Przesłanki objęcia obowiązkiem nie są do końca jasne, dlatego temat ten poruszono na szkoleniu dla ABI z trzeciego sektora, organizowanym przez generalnego inspektora ochrony danych osobowych.
Wymóg dotyczy wszystkich podmiotów publicznych oraz prywatnych, których głównym przedmiotem działalności jest monitorowanie osób lub przetwarzanie danych o wyrokach i naruszeniach prawa bądź innych danych szczególnego typu. Jako „główną działalność" należy też rozumieć czynności z nią nierozerwalnie związane, np. główną funkcją szpitala jest leczenie, ale nie jest ono możliwe bez przetwarzania danych o stanie zdrowia. Monitorowanie zaś musi być „regularne i systematyczne", tzn. prowadzone w określonych odstępach czasu i zgodne z ustalonym systemem.