Article 35. Sécurité et confidentialité du traitement

Article 35. Sécurité et confidentialité du traitement

1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable et le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris, entre autres, le cas échéant :

a) La pseudonymisation et le chiffrement des données à caractère personnel.

b) La capacité de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement.

c) La capacité de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique.

d) Une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles mises en place pour assurer la sécurité du traitement. Des mesures supplémentaires peuvent être établies par voie réglementaire.

2. Lors de l'évaluation du caractère approprié du niveau de sécurité, il convient de tenir compte en particulier des risques que présente le traitement de données, résultant notamment de la destruction, de la perte ou de l'altération, de manière accidentelle ou illicite, de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de la communication non autorisée de telles données ou de l'accès non autorisé à celles-ci.

3. L'application de codes de conduite ou d'un mécanisme de certification approuvé conformément à la réglementation de protection des données à caractère personnel de l'Union européenne ayant une validité générale au sein de l'Union peut servir d'élément pour démontrer le respect des conditions requises établies au paragraphe 1 du présent article.

4. Le responsable et le sous-traitant doivent prendre des mesures afin de garantir que toute personne agissant sous leur autorité et ayant accès à des données à caractère personnel ne peut traiter ces données que sur instruction du responsable, à moins d'y être obligée en vertu d'une exigence légale.

5. Outre les devoirs de secret professionnel conformément à la réglementation applicable, les responsables du traitement de données et les sous-traitants, ainsi que toutes les personnes intervenant dans l'une quelconque de ses phases, sont soumis au devoir de confidentialité, qui subsiste même après la fin de la relation de la personne obligée avec le responsable du traitement ou le sous-traitant.