Les données personnelles doivent rester secrètes. Seules des personnes autorisées, formées et dignes de confiance peuvent y accéder, et seulement si le responsable leur donne l’ordre. Elles doivent aussi signer un papier pour promettre de respecter la loi. Si un sous-traitant est impliqué, un contrat doit dire clairement qu’il doit protéger les données et suivre les instructions du responsable.