leur totalité dans le cadre d’un contrat de sous-traitance, doit choisir scrupuleusement le soustraitant. Le sous-traitant doit respecter les dispositions de la présente loi et ne doit agir que dans les limites autorisées par le responsable du traitement ; il doit disposer, en outre, de tous les moyens techniques nécessaires et appropriés pour accomplir les missions dont il a la charge. Le responsable du traitement et le sous-traitant engagent leur responsabilité civile en cas de violation des dispositions de la présente loi. Art. 21 : Le responsable du traitement et le sous-traitant doivent corriger, compléter, modifier ou mettre à jour les fichiers dont ils disposent, et effacer les données à caractère personnel de ces fichiers s’ils ont eu connaissance de l’inexactitude ou de l’insuffisance de ces données. Dans ce cas, le responsable du traitement et le sous-traitant doivent informer, la personne concernée et le bénéficiaire de manière légitime des données, de toute modification apportée aux données à caractère personnel qu’il a reçue précédemment. La notification s’effectue dans un délai de deux mois, à compter de la date de la modification, par voie de lettre recommandée avec accusé de réception ou par n’importe quel moyen laissant une trace écrite. Art. 22 : Sans préjudice des lois et règlements en vigueur, la personne physique ou le représentant légal de la personne morale désirant effectuer le traitement des données à caractère personnel et leurs agents doivent remplir les conditions suivantes : - être de nationalité tunisienne. - être résident en Tunisie. - être sans antécédents judiciaires. Ces conditions s’appliquent également au sous-traitant et à ses agents. Art. 23 : Le responsable du traitement, le sous-traitant et leurs agents, même après la fin du traitement ou la perte de leur qualité, doivent préserver la confidentialité des données personnelles et les informations traitées à l’exception de celles dont la diffusion a été acceptée par écrit par la personne concernée ou dans le cas prévus par la législation en vigueur. Art. 24 : Le responsable du traitement des données à caractère personnel ou le sous-traitant qui envisage de cesser définitivement son activité doit en informer l’Instance trois mois avant la date de la cessation d’activité. En cas de décès du responsable du traitement ou du sous-traitant ou de sa faillite ou en cas de dissolution de la personne morale, les héritiers, le syndic de faillite ou le liquidateur, selon la situation, doivent en informer l’Instance dans un délai ne dépassant pas trois mois à compter de la date de la survenance du fait. L’Instance, dans un délai ne dépassant pas un mois à compter de la date de son information conformément au paragraphe précédent, autorise la destruction des données à caractère personnel. Art. 25 : L’instance peut décider la communication des données à caractère personnel en cas de cessation d’activité pour les motifs indiqués à l’article précédent, et ce, dans les deux cas suivants : 1) Si elle juge que ces données sont utiles pour une exploitation à des fins historiques et scientifiques. 2) Si celui qui a effectué la notification propose de communiquer toutes les données à caractère personnel ou une partie à une personne physique ou morale en déterminant avec 5