Article considérant 20

(20) Les États membres, représentés par les autorités nationales compétentes ou d’autres organismes désignés, déterminent ensemble la finalité et les moyens du traitement des données à caractère personnel par l’intermédiaire de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne, et constituent dès lors des responsables du traitement des données. Les obligations respectives entre responsables du traitement des données devraient être définies dans un arrangement distinct. La Commission, en tant que fournisseur de solutions techniques et organisationnelles dans le cadre de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne, traite les données à caractère personnel chiffrées des patients pour le compte des États membres entre les points de contact nationaux pour la santé en ligne et est, par conséquent, un sous-traitant. Conformément à l’article 28 du règlement général sur la protection des données et à l’article 29 du règlement (UE) 2018/1725, le traitement par un sous-traitant est régi par un contrat ou un acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement et qui définit l’objet du traitement. La présente décision définit les règles régissant le traitement des données par la Commission en tant que sous-traitant.