Que segurança o RGPD exige de uma pequena empresa?

A proteção adequada é orientada pelo risco, não uma lista de verificação fixa

O artigo 32 do RGPD não exige uma lista fixa de medidas técnicas, mas um nível de proteção adequado ao risco que o tratamento de dados pessoais envolve. A lei considera quatro aspetos: o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e os objetivos do tratamento, e os riscos para os direitos e liberdades das pessoas cujos dados são tratados. Como exemplos de medidas, o artigo menciona a pseudonimização e encriptação, a capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência dos sistemas, a capacidade de recuperação atempada após um incidente, e um processo para testar regularmente a eficácia das medidas.

O que isto significa para uma pequena empresa varia com o que é tratado. Uma loja online que apenas regista nome e endereço de entrega enquadra-se numa categoria de risco diferente da de um consultório que trata dados médicos ou de uma agência que monitora em larga escala o comportamento dos visitantes. A proteção adequada para um — por exemplo, controlo de acesso, política de palavras-passe e cópias de segurança regulares — pode não ser suficiente para outro. A lei exige que esta ponderação seja feita e que se possa demonstrar que foi feita, não que se cumpra uma norma única e fixa.

Onde isto resulta do artigo 32 do RGPD

Este requisito consta diretamente do artigo 32 do RGPD, que como regulamento se aplica igualmente em cada Estado-membro — o cerne do que "adequado" significa não varia, portanto, entre países. O que varia é quem o supervisiona: em Portugal é a Comissão Nacional de Proteção de Dados, na Alemanha é a autoridade de supervisão do estado onde se situa a sede. Para orientações adicionais, a Comissão Nacional de Proteção de Dados publica informações práticas sobre a proteção de dados pessoais.