Art. 59 del Reglamento a la Ley Orgánica de Protección de Datos Personales

El responsable del tratamiento tiene la obligación de establecer medidas técnicas y organizativas adecuadas para aplicar los principios establecidos en la normativa de forma eficaz, y proteger los derechos de los titulares, de manera previa al tratamiento de datos personales. Para la fijación de estas medidas debe tenerse en cuenta: 1. La naturaleza, ámbito y finalidad del tratamiento; 2. Los riesgos de diversa probabilidad y gravedad asociados al tratamiento; 3. El estado de la técnica; y, 4. El coste de aplicación.