Jakie zabezpieczenia RODO wymaga od małej firmy?

Odpowiednia ochrona jest ukierunkowana na ryzyko, a nie na stałą listę kontrolną

Artykuł 32 RODO nie wymaga stałej listy środków technicznych, ale poziomu ochrony odpowiadającego ryzyku związanemu z przetwarzaniem danych osobowych. Ustawa wymienia przy tym cztery sprawy, które należy uwzględnić: stan techniki, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania, oraz zagrożenia dla praw i wolności osób, których dane są przetwarzane. W artykule wymienia się przykłady środków, w tym pseudonimizację i szyfrowanie, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, zdolność do szybkiego przywrócenia działania po incydencie, oraz proces regularnego testowania skuteczności środków.

Znaczenie tego dla małego przedsiębiorstwa różni się w zależności od tego, co jest przetwarzane. Sklep internetowy przechowujący jedynie imię i nazwisko oraz adres dostawy znajduje się w innej kategorii ryzyka niż praktyka przetwarzająca dane medyczne czy biuro śledzące na dużą skalę zachowanie odwiedzających. Ochrona, która jest odpowiednia dla jednego — na przykład kontrola dostępu, polityka haseł i regularne kopie zapasowe — może nie być wystarczająca dla drugiego. Ustawa wymaga dokonania tej oceny i wykazania, że została dokonana, a nie osiągnięcia jednego stałego standardu.

Skąd wynika to z artykułu 32 RODO

To wymóg wynika bezpośrednio z artykułu 32 RODO, który jako rozporządzenie obowiązuje jednakowo we wszystkich państwach członkowskich — istota tego, co oznacza "odpowiednia", zatem nie różni się między krajami. To, co się różni, to kto sprawuje nad tym nadzór: w Niderlandach jest to Urząd Ochrony Danych Osobowych, w Niemczech nadzornik odpowiedniego kraju związkowego, w którym znajduje się siedziba. Dalsze wyjaśnienia publikuje Urząd Ochrony Danych Osobowych — praktyczne informacje na temat ochrony danych osobowych.