RODO nie przepisuje jednego produktu, architektury ani sztywnej listy kontrolnej. Wymaga od administratorów i procesorów wyboru odpowiednich środków technicznych i organizacyjnych na podstawie stanu wiedzy technicznej, kosztów wdrożenia, charakteru, zakresu, kontekstu i celów przetwarzania oraz prawdopodobieństwa i wagi ryzyka dla praw i wolności osób.
Bezpieczeństwo jest zatem oparte na ryzyku i specyficzne dla przetwarzania. Artykuł 5 ustanawia integralność i poufność jako zasadę ochrony danych oraz czyni administratorów rozliczalnymi za wykazanie zgodności. Artykuł 25 adresuje ochronę danych w fazie projektowania i domyślnie, artykuł 28 reguluje istotne ustalenia z procesorami, a artykuł 32 ustala centralny obowiązek bezpieczeństwa przetwarzania. Szyfrowanie może być bardzo odpowiednie, ale rozporządzenie wymienia je jako jeden z możliwych środków, a nie uniwersalny substytut zarządzania, minimalizacji, kontroli dostępu, odporności lub testowania.
Naruszenie ochrony danych osobowych ma precyzyjne znaczenie prawne: naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia albo nieuprawnionego dostępu do danych osobowych. Może dotyczyć poufności, integralności lub dostępności i nie musi obejmować zewnętrznego atakującego. Odwrotnie, nie każdy incydent cyberbezpieczeństwa jest naruszeniem danych osobowych. Organizacje potrzebują procesu, który najpierw ustala, jakie dane i osoby są dotknięte, a następnie wykonuje oceny ryzyka notyfikacji wymagane przez art. 33 i 34.
Najważniejsze punkty
Przykłady z art. 32Gdzie właściwe, pseudonimizacja i szyfrowanie; trwająca poufność, integralność, dostępność i odporność; terminowe odtworzenie po incydencie; oraz regularne testowanie i ocena środków bezpieczeństwa.
Rozliczalność w praktyceRejestruj ocenę ryzyka i decyzje, przypisuj właścicielstwo, szkol upoważniony personel, kontroluj procesorów i podprocesorów, testuj zabezpieczenia i aktualizuj środki wraz ze zmianami przetwarzania i zagrożeń.
Obsługa naruszeńProcesor musi zawiadomić administratora bez zbędnej zwłoki po uświadomieniu naruszenia. Administrator musi dokumentować każde naruszenie i, o ile nie jest nieprawdopodobne, że skutkowałoby ryzykiem dla praw i wolności osób, zawiadomić właściwy organ nadzorczy bez zbędnej zwłoki i, gdy wykonalne, nie później niż 72 godziny po uświadomieniu. Zawiadomienie po 72 godzinach musi zawierać uzasadnienie opóźnienia. Jeśli naruszenie może skutkować wysokim ryzykiem, administrator musi zasadniczo zawiadomić dotknięte osoby bez zbędnej zwłoki, z zastrzeżeniem wyjątków art. 34.
Prawo a wytyczneTekst RODO i mające zastosowanie orzecznictwo są wiążące. Wytyczne Europejskiej Rady Ochrony Danych i publikacje ENISA pomagają wyjaśniać i wdrażać przepisy, ale są wytycznymi, a nie zastępczym ustawodawstwem.
Istotne ograniczenieCertyfikacja, produkt bezpieczeństwa lub uznana rama może wspierać dowód dobrej praktyki, ale nie czyni przetwarzania automatycznie zgodnym z RODO. Również incydent bezpieczeństwa sam nie dowodzi naruszenia rozporządzenia; liczą się fakty, ryzyka, środki i dowody rozliczalności.