορία κινδύνου από μια πρακτική που επεξεργάζεται ιατρικά δεδομένα ή ένα γραφείο που παρακολουθεί σε μεγάλη κλίμακα τη συμπεριφορά των επισκεπτών. Η ασφάλεια που είναι κατάλληλη για τον έναν — για παράδειγμα έλεγχος πρόσβασης, πολιτική κωδικού πρόσβασης και τακτικές δημιουργίες αντιγράφων ασφαλείας — μπορεί να μην είναι επαρκής για τον άλλον. Ο νόμος ζητά να γίνει αυτή η αξιολόγηση και να είναι δυνατό να δειχθεί ότι έγινε, όχι να επιτευχθεί ένα σταθερό πρότυπο.

Από πού προκύπτει αυτό από το άρθρο 32 του GDPR

Αυτή η απαίτηση περιέχεται άμεσα στο άρθρο 32 του GDPR, το οποίο ισχύει ομοίως σε κάθε κράτος μέλος ως κανονισμός — η ουσία του τι σημαίνει «κατάλληλο» δεν διαφέρει επομένως μεταξύ των χωρών. Αυτό που διαφέρει είναι ποιος επιβλέπει: στις Κάτω Χώρες είναι η Αρχή Προστασίας Δεδομένων, στη Γερμανία ο επόπτης του κράτους όπου βρίσκεται η θέση. Για περαιτέρω διευκρίνιση, η Αρχή Προστασίας Δεδομένων δημοσιεύει πρακτικές πληροφορίες σχετικά με την ασφάλεια των δεδομένων προσωπικού χαρακτήρα.