Does GDPR require encryption of personal data?
Il GDPR richiede la crittografia dei dati personali?
Article 6 (Lawfulness of processing) identifies 'encryption or pseudonymisation' as 'appropriate safeguards' for protecting subjects' personal data. Article 32 (Security of processing) states that “the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate: (a) the pseudonymisation and encryption of personal data …' Article 34 (Communication of a personal data breach to the data subject) allows organisations suffering a data breach to avoid the communication requirement if they used encryption to 'render the personal data unintelligible to any person unauthorised to access it.'
L'articolo 6 (Liceità del trattamento) individua nella "crittografia o pseudonimizzazione" "garanzie idonee" a proteggere i dati personali degli interessati. L'articolo 32 (Sicurezza del trattamento) stabilisce che "il responsabile del trattamento mette in atto le misure tecniche e organizzative opportune per garantire un livello di sicurezza adeguato al rischio, ivi compresi, se del caso: (a) la pseudonimizzazione e la cifratura dei dati personali..." L'articolo 34 (Comunicazione di una violazione dei dati personali all'interessato) consente alle organizzazioni che subiscono una violazione dei dati personali di evitare l'obbligo di comunicazione se hanno utilizzato la crittografia per "rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi".