Les données doivent être collectées pour des finalités déterminées, explicites et légitimes et ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités. Elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement. Elles doivent être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées. Au-delà de cette période requise, les données ne peuvent faire l’objet d’une conservation qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherches en vertu des dispositions légales. Article 36 : Les données collectées doivent être exactes et, si nécessaire, mises à jour. Toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement, soient effacées ou rectifiées. Article 37 : Le principe de transparence implique une information obligatoire de la part du responsable du traitement portant sur les données à caractère personnel. Article 38 : Les données à caractère personnel doivent être traitées de manière confidentielle et être protégées conformément aux dispositions de l’article 71 de la présente loi, notamment lorsque le traitement comporte des transmissions de données dans un réseau. Article 39 : Lorsque le traitement est mis en oeuvre pour le compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes. Il incombe au responsable du traitement ainsi qu'au sous-traitant de veiller au respect des mesures de sécurité définies par l’article 71 de la présente loi. Tout traitement effectué pour le compte du responsable du traitement doit être régi par un contrat ou un acte juridique consigné par écrit qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant n’agit que sur la seule instruction du responsable du traitement et que les obligations visées au présent article incombent également à celui-ci. 16