Inspiré de l'article 28, paragraphe 1, de la directive 95/46/CE, et de l'article 25 de la décision‑cadre 2008/977/JAI, l'article 39 fait obligation aux États membres de mettre en place des autorités de contrôle, et d'élargir la mission de celles-ci qui seront également chargées de contribuer à l'application cohérente de la directive dans l’ensemble de l'Union; cette autorité de contrôle peut être celle instituée en vertu du règlement général sur la protection des données.
Artikel 39 verplicht de lidstaten ertoe een toezichthoudende autoriteit op te richten en is gebaseerd op artikel 28, lid 1, van Richtlijn 95/46/EG en artikel 25 van Kaderbesluit 2008/977/JBZ. De taakomschrijving van deze autoriteiten wordt uitgebreid: zo moeten zij bijdragen tot een consequente toepassing van de richtlijn in de gehele Unie. De toezichthoudende autoriteit die bij de algemene verordening gegevensbescherming is opgericht, kan ook optreden als de toezichthoudende autoriteit voor deze richtlijn.