Le RGPD impose que la sous-traitance d’un traitement de données personnelles soit encadrée formellement via un contrat (ou autre acte juridique contraignant) qui "définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement" (art. 28).