1. Si le DCT externalise des services ou des activités, il reste pleinement responsable du respect de toutes les obligations qui lui incombent en vertu du présent règlement et se conforme à tout moment aux conditions suivantes:
a) l’externalisation n’entraîne pas de délégation de sa responsabilité;
b) l’externalisation est sans incidence sur la relation du DCT avec ses participants ou les émetteurs et ses obligations envers eux;
c) les conditions d’agrément du DCT ne changent pas;
d) l’externalisation ne fait pas obstacle à l’exercice des fonctions de contrôle prudentiel et de surveillance, y compris l’accès sur place en vue d’obtenir les informations nécessaires à l’accomplissement de ces fonctions;
e) l’externalisation n’a pas pour effet de priver le DCT des systèmes et moyens de contrôle nécessaires pour gérer les risques auxquels il est exposé;
f) le DCT conserve l’expertise et les ressources nécessaires pour évaluer la qualité des services fournis, la capacité organisationnelle et l’adéquation des fonds propres du prestataire de services, pour surveiller efficacement les services externalisés et pour gérer en permanence les risques associés à l’externalisation;
g) le DCT a un accès direct aux informations pertinentes concernant les services externalisés;
h) le prestataire de services coopère avec l’autorité compétente et les autorités concernées en ce qui concerne les activités externalisées;
i) le DCT veille à ce que le prestataire de services se conforme aux normes prévues par la législation en matière de protection des données qui serait applicable si les prestataires de service étaient établis dans l’Union. Le DCT est chargé de veiller à ce que ces normes figurent dans un contrat entre les parties et à ce qu’elles soient respectées.
2. Le DCT définit par un accord écrit ses droits et obligations et ceux du prestataire de services. L’accord d’externalisation comporte la possibilité pour le DCT d’y mettre un terme.
3. Le DCT et le prestataire de services mettent à la disposition de l’autorité compétente et des autorités concernées, à la demande de celles-ci, toutes les informations nécessaires pour qu’elles puissent vérifier la conformité des activités externalisées aux exigences du présent règlement.
4. L’externalisation d’un service de base est soumise à l’agrément de l’autorité compétente prévu à l’article 19.
5. Les paragraphes 1 à 4 ne s’appliquent pas dans le cas où le DCT externalise certains de ses services ou activités auprès d’une entité publique et où cette externalisation est régie par un cadre juridique, réglementaire et opérationnel spécifique, qui a été convenu et formalisé conjointement par l’entité publique et le DCT concerné et approuvé par les autorités compétentes sur la base des exigences instaurées par le présent règlement.