Recours à un prestataire extérieur.

La réalisation des opérations mentionnées à l'article 1er peut être confiée par le responsable du traitement à un tiers prestataire de service en qualité de sous-traitant.

La convention signée avec le prestataire décrit les opérations que celui-ci a pour mission de réaliser à partir des données à caractère personnel, ainsi que les engagements qu'il prend pour garantir leur sécurité et leur confidentialité, en particulier l'interdiction d'utiliser les données à d'autres fins que celles indiquées par la convention et de les mettre en relation avec d'autres sources de données à caractère personnel, ainsi que l'engagement de procéder à la destruction des fichiers manuels ou informatisés stockant les données personnelles dès l'achèvement du contrat.

Le responsable de traitement doit s'assurer du caractère suffisant des mesures prises en vue d'assurer la sécurité et la confidentialité des données.