L’adjudicateur et l’adjudicataire doivent établir un contrat énonçant les principes du RGPD. Ces principes doivent figurer dans le cahier des charges, de même que certaines clauses éventuellement en vigueur dans le cadre du RGPD. Il est également nécessaire de conclure un contrat de traitement pour les tierces parties éventuelles, comme les sous-traitants qui devront traiter des données à caractère personnel dans le cadre du marché public.