Sprostredkovatelia a prevádzkovateľ majú relatívne tesné vzťahy.  „Sprostredkovateľ nesmie poveriť spracúvaním osobných údajov ďalšieho sprostredkovateľa bez predchádzajúceho osobitného písomného súhlasu prevádzkovateľa alebo všeobecného písomného súhlasu prevádzkovateľa. Sprostredkovateľ je povinný vopred informovať prevádzkovateľa o poverení ďalšieho sprostredkovateľa, ak sa poverenie vykonalo na základe všeobecného písomného súhlasu,“ uvádza sa v zákone.

Vzťahy medzi prevádzkovateľom a sprostredkovateľom ustanovuje právny úkon, je teda potrebné ho urobiť. „Spracúvanie osobných údajov sprostredkovateľom sa riadi zmluvou alebo iným právnym úkonom, ktorý zaväzuje sprostredkovateľa voči prevádzkovateľovi a v ktorom je ustanovený predmet a doba spracúvania, povaha a účel spracúvania, zoznam alebo rozsah osobných údajov, kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa,“ hovorí zákon. Zároveň je v ňom presnejšie stanovené, aké sú povinnosti sprostredkovateľa. V takomto dokumente musí byť napríklad ustanovenie o tom, že sprostredkovateľ je povinný prevádzkovateľovi vrátiť údaje po ukončení dohodnutej činnosti. 

Podľa zákona 18/2008 môže sprostredkovateľ v mene prevádzkovateľa zapojiť do spracovateľských činností ďalšieho sprostredkovateľa. Je však povinný uložiť mu rovnaké povinnosti týkajúce sa ochrany osobných údajov, ako ustanovuje právny akt medzi prevádzkovateľom a sprostredkovateľom. 

Do 25. mája 2018 by spoločnosti mali:

• preskúmať možnosť vzniku vzťahu prevádzkovateľ-sprostredkovateľ
• urobiť právny úkon, ktorý presne vymedzí povinnosti sprostredkovateľov