Koja sigurnost zahtijeva GDPR od male tvrtke?

Primjerena zaštita je usmjerena na rizik, ne fiksna lista provjere

Članak 32. Uredbe (EU) 2016/679 ne zahtijeva fiksnu listu tehničkih mjera, već razinu zaštite koja je primjerena riziku koji собом donosi obrada podataka o osobama. Zakon pritom navodi četiri stvari koje se uzimaju u obzir: stanje tehnike, troškovi provedbe, priroda, opseg, kontekst i svrhe obrade te rizici za prava i slobode osoba čiji se podaci obrađuju. Kao primjer mjera članak navodi, između ostaloga, pseuodimizaciju i enkripciju, sposobnost osiguranja povjerljivosti, integriteta, dostupnosti i otpornosti sustava, sposobnost promptnog oporavka nakon incidenta te proces redovitog testiranja učinkovitosti mjera.

Što to znači za malo poduzeće razlikuje se ovisno o onome što se obrađuje. Internetska trgovina koja vodi samo ime i adresu dostave nalazi se u različitoj kategoriji rizika od ordinacije koja obrađuje medicinske podatke ili agencije koja u većoj mjeri prati ponašanje posjetitelja. Zaštita koja je primjerena za jedne — primjerice kontrola pristupa, pravilnik o lozinkama i redovite sigurnosne kopije — možda nije dovoljna za druge. Zakon traži da se ta procjena napravi i da se može pokazati da je napravljena, ne da se dosegne jedan fiksni standard.

Gdje je to navedeno u članku 32. Uredbe (EU) 2016/679

Ovaj zahtjev je navedan izravno u članku 32. Uredbe (EU) 2016/679, koja kao uredba jednako vrijedi u svakoj državi članici — jezgra onoga što "primjereno" znači stoga se ne razlikuje između zemalja. Ono što se razlikuje je tko nad tim nadzira: u Nizozemskoj to je Autoritet za zaštitu podataka, u Njemačkoj nadzornik države članice u kojoj se nalazit poduzeće. Za daljnje pojašnjenje Autoritet za zaštitu podataka objavljuje praktične informacije o zaštiti podataka o osobama.