La garantie ne doit pas être apportée par les individus membres d'un organisme mais par le responsable de traitement, le coresponsable ou le sous-traitant, qui doivent procéder à une analyse des risques et être en mesure de démontrer que leur procédure présente un faible risque pour la vie privée. Avis défavorable.