# Czym jest bezpieczeństwo w rozumieniu RODO?

> Bezpieczeństwo w rozumieniu RODO (GDPR security) to zbiór zobowiązań prawnych i rozliczalnych praktyk używanych do ochrony danych osobowych przetwarzanych na mocy unijnego Ogólnego Rozporządzenia o Ochronie Danych.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/general-data-protection-regulation-security/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

RODO nie przepisuje jednego produktu, architektury ani sztywnej listy kontrolnej. Wymaga od administratorów i procesorów wyboru odpowiednich środków technicznych i organizacyjnych na podstawie stanu wiedzy technicznej, kosztów wdrożenia, charakteru, zakresu, kontekstu i celów przetwarzania oraz prawdopodobieństwa i wagi ryzyka dla praw i wolności osób.

Bezpieczeństwo jest zatem oparte na ryzyku i specyficzne dla przetwarzania. Artykuł 5 ustanawia integralność i poufność jako zasadę ochrony danych oraz czyni administratorów rozliczalnymi za wykazanie zgodności. Artykuł 25 adresuje ochronę danych w fazie projektowania i domyślnie, artykuł 28 reguluje istotne ustalenia z procesorami, a artykuł 32 ustala centralny obowiązek bezpieczeństwa przetwarzania. Szyfrowanie może być bardzo odpowiednie, ale rozporządzenie wymienia je jako jeden z możliwych środków, a nie uniwersalny substytut zarządzania, minimalizacji, kontroli dostępu, odporności lub testowania.

Naruszenie ochrony danych osobowych ma precyzyjne znaczenie prawne: naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia albo nieuprawnionego dostępu do danych osobowych. Może dotyczyć poufności, integralności lub dostępności i nie musi obejmować zewnętrznego atakującego. Odwrotnie, nie każdy incydent cyberbezpieczeństwa jest naruszeniem danych osobowych. Organizacje potrzebują procesu, który najpierw ustala, jakie dane i osoby są dotknięte, a następnie wykonuje oceny ryzyka notyfikacji wymagane przez art. 33 i 34.

### Najważniejsze punkty

- **Przykłady z art. 32:** Gdzie właściwe, pseudonimizacja i szyfrowanie; trwająca poufność, integralność, dostępność i odporność; terminowe odtworzenie po incydencie; oraz regularne testowanie i ocena środków bezpieczeństwa.
- **Rozliczalność w praktyce:** Rejestruj ocenę ryzyka i decyzje, przypisuj właścicielstwo, szkol upoważniony personel, kontroluj procesorów i podprocesorów, testuj zabezpieczenia i aktualizuj środki wraz ze zmianami przetwarzania i zagrożeń.
- **Obsługa naruszeń:** Procesor musi zawiadomić administratora bez zbędnej zwłoki po uświadomieniu naruszenia. Administrator musi dokumentować każde naruszenie i, o ile nie jest nieprawdopodobne, że skutkowałoby ryzykiem dla praw i wolności osób, zawiadomić właściwy organ nadzorczy bez zbędnej zwłoki i, gdy wykonalne, nie później niż 72 godziny po uświadomieniu. Zawiadomienie po 72 godzinach musi zawierać uzasadnienie opóźnienia. Jeśli naruszenie może skutkować wysokim ryzykiem, administrator musi zasadniczo zawiadomić dotknięte osoby bez zbędnej zwłoki, z zastrzeżeniem wyjątków art. 34.
- **Prawo a wytyczne:** Tekst RODO i mające zastosowanie orzecznictwo są wiążące. Wytyczne Europejskiej Rady Ochrony Danych i publikacje ENISA pomagają wyjaśniać i wdrażać przepisy, ale są wytycznymi, a nie zastępczym ustawodawstwem.
- **Istotne ograniczenie:** Certyfikacja, produkt bezpieczeństwa lub uznana rama może wspierać dowód dobrej praktyki, ale nie czyni przetwarzania automatycznie zgodnym z RODO. Również incydent bezpieczeństwa sam nie dowodzi naruszenia rozporządzenia; liczą się fakty, ryzyka, środki i dowody rozliczalności.

### Powiązane terminy

[Szyfrowanie](<https://yellowcube.eu/pl/glossary/encryption/>) · [Cyber Resilience Act (CRA)](<https://yellowcube.eu/pl/glossary/cyber-resilience-act/>)

### Źródła

[EUR-Lex: Regulation (EU) 2016/679](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) · [EDPB Guidelines 01/2021 on personal data breach notification](https://www.edpb.europa.eu/documents/guideline/guidelines-012021-on-examples-regarding-personal-data-breach-notification_en) · [ENISA Handbook on Security of Personal Data Processing](https://www.enisa.europa.eu/publications/handbook-on-security-of-personal-data-processing)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.