Kāds drošības līmenis ir nepieciešams saskaņā ar VDAR mazam uzņēmumam?

Atbilstīga drošība ir riska balstīta, nevis fiksēts kontrolsaraksts

GDPR 32. pants neprasīs fiksētu tehnisko pasākumu sarakstu, bet drošības līmeni, kas atbilst riskiem, ko nozīmē personiskās datu apstrāde. Likums šajā sakarā norāda četras lietas, kas ir jāņem vērā: tehnoloģijas pašreizējais stāvoklis, ieviešanas izmaksas, apstrādes raksturs, apjoms, konteksts un mērķi, un riski personu tiesībām un brīvībām, kuru datus apstrādā. Kā pasākumu piemērus pants uzskaita, cita starpā pseidonimizēšanu un šifrēšanu, spēju garantēt sistēmu konfidencialitāti, integritāti, pieejamību un noturību, spēju savlaicīgi atjaunot pēc incidenta, un procesu, lai regulāri pārbaudītu pasākumu efektivitāti.

Kas tas nozīmē mazam uzņēmumam, atšķiras atkarībā no tā, kas tiek apstrādāts. Tiešsaistes veikals, kurš uzglabā tikai vārdu un nosūtīšanas adresi, atrodas citā riska kategorijā nekā prakse, kas apstrādā medicīniskos datus, vai birojs, kas lielapjomā izseko apmeklētāju uzvedību. Drošība, kas ir piemērota vienam — piemēram, piekļuves kontrole, paroles politika un regulāras dublēšanas — var nebūt pietiekama otram. Likums prasa veikt šo izvērtējumu un spēt parādīt, ka tas ir veikts, nevis sasniegt vienu fiksētu standartu.

No kurienes tas izriet no GDPR 32. panta

Šī prasība ir tieši 32. pantā, kas kā Regula vienlīdz spēkā ir katra dalībvalstī — tā, ko nozīmē "atbilstīga", svarīgi neatšķiras starp valstīm. Tas, kas atšķiras, ir tas, kurš uzrauga: Nīderlandē to dara Personiskās datu iestāde, Vācijā dalībvalsts uzraugs, kur atrodas uzņēmums. Lai iegūtu papildu skaidrojumu, Personiskās datu iestāde publicē praktisku informāciju par personiskās datu drošību.