L’article 29 précise que toute personne agissant sous l’autorité du responsable du traitement ou du sous-traitant ne peut traiter les données personnelles que sur instruction de celui-ci, sauf obligation légale contraire.
>
Article 29 – Traitement effectué sous l’autorité du responsable du traitement ou du sous-traitant
Et concrètement, ça veut dire quoi ?
Les prestataires ou partenaires qui accèdent aux données personnelles ne peuvent pas en faire ce qu’ils veulent. Ils doivent suivre précisément les consignes données par le responsable de traitement. Cela évite les initiatives non autorisées et renforce le contrôle sur qui fait quoi avec les données, et dans quel cadre. Cette obligation est d'ailleurs explicitement indiqué dans les clauses de sous-traitance RGPD.