Przesłanki objęcia obowiązkiem nie są do końca jasne, dlatego temat ten poruszono na szkoleniu dla ABI z trzeciego sektora, organizowanym przez generalnego inspektora ochrony danych osobowych.
Wymóg dotyczy wszystkich podmiotów publicznych oraz prywatnych, których głównym przedmiotem działalności jest monitorowanie osób lub przetwarzanie danych o wyrokach i naruszeniach prawa bądź innych danych szczególnego typu. Jako „główną działalność" należy też rozumieć czynności z nią nierozerwalnie związane, np. główną funkcją szpitala jest leczenie, ale nie jest ono możliwe bez przetwarzania danych o stanie zdrowia. Monitorowanie zaś musi być „regularne i systematyczne", tzn. prowadzone w określonych odstępach czasu i zgodne z ustalonym systemem.
Dodatkowym warunkiem objęcia obowiązkiem jest także przetwarzanie danych „na dużą skalę". Każda organizacja musi więc sama ocenić, czy kwalifikuje się pod ten obowiązek. Badanie najlepiej wykonywać cyklicznie, gdyż przedmiot i skala przetwarzania danych może się zmieniać.
