Artigo 29.o Subcontratantes

1.   Caso o tratamento dos dados seja efetuado por sua conta, o responsável pelo tratamento deve recorrer apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de tal forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.

2.   O subcontratante não pode contratar outro subcontratante sem autorização escrita prévia, específica ou geral, do responsável pelo tratamento. Em caso de autorização geral por escrito, o subcontratante deve informar o responsável pelo tratamento das alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a essas alterações.

3.   O tratamento por subcontratação é regulado por contrato ou por outro ato normativo ao abrigo do direito da União ou do direito dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a sua natureza e a sua finalidade, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e os direitos do responsável pelo tratamento. Esse contrato, ou outro ato normativo, deve estipular, em especial, que o subcontratante:

No que diz respeito ao primeiro parágrafo, alínea h), o subcontratante deve informar imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o presente regulamento ou outras disposições do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

4.   Caso o subcontratante contrate outro subcontratante para realizar operações específicas de tratamento por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato ou por outro ato normativo ao abrigo do direito da União ou do direito dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo entre o responsável pelo tratamento e o subcontratante, referidas no n.o 3, em particular a obrigação de apresentar garantias suficientes de aplicar as medidas técnicas e organizativas adequadas de forma que o tratamento satisfaça os requisitos do presente regulamento. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o subcontratante inicial continua a ser plenamente responsável perante o responsável pelo tratamento pelo cumprimento das obrigações desse outro subcontratante.

5.   Caso o subcontratante não seja uma instituição ou um órgão da União, o cumprimento de um código de conduta aprovado a que se refere o artigo 40.o, n.o 5, do Regulamento (UE) 2016/679, ou de um procedimento de certificação aprovado a que se refere o artigo 42.o do Regulamento (UE) 2016/679, pode ser utilizado como um elemento demonstrativo das garantias suficientes referidas nos n.os 1 e 4 do presente artigo.

6.   Sem prejuízo da existência de um contrato entre o responsável pelo tratamento e o subcontratante, o contrato ou o outro ato normativo referidos nos n.os 3 e 4 do presente artigo podem basear-se, total ou parcialmente, nas cláusulas contratuais-tipo referidas nos n.os 7 e 8 do presente artigo, inclusive caso façam parte de uma certificação concedida ao subcontratante que não seja uma instituição ou um órgão da União ao abrigo do artigo 42.o do Regulamento (UE) 2016/679.

7.   A Comissão pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.os 3 e 4 do presente artigo pelo procedimento de exame a que se refere o artigo 96.o, n.o 2.

8.   A Autoridade Europeia para a Proteção de Dados pode adotar cláusulas contratuais-tipo para as matérias referidas nos n.os 3 e 4.

9.   O contrato ou o outro ato normativo a que se referem os n.os 3 e 4 é feito por escrito, inclusive em formato eletrónico.

10.   Sem prejuízo dos artigos 65.o e 66.o, o subcontratante que, em violação do presente regulamento, determine as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.