Att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende , och som får tillgång till personuppgifter , endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige , såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt , framgår av artikel 29 i dataskyddsförordningen .