La Commission nationale de l'informatique et des libertés (Cnil) a publié un guide visant à sensibiliser les collectivités au respect des nouvelles exigences de protection des données personnelles. Se prononçant à l’égard de la sous-traitance, la Cnil de dit rien de la qualification du concessionnaire de service public en responsable de traitement. L'implication quotidienne du concessionnaire dans la gestion du service en fait sinon l'unique responsable de traitement, du moins le principal coresponsable.