1. Lorsque le traitement est effectué pour son compte, le responsable du traitement choisit un sous-traitant qui présente des garanties suffisantes de mise en œuvre des mesures et procédures techniques et organisationnelles appropriées, de manière à ce que le traitement soit conforme aux prescriptions du présent règlement et garantisse la protection des droits de la personne concernée, en ce qui concerne notamment les mesures de sécurité technique et d'organisation régissant le traitement à effectuer, et veille au respect de ces mesures.

 2. La réalisation de traitements en sous-traitance est régie par un contrat ou un autre acte juridique qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant:

a) n'agit que sur instruction du responsable du traitement, en particulier lorsque le transfert des données à caractère personnel utilisées est interdit;

b) n'emploie que du personnel qui a pris des engagements de confidentialité ou qui est soumis à une obligation légale de confidentialité;

c) prend toutes les mesures nécessaires en vertu de l’article 30;

d) n'engage un autre sous-traitant que moyennant l'autorisation préalable du responsable du traitement;

e) dans la mesure du possible compte tenu de la nature du traitement, crée, en accord avec le responsable du traitement, les conditions techniques et organisationnelles nécessaires pour permettre au responsable du traitement de s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III;

f) aide le responsable du traitement à garantir le respect des obligations prévues aux articles 30 à 34;

g) transmet tous les résultats au responsable du traitement après la fin du traitement et s'abstient de traiter les données à caractère personnel de toute autre manière;

h) met à la disposition du responsable du traitement et de l'autorité de contrôle toutes les informations nécessaires au contrôle du respect des obligations prévues par le présent article.

3. Le responsable du traitement et le sous-traitant conservent une trace documentaire des instructions données par le responsable du traitement et des obligations du sous-traitant énoncées au paragraphe 2.

4. S'il traite des données à caractère personnel d'une manière autre que celle définie dans les instructions du responsable du traitement, le sous-traitant est considéré comme responsable du traitement à l’égard de ce traitement et il est soumis aux dispositions applicables aux responsables conjoints du traitement prévues à l'article 24.

5. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser davantage les critères et exigences applicables aux responsabilités, obligations et missions d'un sous-traitant en conformité avec le paragraphe 1, ainsi que les conditions qui permettent de faciliter le traitement des données à caractère personnel au sein d’un groupe d’entreprises, en particulier aux fins de contrôle et de présentation de rapports.

 1. (…). Le responsable du traitement fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes de mise en œuvre des mesures techniques et organisationnelles appropriées (…), de manière à ce que le traitement soit conforme aux prescriptions du présent règlement (…).

 1 bis. Le sous-traitant ne recrute pas un autre sous-traitant sans l'accord écrit préalable, spécifique ou général, du responsable du traitement. Dans ce cas, le sous-traitant devrait toujours informer le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.

1 ter. (…)

2. La réalisation d'un traitement par un sous-traitant est régie par un contrat ou un acte juridique au titre du droit de l'Union ou du droit national liant le sous-traitant au responsable du traitement, définissant l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, les droits du responsable du traitement (...) et prévoyant notamment que le sous-traitant:

a) ne traite les données à caractère personnel que sur instruction du responsable du traitement (…), à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou de la législation de l'État membre à laquelle le responsable du traitement est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement des données, sauf si la loi interdit une telle information pour des motifs importants d'intérêt public;

b) (…)

c) prend toutes les mesures (…) requises en vertu de l'article 30;

d) respecte les conditions de recrutement d'un autre sous-traitant (…), telles que l'obligation d'une autorisation préalable spécifique du responsable du traitement;

e) (…), compte tenu de la nature du traitement, aide le responsable du traitement à donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III;

f) (...) aide le responsable du traitement à garantir le respect des obligations prévues aux articles 30 à 34;

g) renvoie ou supprime les données à caractère personnel, selon le choix du responsable du traitement, au terme des services de traitement des données précisés dans le contrat ou dans un autre acte juridique, à moins que le droit de l'Union ou celui de l'État membre auquel le sous-traitant est soumis exige la conservation des données;

h) met à la disposition du responsable du traitement (…) toutes les informations nécessaires pour apporter la preuve du respect des obligations prévues par le présent article, permettre la réalisation d'audits par le responsable du traitement et contribuer à ces audits. Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du présent règlement ou des dispositions de l'Union ou des États membres relatives à la protection des données.

2 bis. Lorsqu'un sous-traitant recrute (...) un autre sous-traitant pour exécuter des opérations de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations que celles fixées dans le contrat ou l'autre acte juridique liant le sous-traitant au responsable du traitement, visé au paragraphe 2, s'imposent à cet autre sous-traitant par contrat ou au moyen d'un autre acte juridique au titre du droit de l'Union ou du droit national, en particulier pour ce qui est de présenter des garanties suffisantes pour mettre en œuvre les mesures techniques et organisationnelles appropriées, de manière à ce que le traitement soit conforme aux prescriptions du présent règlement. Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.

2 bis bis L'adhésion du sous-traitant à un code de conduite approuvé visé à l'article 38 ou un mécanisme de certification approuvé visé à l'article 39 peuvent être utilisés comme moyen de démontrer l'existence des garanties suffisantes visées aux paragraphes 1 et 2 bis.

2 bis ter. Sans préjudice d'un contrat particulier entre le responsable du traitement et le sous-traitant, le contrat ou l'autre acte juridique visé aux paragraphes 2 et 2 bis peut être fondé, en tout ou en partie, sur les clauses contractuelles types visées aux paragraphes 2 ter et 2 quater ou sur des clauses contractuelles types qui font partie d'une certification délivrée au responsable du traitement ou au sous-traitant conformément aux articles 39 et 39 bis.

2 ter. La Commission peut établir des clauses contractuelles types pour les questions visées aux paragraphes 2 et 2 bis, conformément à la procédure d'examen visée à l'article 87, paragraphe 2.

2 quater. Une autorité de contrôle peut adopter des clauses contractuelles types pour les questions visées aux paragraphes 2 et 2 bis, conformément au mécanisme de contrôle de la cohérence visé à l'article 57.

3. Le contrat ou autre acte juridique visé aux paragraphes 2 et 2 bis est écrit, y compris en format électronique.

4. (…)

5. (…)

Art. 16.

(…).

§3. Toute personne agissant sous l'autorité du responsable du traitement ou celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf en cas d'une obligation imposée par ou en vertu d'une loi, d'un décret ou d'une ordonnance.