Bestemmelsen gjelder direkte plikten for den behandlingsansvarlige til å informere personer utenfor egen organisasjon, men tilsvarende krav gjelder i forhold til personer i egen organisasjon. Den øverste skoleledelsen skal for eksempel påse at alle ansatte på en skole som har tilgang til personopplysninger kjenner til hvilke krav til informasjonssikkerhet som gjelder.
