Den registeransvarige måste ha ett personuppgiftsbiträdesavtal med en tredje part med vilken den registeransvarige delar videoövervakningsmedia med undantag för delning av videoövervakningsmedia med brottsbekämpande myndigheter.

Om en organisation utkontrakterar hela eller delar av sin videoövervakningsverksamhet till en tredje part (ett personuppgiftsbiträde), förblir den ansvarig för efterlevnad av GDPR som personuppgiftsansvarig. Till exempel, säkerhetsvakter övervakar live-övervakningsvideo i receptionsområdet hos en organisation som arbetar för ett privat företag till vilket organisationen outsourcar uppgiften att övervaka live. I detta fall måste organisationen säkerställa att säkerhetsvakterna utför sin verksamhet i enlighet med bestämmelserna i GDPR.

För en exempelmall för ett Data Processor Agreement, se Milestone Mall för Data Processor Agreement.