I artikel 32 anges de säkerhetsåtgärder som en personuppgiftsansvarig måste vidt för att skydda personuppgifter de behandlar.

Artikeln avser främst säkerhetsåtgärder som den personuppgiftsansvarige kan implementera under behandlingen. När det gäller vad som ska ses som lämpliga säkerhetsåtgärder bör följande faktorer beaktas:

• Kostnaden för genomförandet;
• behandlingens art, omfattning, sammanhang och ändamål;
• risker och svårighetsgraden av behandlingen.

Dessa faktorer bör sedan utvärderas för att avgöra vilken grad av säkerhetsåtgärder som bör anses lämpliga för den specifika behandlingen.

Pseudonymisering och kryptering är två exempel på åtgärder som kan utföras av en personuppgiftsansvarig för att skydda personuppgifter.