I artikel 32.4 anges vidare att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende , och som får tillgång till personuppgifter , endast behandlar dessa på instruktion från den personuppgiftsansvarige om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det .