Den dataansvarlige og databehandleren tager skridt til at sikre, at enhver fysisk person, der udfører arbejde for dem og får adgang til personoplysninger, kun behandler disse efter instruks fra den dataansvarlige.
En pligt der kun angår ansatte. »Enhver fysisk person, der udfører arbejde for« omfatter også vikarer, konsulenter, praktikanter og eksterne udviklere med adgang.