Article considérant 21

(21) La définition du terme «sous-traitant» figurant dans le RRPD est identique à celle énoncée à l’article 4, paragraphe 8, du règlement (UE) 2016/679. Par «sous-traitant», on entend la personne physique ou morale, l’autorité publique, le service ou une autre entité qui traite des données à caractère personnel pour le compte du responsable du traitement. Le responsable du traitement peut uniquement faire appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du RRPD. La relation entre le responsable du traitement et un sous-traitant doit être régie par un contrat ou un acte juridique qui lie le sous-traitant et qui définit notamment l’objet, la durée, la nature et la finalité du traitement. Le sous-traitant n’est autorisé à traiter les données que sur instruction documentée du responsable du traitement. Le sous-traitant est tenu d’aider le responsable du traitement à garantir le respect de ses obligations au titre du RRPD. Il lui est interdit de recruter d’autres sous-traitants ultérieurs sans l’autorisation préalable du responsable du traitement. Un accord sur le traitement des données type est mis à la disposition des responsables délégués du traitement. En outre, si un sous-traitant est situé dans un pays tiers, tout partage de données à caractère personnel avec ce sous-traitant doit également respecter les exigences du RRPD en matière de transferts internationaux, telles que décrites aux considérants 68 à 73 de la présente décision.