1. Lorsqu’un traitement doit être effectué pour le compte du Parquet européen, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée.
2. Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du Parquet européen. Dans le cas d’une autorisation écrite générale, le sous-traitant informe le Parquet européen de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements.
3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre de l’Union européenne, qui lie le sous-traitant à l’égard du Parquet européen, définit l’objet, la durée, la nature et la finalité du traitement, le type de données opérationnelles à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du Parquet européen. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant:
a) n’agit que sur instruction du responsable du traitement;
b) veille à ce que les personnes autorisées à traiter les données opérationnelles à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité;
c) aide le responsable du traitement, par tout moyen approprié, à veiller au respect des dispositions relatives aux droits de la personne concernée;
d) selon le choix du Parquet européen, supprime toutes les données opérationnelles à caractère personnel ou les renvoie au Parquet européen au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit d’un État membre de l’Union européenne n’exige la conservation des données opérationnelles à caractère personnel;
e) met à la disposition du Parquet européen toutes les informations nécessaires pour apporter la preuve du respect des obligations prévues au présent article;
f) respecte les conditions visées aux paragraphes 2 et 3 pour recruter un autre sous-traitant.
4. Le contrat ou l’autre acte juridique visé au paragraphe 3 se présente sous une forme écrite, y compris électronique.
5. Si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.