Informační systémy
Kromě samotné ochrany musí firma vědět, kde všude jsou obsaženy a být schopna pracovat s osobními údaji jako celkem. Kromě jiného musí být schopna:
- zobrazit uživateli přehled všech osobních údajů
- zpracovat žádost o opravu či výmaz osobních údajů
- zpřístupnit osobní údaje pro přenos a logovat veškeré přenosy osobních údajů
- přiřadit příznak omezení zpracování a blokovat osobní údaje v systému
- vytvořit a zpětně doložit průběh odsouhlasení, uložení, ochrany a likvidace osobních dat
Šifrování není povinné
Zdroj: Úřad pro ochranu osobních údajů
Obecné nařízení neukládá povinnost použít pro zabezpečení zpracování některé specifické opatření.
Naopak, při stanovení povinnosti správce a zpracovatele zabezpečit osobní údaje, se obecné nařízení výslovně dovolává ohledu na stav techniky, náklady na přijetí a provedení jednotlivých technických a organizačních opatření k zabezpečení osobních údajů, povaze, rozsahu, kontextu a účelům samotného zpracování a také k pravděpodobným rizikům pro práva a svobody, jež s sebou zpracování nese.
Vlastní povinnost pak zahrnuje zavedení vhodných technických a organizačních opatření a začlenění do zpracování nezbytných záruk, a to jak v době určení prostředků pro zpracování, tak v době vlastního zpracování. Šifrování je uvedeno jako jedno z vhodných opatření („případně včetně /…/ šifrování osobních údajů“). Při posuzování úrovně bezpečnosti se zohlední zejména rizika, která představuje zpracování, jako náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění osobních údajů a neoprávněný přístup k takovým údajům.
