El Reglamento no define la expresión, pero alcanza claramente a los empleados y demás personal que tienen acceso a datos personales dentro de la organización del responsable o del encargado del tratamiento. El criterio del texto es el acceso a datos personales unido a la actuación bajo la autoridad de uno de los dos actores, y no la calificación de la relación laboral o de encargo.

El artículo 28 rige la relación entre el responsable y el encargado del tratamiento mediante un contrato vinculante, mientras que el artículo 29 enuncia el principio de instrucción directamente como norma del Reglamento, de modo que un encargado que actúe al margen de las instrucciones infringe el propio Reglamento y no solo el contrato. El mismo principio reaparece en el artículo 32, apartado 4, que obliga al responsable y al encargado del tratamiento a tomar medidas para garantizar que las personas que actúan bajo su autoridad lo respeten.

Sí, una sola. El tratamiento sin instrucciones o en contra de ellas está permitido cuando el Derecho de la Unión o de los Estados miembros lo exija, en paralelo a la reserva del artículo 28, apartado 3, letra a). La conveniencia comercial o los fines propios del encargado del tratamiento nunca justifican una desviación, y un encargado que persiga sus propios fines pasa a ser responsable del tratamiento en virtud del artículo 28, apartado 10.

La disposición enuncia la prohibición en lugar de prescribir los medios, pero el artículo 32, apartado 4, exige al responsable y al encargado del tratamiento tomar medidas para garantizar el cumplimiento por las personas que actúan bajo su autoridad, y el artículo 28, apartado 3, letra b), exige que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad. Leídas conjuntamente, estas disposiciones esperan medidas internas como instrucciones, compromisos de confidencialidad y controles de acceso.