Či ste priamo prevádzkovaľ alebo sprostredkovateľ rovnako zodpovedáte za bezpečnosť spracúvaných osobných údajov. Takže v prípade, ak ako spracovateľ miezd spracúvate aj osobitnú kategóriu osobných údajov, čo je napríklad rodné číslo a svojmu klientovi posielate povedzme výplatné pásky aj e-mailom mali by ste mať spracovaný bezpečnostný projekt. Inak povedané, ak spracúvate osobitnú kategóriu osobných údajov v PC, ktorý je pripojený do siete internet, je potrebné mať bezpečnostný projekt. Ak tento PC do siete internet nie je pripojený, bude postačujúca bezpečnostná smernica.