(1) Operatorul, ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de gradul de ingerință în drepturile și libertățile persoanelor fizice, este obligat să aplice măsurile tehnice și organizatorice adecvate pentru a asigura și a fi în măsură să demonstreze efectuarea prelucrării în conformitate cu prezenta lege.
(2) Măsurile adoptate potrivit prevederilor alin. (1) trebuie să fie proporționale cu operațiunile de prelucrare realizate de către operator și includ politici corespunzătoare de protecție a datelor cu caracter personal.