Статья 23Директива № 2016/680 Европейского парламента и Совета Европейского Союза

Государства-члены ЕС предусматривают, что лицо, обрабатывающее данные, и любое лицо, действующее с разрешения контролера или обрабатывающего данные лица и имеющее доступ к персональным данным, должны обрабатывать указанные данные только по распоряжению контролера, за исключением случаев, предусмотренных законодательством Европейского Союза или государства-члена ЕС.