Le paragraphe 1 rattache l’appréciation à la nature, à la portée, au contexte et aux finalités du traitement ainsi qu’aux risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques. L’obligation est donc fondée sur le risque et modulable, et non un catalogue figé, de sorte qu’un traitement de faible ampleur et à faible risque et un traitement à grande échelle et à risque élevé appellent des mesures différentes.

Pas nécessairement. Le paragraphe 2 n’exige que les mesures comprennent la mise en œuvre de politiques appropriées en matière de protection des données que lorsque cela est proportionné au regard des activités de traitement, ce qui laisse aux responsables du traitement dont les traitements sont limités ou à faible risque la possibilité de démontrer le respect de leurs obligations par d’autres moyens.

Au-delà de la documentation de ses propres mesures, le paragraphe 3 prévoit que l’application d’un code de conduite approuvé comme le prévoit l’article 40 ou de mécanismes de certification approuvés comme le prévoit l’article 42 peut servir d’élément pour démontrer le respect de ses obligations. Ni cette application ni la certification ne prouvent de manière concluante la conformité, puisque le texte ne les décrit que comme un élément de la démonstration.

Non. La seconde phrase du paragraphe 1 exige que les mesures soient réexaminées et actualisées si nécessaire, de sorte que la conformité constitue une obligation continue qui doit suivre l’évolution du traitement, de son contexte et des risques associés.