Aké zabezpečenie vyžaduje GDPR od malého podniku?

Adekvátne zabezpečenie je orientované na riziká, nie pevný zoznam kontrol

Článok 32 GDPR nevyžaduje pevný zoznam technických opatrení, ale úroveň zabezpečenia, ktorá zodpovedá riziku, ktoré so sebou prináša spracovanie osobných údajov. Zákon pritom zohľadňuje štyri veci: stav techniky, náklady na výkon, povahu, rozsah, kontext a účely spracovania, a riziká pre práva a slobody osôb, ktorých údaje sú spracovávané. Ako príklad opatrení článok uvádza okrem iného pseudonymizáciu a šifrovanie, schopnosť zabezpečiť dôvernosť, integritu, dostupnosť a odolnosť systémov, schopnosť včas obnoviť po incidente a proces na regulárne testovanie účinnosti opatrení.

Čo to znamená pre malý podnik, sa líši v závislosti od toho, čo sa spracováva. E-shop, ktorý uchováva iba meno a doručovaciu adresu, sa nachádza v inej kategórii rizika ako lekáreň spracovávajúca lekárske údaje alebo agentúra sledujúca vo veľkom meradle správanie návštevníkov. Zabezpečenie, ktoré je vhodné pre jedného — napríklad správa prístupu, zásady hesiel a pravidelné zálohy — nemusí byť dostatočné pre druhého. Zákon vyžaduje vykonať toto posúdenie a byť schopný preukázať, že bolo vykonané, nie dosiahnuť jeden pevný štandard.

Odkiaľ to vyplýva z článku 32 GDPR

Táto povinnosť je priamo v článku 32 GDPR, ktorý ako nariadenie platí rovnako vo všetkých členských štátoch — jadro toho, čo znamená "adekvátne", sa teda líši medzi krajinami. To, čo sa líši, je kto nad tým dohliada: v Holandsku je to Autorità pro la protezione dei dati, v Nemecku dozorný orgán spolkovej krajiny, kde sa sídlo nachádza. Za ďalšou orientáciou zverejňuje Autorità pro la protezione dei dati praktické informácie o zabezpečení osobných údajov.