L'articolo 10 del GDPR limita il trattamento dei dati personali relativi a condanne penali e reati, o a misure di sicurezza connesse. In pratica, questo significa che i dati che possono suggerire frode, abuso, furto, accesso non autorizzato o altra condotta criminale richiedono una base giuridica più solida e garanzie più rigorose rispetto ai normali dati personali. Le organizzazioni non possono trattare questi record come semplici ticket di assistenza o dati utente ordinari.
Nella sicurezza informatica, l'articolo 10 compare spesso nei registri degli incidenti, nelle segnalazioni di abuso, nei sistemi di monitoraggio delle frodi, nei controlli dei precedenti e nelle indagini che indicano una persona come sospetto o autore del reato. I difensori devono limitare gli accessi, definire i periodi di conservazione e documentare perché i dati sono necessari. Anche gli aggressori possono sfruttare una gestione debole di queste informazioni, esponendo accuse sensibili tramite archiviazione configurata in modo errato, condivisione eccessiva o scarso controllo degli accessi. Per i team di sicurezza, l'articolo 10 ricorda che la raccolta lecita è solo l'inizio; una governance sicura e una gestione rigorosa basata sul principio del need-to-know sono altrettanto importanti.