Чл. 22

Член 22 Обработващ личните данни

1. Държавите членки предвиждат, когато операция по обработване се извършва от името на администратора, той да възлага само на обработващи лични данни, които предоставят достатъчни гаранции, че ще прилагат подходящи технически и организационни мерки, по такъв начин че обработването да отговаря на изискванията на настоящата директива и да се гарантира защитата на правата на субекта на данни.
2. Държавите членки предвиждат обработващият лични данни да не добавя друг обработващ лични данни без предварителното конкретно или общо писмено разрешение на администратора. В случай на общо писмено разрешение, обработващият лични данни информира администратора за всякакви планирани промени за добавяне или замяна на други обработващи лични данни, като по този начин дава възможност на администратора да възрази срещу тези промени.
3. Държавите членки предвиждат обработването от страна на обработващия лични данни да се урежда с договор или друг правен акт съгласно правото на Съюза или на държава членка, който обвързва обработващия лични данни с администратора и регламентира предмета и срока на обработването, естеството и целта на обработването, вида лични данни и категориите субекти на данни, задълженията и правата на администратора. Посоченият договор или друг правен акт предвижда по-специално, че обработващият лични данни:

а) действа единствено по указания на администратора; б) гарантира, че лицата, оправомощени да обработват личните данни, са поели ангажимент за поверителност или са задължени по закон да спазват поверителност; в) подпомага администратора с всички подходящи средства, за да се гарантира спазването на разпоредбите относно правата на субекта на данни; г) по избор на администратора заличава или връща на администратора всички лични данни след приключване на предоставянето на услуги по обработване на данни и заличава съществуващите копия, освен ако правото на Съюза или правото на държава членка не изисква съхранение на личните данни; д) предоставя на администратора цялата информация, необходима за доказване на спазването на настоящия член; е) спазва условията по параграфи 2 и 3 за включване на друг обработващ лични данни.

1. Договорът или другият правен акт, посочен в параграф 3, се изготвя в писмена форма, включително в електронна форма.
2. Ако обработващ лични данни определи в нарушение на настоящата директива целите и средствата на обработването, обработващият личните данни се счита за администратор по отношение на това обработване.