Innehållsförteckning
Vad är en lämplig säkerhetsnivå?
Förordningen anger inga fasta tekniska krav. I stället ska säkerheten anpassas efter
- den senaste utvecklingen,
- kostnaderna för att genomföra åtgärderna,
- behandlingens art, omfattning, sammanhang och ändamål, och
- riskerna, av varierande sannolikhet och allvar, för de registrerades rättigheter och friheter.
Vid bedömningen ska man särskilt ta hänsyn till risken för att uppgifter förstörs, går förlorade eller ändras av misstag eller olagligt, och för att obehöriga får tillgång till dem eller att de röjs. Ju känsligare uppgifterna är och ju fler personer som berörs, desto starkare skydd krävs. Integritetsskyddsmyndigheten (IMY) betonar att arbetet ska vara riskbaserat och att en riskbedömning inte ersätter kravet på rättslig grund för behandlingen.
Exempel på åtgärder
Artikel 32.1 nämner, när det är lämpligt,
- pseudonymisering och kryptering av personuppgifter,
- förmåga att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i system och tjänster,
- förmåga att återställa tillgången till uppgifterna i rimlig tid efter en fysisk eller teknisk incident, och
- rutiner för att regelbundet testa och utvärdera att åtgärderna fungerar.
Tekniska åtgärder
IMY ger exempel som inloggning med flerfaktorsautentisering, behörighetsstyrning så att var och en bara når de uppgifter som behövs i arbetet, brandväggar, kryptering, säkerhetskopiering, loggning och skydd mot skadlig kod.
Organisatoriska åtgärder
Hit hör styrdokument och rutiner, risk- och sårbarhetsanalyser, utbildning av personalen, incidenthantering, kontinuitetsplanering och uppföljning av att åtgärderna faktiskt har genomförts. Den som arbetar under den ansvariges eller biträdets ledning får bara behandla uppgifterna enligt instruktion (artikel 32.4).
Pseudonymisering
Pseudonymiserade uppgifter kan inte kopplas till en viss person utan kompletterande information, som måste förvaras åtskild och skyddad. Observera att pseudonymiserade uppgifter fortfarande är personuppgifter. Det är först helt anonymiserade uppgifter, som inte längre kan knytas till någon, som faller utanför förordningen.
Uppförandekoder, certifiering och incidenter
Att ansluta sig till en godkänd uppförandekod eller certifiering kan användas för att visa att kraven följs (artikel 32.3). Om säkerheten trots allt brister och det inträffar en personuppgiftsincident ska den dokumenteras och som huvudregel anmälas till IMY inom 72 timmar, om det inte är osannolikt att incidenten medför en risk för de registrerade (artikel 33). Läs mer om att anmäla personuppgiftsincident, om inbyggt dataskydd och dataskydd som standard och om vad som gäller för ett personuppgiftsbiträde.