Regulamentul spune clar că acolo unde împuternicitul, având acces la datele operatorului, face ceva nu pentru operator, ci pentru propriile scopuri și utilizând mijloace în controlul lui, pentru acele fapte el e considerat operator și răspunde în nume propriu.