GDPR nu prescrie un produs, o arhitectură sau o listă de verificare fixă. Cere operatorilor și persoanelor împuternicite să selecteze măsuri tehnice și organizaționale adecvate pe baza stadiului tehnologiei, costurilor de implementare, naturii, domeniului, contextului și scopurilor prelucrării și probabilității și severității riscurilor pentru drepturile și libertățile persoanelor.
Securitatea este prin urmare bazată pe risc și specifică prelucrării. Articolul 5 stabilește integritatea și confidențialitatea drept principiu de protecție a datelor și face operatorii răspunzători pentru demonstrarea conformității. Articolul 25 adresează protecția datelor prin proiectare și prin configurare implicită, articolul 28 guvernează aranjamentele importante cu persoane împuternicite, iar articolul 32 stabilește obligația centrală privind securitatea prelucrării. Criptarea poate fi foarte adecvată, dar Regulamentul o enumeră ca o măsură posibilă, nu ca un substitut universal pentru guvernanță, minimizare, control al accesului, reziliență sau testare.
O încălcare a securității datelor cu caracter personal are un sens juridic precis: o încălcare a securității care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date cu caracter personal, accidentală sau ilegală. Poate afecta confidențialitatea, integritatea sau disponibilitatea și nu trebuie să implice un atacator extern. Invers, nu fiecare incident de securitate cibernetică este o încălcare a securității datelor cu caracter personal. Organizațiile au nevoie de un proces care mai întâi stabilește ce date și ce persoane sunt afectate, apoi efectuează evaluările de risc pentru notificare cerute de articolele 33 și 34.
Puncte esențiale
Exemple din articolul 32Acolo unde este cazul, pseudonimizarea și criptarea; confidențialitatea, integritatea, disponibilitatea și reziliența continue; restaurarea la timp după un incident; și testarea și evaluarea regulată a măsurilor de securitate.
Răspunderea în practicăÎnregistrați evaluarea riscurilor și deciziile, atribuiți proprietari, instruiți personalul autorizat, controlați persoanele împuternicite și subprocesorii, testați garanțiile și actualizați măsurile pe măsură ce prelucrarea și amenințările se schimbă.
Tratarea încălcărilorO persoană împuternicită trebuie să notifice operatorul fără întârziere nejustificată după luarea la cunoștință a unei încălcări a securității datelor cu caracter personal. Un operator trebuie să documenteze fiecare încălcare și, dacă nu este improbabil să rezulte un risc pentru drepturile și libertățile persoanelor, să notifice autoritatea de supraveghere competentă fără întârziere nejustificată și, acolo unde este fezabil, cel târziu în 72 de ore de la luarea la cunoștință. O notificare făcută după 72 de ore trebuie să includă motivele întârzierii. Dacă încălcarea este susceptibilă să rezulte un risc ridicat, operatorul trebuie, în general, să o comunice persoanelor vizate afectate fără întârziere nejustificată, sub rezerva excepțiilor articolului 34.
Lege versus ghiduriTextul GDPR și jurisprudența aplicabilă sunt autoritatea. Ghidurile Comitetului European pentru Protecția Datelor și publicațiile ENISA ajută la explicarea și implementarea regulilor, dar sunt orientări, nu legislație de substituire.
Limitare importantăO certificare, un produs de securitate sau un cadru recunoscut poate sprijini dovezile de bune practici, dar nu face prelucrarea automat conformă GDPR. La fel, un incident de securitate nu dovedește de la sine că Regulamentul a fost încălcat; contează faptele, riscurile, măsurile și dovezile de răspundere.