Una persona che lavora all'interno dell'organizzazione non dovrebbe poter trattare liberamente tutti i dati disponibili. L'accesso deve essere coerente con mansione, ruolo, responsabilità e necessità operative.
L'articolo 29 del GDPR stabilisce che chiunque agisca sotto l'autorità del titolare o del responsabile e abbia accesso a dati personali non può trattarli se non è istruito in tal senso, salvo specifiche previsioni di legge. Il Codice Privacy italiano disciplina inoltre l'attribuzione di compiti e funzioni alle persone che operano sotto l'autorità del titolare o del responsabile.
Autorizzazione → Istruzioni → Formazione → Comportamento
Firmare una lettera di autorizzazione senza comprendere concretamente cosa sia consentito fare non realizza da solo una protezione efficace.