Artigo 27.o Proteção de dados desde a conceção e por defeito

1.   Tendo em conta as técnicas mais avançadas, os custos da sua aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos decorrentes do tratamento para os direitos e as liberdades das pessoas singulares, de probabilidade e gravidade variáveis, o responsável pelo tratamento deve aplicar, tanto no momento da definição dos meios de tratamento como durante o próprio tratamento, as medidas técnicas e organizativas adequadas, como a pseudonimização, destinadas a pôr efetivamente em prática os princípios da proteção de dados, como a minimização, e a integrar as garantias necessárias no tratamento a fim de cumprir os requisitos do presente regulamento e de proteger os direitos dos titulares dos dados.

2.   O responsável pelo tratamento deve aplicar medidas técnicas e organizativas adequadas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica-se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, essas medidas asseguram que, por defeito, os dados pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.

3.   O cumprimento de procedimentos de certificação aprovados nos termos do artigo 42.o do Regulamento (UE) 2016/679 pode ser utilizado como um elemento demonstrativo do cumprimento das obrigações estabelecidas nos n.os 1 e 2 do presente artigo.