EU-rättsaktsregister · GDPR
Artikel 32Säkerhet i samband med behandlingen
CELEX 32016R0679 · Läst 2026-08-18 · Kapitel IV
Officiell text
Läst hos EU:s publikationsbyrå för det här CELEX-numret. Lydelsen står som den är publicerad, ingenting är omskrivet eller sammanfattat.
1. Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt
a)
pseudonymisering och kryptering av personuppgifter,
b)
förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna,
c)
förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident,
d)
ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.
2. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
3. Anslutning till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 får användas för att visa att kraven i punkt 1 i den här artikeln följs.
4. Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det.
Andra artiklar i kapitlet
Relaterade artiklar
Artiklar i andra rättsakter som hänger ihop med den här, med skälet skrivet mot texten. Kartan är en väg mellan rättsakter, inte en bedömning.
- Motsvarar · ömsesidigDORA · 9
Skyddsåtgärder för behandling möter skyddsåtgärder för IKT-system hos en finansiell entitet: samma slags krav, olika skyddsobjekt.
CELEX 32022R2554 · 2026-08-18
- Motsvarar · ömsesidigNIS2 · 21
Båda artiklarna kräver säkerhetsåtgärder som står i proportion till risken, den ena för personuppgifter och den andra för nät och informationssystem.
CELEX 32022L2555 · 2026-08-18
EU-domstolens avgöranden
3 avgöranden
- C-169/23EU-domstolen
Nemzeti Adatvédelmi és Információszabadság Hatóság v UC
Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter – Förordning (EU) 2016/679 – Uppgifter som behandlats i samband med upprättandet av ett covid-19-intyg – Uppgifter som inte erhållits från den registrerade – Information som ska tillhandahållas – Undantag från informationsskyldigheten – Artikel 14.5 c – Uppgifter som har genererats i den personuppgiftsansvariges eget förfarande – Rätt att inge klagomål – Tillsynsmyndighetens behörighet – Artikel 77.1 – Lämpliga åtgärder för att skydda den registrerades berättigade intressen som föreskrivs i en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av – Åtgärder som avser säkerheten i samband med behandling av uppgifter – Artikel 32.
- C-687/21EU-domstolen
BL v MediaMarktSaturn Hagen-Iserlohn GmbH
Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Tolkning av artiklarna 5, 24, 32 och 82 – Bedömning av giltigheten av artikel 82 – Begäran om giltighetsbedömning kan inte tas upp till prövning – Rätt till ersättning för skada som uppkommit genom en behandling av sådana uppgifter i strid med denna förordning – Överlämnande av uppgifter till en obehörig tredje part på grund av ett fel som begåtts av den personuppgiftsansvariges anställda – Bedömning av om de skyddsåtgärder som den personuppgiftsansvarige har vidtagits är lämpliga – Den kompensatoriska funktionen uppfylls genom rätten till ersättning – Betydelsen av överträdelsens allvar – Nödvändigheten av att fastställa att denna överträdelse har orsakat en skada – Begreppet ’immateriell skada’.
- C-340/21EU-domstolen
VB v Natsionalna agentsia za prihodite
Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5 – Principer för behandling av personuppgifter – Artikel 24 – Den personuppgiftsansvariges ansvar – Artikel 32 – Genomförandeåtgärder för att säkerställa säkerhet i samband med personuppgiftsbehandling – Bedömning av huruvida sådana åtgärder är lämpliga – Omfattningen av domstolsprövningen – Bevisupptagning – Artikel 82 – Rätt till ersättning och skadeståndsansvar – Fråga huruvida den personuppgiftsansvarige kan undgå ansvar i fall där överträdelsen av förordningen har begåtts av utomstående aktörer – Begäran från en registrerad om ersättning för ideell skada som grundas på den registrerades fruktan för att hans eller hennes personuppgifter kan komma att missbrukas i framtiden.
Texten är citerad ur den officiella källan och är inte juridisk rådgivning. En nationell domstol läser den språkversion som binder i sin jurisdiktion.
Kontrollerbara förtroendesignaler
- Sex fasta block, en källa per rad
- Ingen mening skriven av en språkmodell
- Motorversion och läsdatum på varje svar
- Ingen kunddata, inga dokument, ingen rådgivning
- Modellkort och revision publicerade enligt AI-akten