委託先から漏洩した際の処分

質問

当社は、一部の個人情報を、委託業務として、当社敷地内にて協力企業に提供しています。もし、この委託先から個人情報の漏洩が発生し、ＥＵ監査機関から制裁金が課せられた場合、と仮定します。
EU監査機関から制裁金が課せられるのは、当社になるのでしょうか？　それとも、委託先の協力会社になるのでしょうか？　または、当社と委託先の両者になるのでしょうか？
仮に、当社が直接課せられた場合、その後当社から委託先へ損害賠償を請求するようなことは出来るのでしょうか？　また、当社の管理対応が正当であることが証明できるような場合には、制裁を免れることができるのでしょうか？
（この欄で紹介するQ&Aはこれまで多くのお客様からお寄せいただきました代表的な質問です。）