W archiwum (także zakładowym) przetwarza się dokumentację zawierającą dane osobowe, a część z nich może mieć charakter szczególnie wrażliwy (np. informacje o zdrowiu czy inne dane wymagające zwiększonej ostrożności). Z tego powodu prawdziwe jest stwierdzenie: "Dane wrażliwe powinny być dodatkowo zabezpieczone w porównaniu do innych danych osobowych." W praktyce oznacza to wdrożenie środków organizacyjnych i technicznych adekwatnych do ryzyka, np. ograniczenie kręgu osób uprawnionych, ewidencję udostępnień, zabezpieczenie pomieszczeń i szaf, kontrolę kopiowania oraz właściwe zabezpieczenie systemów informatycznych.
Stwierdzenie "Dane wrażliwe nie wymagają specjalnych środków ochrony" jest błędne, bo ignoruje zasadę poufności i konieczność dopasowania zabezpieczeń do wagi informacji. W archiwum brak dodatkowych barier (organizacyjnych lub technicznych) zwiększa ryzyko nieuprawnionego wglądu, wyniesienia dokumentów lub ujawnienia treści.
Stwierdzenie "Dane wrażliwe mogą być przekazywane osobom trzecim bez zgody osoby, której dane dotyczą" jest błędne, bo udostępnianie danych wymaga podstawy i kontroli uprawnień; w praktyce archiwalnej kluczowe są procedury udostępniania i weryfikacja, komu i w jakim celu dokumenty są przekazywane.
Stwierdzenie "Dane wrażliwe nie muszą być szyfrowane" jest zbyt kategoryczne: szyfrowanie bywa jednym z ważnych środków, zwłaszcza dla kopii cyfrowych i nośników przenośnych. Nawet jeśli nie zawsze jest jedynym wymaganym rozwiązaniem, to teza o braku potrzeby szyfrowania jako zasada jest myląca w kontekście podwyższonej ochrony.
Wskazówka egzaminacyjna: gdy odpowiedzi są skrajne ("nie wymagają ochrony", "bez zgody zawsze wolno"), zazwyczaj prawidłowa jest ta oparta o zasadę zwiększenia zabezpieczeń i kontroli dostępu.
