1. Tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento aplica medidas técnicas e organizativas adequadas para assegurar e poder demonstrar que o tratamento é efectuado em conformidade com o presente regulamento.
Essas medidas devem ser revistas e actualizadas sempre que necessário.

2 Caso sejam proporcionadas em relação às atividades de tratamento, as medidas a que se refere o n.° 1 incluem a aplicação de políticas adequadas em matéria de proteção de dados pelo responsável pelo tratamento.

3. O cumprimento de códigos de conduta aprovados conforme referido no artigo 40.° ou de procedimentos de certificação aprovados conforme referido no artigo 42.° pode ser utilizada como elemento para demonstrar o cumprimento das obrigações do responsável pelo tratamento.