20. člen
Zunanje pravne ali fizične osebe in varovanje osebnih podatkov
Če zunanja pravna ali fizična oseba opravlja posamezna opravila v zvezi z zbiranjem, obdelovanjem, shranjevanjem ali posredovanjem osebnih podatkov in je registrirana za opravljanje takšne dejavnosti, se v skladu z 11. členom ZVOP-1 z njo sklene pisna pogodba.
Pogodba mora vsebovati tudi predpisane pogoje in ukrepe za zagotovitev varstva osebnih podatkov in njihovega zavarovanja. Podobno je potrebno določiti tudi v pogodbah z vzdrževalci strojne in programske opreme ter z dobavitelji, ki izdelujejo in instalirajo novo strojno ali programsko opremo.
Zunanje pravne ali fizične osebe lahko opravljajo samo tiste storitve na področju obdelave osebnih podatkov, za katere jih je pooblastil naročnik. Podatkov, ki so jih pridobili na podlagi pogodbe z naročnikom pa ne smejo uporabljati in obdelovati za noben drug namen.
Če pooblaščena pravna ali fizična oseba opravlja z osebnimi podatki zunaj prostorov naročnika njenih storitev mora zagotoviti varovanje osebnih podatkov, ki je enako ali strožje od varovanja pri naročniku njenih storitev.