Ce măsuri de securitate cere RGPD unei mici întreprinderi?

Securitatea adecvată este orientată spre risc, nu o listă de verificare fixă

Articolul 32 al RGPD nu cere o listă fixă de măsuri tehnice, ci un nivel de securitate corespunzător riscului pe care îl comportă o prelucrare de date cu caracter personal. Legea menționează în acest sens patru aspecte care trebuie luate în considerare: stadiul tehnicii, costurile implementării, natura, volumul, contextul și scopurile prelucrării, precum și riscurile pentru drepturile și libertățile persoanelor ale căror date sunt prelucrate. Ca exemple de măsuri, articolul menționează pseudonimizarea și criptarea, capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și reziliența sistemelor, capacitatea de a recupera în timp util după un incident, și un proces pentru testarea regulată a eficacității măsurilor.

Ce înseamnă aceasta pentru o mică întreprindere variază în funcție de ceea ce se prelucrează. Un magazin online care ține evidența doar a numelui și adresei de expediere se află într-o categorie de risc diferită decât o practică care prelucrează date medicale sau un birou care urmărește pe scară largă comportamentul vizitatorilor. Securitatea care este adecvată pentru o situație — de exemplu, controlul accesului, politica de parole și copii de siguranță regulate — poate să nu fie suficientă pentru alta. Legea cere să faci această evaluare și să poți demonstra că ai făcut-o, nu să atingi un singur standard fix.

De unde decurge aceasta din articolul 32 al RGPD

Această cerință decurge direct din articolul 32 al RGPD, care ca regulament se aplică în mod egal în fiecare stat membru — nucleul a ceea ce înseamnă "adecvat" nu diferă deci între țări. Ceea ce diferă este cine supraveghează: în Țările de Jos, aceasta este Autoritatea pentru Protecția Datelor, în Germania autoritatea de supraveghere a landului în care se află sediul. Pentru clarificări suplimentare, Autoritatea pentru Protecția Datelor publică informații practice privind securitatea datelor cu caracter personal.