Millise turvalisuse nõuab GDPR väikeselt ettevõttelt?

Asjakohaseline turvamine on riskipõhine, mitte fikseeritud kontrollnimekiri

GDPR artikkel 32 ei nõua kindlaksmääratud tehniliste meetmete loetelu, vaid turvamise taset, mis vastab andmetöötlusega kaasnevale riskile. Seadus arvestab selles neli aspekti: tehnoloogia seisukord, rakendamise kulud, andmetöötluse iseloom, maht, kontekst ja eesmärgid ning inimeste õiguste ja vabaduste riskid, kelle andmeid töödeldakse. Näitena mainitakse artiklis muuhulgas pseudonümiseerimist ja krüpteerimist, süsteemide konfidentsiaalsuse, terviklikkuse, kättesaadavuse ja vastupidavuse tagamise võimet, võimet kiiresti taastada pärast intsidenti ja protsessi, et testida meetmete tõhusust regulaarselt.

Mida see väikeettevõtte jaoks tähendab, sõltub sellest, mida töödeldakse. E-pood, mis käitab ainult nime ja saatmisaadressi, on teises riskikategoorias kui praktika, mis töötleb meditsiinilisi andmeid, või büroo, mis jälgib külastajate käitumist suurtes mahus. Turvamine, mis ühe jaoks on asjakohaslik — näiteks juurdepääsukontroll, paroolipoliitika ja regulaarsed varukoopiad — ei pruugi teisele piisav olla. Seadus nõuab selle kaalutluse tegemist ja selle näitamist, et see on tehtud, mitte ühe kindla standardi täitmist.

Kust see artiklist 32 GDPR-st tuleneb

See nõue tuleneb otse GDPR artiklist 32, mis kehtib korritsena igas liikmesriigis võrdselt — "asjakohasuse" tähendus ei erine seega riikide vahel. Erinevusi on jälgimises: Hollandis teeb seda Autoriteit Persoonsgegevens, Saksamaal tema deelriigi andmekaitseametniku, kus asukoht asub. Täiendava selgituse saamiseks avaldab Autoriteit Persoonsgegevens praktilisi juhiseid isikuandmete turvamisest.