Tehničke i organizacione mjere

Tehničke i organizacione mjere, često skraćeno TOM, štite lične podatke od neovlaštenog pristupa, gubitka, izmjene i druge nedopuštene obrade. Član 32 GDPR-a zahtijeva nivo sigurnosti koji odgovara riziku. Ova obaveza povezana je s odgovornošću kontrolora prema članu 24 GDPR-a, kao i sa zaštitom podataka kroz dizajn i podrazumijevane postavke prema članu 25 GDPR-a.

Odgovarajuće mjere zavise od obrade, vrste podataka i mogućih posljedica. Član 32 GDPR-a navodi, između ostalog, pseudonimizaciju i šifrovanje, obezbjeđivanje povjerljivosti, integriteta, dostupnosti i otpornosti, postupke za brzu obnovu dostupnosti i pristupa te redovna testiranja i procjene djelotvornosti. Zato tema ne obuhvata samo IT postavke. Uključuje i ovlaštenja, odgovornosti, obuku zaposlenih, postupke za incidente i nadzor pružalaca usluga.

Opšti spisak sigurnosnih mjera nije dovoljan za preduzeće. Mjere treba povezati sa stvarnim obradama, dokumentovati tako da ih je moguće pratiti i preispitati kada se obrada ili rizici promijene. Oblast izvršitelja obrade i pružalaca usluga objašnjava ugovorni okvir. Provjera ugovora o obradi i kontrolna lista za izvršitelja obrade pomažu pri prvom sređivanju dokaza. Stranica o usklađenosti i upravljanju privatnošću daje dodatnu orijentaciju o odgovornostima i redovnim kontrolama.