제3자에게 개인정보를 처리 할 수 있도록 업무를 위탁하는 경우 받는자와 처리위탁 내용을 이용자에게 고지하고 동의를 받아야 하며 변경 시 재고지 동의를 받아야 한다. 수탁자가 개인정보 처리 목적을 미리 정하며 문서 형태로 관리하며 계약서 내용을 위반하지 않도록 관리 감독 및 교육해야 한다.
제3자에게 이용자의 개인정보를 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그밖에 이와 유사한 행위(이하 “처리”라 한다)를 할 수 있도록 업무를 위탁(이하 “개인정보 처리위탁”이라 한다)하는 경우 ➊ 개인정보 처리위탁을 받는 자, ➋ 개인정보 처리위탁을 하는 업무의 내용을 이용자에게 고지하고 동의를 받아야 하며 변경되는 경우에도 동일하게 재고지하고 동의를 받아야 한다. 또한 수탁자가 이용자의 개인정보를 처리할 수 있는 목적을 미리 정의하여야 하며 관련 내용을 계약서에 포함하여 문서화된 형태로 관리해야 하며, 수탁사가 정보통신망법과 계약서 내용을 위반하지 않도록 관리 감독하고 교육하여야 한다. 대부분의 기업에서는 수탁사에 대한 개인정보보호 준수 여부를 년 1회 점검하고 있으며 수탁사의 유형, 규모, 처리하는 개인정보 등을 고려하여 현장점검, 설문지 작성 등을 통해 평가하고 있다. 한편, 수탁자가 개인정보를 제3자에게 재 위탁하고자 하는 경우 위탁자의 동의를 필수적으로 받아야 한다.