Controllers should ensure that any person having access to personal data and acting under their authority or under the authority of the processor, including the processor himself, do not process these data except on instructions from the controller [25].
Vastutavad töötlejad peaksid tagama, et kõik vastutava töötleja või volitatud töötleja alluvuses tegutsevad isikud, sealhulgas volitatud töötleja ise, kellel on juurdepääs isikuandmetele, võivad kõnealuseid andmeid töödelda üksnes vastutava töötleja ülesandel [25].