Un sous-traitant traite des données personnelles pour le compte du responsable de traitement, qui décide des finalités et des moyens. Leur relation est encadrée par un contrat précisant instructions, sécurité, confidentialité et sort des données. Le responsable ne choisit que des sous-traitants offrant des garanties suffisantes.
Exemple
Un prestataire d'hébergement ou d'envoi d'e-mails est un sous-traitant.