O regulamento não define a expressão, mas ela abrange manifestamente os trabalhadores e outro pessoal com acesso a dados pessoais no âmbito da organização do responsável pelo tratamento ou do subcontratante. O critério do texto é o acesso a dados pessoais combinado com a atuação sob a autoridade de um destes dois intervenientes, e não a qualificação da relação laboral ou de prestação de serviços.

O artigo 28.º rege a relação entre o responsável pelo tratamento e o subcontratante através de um contrato vinculativo, enquanto o artigo 29.º enuncia o princípio da instrução diretamente como regra do regulamento, pelo que um subcontratante que atue fora das instruções viola o próprio regulamento e não apenas o contrato. O mesmo princípio reaparece no artigo 32.º, n.º 4, que obriga o responsável pelo tratamento e o subcontratante a tomar medidas para assegurar que as pessoas sob a sua autoridade o respeitam.

Sim, uma única. O tratamento sem instruções ou contra as instruções é admitido quando o direito da União ou dos Estados-Membros o exija, em paralelo com a reserva da alínea a) do artigo 28.º, n.º 3. A conveniência comercial ou as finalidades próprias do subcontratante nunca justificam um desvio, e o subcontratante que persiga finalidades próprias passa a ser responsável pelo tratamento nos termos do artigo 28.º, n.º 10.

A disposição limita-se a enunciar a proibição, sem prescrever os meios, mas o artigo 32.º, n.º 4, exige que o responsável pelo tratamento e o subcontratante tomem medidas para assegurar o cumprimento pelas pessoas sob a sua autoridade, e a alínea b) do artigo 28.º, n.º 3, exige que as pessoas autorizadas a tratar os dados assumam um compromisso de confidencialidade. Lidas em conjunto, estas disposições pressupõem medidas internas como instruções, compromissos de confidencialidade e controlos de acesso.