Vilka säkerhetsåtgärder kräver GDPR från ett litet företag?

Adekvat säkerhet är riskbaserad, inte en fast checklista

Artikel 32 i GDPR kräver ingen fast lista över tekniska åtgärder, utan en säkerhetsnivå som är lämplig för den risk som en behandling av personuppgifter medför. Lagen nämner fyra saker som ska beaktas: teknikens utvecklingsstand, genomförandekostnaderna, behandlingens karaktär, omfattning, sammanhang och ändamål, samt riskerna för rättigheterna och friheterna för de personer vars uppgifter behandlas. Som exempel på åtgärder nämner artikeln bland annat pseudonymisering och kryptering, möjligheten att säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos system, möjligheten att återställa sig snabbt efter en incident, samt en process för att regelbundet testa åtgärdernas effektivitet.

Vad detta betyder för ett litet företag skiljer sig åt beroende på vad som behandlas. En webbutik som bara lagrar namn och leveransadress befinner sig i en annan riskkategori än en praktik som behandlar medicinska uppgifter eller ett bureau som i stor skala övervakar besökares beteende. Säkerhet som är lämplig för den ena — till exempel åtkomstkontroll, lösenordspolicy och regelbundna säkerhetskopieringar — behöver inte vara tillräcklig för den andra. Lagen kräver att denna avvägning görs och att det går att påvisa att den har gjorts, inte att en enda fast standard uppfylls.

Var detta kommer från i artikel 32 GDPR

Detta krav följer direkt ur artikel 32 i GDPR, som som förordning gäller lika i alla medlemsstater — kärnan i vad "lämplig" betyder skiljer sig alltså inte mellan länder. Det som skiljer sig är vem som utövar tillsyn: i Sverige är det Datainspektionen, i Tyskland tillsynsmyndigheten i den delstat där verksamheten är belägen. För ytterligare vägledning publicerar Datainspektionen praktisk information om säkerhet för personuppgifter.