RODO jest rozporządzeniem opartym na rozliczalności. Art. 5 ust. 2 wymaga od administratora wykazania zgodności, a nie wyłącznie jej osiągnięcia. To rozróżnienie zmienia produkt prac: efektem działań z zakresu ochrony danych mają być dowody, które obronią się przed pytaniem organu nadzoru, audytem klienta lub skargą osoby, której dane dotyczą — a nie zestaw polityk nigdy nieskonfrontowany z opisywanymi procesami.
Program opiera się na czterech działaniach. Ustaleniu stanu faktycznego poprzez rejestr czynności przetwarzania z art. 30, mapowanie przepływów danych i inwentaryzację dostawców. Podejmowaniu decyzji poprzez analizę ryzyka i ocenę skutków z art. 35. Budowaniu zabezpieczeń poprzez ochronę danych w fazie projektowania i domyślną ochronę danych z art. 25. Prowadzeniu bieżącej obsługi: żądań osób, zgłoszeń naruszeń w terminie 72 godzin z art. 33 oraz nadzoru nad podmiotami przetwarzającymi z art. 28.
Najczęściej zawodzi część inżynieryjna. Zabezpieczenia istniejące wyłącznie w dokumencie przestają działać przy pierwszym wdrożeniu nowej funkcji, ponieważ art. 25 wymaga wprowadzenia środków do samego przetwarzania: ustawień domyślnych, minimalizacji, retencji, kontroli dostępu i rejestrowania zdarzeń w wersji wdrożonej, a nie opisanej. Każde z nich jest decyzją weryfikowalną w kodzie.
W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, stosujący RODO wraz z ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych. Dowody zgromadzone na potrzeby ochrony danych wykorzystamy również dla zabezpieczenia A.5.34 normy ISO 27001 oraz dla obowiązków z dyrektywy NIS 2, jeżeli obejmuje ona te same systemy — i to jest argument za zbudowaniem ich raz, a nie pod każdy audyt.
