Muchas organizaciones tienen externalizados servicios que no implican tratamiento de datos personales pero que, por la naturaleza del servicio, tienen permisos para acceder a las instalaciones y las ubicaciones donde se encuentra la documentación y los sistemas de gestión de la información.