Article 28. Protection des données dès la conception et par défaut

Article 28. Protection des données dès la conception et par défaut

1. Compte tenu de l'état des connaissances techniques, du coût de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, le responsable doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour appliquer de manière effective les principes relatifs à la protection des données et assortir le traitement des garanties nécessaires.

2. Le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées, tant en ce qui concerne la quantité de données à caractère personnel collectées et l'étendue du traitement que le délai de conservation et l'accessibilité. Ces mesures doivent notamment garantir que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne intéressée.