Orice persoană care acţionează sub autoritatea operatorului sau a persoanei împuternicite, inclusiv persoana împuternicită, care are acces la date cu caracter personal, nu poate să le prelucreze decât pe baza instrucţiunilor operatorului, cu excepţia cazului în care acţionează în temeiul unei obligaţii legale.

Operatorul este obligat să aplice măsurile tehnice şi organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, pierderii, modificării, dezvăluirii sau accesului neautorizat, în special dacă prelucrarea respectivă comportă transmisii de date în cadrul unei reţele, precum şi împotriva oricărei alte forme de prelucrare ilegală.

Nivelul necesar de securitate a datelor este stabilit de: elementele de securitate disponibile pe piaţă pentru orice tip specific de prelucrare, costuri şi sensibilitatea datelor prelucrate. 

Efectuarea prelucrărilor prin persoane împuternicite trebuie să se desfăşoare în baza unui contract încheiat în formă scrisă, care trebuie să cuprindă obligaţia persoanei împuternicite de a acţiona doar în baza instrucţiunilor primite de la operator și faptul că îndeplinirea obligaţiilor prevăzute pentru operatori revine şi persoanei împuternicite.

Prelucrarea securizată a datelor este garantată în plus prin obligaţia generală a tuturor persoanelor, operatorilor sau persoanelor împuternicite de către operatori de a asigura confidenţialitatea datelor.