Organisaation olisi tunnistettava tilanteet, jotka edellyttävät suurempaa avoimuutta, kuten laajamittainen tai jatkuva tietojenkäsittely, seuranta, automatisoitu päätöksenteko tai sellaisten henkilöiden tietojen käsittely, joiden oikeustoimikelpoisuus on rajoitettu. Näissä tapauksissa yksilöille on tiedotettava selkeästi siitä, miten heidän henkilötietojaan ja arkaluonteisia tietojaan kerätään, mitä suojatoimenpiteitä sovelletaan ja käytetäänkö automatisoituja järjestelmiä heitä koskeviin päätöksiin. Näiden selitysten olisi oltava tiiviitä, selkeitä ja helposti ymmärrettäviä, jotta varmistetaan, että he ovat täysin tietoisia siitä, miten heidän tietojaan käytetään ja suojataan.

The organization must establish a clear and consistent process to inform individuals about how their personal data is collected and used. Before or at the time of collection, individuals should be provided with all essential details, the controller's detail, the purpose and legal basis of processing, how long the data will be retained, and how they can exercise or withdraw consent for processing. The organization must also clarify whether providing data is optional or mandatory.

The procedure must also specify how individuals are informed of their ability to withdraw consent and the implications of doing so. In cases where the data subject already possesses this information or disclosure would breach legal restrictions, the organization may justifiably withhold notification while maintaining a record of that decision for accountability.

Tietovarannon tiedot ovat lähtökohtaisesti vain kyseisen rekisterinpitäjän käytössä ja samalla vastuulla. Mikäli luovutat tietoja eteenpäin toiselle organisaatiolle muuta käyttöä varten, siitä on informoitava selkeästi ja kerrottava mm. luovutuksen vastaanottaja sekä peruste.