Av artikel 16 i dataskyddsdirektivet framgår att den som får tillgång till personuppgifter med anledning av sitt arbete , får behandla uppgifterna endast enligt instruktion från den registeransvarige , om han inte är skyldig att göra det enligt lag .