La organización (responsable del tratamiento) sigue siendo legalmente responsable ante el regulador y los titulares de los datos, aunque el proveedor tenga responsabilidad contractual interna

La responsabilidad se transfiere automáticamente al proveedor una vez firmado el contrato

El proveedor asume toda la responsabilidad legal y la organización queda exenta

Ninguna de las dos partes tiene responsabilidad si el contrato no lo especifica