Le règlement ne définit pas cette expression, mais elle englobe manifestement les employés et les autres membres du personnel qui ont accès à des données à caractère personnel au sein de l’organisation du responsable du traitement ou du sous-traitant. Le critère retenu par le texte est l’accès aux données à caractère personnel combiné à l’action sous l’autorité de l’un des deux acteurs, et non la qualification de la relation d’emploi ou d’engagement.

L’article 28 régit la relation entre le responsable du traitement et le sous-traitant au moyen d’un contrat contraignant, tandis que l’article 29 énonce le principe de l’instruction directement comme une règle du règlement, de sorte qu’un sous-traitant agissant en dehors des instructions enfreint le règlement lui-même et non seulement le contrat. Le même principe reparaît à l’article 32, paragraphe 4, qui oblige le responsable du traitement et le sous-traitant à prendre des mesures afin de garantir son respect par les personnes agissant sous leur autorité.

Oui, une seule. Le traitement effectué sans instruction ou contre celle-ci est admis lorsque le droit de l’Union ou le droit d’un État membre l’impose, ce qui reprend la réserve figurant à l’article 28, paragraphe 3, point a). La commodité commerciale ou les finalités propres du sous-traitant ne justifient jamais un écart, et un sous-traitant poursuivant ses propres finalités devient un responsable du traitement au titre de l’article 28, paragraphe 10.

La disposition énonce l’interdiction sans prescrire les moyens, mais l’article 32, paragraphe 4, exige du responsable du traitement et du sous-traitant qu’ils prennent des mesures afin de garantir le respect de la règle par les personnes agissant sous leur autorité, et l’article 28, paragraphe 3, point b), exige que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité. Lues ensemble, ces dispositions supposent des mesures internes telles que des instructions, des engagements de confidentialité et des contrôles d’accès.