Podmiot przetwarzający dane na podstawie umowy powierzenia zawartej z administratorem danych, w rozumieniu przepisów ustawy o ochronie danych osobowych, nie staje się ich administratorem.
Instytucja powierzenia przetwarzania danych określona w art. 31 ustawy ma bardzo istotne znaczenie praktyczne. Zezwala ona administratorowi danych na skorzystanie w określonym zakresie z wiedzy posiadanej przez specjalistyczne podmioty.
Do powierzenia danych przez ich administratora nie jest wymagana zgoda osoby, której dane dotyczą. Ustawa wymaga natomiast, aby umowa łącząca zleceniodawcę i zleceniobiorcę zawarta była na piśmie oraz wyraźnie określała zakres i cel przetwarzania danych. Z faktem, że podmiot, któremu powierzono dane, nie staje się ich administratorem, związane są określone skutki. Nie spoczywają na nim obowiązki, którymi ustawodawca obciążył administratora danych, m.in. obowiązek rejestracji. Jest on jednak zobowiązany do podjęcia środków, o których mowa w art. 36-39 ustawy, zabezpieczających przetwarzane dane oraz spełnienia wymagań określonych w aktach wykonawczych do ustawy o ochronie danych osobowych. Zastosowanie tych środków musi nastąpić przed przystąpieniem do przetwarzania danych, tj. np. przed ich uzyskaniem. W zakresie przestrzegania wymienionych przepisów podmiot ponosi odpowiedzialność jak administrator danych. Ponadto podmiot, któremu przetwarzanie danych powierzono, ponosi odpowiedzialność za naruszenie ustawy w zakresie działań niezgodnych z umową zawartą z administratorem danych.
Kolejny obowiązek ciążący na podmiocie, któremu przetwarzanie danych powierzono, dotyczy tych zleceniobiorców, których siedziba znajduje się w państwie trzecim. Taki podmiot jest zobowiązany do wyznaczenia swojego przedstawiciela w Rzeczypospolitej Polskiej (art. 31a ustawy). Generalny Inspektor Ochrony Danych Osobowych jest uprawniony do kontroli zgodności przetwarzania danych przez podmiot, któremu przetwarzanie danych powierzono. Kontrola ta prowadzona jest na zasadach określonych w art. 14-19 ustawy o ochronie danych osobowych (art. 31 ust. 5 ustawy).