L. protection données Art. 60

§ 1er. Le responsable du traitement et le sous-traitant mettent en oeuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des données à caractère personnel, visées à l'article 34 de la présente loi, et compte tenu de l'état des connaissances, des coûts de la mise en oeuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, afin de garantir un niveau de sécurité adapté au risque.

§ 2. En ce qui concerne le traitement automatisé, le responsable du traitement ou le sous-traitant met en oeuvre, à la suite d'une évaluation des risques, des mesures destinées à :

1° empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement;

2° empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée;

3° empêcher l'introduction non autorisée de données à caractère personnel dans le fichier, ainsi que la consultation, la modification ou l'effacement non autorisé de données à caractère personnel enregistrées;

4° empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données;

5° garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu'aux données à caractère personnel sur lesquelles porte leur autorisation;

6° garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données;

7° garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites;

8° empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée;

9° garantir que les systèmes installés puissent être rétablis en cas d'interruption;

10° garantir que les fonctions du système opèrent, que les erreurs de fonctionnement éventuelles soient signalées et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système.