Article considérant 20

(20) Des obligations spécifiques s’appliquent lorsqu’un responsable du traitement (le «donneur d’ordre») sous-traite le traitement des données à caractère personnel à un tiers (la «partie sous-traitante»). Plus particulièrement, la sous-traitance doit être régie par un accord juridiquement contraignant (généralement un contrat) qui définit la portée des tâches sous-traitées, la finalité du traitement, les garanties techniques et organisationnelles devant être appliquées, la surveillance assurée par le responsable du traitement, la responsabilité (notamment une indemnisation en cas de dommages causés par une violation des obligations contractuelles) ainsi que les limites de toute sous-traitance (article 26, paragraphes 1 et 2, de la PIPA, en liaison avec l’article 28, paragraphe 1, du décret d’application).