La cessió de dades de caràcter personal requereix el consentiment exprés i inequívoc de l'afectat (article 11 de la LOPD). Les empreses prestadores del servei de prevenció aliè i responsables del tractament, no poden cedir- se dades sense el consentiment exprés de la persona afectada. No obstant això, aquesta Autoritat ha vingut entenent, respecte les entitats sotmeses al seu àmbit d'actuació, que l'encàrrec del tractament per part de l'Administració pública (responsable del tractament) a una empresa que realitzi el servei de prevenció aliè, faculta el responsable per dictar instruccions a l'encarregat per a què lliuri la informació de caràcter personal a un nou encarregat del tractament (article 22.1 del RLOPD).