Quali misure di sicurezza richiede il GDPR da una piccola azienda?

La sicurezza adeguata è basata sul rischio, non su una checklist fissa

L'articolo 32 del RGPD non richiede un elenco fisso di misure tecniche, ma un livello di sicurezza proporzionato al rischio associato al trattamento dei dati personali. La normativa considera quattro fattori: lo stato della tecnica, i costi di implementazione, la natura, la portata, il contesto e le finalità del trattamento, e i rischi per i diritti e le libertà delle persone i cui dati vengono trattati. L'articolo cita come esempi di misure la pseudonimizzazione e la crittografia, la capacità di garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi, la capacità di ripristinare prontamente i dati in caso di incidente, e un processo per testare regolarmente l'efficacia delle misure.

Cosa significa per una piccola impresa dipende da ciò che viene trattato. Un negozio online che conserva solo nome e indirizzo di spedizione rientra in una categoria di rischio diversa rispetto a uno studio che tratta dati medici o un'agenzia che traccia su larga scala il comportamento dei visitatori. Le misure di sicurezza appropriate per uno — ad esempio il controllo degli accessi, la politica sulle password e i backup regolari — potrebbero non essere sufficienti per l'altro. La legge richiede di effettuare questa valutazione e di poter dimostrare che è stata effettuata, non di conformarsi a uno standard unico e fisso.

Da dove deriva dall'articolo 32 del RGPD

Questo obbligo è stabilito direttamente nell'articolo 32 del RGPD, che in quanto regolamento si applica allo stesso modo in ogni Stato membro — il significato di "adeguato" non varia quindi tra i paesi. Ciò che varia è chi vigila sul rispetto: nei Paesi Bassi è l'Autorità per la protezione dei dati, in Germania è l'autorità di controllo dello Stato federale in cui ha sede l'organizzazione. Per ulteriori chiarimenti, l'Autorità per la protezione dei dati pubblica informazioni pratiche sulla sicurezza dei dati personali.