Milyen biztonságot követel meg a GDPR egy kisvállalkozástól?

A megfelelő biztonság kockázat-alapú, nem egy rögzített ellenőrzőlista

A GDPR 32. cikke nem írja elő a technikai intézkedések rögzített listáját, hanem azt az adatkezeléshez kapcsolódó kockázatnak megfelelő biztonsági szintet követel meg. A törvény ezt tekintetében négy tényezőt nevez meg: a technikai fejlettség szintje, a végrehajtás költségei, az adatkezelés jellege, terjedelme, kontextusa és célja, valamint az adatalanyt képviselő személyek jogaira és szabadságaira vonatkozó kockázatok. Az intézkedésekre példaként a cikk a pszeudoanonimizálást és a titkosítást, a rendszerek bizalmas voltának, integritásának, rendelkezésre állásának és rugalmasságának biztosítására való képességet, az incidens után időben történő helyreállítás képességét, valamint az intézkedések hatékonyságának rendszeres tesztelésére irányuló folyamatot említi.

Mit jelent ez egy kis vállalkozás számára, attól függ, hogy mit kezel. Az olyan webáruház, amely csak nevet és szállítási címet tárol, más kockázati kategóriában helyezkedik el, mint egy olyan szakrendelés, amely egészségügyi adatokat kezel, vagy egy olyan iroda, amely nagy léptékben követi az látogatók viselkedését. Az egyik számára megfelelő biztonság — például hozzáférés-vezérlés, jelszókezelési szabályzat és rendszeres biztonsági másolatok — a másik számára nem biztos, hogy elegendő. A törvény megköveteli ezt az értékelést és azt, hogy meg tudd mutatni, hogy azt végezted, nem azt, hogy egy rögzített standardot teljesíts.

Honnan ered ez az 32. cikkből

Ez a követelmény közvetlenül a GDPR 32. cikkéből adódik, amely rendeletként minden tagállamban azonos módon érvényes — a "megfelelő" jelentésének lényege tehát nem különbözik az országok között. Ami azonban különbözik, az a felügyelet gyakorlása: Hollandiában ezt az Adatvédelmi Hatóság végzi, Németországban a tagállam adatvédelmi felügyelője, ahol a telephely található. A további útmutatásért az Adatvédelmi Hatóság gyakorlati információkat tesz közzé a személyes adatok biztonságáról.