ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ระบุให้องค์กรที่ทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ต้องดำเนินการดังนี้

1. ประเมินความเสี่ยงตามลักษณะและวัตถุประสงค์ของการของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุละเมิดข้อมูลส่วนบุคคล

2. กำหนดมาตรการรักษาความมั่นคงปลอดภัย ร่วมกับเจ้าหน้าที่ของบริษัท เพื่อลดป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง 

3. พัฒนานโยบายความมั่นคงปลอดภัยสารสนเทศ

4. จัดทำขั้นตอนปฏิบัติในการจัดการบริหารบัญชีผู้ใช้งาน

5. จัดทำแผนตอบสนองเมื่อเกิดเหตุการณ์การละเมิดข้อมูลส่วนบุคคล