Protecția datelor personale include controlul accesului, recuperarea datelor și verificarea măsurilor de securitate. Aceste activități trebuie corelate cu scopurile prelucrării și obligațiile aplicabile organizației. O politică publicată pe site nu arată, singură, cum sunt protejate datele în sistemele folosite.
Ce cere GDPR concret, din perspectivă tehnică
Articolul 32 al regulamentului cere explicit „măsuri tehnice și organizatorice adecvate" pentru protecția datelor personale — inclusiv, unde e relevant, criptarea datelor, capacitatea de a restaura disponibilitatea datelor rapid după un incident, și testarea periodică a eficienței măsurilor de securitate implementate.
Notificarea breșelor, cronometrată
Conform art. 33 GDPR, operatorul notifică autoritatea fără întârziere nejustificată și, dacă este posibil, în cel mult 72 de ore de când a luat cunoștință de încălcare. Excepția: este puțin probabil să existe un risc pentru drepturile și libertățile persoanelor. O întârziere trebuie motivată, iar încălcările trebuie documentate chiar și atunci când nu sunt notificate. Persoana împuternicită informează operatorul fără întârziere nejustificată.
Art. 34 tratează separat informarea persoanelor afectate: aceasta este necesară când există probabilitatea unui risc ridicat, cu excepțiile prevăzute în regulament. Un plan de răspuns la incidente trebuie să includă cine evaluează riscul și cine decide notificările.
Unde se suprapune cu NIS 2
Pentru organizațiile cărora li se aplică atât NIS 2, cât și GDPR, unele măsuri pot contribui la acoperirea unor cerințe din ambele cadre: controlul accesului, continuitatea, criptarea sau gestionarea incidentelor. Documentează legătura dintre fiecare măsură și cerința evaluată. Încadrarea, notificările și obligațiile specifice se verifică separat; implementarea aceleiași măsuri nu dovedește automat conformitatea cu ambele cadre.
Consecințele reale ale neconformității
Art. 83 stabilește plafoane diferite în funcție de încălcare; plafonul superior este de 20 de milioane de euro sau 4% din cifra de afaceri mondială anuală, alegând valoarea mai mare. Nu orice incident atrage acest plafon. Pe lângă sancțiuni, compania poate suporta costuri de recuperare, comunicare cu persoanele afectate și pierdere a încrederii clienților.
Evaluarea măsurilor tehnice privind datele personale poate fi inclusă în domeniul convenit al unui audit de securitate cibernetică. Precizează sistemele, prelucrările și dovezile care vor fi examinate, precum și cine validează interpretarea obligațiilor juridice.