Article considérant 52

(52) Ces principes se reflètent à l’article 40 de la loi DPA 2018, selon lequel, à l’instar de l’article 4, paragraphe 1, point f), de la directive (UE) 2016/680, les données à caractère personnel traitées pour l’une des fins répressives doivent être traitées de façon à garantir une sécurité appropriée de ces données, à l’aide de mesures techniques ou organisationnelles appropriées. Cela inclut la protection contre le traitement non autorisé ou illicite des données et contre la perte, la destruction ou les dégâts d’origine accidentelle. L’article 66 de la loi DPA 2018 précise de plus que chaque responsable du traitement et chaque sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles pour garantir un niveau de sécurité adapté aux risques résultant du traitement des données à caractère personnel. D’après les notes explicatives, le responsable du traitement doit évaluer les risques et, sur la base de cette évaluation, prendre les mesures de sécurité adéquates, par exemple, le chiffrement ou des niveaux spécifiques d’habilitation de sécurité pour le personnel chargé de traiter les données. Ladite évaluation doit également tenir compte, par exemple, de la nature des données traitées ou de tous autres facteurs ou circonstances pertinents susceptibles d’avoir une incidence sur la sécurité du traitement.