Article 10 : Le responsable du traitement doit mettre en œuvre toutes mesures techniques et organisationnelles appropriées afin de préserver la sécurité et la confidentialité des données, notamment protéger les données contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès par des personnes non autorisées. Article 11 : Lorsque le traitement est mis en œuvre pour le compte du responsable de traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties de protection suffisantes. Il doit conclure avec lui une convention précisant notamment les seules opérations de traitements autorisées et le sort des données à l’issue du contrat. Il incombe au responsable de traitement ainsi qu'au sous-traitant de veiller au respect de l’obligation de sécurité et de confidentialité. Article 12 : Sauf dérogation prévue par la loi, il est interdit de collecter ou de traiter, sans le consentement exprès de la personne concernée, les données à caractère personnel qui révèlent les convictions ou activités religieuses, philosophiques, politiques, syndicales, ethniques, la vie sexuelle, la race, la santé et les mœurs, les données génétiques et biométriques, les mesures d’ordre social, les poursuites, les sanctions pénales ou administratives. En tout état de cause, la loi peut interdire de tels traitements nonobstant le consentement de la personne concernée. Article 13 : Le responsable du traitement doit requérir le consentement préalable de la personne concernée avant toute mise en œuvre du traitement des données à caractère personnel, sauf dans les cas suivants : - le traitement des données à caractère personnel porte sur des données manifestement rendues publiques par la personne concernée dans le cadre de finalités poursuivies qui sont légitimes ; - le traitement des données à caractère personnel est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre 8