Kokia apsauga reikalinga mažai įmonei pagal BDAR?

Tinkamas saugumas yra rizikai nukreiptas, ne fiksuotas kontrolinis sąrašas

GDPR 32 straipsnis nereikalauja fiksuoto saugos priemonių sąrašo, o saugumo lygio, atitinkančio riziką, kylančią iš asmeninių duomenų tvarkymo. Įstatymas nurodo keturis aspektus, į kuriuos atsižvelgiama: technologijos lygis, diegimo išlaidos, tvarkymo pobūdis, apimtis, kontekstas ir tikslai, bei rizika pagrindiniams žmonių, kurių duomenys tvarkomi, teisėms ir laisvėms. Straipsnyje pateikiami tokių priemonių pavyzdžiai kaip pseudonimizavimas ir šifravimas, gebėjimas užtikrinti sistemų paslapties, vientisumo, prieinamumo ir atsparumo, gebėjimas greitai atsikurti po incidento, ir procesas saugumo priemonių veiksmingumui reguliariai patikrinti.

Ką tai reiškia mažai įmonei, priklauso nuo to, kas tvarkoma. Internetinė parduotuvė, kuri laiko tik vardą ir siuntimo adresą, patenka į kitą rizikos kategoriją nei praktika, tvarkanti medicininius duomenis, ar biuras, kuris didelio masto mastu stebi lankytojų elgesį. Saugumas, kuris tinka vienam, pavyzdžiui, prieigos kontrolė, slaptažodžio politika ir reguliari atsarginė kopija, gali nepakakti kitam. Įstatymas reikalauja atlikti šią analizę ir sugebėti parodyti, kad ji buvo atlikta, o ne atitikti vieną fiksuotą standartą.

Iš kur tai kyla iš GDPR 32 straipsnio

Šis reikalavimas tiesiogiai nurodomas GDPR 32 straipsnyje, kuris kaip reglamentas vienodai galioja visose narystės valstybėse — taigi tam tikra prasme "tinkamas" skirtumas tarp šalių neturi. Tačiau skiriasi, kas daro priežiūrą: Nyderlanduose tai Asmeninių duomenų apsaugos institucija, Vokietijoje – padalinio, kuriame yra įstaigas, priežiūros institucija. Papildomam paaiškinimui Asmeninių duomenų apsaugos institucija skelbia praktinę informaciją apie asmeninių duomenų apsaugą.