Provođenje obrade od strane izvršitelja obrade koji nije institucija ili tijelo Unije trebalo bi biti uređeno ugovorom ili, ako je riječ o institucijama ili tijelima Unije koji djeluju kao izvršitelji obrade, ugovorom ili drugim pravnim aktom u skladu s pravom Unije koji izvršitelja obrade obvezuje prema voditelju obrade, a u kojemu su navedeni predmet i trajanje obrade, priroda i svrhe obrade, vrsta osobnih podataka te kategorije ispitanika, uzimajući u obzir posebne zadaće i odgovornosti izvršitelja obrade u kontekstu obrade koju treba provesti te rizika za prava i slobode ispitanika.
S cieľom zachovať bezpečnosť a predchádzať spracúvaniu v rozpore s týmto nariadením by prevádzkovateľ alebo sprostredkovateľ mali posúdiť riziká súvisiace so spracúvaním a prijať opatrenia na zmiernenie týchto rizík, ako napríklad šifrovanie.