1. Le traitement, par le CERT-UE, le conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10 et les entités de l’Union, de données à caractère personnel au titre du présent règlement est effectué conformément au règlement (UE) 2018/1725.
2. Lorsqu’ils exécutent des tâches ou remplissent des obligations en vertu du présent règlement, le CERT-UE, le conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10 et les entités de l’Union ne traitent et n’échangent des données à caractère personnel que dans la mesure nécessaire et dans le seul but d’exécuter ces tâches ou de remplir ces obligations.
3. Le traitement de catégories particulières de données à caractère personnel visées à l’article 10, paragraphe 1, du règlement (UE) 2018/1725 est considéré comme nécessaire pour des raisons d’intérêt public important conformément à l’article 10, paragraphe 2, point g), dudit règlement. Ces données ne peuvent être traitées que dans la mesure nécessaire à la mise en œuvre des mesures de gestion des risques de cybersécurité visées aux articles 6 et 8, à la fourniture de services par le CERT-UE au titre de l’article 13, au partage d’informations propres à un incident au titre de l’article 17, paragraphe 3, et de l’article 18, paragraphe 3, au partage d’informations au titre de l’article 20, aux obligations en matière de communication d’informations prévues à l’article 21, à la coordination de la réaction aux incidents et à la coopération au titre de l’article 22 et à la gestion des incidents majeurs au titre de l’article 23 du présent règlement. Les entités de l’Union et le CERT-UE, lorsqu’ils agissent en qualité de responsables du traitement, appliquent des mesures techniques pour empêcher le traitement des catégories particulières de données à caractère personnel à d’autres fins et prévoient des mesures appropriées et spécifiques pour protéger les droits fondamentaux et les intérêts des personnes concernées.