De bron van medische gegevens is verplicht om te zorgen dat niet meer gegevens worden geraadpleegd/vrijgegeven dan noodzakelijk. Dit wordt gedaan door afspraken te maken over autorisatie: wie mag waar wanneer bij? In een zorgtoepassing moet er een rol gebaseerde autorisatieafspraak gemaakt zijn. Hier zal ieder GtK zich aan moeten houden, maar kan ook betekenen dat de autorisatieregels van de eigen zorgaanbieder(s) overruled worden. Dit kan betekenen dat een gebruiker mogelijk meer of minder mag doen dan (initieel) intern was afgesproken.