L'elaborazione esternalizzata è la gestione dei dati personali da parte di un appaltatore o fornitore di servizi per conto di un'altra organizzazione. L'appaltatore può archiviare, ordinare, analizzare o trasmettere i record, ma l'organizzazione originale decide comunque perché i dati vengono utilizzati e resta responsabile della loro protezione. Questo accordo è comune nel payroll, nell'assistenza clienti, nell'hosting cloud e nell'outsourcing aziendale.
Nella sicurezza informatica, l'elaborazione esternalizzata è importante perché amplia la superficie di attacco oltre l'azienda principale. Una violazione, un'infezione da malware o un controllo degli accessi debole presso un fornitore possono esporre i dati anche quando i sistemi del titolare del trattamento non sono direttamente compromessi. I difensori gestiscono questo rischio con la due diligence, la minimizzazione dei dati, requisiti contrattuali di sicurezza, la registrazione dei log, regole di notifica degli incidenti e una supervisione regolare. Negli attacchi, i criminali spesso prendono di mira la terza parte più debole per arrivare alle informazioni sensibili; nella difesa, l'obiettivo è limitare ciò che l'appaltatore può vedere e rilevare rapidamente i problemi.