L'article 21 précise la fonction de sous‑traitant et les obligations qui y sont attachées. Il reprend partiellement l’article 17, paragraphe 2, de la directive 95/46/CE, auquel il ajoute de nouveaux éléments, notamment le fait qu’un sous‑traitant qui traite des données d'une manière autre que celle prévue dans les instructions du responsable du traitement doit être considéré comme responsable conjoint du traitement.
Artikel 21 verduidelijkt de positie en de verplichtingen van verwerkers. Deze bepaling is deels gebaseerd op artikel 17, lid 2, van Richtlijn 95/46/EG, maar is uitgebreid met nieuwe elementen.