Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.
L'adesione a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo.
Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri.
Spiegazione
Chi decide come trattare i dati e chi lo fa per suo conto devono proteggerli con misure adeguate ai rischi, considerando anche i costi e le tecnologie disponibili. A seconda dei casi, possono servire cifratura, sistemi affidabili e procedure per recuperare rapidamente i dati dopo un guasto. La sicurezza va controllata regolarmente, tenendo conto anche del rischio che i dati siano persi, alterati o consultati da persone non autorizzate. Chi lavora sotto l’autorità del titolare o del responsabile può usare i dati solo se è stato istruito, salvo obblighi previsti dalla legge.
Perché esiste questa norma
La norma mira a proteggere le persone dai danni causati da perdita, alterazione o uso non autorizzato dei loro dati. Poiché i rischi cambiano in base al trattamento, richiede misure proporzionate e verifiche periodiche, anziché imporre una soluzione identica per tutti.
Domande frequenti
Una piccola attività deve adottare le stesse misure di sicurezza di una grande azienda?
Non necessariamente. Le misure devono essere adeguate ai rischi concreti, considerando il tipo di dati, il modo in cui sono trattati, le finalità, le tecnologie disponibili e i costi.
La cifratura dei dati è sempre obbligatoria?
No. È indicata come una possibile misura, da adottare quando appropriata in relazione al rischio. Anche altre misure possono essere necessarie per proteggere i dati.
Se si rompe un server e non riesco ad accedere ai dati, cosa devo aver previsto?
Occorrono misure che consentano di ripristinare tempestivamente la disponibilità e l’accesso ai dati dopo un incidente fisico o tecnico.
Una certificazione o l’adesione a un codice di condotta dimostrano da sole che sono in regola?
Possono essere elementi utili per dimostrare la conformità, ma non sostituiscono l’obbligo di adottare misure adeguate al rischio concreto.
Un dipendente può consultare i dati personali per curiosità o per un’attività non affidatagli?
No. Chi opera sotto l’autorità del titolare o del responsabile e ha accesso ai dati deve trattarli solo dopo aver ricevuto istruzioni, salvo che la legge imponga di agire diversamente.