L'article 27 relatif à la sécurité des traitements et inspiré de l'actuel article 17, paragraphe 1, de la directive 95/46/CE concernant la sécurité des traitements, ainsi que de l'article 22 de la décision‑cadre 2008/977/JAI, étend aux sous‑traitants les obligations correspondantes, quelle que soit la nature du contrat qu’ils ont conclu avec le responsable du traitement.
Article 27 on the security of processing is based on the current Article 17(1) of Directive 95/46 on the security of processing, and Article 22 of Framework Decision 2008/977/JHA, extending the related obligations to processors, irrespective of their contract with the controller.