Article considérant 43

(43) Des protections supplémentaires sont prévues en cas de transfert ultérieur à un mandataire tiers (c’est-à-dire un sous-traitant). En pareil cas, l’organisation américaine doit s’assurer que le mandataire n’agit que sur ses instructions et prendre des mesures raisonnables et appropriées: i) pour garantir que le mandataire traite effectivement les informations à caractère personnel qui lui sont transférées d’une manière compatible avec les obligations qui incombent à l’organisation en vertu des principes; et ii) pour mettre fin et remédier au traitement non autorisé dès qu’elle en est avertie. Le ministère du commerce peut demander à l’organisation de fournir une synthèse ou une copie représentative des dispositions relatives à la protection de la vie privée contenues dans son contrat. Si des problèmes de respect des principes se posent dans la chaîne de (sous-)traitance, l’organisation qui agit en tant que responsable du traitement des données à caractère personnel devra en principe en assumer la responsabilité, conformément au principe «Voies de recours, application et responsabilité», sauf si elle prouve que le fait générateur du dommage ne lui est pas imputable.