認証取得の準備

個人データ保護への取り組みを公約し、そのコミットメントを周知すること（例：Privacy Pactなど）。

データ保護責任者（DPO）を任命し、一般市民および国の監督機関が容易に連絡を取れるようにすること。

データ処理活動の棚卸しを行い、文書化すること。

データ処理活動の適法性を確認すること（同意に基づく場合は、データ処理の前に、十分な情報提供を受けた自由意思による明確な同意が得られていることを確認する）。

データ主体の権利および自由に対するリスクを評価し、該当する場合はデータ保護影響評価（DPIA）を実施すること。

個人データの収集、処理、アクセス、および保持期間を最小限に抑えること。

適切な技術的および組織的措置を講じて、データ処理の安全を確保すること。

アクセス制御、バックアップおよびデータ保持期間、データ主体の権利、処理者、個人データの越境移転などに関する適切なデータ保護方針、規則、手順を策定すること。

データ保護方針および手順を周知徹底すること。

データ主体の権利行使の状況を記録し、文書化すること。

データ侵害およびその対応について記録し、文書化すること。

技術的および組織的措置を定期的に確認し、リスク評価を更新すること。

内部監査結果およびリスク評価について、経営陣によるレビューを少なくとも年に1回実施すること。経営陣は、特定された弱点に対処するための具体的なアクションプランを策定する必要があります。