Le persone fisiche che hanno accesso ai dati a vario titolo per effettuare trattamenti devono essere designate per iscritto come incaricati e nella designazione va specificato l’ambito di trattamento –ossia l’attività- consentito. La regola 19.6 dell’Allegato B – Misure Minime di Sicurezza – del D.Lvo 196/03 prevede inoltre che ricevano formazione adeguata.

Una formazione conforme alla regola prevede che agli incaricati vengano fornite informazioni essenziali, quali la descrizione sintetica delle norme applicabili, degli obiettivi e modalità dell'intervento formativo. Questo momento formativo deve avvenire in occasione dell’ingresso in servizio o cambiamento di mansioni degli incaricati, introduzione di nuovi elaboratori, programmi o sistemi informatici, ecc. Essendo obbligo di legge, di ciascuna attività di formazione effettuata deve essere data evidenza documentale mediante idonea attestazione rilasciata dall'ente di formazione che l'ha effettuata.