Une autorisation en soi n'est normalement pas suffisante pour obtenir l'accès ; l'organisation doit déterminer que la personne autorisée a besoin de connaître l'information.
Une autorisation en soi n'est normalement pas suffisante pour obtenir l'accès ; l'organisation doit déterminer que la personne affranchie "a besoin de connaître" les renseignements.