Article 39

Lorsque le traitement est effectué pour le compte du responsable du traitement, il doit choisir un sous-traitant qui apporte des garanties suffisantes inhérentes aux mesures de sécurité technique et d’organisation relatives aux traitements à effectuer et doit veiller au respect de ses mesures.

La réalisation de traitement en sous-traitance doit être régie par un contrat ou un acte juridique qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant n’agit que sous la seule instruction du responsable du traitement et dans le respect des obligations prévues à l’article 38 ci-dessus.

Aux fins de la conservation des preuves, les éléments du contrat ou de l’acte juridique relatifs à la protection des données et les exigences portant sur les mesures prévues au paragraphe 1er de l’article 38 ci-dessus, sont consignés par écrit ou sous une autre forme équivalente.