To, że dany podmiot (np. urząd) występuje w roli administratora danych osobowych lub procesora i może przetwarzać dane osobowe, nie oznacza jeszcze, że dostęp do tych danych ma mieć każdy z pracowników takiego podmiotu. Trzeba upoważnić konkretnego pracownika do przetwarzania danych osobowych.