Art. 24 Responsabilité du responsable du traitement | GDPR regulation | GDPR

This article establishes the overarching accountability obligation for controllers under the GDPR.

It requires controllers to not only comply with the regulation but to be able to actively demonstrate that compliance through appropriate technical and organisational measures.

The article is a cornerstone of the accountability principle introduced by the GDPR, and it connects directly to other articles in the regulation, such as Article 40 on codes of conduct and Article 42 on certification mechanisms, which can serve as tools to evidence compliance.

Important points:

Implement appropriate technical and organisational measures to ensure processing complies with the regulation, and review and update those measures where necessary.
Where proportionate, those measures must include the implementation of data protection policies.
Adherence to approved codes of conduct (Article 40) or approved certification mechanisms (Article 42) can be used as a means of demonstrating compliance.

Relevant provisions

Visualisation of which provisions are relevant to a given recital.

Il y a lieu d'instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu'il effectue lui-même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l'efficacité des mesures. Ces mesures devraient tenir compte de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque que celui-ci présente pour les droits et libertés des personnes physiques.

Des directives relatives à la mise en œuvre de mesures appropriées et à la démonstration par le responsable du traitement ou le sous-traitant du respect du présent règlement, notamment en ce qui concerne l'identification du risque lié au traitement, leur évaluation en termes d'origine, de nature, de probabilité et de gravité, et l'identification des meilleures pratiques visant à atténuer le risque, pourraient être fournies notamment au moyen de codes de conduite approuvés, de certifications approuvées et de lignes directrices données par le comité ou d'indications données par un délégué à la protection des données. Le comité peut également publier des lignes directrices relatives aux opérations de traitement considérées comme étant peu susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques et indiquer les mesures qui peuvent suffire dans de tels cas pour faire face à un tel risque.

Article 24 Responsabilité du responsable du traitement

Relevant recitals