- 1 -O IPB recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de forma a que o tratamento satisfaça os requisitos do RGPD e assegure a defesa dos direitos do titular dos dados.
- 2 -O tratamento em subcontratação é regulado por contrato ou outro ato normativo, que vincule o subcontratante ao IPB, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo estipulam, designadamente, que o subcontratante:
- a)Trata os dados pessoais apenas mediante instruções documentadas pelo IPB, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o IPB desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;
- b)Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;
- c)Adota todas as medidas exigidas nos termos do artigo 32.º do RGPD;
- d)Respeita as condições do RGPD para contratar outro subcontratante;
- e)Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao IPB através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados;
- f)Presta assistência ao IPB no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor do subcontratante;
- g)Consoante a escolha do IPB, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros;
- h)Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado.
Artigo 13.º — Subcontratantes
Vigente desde: 21/12/2018