Stosownie do art. 28 ust. 1 RODO, jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie przebiegało zgodnie z prawem i chroniło osoby, których dane dotyczą. Jednocześnie w motywie 81 RODO zwraca się szczególną uwagę na to, aby procesor dysponował wiedzą fachową, wiarygodnością i zasobami, bazował na zatwierdzonym kodeksie postępowania lub certyfikacji. Sama umowa między ADO a procesorem powinna podlegać prawu Unii Europejskiej lub państwa członkowskiego.