Kakšno varnost zahteva GDPR od manjšega podjetja?

Ustrezna varnost je usmerjena v tveganje, ne fiksni seznam

Člen 32 GDPR ne zahteva fiksnega seznama tehničnih ukrepov, temveč raven varnosti, ki je primerna za tveganje, ki ga predstavlja obdelava osebnih podatkov. Zakon pri tem omenja štiri stvari, ki se jih je treba upoštevati: stanje tehnike, stroški izvajanja, narava, obseg, kontekst in nameni obdelave ter tveganja za pravice in svoboščine oseb, katerih podatki se obdelujejo. Kot primer ukrepov člen omenja zlasti psevdonimizacijo in šifriranje, sposobnost zagotavljanja zaupnosti, celovitosti, razpoložljivosti in odpornosti sistemov, sposobnost pravočasnega okrevanja po incidentu ter postopek za redno testiranje učinkovitosti ukrepov.

Kaj to pomeni za malo podjetje, se razlikuje glede na to, kaj se obdeluje. Spletna trgovina, ki hrani samo ime in naslov pošiljanja, je v drugačni kategoriji tveganja kot ordinacija, ki obdeluje medicinske podatke, ali agencija, ki obsežno spremlja vedenje obiskovalcev. Varnost, ki je primerna za ene — na primer nadzor dostopa, pravilnik o geslu in redne varnostne kopije — za druge morda ni dovoljna. Zakon zahteva, da se ta presoja naredi in da se lahko pokaže, da je bila narejena, ne da bi se dosegla ena fiksna norma.

Kje to izhaja iz člena 32 GDPR

Ta zahteva je neposredno v členu 32 GDPR, ki velja kot uredba enako v vsaki državi članici — jedro tega, kaj pomeni "primerna", se torej med državami ne razlikuje. Kar se razlikuje, je, kdo jo nadzoruje: v Nederlandski je to Autoriteit Persoonsgegevens, v Nemčiji pa nadzornik podatkov zvezne dežele, kjer je sedež poslovanja. Za nadaljnje pojasnjeve Autoriteit Persoonsgegevens objavljajo praktične informacije o varnosti osebnih podatkov.