1.   Členské štáty v prípade, ak sa spracúvanie uskutočňuje v mene prevádzkovateľa, stanovia, že prevádzkovateľ využíva len sprostredkovateľov poskytujúcich dostatočné záruky na to, že sa prijmú primerané technické a organizačné opatrenia tak, aby spracúvanie spĺňalo požiadavky tejto smernice a aby sa zabezpečila ochrana práv dotknutej osoby.

2.   Členské štáty stanovia, že sprostredkovateľ nezapojí ďalšieho sprostredkovateľa bez predchádzajúceho osobitného alebo všeobecného písomného povolenia prevádzkovateľa. V prípade všeobecného písomného povolenia sprostredkovateľ informuje prevádzkovateľa o akýchkoľvek zamýšľaných zmenách v súvislosti s pridaním alebo nahradením ďalších sprostredkovateľov, čím sa prevádzkovateľovi dá možnosť namietať voči takýmto zmenám.

3.   Členské štáty stanovia, že sa spracúvanie sprostredkovateľom riadi zmluvou alebo iným právnym aktom podľa práva Únie alebo práva členského štátu, ktoré zaväzuje sprostredkovateľa voči prevádzkovateľovi a ktorým sa stanovuje predmet a doba spracúvania, povaha a účel spracúvania, typ osobných údajov a kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. Uvedená zmluva alebo iný právny akt najmä stanovia, že sprostredkovateľ:

     a) koná len na základe pokynov prevádzkovateľa;

     b) zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali, že zachovajú dôvernosť, alebo aby boli viazané vhodnou povinnosťou zachovávať dôvernosť vyplývajúcou zo zákona;

     c) pomáha prevádzkovateľovi akýmkoľvek vhodným prostriedkom zabezpečiť súlad s ustanoveniami týkajúcimi sa práv dotknutých osôb;

     d) po ukončení poskytovania služieb týkajúcich sa spracúvania údajov na základe rozhodnutia prevádzkovateľa všetky osobné údaje vymaže alebo vráti prevádzkovateľovi a vymaže existujúce kópie, ak právo Únie alebo právo členského štátu nepožadujú uchovávanie osobných údajov;

     e) poskytne prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s týmto článkom;

     f) dodržiava podmienky zapojenia ďalšieho sprostredkovateľa uvedené v odsekoch 2 a 3.

4.   Zmluva alebo iný právny akt uvedené v odseku 3 sa vypracúvajú v písomnej podobe vrátane elektronickej podoby.

5.   Ak sprostredkovateľ v rozpore s touto smernicou určí účely a prostriedky spracúvania, považuje sa v súvislosti s daným spracúvaním za prevádzkovateľa.