Enligt artikel 29 i dataskyddsförordningen gäller att personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende , och som får tillgång till personuppgifter , endast får behandla dessa på instruktion från den personuppgiftsansvarige , såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt .