GDPR nediktuje jeden produkt, architekturu či pevný checklist. Vyžaduje, aby správci a zpracovatelé vybírali vhodná technická a organizační opatření na základě stavu techniky, nákladů implementace, povahy, rozsahu, kontextu a účelů zpracování a pravděpodobnosti a závažnosti rizik pro práva a svobody osob.
Zabezpečení je proto založené na riziku a specifické pro zpracování. Článek 5 ustanovuje integritu a důvěrnost jako princip ochrany údajů a činí správce odpovědnými za prokázání compliance. Článek 25 řeší ochranu údajů již při návrhu a ve výchozím nastavení, článek 28 řídí důležitá ujednání se zpracovateli a článek 32 ustanovuje centrální povinnost zabezpečení zpracování. Šifrování může být vysoce vhodné, ale nařízení jej uvádí jako jedno možné opatření spíše než univerzální náhradu za řízení, minimalizaci, řízení přístupu, odolnost či testování.
Narušení osobních údajů má přesný právní význam: narušení bezpečnosti vedoucí k náhodnému či protiprávnímu zničení, ztrátě, změně, neautorizovanému zpřístupnění či přístupu k osobním údajům. Může ovlivnit důvěrnost, integritu či dostupnost a nemusí zahrnovat externího útočníka. Naopak ne každý incident kybernetické bezpečnosti je narušením osobních údajů. Organizace potřebují proces, který nejprve zjistí, jaká data a lidé jsou dotčeni, a poté provede posouzení rizik oznámení vyžadovaná články 33 a 34.
Klíčové body
Příklady článku 32Tam, kde je to vhodné, pseudonymizace a šifrování; průběžná důvěrnost, integrita, dostupnost a odolnost; včasná restaurovace po incidentu; a pravidelné testování a hodnocení bezpečnostních opatření.
Odpovědnost v praxiZaznamenávejte posouzení rizik a rozhodnutí, přiřazujte vlastnictví, školte autorizovaný personál, řiďte zpracovatele a podzpracovatele, testujte pojistky a aktualizujte opatření, jak se zpracování a hrozby mění.
Nakládání s narušenímZpracovatel musí oznámit správci bez zbytečného odkladu poté, co se dozví o narušení osobních údajů. Správce musí dokumentovat každé narušení osobních údajů a, pokud není nepravděpodobné, že povede k riziku pro práva a svobody osob, oznámit příslušnému dozorovému úřadu bez zbytečného odkladu a, kde je to proveditelné, nejpozději 72 hodin po zjištění. Oznámení po 72 hodinách musí obsahovat důvody zpoždění. Pokud narušení pravděpodobně povede k vysokému riziku, správce musí obecně sdělit dotčeným subjektům údajů bez zbytečného odkladu, s výhradou výjimek článku 34.
Právo versus guidanceText GDPR a platná judikatura jsou autoritativní. Pokyny Evropského panelu pro ochranu osobních údajů a publikace ENISA pomáhají vysvětlovat a implementovat pravidla, ale jsou to guidance spíše než náhradní legislativa.
Důležité omezeníCertifikace, bezpečnostní produkt či uznávaný rámec může podpořit důkazy dobré praxe, ale nečiní zpracování automaticky kompatibilním s GDPR. Stejně tak bezpečnostní incident sám o sobě nedokazuje, že nařízení bylo porušeno; rozhodují fakta, rizika, opatření a důkazy odpovědnosti.