1. 控制者和处理者应制定并采取适当的技术和监管措施，依照最佳国际惯例和标准，确保与数据处理风险相适应的最高信息安全标准，包括： a. 对个人数据加密并采用假名化； b. 采取措施确保数据处理系统和服务持续具备保密性、安全性、准确性及韧性； c. 采取措施确保在发生物理或技术故障时能够及时恢复个人数据及对其访问； d. 采取措施持续测试和评估保障处理安全之技术及监管措施的有效性。 2. 评估第1款所述信息安全水平时，应考虑： a. 数据处理风险，包括个人数据在传输、保存或处理过程中发生毁损、丢失、意外或非法变更、披露或访问； b. 数据处理成本、性质、范围和目的，以及对数据主体个人数据保密性和隐私可能产生的风险。
解释和适用时须核对官方文本及现行版本。