Mitä tietoturvaa GDPR edellyttää pienessä yrityksessä?

Asianmukainen suojaus on riskiperustainen, ei kiinteä tarkistuslista

GDPR:n 32 artikla ei vaadi kiinteää luetteloa tekniikkatyövälineistä, vaan suojaustasoa, joka vastaa henkilötietojen käsittelyn aiheuttamaa riskiä. Laissa otetaan huomioon neljä seikkaa: tekniikan taso, täytäntöönpanon kustannukset, käsittelyn luonne, laajuus, konteksti ja tarkoitukset sekä riskit niiden ihmisten oikeuksille ja vapauksille, joiden tietoja käsitellään. Esimerkkeinä toimenpiteistä artikla mainitsee muun muassa pseudonimisoimisen ja salauksen, järjestelmien luottamuksellisuuden, eheyden, saatavuuden ja joustavuuden varmistamiskyvyn, kyvyn toipua ajoissa häiriötapahtuman jälkeen sekä prosessin toimenpiteiden tehokkuuden säännölliseen testaamiseen.

Mitä tämä tarkoittaa pienelle yritykselle, riippuu siitä, mitä käsitellään. Verkkokauppa, joka pitää vain nimeä ja toimitusosoitetta, on eri riskikategoriassa kuin lääkäripalvelun tarjoaja, joka käsittelee lääketieteellisiä tietoja, tai toimisto, joka seuraa vierailijoiden käyttäytymistä laajassa mittakaavassa. Suojaus, joka on sopiva yhdelle — esimerkiksi pääsynvalvonta, salasanakäytäntö ja säännölliset varmuuskopiot — ei välttämättä ole riittävä toiselle. Laki edellyttää, että tämä harkinta tehdään ja voidaan osoittaa, että se on tehty, ei että yhtä kiinteää standardia noudatetaan.

Mistä tämä seuraa artiklan 32 perusteella

Tämä vaatimus on GDPR:n 32 artiklassa, joka asetuksena on voimassa samanlaalla jokaisen jäsenvaltion alueella — näin "asianmukaisen" merkitys ei siis eroa maiden välillä. Mitä eraa, on valvontaviranomainen: Hollannissa se on Henkilötietojen suojeluviranominen, Saksassa osavaltioiden valvontaviranomainen, jossa toimipaikka sijaitsee. Lisätietoja henkilötietojen suojauksesta Henkilötietojen suojeluviranominen julkaisee käytännöllistä tietoa.