Att tillgången till personuppgifter bör begränsas framgår dock indirekt bl.a. av artikel 25.2 i förordningen , som anger att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att begränsa omfattningen av personuppgiftsbehandling .