Správce je povinen přijmout technická a organizační opatření s ohledem na povahu, rozsah a účely zpracování. Není přesně stanoveno, jaká opatření jsou adekvátní a jaká nedostatečná. Vše je třeba posoudit individuálně. Předně si musí složky vyhodnotit, jaké osobní údaje zpracovávají a v jaké formě.