1Si un système d’information de la Confédération est géré par un exploitant externe sur mandat de celle-ci ou si les personnes visées à l’art. 8, al. 1 ou 3, let. a, doivent accéder à des systèmes d’information tiers, les données personnelles requises à cet effet peuvent être communiquées de manière automatisée à l’exploitant externe à partir des systèmes d’information concernant le personnel, de la base centralisée des identités ou des systèmes IAM.
2Pour ce faire, le service qui est responsable du système d’information confié à un exploitant externe ou qui a besoin d’accéder à un système d’information tiers établit une demande écrite précisant les personnes concernées et la transmet, par l’intermédiaire du conseiller à la protection des données compétent, à l’organe de la Confédération responsable du système d’information fournissant les données requises.
3Dans la demande, le service responsable au sens de l’al. 2 s’engage par écrit à respecter la législation fédérale sur la protection des données, à utiliser ces dernières exclusivement dans le but prévu et à les protéger conformément à l’état de la technique. Un droit d’inspection doit être accordé à l’organe de la Confédération responsable du système d’information fournissant les données requises.
4Les personnes concernées doivent être informées au préalable.