Organisaation on ylläpidettävä selkeää ja dokumentoitua menettelyä niitä tapauksia varten, joissa henkilötietoja käsitellään muuhun tarkoitukseen kuin siihen, jota varten ne alun perin kerättiin. Menettelyllä on varmistettava, että mahdollinen lisäkäsittely pysyy laillisena, tarpeellisena ja läpinäkyvänä.

Vaatimustenmukaisuuden varmistamiseksi menettelyn on oltava

• Määriteltävä, perusteltava ja dokumentoitava selkeästi uudet käsittelytarkoitukset.
• Käytettävä välineitä, kuten tietojen kartoitusta tai tarpeellisuusarviointeja, sen määrittämiseksi, mitä tietoelementtejä tarvitaan ja miten niitä käsitellään ja suojataan turvallisesti.
• Rajoitettava käsittely siihen vähimmäismäärään henkilötietoja, joka on tarpeen uuden tarkoituksen saavuttamiseksi.
• Käytä asianmukaisia organisatorisia ja teknisiä toimenpiteitä tietojen suojaamiseksi koko käsittelyn ajan.
• Kirjaa kaikki päivitykset tai muutokset organisaation käsittelytoimia koskeviin tietoihin.
• Ilmoitetaan asianomaisille henkilöille uudesta tarkoituksesta ja annetaan kaikki vaaditut tiedot ennen lisätietojen käsittelyn aloittamista.

Organisaation on ylläpidettävä jäsenneltyä menettelyä, jolla vastataan viranomaisten esittämiin tietojen luovutuspyyntöihin. Menettelyllä on varmistettava, että:

• Jokainen pyyntö tarkistetaan lailliseksi, tarpeelliseksi ja asianmukaisesti valtuutetuksi.
• Kaikki pyynnön yksityiskohdat ja organisaation vastaus dokumentoidaan selkeästi.
• ainoastaan pyynnön kannalta merkitykselliset erityyppiset henkilötiedot yksilöidään ja luovutetaan täsmällisesti.
• Julkisen turvallisuuden, lainsäädännön noudattamisen tai terveyden ja turvallisuuden suojelun kaltaisista syistä tapahtuvassa luovuttamisessa noudatetaan samoja todentamis- ja vastuullisuusvaatimuksia.

Käsitellessään henkilötietoja yleisen edun mukaisen tarkoituksen saavuttamiseksi, joka poikkeaa alkuperäisestä keruutarkoituksesta, organisaation on varmistettava, että käsittely on tarpeellista, selkeästi määriteltyä ja sen oikeudellisen valtuutuksen mukaista. Henkilötietoja olisi kerättävä ja käsiteltävä vain vähimmäismäärä, ja asianmukaista hallinnollista ja teknistä valvontaa olisi toteutettava haittojen estämiseksi ja henkilöstön vaatimustenmukaisuuden varmistamiseksi. Kaikki asiaan liittyvät käsittely- ja luovutustoimenpiteet on dokumentoitava ja kirjattava organisaation tietojenkäsittelyrekistereihin.