Podle čl. 28 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen "Nařízení"), zpracovatel nesmí zapojit do zpracování osobních údajů dalšího zpracovatele bez předchozího písemného souhlasu správce.

Nicméně z Nařízení nevyplývá, že by se muselo jednat pouze o souhlas s konkrétně identifikovaným dalším (dílčím) zpracovatelem. Naopak se z Nařízení výslovně podává, že se může jednat buď o konkrétní souhlas správce, nebo také o obecný souhlas - s tím, že v takovém případě je třeba, aby zpracovatel vždy informoval správce o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení (aby tak bylo umožněno správci vznést námitky).

Ze shora uvedeného tak vyplývá, že - zejména v případě, kdy je obtížné (nebo z obchodního hlediska nevhodné) předem identifikovat veškeré partnery, jejichž prostřednictvím probíhá další zpracování osobních údajů - lze nahradit konkrétní souhlas obecným prohlášením (učiněným nejlépe ve smlouvě o zpracování osobních údajů), kde by správce předem udělil svůj souhlas s dalším zpracováním osobních údajů.

Takovýto obecný souhlas by pak s ohledem na zajištění informovanosti správce mohl být koncipován tak, že se v něm uvede demonstrativní výčet dalších zpracovatelů dle předmětu jejich činnosti (daňové poradenství, účetnictví, aj.), případně odkazem na hlavní smlouvu, ze které vyplývá existence dalších osob reálně poskytujících dané služby - s tím, že na dotaz správce by měl být zpracovatel schopen identifikovat konkrétní dílčí zpracovatele.