Wanneer persoonsgegevens zijn of zullen worden gedeeld, is de verwerkingsverantwoordelijke verplicht om de betrokkene op verzoek de werkelijke identiteit van die ontvangers te verstrekken. Uitsluitend daar waar het (nog) niet mogelijk is om die ontvangers te identificeren, mag de verantwoordelijke alleen de categorieën van ontvangers in kwestie aangeven. Dat is ook het geval wanneer de verwerkingsverantwoordelijke aantoont dat het verzoek kennelijk ongegrond of buitensporig is.