Organisaation on ylläpidettävä selkeää ja dokumentoitua menettelyä niitä tapauksia varten, joissa henkilötietoja käsitellään muuhun tarkoitukseen kuin siihen, jota varten ne alun perin kerättiin. Menettelyllä on varmistettava, että mahdollinen lisäkäsittely pysyy laillisena, tarpeellisena ja läpinäkyvänä.

Vaatimustenmukaisuuden varmistamiseksi menettelyn on oltava

• Määriteltävä, perusteltava ja dokumentoitava selkeästi uudet käsittelytarkoitukset.
• Käytettävä välineitä, kuten tietojen kartoitusta tai tarpeellisuusarviointeja, sen määrittämiseksi, mitä tietoelementtejä tarvitaan ja miten niitä käsitellään ja suojataan turvallisesti.
• Rajoitettava käsittely siihen vähimmäismäärään henkilötietoja, joka on tarpeen uuden tarkoituksen saavuttamiseksi.
• Käytä asianmukaisia organisatorisia ja teknisiä toimenpiteitä tietojen suojaamiseksi koko käsittelyn ajan.
• Kirjaa kaikki päivitykset tai muutokset organisaation käsittelytoimia koskeviin tietoihin.
• Ilmoitetaan asianomaisille henkilöille uudesta tarkoituksesta ja annetaan kaikki vaaditut tiedot ennen lisätietojen käsittelyn aloittamista.