Henkilötietoja voidaan luovuttaa kolmansille toimeksiannon ja/tai rekisterinpitäjää koskevan lakisääteisen velvoitteen niin edellyttäessä. Tällöin todennäköinen vastaanottaja voi olla esimerkiksi toimeksiantajan vastapuolen edustaja, viranomainen taikka muu sidosryhmän jäsen.
Rekisterinpitäjä voi lisäksi ulkoistaa henkilötietojen käsittelyn kolmannelle osapuolelle, kuten IT- tai kirjanpidon palveluita tarjoavalle yritykselle. Mikäli henkilötietojen käsittely ulkoistetaan, rekisterinpitäjä tekee yleisen tietosuoja-asetuksen (2016/679) edellyttämän sopimuksen tietojen käsittelijän kanssa.