Article considérant 19

(19) La Commission, en qualité de fournisseur de solutions techniques et organisationnelles destinées au service passerelle pour le certificat COVID numérique de l’UE, traite, dans le service passerelle, les données à caractère personnel figurant dans les listes de révocation, pour le compte des États membres qui sont les responsables conjoints du traitement. Elle agit donc en tant que leur sous-traitant. Conformément à l’article 28 du règlement (UE) 2016/679 et à l’article 29 du règlement (UE) 2018/1725, le traitement par un sous-traitant doit être régi par un contrat ou un acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement et qui définit le traitement. Il convient par conséquent de définir les règles régissant le traitement des données par la Commission en qualité de sous-traitant.