L'elaborazione da parte di terzi si verifica quando un servizio invia i dati degli utenti a un fornitore esterno che li gestisce per conto del servizio. Esempi comuni includono hosting cloud, analisi, piattaforme di assistenza clienti, processori di pagamenti e partner pubblicitari. Il servizio può comunque controllare lo scopo dell'elaborazione, ma il fornitore può archiviare, copiare, arricchire o trasmettere i dati entro i limiti concordati.
È importante perché ogni processore aggiuntivo aumenta la superficie di attacco e il rischio per la privacy. Se un fornitore viene compromesso, è configurato in modo errato o riceve un accesso troppo ampio, dati sensibili possono fuoriuscire senza che l'applicazione principale venga violata direttamente. I difensori riducono questo rischio con la minimizzazione dei dati, contratti rigorosi, controlli di accesso, crittografia, revisioni dei fornitori e registrazione dei flussi di dati. Negli incidenti reali, gli aggressori spesso prendono di mira terze parti più deboli o abusano di integrazioni legittime per spostare i dati oltre il controllo del servizio originale.