Article considérant 124

(124) À l’instar de la directive (UE) 2016/680, la partie 3 de la DPA 2018 énonce les principes de licéité et de loyauté, de limitation de la finalité, de minimisation des données, d’exactitude, de limitation de la conservation et de sécurité. La législation impose des obligations spécifiques de transparence et confère aux personnes concernées un droit d’accès, de rectification et de suppression et le droit de ne pas faire l’objet d’une prise de décision automatisée. Les autorités compétentes doivent également mettre en œuvre des mesures de protection des données dès la conception et par défaut, tenir un registre des activités de traitement et, pour certaines opérations de traitement, effectuer des analyses d’impact relatives à la protection des données et consulter au préalable le commissaire à l’information. Conformément à l’article 56 de la DPA 2018, elles sont tenues de démontrer la conformité du traitement. En outre, les autorités compétentes doivent mettre en place des mesures appropriées visant à garantir la sécurité du traitement et elles sont soumises à des obligations spécifiques en cas de violation de données, notamment l’obligation de notifier une telle violation au commissaire à l’information et aux personnes concernées. À l’instar de ce que dispose la directive (UE) 2016/680, le responsable du traitement est également tenu (sauf s’il s’agit d’une juridiction ou d’une autre autorité judiciaire agissant dans l’exercice de sa fonction juridictionnelle) de désigner un délégué à la protection des données (DPD) qui l’aidera à se conformer à ses obligations et à contrôler le respect de ces obligations. Par ailleurs, afin de garantir la continuité de la protection, la loi impose des exigences spécifiques relatives aux transferts internationaux des données à caractère personnel à des fins répressives vers des pays tiers ou à des organisations internationales. À la même date que pour la présente décision, la Commission a adopté une décision d’adéquation en vertu de l’article 36, paragraphe 3, de la directive (UE) 2016/680, constatant que le régime de protection des données applicable au traitement des données par les autorités répressives britanniques assure un niveau de protection essentiellement équivalent à celui garanti par la directive (UE) 2016/680.