Każdy, kto przetwarza dane osobowe, powinien mieć do tego upoważnienie nadane przez administratora danych. W praktyce jednak to często administratorzy bezpieczeństwa zajmują się nadawaniem takich upoważnień.