Article considérant 42

(42) Conformément à l’article 33 du règlement (UE) 2018/1725 et compte tenu de l’état de la technique, des coûts de mise en œuvre, de la nature, de l’objet, du contexte et des finalités du traitement, ainsi que de la probabilité et de la gravité des risques d’atteinte aux droits et aux libertés des personnes physiques, les entités de l’Union et le CERT-UE devraient prendre des mesures techniques et organisationnelles appropriées pour garantir un niveau adéquat de sécurité des données à caractère personnel, par exemple accorder des droits d’accès restreints fondés sur le besoin d’en connaître, appliquer des principes de piste d’audit, adopter une chaîne de contrôle, conserver les données au repos dans un environnement contrôlé et susceptible de faire l’objet d’un audit, suivre des procédures opérationnelles normalisées et adopter des mesures de protection de la vie privée, comme la pseudonymisation ou le chiffrement. La mise en œuvre de ces mesures ne devrait pas affecter les finalités du traitement des incidents ni l’intégrité des preuves. Lorsqu’une entité de l’Union ou le CERT-UE transfèrent des données à caractère personnel liées à un incident, y compris des catégories particulières de données à caractère personnel, à un homologue ou à un partenaire aux fins du présent règlement, le transfert devrait respecter le règlement (UE) 2018/1725. Lorsque des catégories particulières de données à caractère personnel sont transférées à un tiers, les entités de l’Union et le CERT-UE devraient veiller à ce que ce tiers applique des mesures de protection des données à caractère personnel à un niveau équivalent à celui du règlement (UE) 2018/1725.