ระบบดิจิทัลที่ให้บริการแก่ผู้ใช้งานจำนวนมากจำเป็นต้องมีแนวทางบริหารข้อมูลส่วนบุคคลที่ชัดเจนตั้งแต่ขั้นตอนการออกแบบ การรวบรวมข้อมูลควรพิจารณาความจำเป็นของข้อมูลแต่ละประเภทและกำหนดวัตถุประสงค์ก่อนนำข้อมูลเข้าสู่ระบบ การแยกประเภทข้อมูลตามระดับความสำคัญช่วยให้สามารถกำหนดมาตรการรักษาความปลอดภัยได้เหมาะสมกับความเสี่ยง ข้อมูลที่มีความละเอียดอ่อนควรได้รับการควบคุมสิทธิ์เข้าถึงอย่างเข้มงวด ขณะที่ข้อมูลทั่วไปสามารถใช้มาตรการตามระดับความเสี่ยงที่เหมาะสม การกำหนดสิทธิ์ภายในระบบควรยึดหลักว่าบุคลากรจะเข้าถึงเฉพาะข้อมูลที่จำเป็นต่อหน้าที่ และควรมีการทบทวนสิทธิ์เป็นระยะเพื่อป้องกันสิทธิ์ที่ไม่จำเป็นตกค้างอยู่ในระบบ การใช้การยืนยันตัวตนหลายขั้นตอนในบัญชีที่มีสิทธิ์สำคัญสามารถเพิ่มระดับการป้องกันได้ ข้อมูลระหว่างการส่งผ่านเครือข่ายควรมีการเข้ารหัส ส่วนข้อมูลที่จัดเก็บควรมีการควบคุมการเข้าถึงและจัดการกุญแจเข้ารหัสอย่างเหมาะสม ระบบบันทึกเหตุการณ์ด้านความปลอดภัยช่วยให้ทีมงานสามารถตรวจสอบการเข้าถึงและค้นหาพฤติกรรมที่ผิดปกติได้ เมื่อมีการสำรองข้อมูล ควรพิจารณาทั้งความปลอดภัยและความสามารถในการกู้คืน เพื่อไม่ให้ข้อมูลสำรองกลายเป็นจุดอ่อนของระบบเอง นโยบายการเก็บรักษาข้อมูลควรกำหนดระยะเวลาตามความจำเป็นและข้อกำหนดที่เกี่ยวข้อง เมื่อข้อมูลหมดความจำเป็นควรมีขั้นตอนการลบหรือทำให้ไม่สามารถระบุตัวบุคคลได้อย่างเหมาะสม สำหรับคำขอของผู้ใช้งานเกี่ยวกับข้อมูลส่วนบุคคล ควรมีช่องทางติดต่อและขั้นตอนตรวจสอบตัวตนก่อนดำเนินการ เพื่อป้องกันไม่ให้ข้อมูลถูกส่งให้บุคคลผิดคน หากมีการใช้ผู้ให้บริการภายนอก
