Аудит начинается с карты потоков данных: какие сведения получает компания, где они хранятся, кому передаются и на каком основании. Затем проверяются согласия, политики, договоры с обработчиками и локализация баз.

Результатом должна быть не формальная папка документов, а работающая система: ответственные лица, сроки хранения, сценарий реагирования на инциденты и понятные правила для сотрудников.