Artigo 33.o Segurança do tratamento

1.   Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variáveis, para os direitos e as liberdades das pessoas singulares, o responsável pelo tratamento e o subcontratante aplicam medidas técnicas e organizativas apropriadas para assegurar um nível de segurança adequado ao risco, nomeadamente, conforme adequado:

2.   Ao avaliar o nível de segurança adequado, devem ser tidos em conta, designadamente, os riscos apresentados pelo tratamento, em particular os riscos decorrentes da destruição, da perda e da alteração acidentais ou ilícitas dos dados, e da divulgação ou do acesso não autorizados dos dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

3.   O responsável pelo tratamento e o subcontratante devem tomar medidas para assegurar que as pessoas singulares que, agindo sob a autoridade do responsável pelo tratamento ou do subcontratante, tenham acesso a dados pessoais, só procedam ao seu tratamento mediante instruções do responsável pelo tratamento, salvo se a tal forem obrigadas pelo direito da União.

4.   O cumprimento de um procedimento de certificação aprovado a que se refere o artigo 42.o do Regulamento (UE) 2016/679 pode ser utilizado como um elemento demonstrativo do cumprimento das obrigações estabelecidas no n.o 1 do presente artigo.