¿Qué medidas de seguridad exige el RGPD en una pequeña empresa?

La seguridad adecuada está basada en el riesgo, no en una lista de verificación fija

El artículo 32 del RGPD no exige una lista fija de medidas técnicas, sino un nivel de seguridad que se ajuste al riesgo que conlleva un tratamiento de datos personales. La ley menciona cuatro aspectos que deben tenerse en cuenta: el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos para los derechos y libertades de las personas cuyos datos se tratan. Como ejemplos de medidas, el artículo menciona la seudonimización y el cifrado, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restauración oportuna tras un incidente, y un proceso para probar periódicamente la efectividad de las medidas.

Lo que esto significa para una pequeña empresa varía según lo que se trate. Una tienda en línea que solo guarda nombre y dirección de envío se encuentra en una categoría de riesgo diferente a la de una clínica que trata datos médicos o una agencia que realiza un seguimiento a gran escala del comportamiento de los visitantes. La seguridad que es adecuada para uno —por ejemplo, control de acceso, política de contraseñas y copias de seguridad periódicas— no tiene por qué ser suficiente para otro. La ley pide que se haga esta evaluación y que se pueda demostrar que se ha hecho, no que se cumpla con un único estándar fijo.

De dónde surge esto del artículo 32 del RGPD

Este requisito se encuentra directamente en el artículo 32 del RGPD, que como reglamento se aplica por igual en cada Estado miembro —por lo tanto, el núcleo de lo que significa "adecuado" no difiere entre países. Lo que sí difiere es quién supervisa: en los Países Bajos es la Autoridad de Protección de Datos, en Alemania la autoridad supervisora del estado federal donde se encuentra el establecimiento. La Autoridad de Protección de Datos publica información práctica adicional sobre la seguridad de los datos personales.