4. Regulació contractual de l’encarregat de tractament de dades personals
El tractament efectuat per l’encarregat del tractament de dades personals es regeix per un contracte escrit que vincula l’encarregat al responsable, i estableix, en el termes definits reglamentàriament, l’objecte, la durada, la naturalesa i la finalitat del tractament, així com el tipus de dades personals, categories de persones interessades i les obligacions i els drets del responsable. El contracte ha d’estipular, en particular, que l’encarregat ha de:
a) Tractar les dades personals únicament seguint instruccions documentades del responsable, fins i tot en relació amb les transferències de dades personals a un tercer país o a una organització internacional, tret que hi estigui obligat en virtut de la normativa que li sigui d’aplicació. En aquest cas, l’encarregat ha d’informar el responsable d’aquesta exigència legal prèviament al tractament, tret que aquesta normativa ho prohibeixi per raons importants d’interès públic.
b) Garantir que les persones autoritzades per tractar dades personals s’han compromès a respectar-ne la confidencialitat o estan subjectes a una obligació de confidencialitat de naturalesa estatutària.
c) Prendre totes les mesures necessàries en matèria de seguretat del tractament.
d) Respectar les condicions establertes als apartats 3 i 5, per recórrer a un altre encarregat del tractament.
e) Assistir el responsable sempre que sigui possible, d’acord amb la naturalesa del tractament i mitjançant les mesures tècniques i organitzatives adequades, sempre que sigui possible, perquè pugui complir amb l’obligació de respondre les sol·licituds que tinguin per objecte l’exercici dels drets de les persones interessades establerts en el capítol tercer.
f) Ajudar el responsable a garantir el compliment de les obligacions que estableixen els articles 32, 33 i 35 a 37, tenint en compte la naturalesa del tractament i la informació a disposició de l’encarregat.
g) A elecció del responsable, suprimir o retornar totes les dades personals, una vegada finalitzada la prestació dels serveis de tractament, i suprimir les còpies existents, tret que sigui necessari conservar les dades personals en virtut d’una obligació legal.
h) Posar a disposició del responsable tota la informació necessària per demostrar que compleix les obligacions que estableix aquest article. Així mateix, ha de permetre i contribuir a la realització d’auditories, incloses inspeccions, per part del responsable o d’un altre auditor autoritzat per aquest responsable.
Si l’encarregat considera que una instrucció infringeix aquesta Llei i les seves normes de desenvolupament, n’ha d’informar immediatament el responsable.