Art. 24 Responsabilité du responsable du traitement | GDPR regulation | GDPR

This article establishes the overarching accountability obligation for controllers under the GDPR.

It requires controllers to not only comply with the regulation but to be able to actively demonstrate that compliance through appropriate technical and organisational measures.

The article is a cornerstone of the accountability principle introduced by the GDPR, and it connects directly to other articles in the regulation, such as Article 40 on codes of conduct and Article 42 on certification mechanisms, which can serve as tools to evidence compliance.

Important points:

Implement appropriate technical and organisational measures to ensure processing complies with the regulation, and review and update those measures where necessary.
Where proportionate, those measures must include the implementation of data protection policies.
Adherence to approved codes of conduct (Article 40) or approved certification mechanisms (Article 42) can be used as a means of demonstrating compliance.

1. Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire.
1. Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement.
1. L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou de mécanismes de certification approuvés comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des obligations incombant au responsable du traitement.