Článok 38 ods. 3 upravuje základné garancie, ktoré majú dopomôcť k tomu, aby boli zodpovedné osoby schopné vykonávať svoje úlohy v rámci organizácie s dostatočnou mierou autonómie. Od prevádzkovateľov/sprostredkovateľov sa predovšetkým očakáva, že zabezpečia, aby zodpovedná osoba „v súvislosti s plnením jej úloh nedostávala žiadne pokyny“. Recitál 97 dopĺňa, že zodpovedné osoby, „či už sú alebo nie sú zamestnancami prevádzkovateľa, by mali mať možnosť vykonávať svoje povinnosti a úlohy nezávisle.“

To znamená, že pri plnení úloh podľa článku 39 sa zodpovedným osobám nesmie určovať, ako postupovať pri riešení veci, napr. aký výsledok sa má dosiahnuť, ako prešetrovať sťažnosť alebo či vec konzultovať s dozorným orgánom. Okrem toho sa im nesmie nariadiť, aké stanovisko by mali zaujať v otázke týkajúcej sa právnej úpravy ochrany osobných údajov, napr. určitý výklad právnej normy.

Pod autonómiou zodpovednej osoby by sme však nemali rozumieť, že majú rozhodovacie právomoci, ktoré presahujú ich úlohy podľa článku 39. Prevádzkovateľ alebo sprostredkovateľ je naďalej zodpovedný za súlad s právnymi normami na ochranu osobných údajov a tiež musí vedieť tento súlad preukázať. Ak prevádzkovateľ alebo sprostredkovateľ prijme rozhodnutie, ktoré je nekompatibilné s nariadením a stanoviskom zodpovednej osoby, zodpovednej osobe by mala poskytnúť možnosť ozrejmiť svoje nesúhlasné stanovisko pred tými, ktorí tieto rozhodnutia prijímajú.