(1) Se interzice persoanei împuternicite de către operator să prelucreze datele cu caracter personal cu depășirea instrucțiunilor primite de la operator, cu excepția situațiilor prevăzute expres de lege.
(2) Orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de către operator, care are acces la date cu caracter personal, nu poate să le prelucreze decât pe baza instrucțiunilor operatorului, cu excepția situațiilor prevăzute expres de lege.