L’articolo 24 del GDPR richiede che un titolare del trattamento implementi misure tecniche e organizzative adeguate per proteggere i dati personali. “Adeguate” non significa una checklist fissa. Significa che le misure di sicurezza devono adattarsi all’attività di trattamento, alla sensibilità dei dati, ai sistemi in uso e ai rischi per le persone. In pratica, questo spinge le organizzazioni a prendere e documentare decisioni basate sul rischio invece di fare affidamento su politiche generiche.
Nel campo della sicurezza informatica, l’articolo 24 è importante perché trasforma la conformità alla privacy in un problema di controllo operativo. Un titolare del trattamento dovrebbe essere in grado di spiegare perché sono state scelte misure specifiche, come il controllo degli accessi, la cifratura, la registrazione dei log, la supervisione dei fornitori, la formazione o la revisione dei flussi di dati. Supporta anche una difesa continua: quando cambiano sistemi, fornitori o finalità del trattamento, l’organizzazione dovrebbe rivedere i propri controlli. Se non può dimostrare che le sue misure di sicurezza erano adeguate, potrebbe non soddisfare il requisito di responsabilizzazione del GDPR anche se esiste della documentazione.