Статья 23Регламент № 45/2001 Европейского парламента и Совета Европейского Союза

Обработка персональных данных в интересах контролирующих лиц

1. Если операция по обработке осуществляется в интересах контролирующего лица, оно должно выбрать обработчика, способного предоставить достаточные гарантии относительно технических и организационных мер безопасности, предусмотренных статьей 22, и способного обеспечить выполнение указанных мер.

2. Осуществление операции по обработке обработчиком должно регулироваться договором или нормативным актом, возлагающим на обработчика обязанности перед контролирующим лицом и устанавливающим, в частности, что:

a) обработчик должен действовать исключительно в соответствии с указаниями контролирующего лица;

b) обязанности, предусмотренные статьями 21 и 22, должны так же распространяться и на обработчика за исключением тех случаев, когда в силу статьи 16 или второго абзаца статьи 17 (3) Директивы 95/46/ЕС, на обработчика уже распространяются обязательства в отношении конфиденциальности и безопасности, установленные национальным законодательством одного из государств-членов ЕС.

3. Для целей сохранения доказательств положения договора или нормативного акта в отношении защиты данных и требований относительно мер, указанных в статье 22, должны быть закреплены в письменной форме или в иной аналогичной форме.