Projet

Art. 16 Analyse d’impact relative à la protection des données

¹Lorsque le traitement envisagé est susceptible d’entraîner un risque accru pour la personnalité et les droits fondamentaux de la personne concernée, le responsable du traitement ou le sous-traitant procède au préalable à une analyse d’impact.

²L’analyse d’impact expose le traitement envisagé, les risques pour la personnalité et les droits fondamentaux de la personne concernée ainsi que les mesures prévues pour réduire ces risques.

³Le responsable du traitement ou le sous-traitant communique les résultats de l’analyse d’impact au préposé, ainsi que les mesures envisagées.

⁴Si le préposé a des objections concernant les mesures envisagées, il en informe le responsable du traitement ou le sous-traitant dans un délai de trois mois dès la réception de toutes les informations nécessaires.

Art. 17 Notification des violations de la protection des données

¹Le responsable du traitement notifie sans délai au préposé tout traitement non autorisé ou toute perte de données personnelles, à moins que la violation ne présente vraisemblablement pas de risques pour la personnalité et les droits fondamentaux de la personne concernée.

²Il informe par ailleurs la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le préposé l’exige.

³Le responsable du traitement peut, dans les cas visés à l’art. 14, al. 3 et 4, restreindre la notification à la personne concernée, la différer ou y renoncer.

⁴Le sous-traitant informe sans délai le responsable du traitement de tout traitement non autorisé de données personnelles.

Art. 18 Protection des données dès la conception et par défaut

¹Dès la conception du traitement, le responsable du traitement et le sous-traitant sont tenus de prendre les mesures appropriées pour minimiser les risques d’atteinte à la personnalité et aux droits fondamentaux de la personne concernée, et pour prévenir ces atteintes.

²Ils sont au surplus tenus, par le biais de préréglages appropriés, de garantir que, par défaut, seules les données personnelles nécessaires à la finalité du traitement sont traitées.

Art. 19 Autres obligations

Le responsable du traitement et le sous-traitant sont en outre tenus :

a. de documenter leurs traitements de données personnelles ;

b. d’informer les destinataires auxquels des données ont été communiquées de toute rectification, effacement, ou destruction des données personnelles, de toute violation de la protection des données ainsi que de toute limitation du