O UPB, no âmbito das suas atribuições, poderá recorrer a terceiros subcontratados para a prestação de determinados serviços. Quando o tratamento de dados for efetuado por subcontratado ou terceiro a quem sejam transmitidos dados, a UPB verifica se este apresenta garantias suficientes de execução de medidas técnicas e organizativas adequadas, de modo que o tratamento satisfaça os requisitos da legislação em vigor e assegure a defesa dos direitos do titular dos dados.
O tratamento nestes termos é regulado por contrato ou outro ato normativo, que vincula o subcontratado ou o terceiro às diretrizes estabelecidas pela UPB, enquanto entidade responsável pelo tratamento dos dados, e define o objeto e a duração desse tratamento, a natureza e finalidade do mesmo, o tipo de dados pessoais e as categorias dos titulares dos dados e as obrigações e direitos do responsável pelo tratamento.
O contrato estipula, designadamente, que o subcontratado ou terceiro:
a) Apenas trata os dados pessoais transmitidos mediante instruções documentadas da UPB, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;
b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumem um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;
c) Adota as medidas de segurança mais adequadas;
d) Apaga ou devolve aa UPB todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros;
e) Disponibiliza aa UPB todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado;
f) O subcontratado não poderá contratar outro subcontratado sem autorização da UPB, devendo remeter-se o pedido ao responsável pelo tratamento de dados.
Em qualquer dos casos, a UPB permanece também responsável pelos dados pessoais que disponibilize.