Article considérant 35

(35) Aucune distinction n’est spécifiquement établie dans l’APPI entre les obligations imposées aux responsables du traitement et celles imposées aux sous-traitants. Cette absence de distinction n’affecte pas le niveau de protection, tous les OETIP étant soumis à l’ensemble des dispositions de la loi. Un OETIP qui confie le traitement de données à caractère personnel à un «mandataire» (l’équivalent d’un sous-traitant au sens du RGPD) reste soumis aux obligations prévues par l’APPI et les règles supplémentaires en ce qui concerne les données confiées. De plus, en vertu de l’article 22 de l’APPI, il est tenu d’«exercer une supervision nécessaire et appropriée» sur le mandataire. Comme la PPC l’a confirmé, le mandataire est à son tour lié par l’ensemble des obligations prévues par l’APPI et les règles supplémentaires.