(2) Pokud pověření zpracovatele nevyplývá z právního předpisu, spravující orgán se zpracovatelem uzavře písemnou smlouvu o zpracování osobních údajů. Nevyplývá-li to přímo z právního předpisu, smlouva především určí

a) předmět a dobu trvání zpracování osobních údajů,

b) povahu a účel zpracování osobních údajů,

c) typ osobních údajů, které budou zpracovávány,

d) kategorie subjektů údajů a

e) práva a povinnosti spravujícího orgánu.