Die DSGVO fordert den Einsatz geeigneter technischer und organisatorischer Maßnahmen (TOM) gemäß Art. 32. Dazu gehören unter anderem Zugangskontrollen, Verschlüsselung, Trennung von Speichersystemen, regelmäßige Löschung und Zugriffsbeschränkungen. Die eingesetzten Maßnahmen müssen dem Risiko angemessen und dem Stand der Technik entsprechend sein.
