1. Ο υπεύθυνος της επεξεργασίας οφείλει, σε περίπτωση που η επεξεργασία πραγματοποιείται για λογαριασμό του, να επιλέγει ως εκτελούντα την επεξεργασία ένα πρόσωπο το οποίο να παρέχει επαρκείς εγγυήσεις όσον αφορά τα τεχνικά και οργανωτικά μέτρα ασφάλειας που προβλέπονται από το άρθρο 22 και να μεριμνά για την τήρηση των μέτρων αυτών.
2. Η εκτέλεση επεξεργασιών μέσω ανάθεσης της εκτέλεσης της επεξεργασίας πρέπει να διέπεται από σύμβαση ή νομική πράξη η οποία να συνδέει τον εκτελούντα την επεξεργασία με τον υπεύθυνο της επεξεργασίας και να προβλέπει ιδίως:
α) ότι ο εκτελών την επεξεργασία ενεργεί μόνον κατ' εντολή του υπευθύνου της επεξεργασίας,
β) ότι οι υποχρεώσεις που προβλέπονται στα άρθρα 21 και 22 βαρύνουν και τον εκτελούντα την επεξεργασία, εκτός εάν, δυνάμει του άρθρου 16 ή του άρθρου 17 παράγραφος 3, δεύτερη περίπτωση της οδηγίας 95/46/ΕΚ, ο εκτελών την επεξεργασία υπόκειται ήδη σε υποχρεώσεις περί εμπιστευτικότητας και ασφαλείας που προβλέπονται από την εθνική νομοθεσία ενός κράτους μέλους.
3. Για τους σκοπούς της διατήρησης των αποδείξεων, τα τμήματα της σύμβασης ή της νομικής πράξης που αφορούν την προστασία των δεδομένων και τις προϋποθέσεις σχετικά με τα μέτρα που προβλέπονται στο άρθρο 22, καταρτίζονται εγγράφως ή υπό άλλη ισοδύναμη μορφή.
