Статья 87Регламент № 2018/1725 Европейского парламента и Совета Европейского Союза

1. Если обработка осуществляется от имени контролера, контролер должен пользоваться услугами только тех лиц, обрабатывающих данные, которые предоставят достаточные гарантии реализации надлежащих технических и организационных мер, обеспечивающих соответствие обработки требованиям настоящего Регламента и правового акта, учреждающего должность контролера, и гарантирующих защиту прав субъекта данных.

2. Лицо, обрабатывающее данные, не должно привлекать к работе другое лицо, обрабатывающее данные, без предварительной специальной или общей письменной авторизации контролера. В случае общей письменной авторизации лицо, обрабатывающее данные, должно проинформировать контролера о любых предполагаемых изменениях, касающихся привлечения других лиц или замены лиц, обрабатывающих данные, тем самым давая контролеру возможность представлять возражения против таких изменений.

3. Обработка, осуществляемая лицом, обрабатывающим данные, должна регулироваться договором или иным правовым актом в соответствии с законодательством Союза или государства-члена ЕС, который имеет обязательную юридическую силу для лица, обрабатывающего данные, в отношении контролера и который устанавливает предмет и продолжительность обработки, характер и цель обработки, тип оперативных персональных данных и категории субъектов данных, а также обязательства и права контролера. Указанный договор или иной правовой акт должны, в частности, предусматривать, что лицо, обрабатывающее данные:

(a) действует только на основании инструкций контролера;

(b) гарантирует, что лица, авторизованные в отношении обработки персональных данных, обязались соблюдать конфиденциальность или обязаны соблюдать конфиденциальность согласно законодательству;

(c) содействует контролеру всеми возможными способами в обеспечении соблюдения положений о правах субъекта данных;

(d) по выбору контролера удаляет или возвращает все оперативные персональные данные контролеру после завершения предоставления услуг, относящихся к обработке, и удаляет существующие копии, кроме случаев, когда законодательство Союза или государства-члена ЕС требует хранения оперативных персональных данных;

(e) предоставляет в распоряжение контролера всю информацию, необходимую для демонстрации соблюдения обязательств, установленных в настоящей Статье;

(f) соблюдает условия, указанные в параграфе 2 и в настоящем параграфе, в отношении привлечения другого лица, обрабатывающего данные.

4. Договор или иной правовой акт, указанный в параграфе 3, должен быть составлен в письменном виде, включая электронную форму.

5. Если лицо, обрабатывающее данные, нарушает настоящий Регламент или правовой акт, учреждающий должность контролера, при определении целей и средств обработки, лицо, обрабатывающее данные, должно считаться контролером в отношении указанной обработки.