A norma repete instruções anteriores ao permitir tratamento de dados por terceiros, como empresas contratadas – mas mantendo os órgãos que as utilizem solidariamente responsáveis, ao mesmo tempo que cobra políticas de segurança da informação, análise de risco e uso de ferramentas como criptografia para a transmissão dos dados.