Uma entidade (singular ou coletiva) pode efetuar o tratamento de dados pessoais em nome de uma outra entidade, desde que exista um contrato ou outro ato jurídico. É importante que o subcontratante nomeado apresente garantias suficientes para a aplicação de medidas técnicas e organizativas destinadas a assegurar que o tratamento dos dados cumprirá as normas do Regulamento Geral de Proteção de Dados e proteja os direitos das pessoas.