Selon l'art. 9, al. 1, de la nLPD, le traitement de données personnelles peut être confié à un sous-traitant par contrat ou par la législation si: a. les données sont traitées comme le responsable, c'est-à-dire l'IP, devrait le faire lui-même; et b. aucune obligation légale ou contractuelle de garder le secret n'interdit la délégation. Le sous-traitant agit sur instruction et pour les besoins du responsable, c'est-à-dire l'IP. Si aucun contrat n'est signé avec un sous-traitant (et si aucune disposition légale n'impose le traitement d'un mandat), le droit du mandat (art. 394 ss. CO) s'applique. Celui-ci stipule que les contrats portant sur des prestations de travail qui ne sont pas soumis à un type de contrat particulier du Code des obligations (CO) sont régis par les dispositions relatives au mandat (art. 394, al. 2, CO). La conclusion du mandat ne requiert pas de forme particulière, donc pas non plus d'écrit (/im-internet-praktisch-alle-vetraege-formlos/). Il convient toutefois de noter que tout mandataire n'est pas automatiquement qualifié de mandataire.