Quando uma empresa é contratada para realizar tarefas que envolvem o tratamento de dados pessoais — como tradução, transcrição, análise, armazenamento ou apoio técnico — sem decidir autonomamente sobre as finalidades ou os métodos essenciais do tratamento, essa empresa atua como subcontratante.
Neste caso, a instituição responsável pelo projeto (universidade, centro de investigação, etc.) mantém-se como Responsável pelo Tratamento, e a empresa atua em nome e por conta dessa instituição, seguindo as suas instruções. Deve, por isso, ser celebrado um contrato de subcontratação (Data Processing Agreement – DPA).