Πρόκειται για τις αποφάσεις που έχει πάρει ο οργανισμός σε σχέση με το πώς θα επεξεργάζεται δεδομένα προσωπικού χαρακτήρα. Συνήθως η πολιτική είναι ένα κείμενο που υπογράφεται από το διοικητικό συμβούλιο και επικοινωνείται στους υπαλλήλους μέσω εγκυκλίων και καθορίζει τη δέσμευση της διοίκησης και την προσέγγιση ενός οργανισμού αναφορικά με την ασφάλεια και την προστασία των προσωπικών δεδομένων.

Παραδείγματα που αφορούν στο περιεχόμενο πολιτικής ενός οργανισμού:

1. Η εγκύκλιος που αφορά στις άδειες.
2. Οι κάρτες για είσοδο σε κτίριο με σκοπό την ασφάλεια και τον έλεγχο.
3. Η κάμερα μέσα σε κατάστημα με σκοπό τον έλεγχο και την προστασία του πελάτη, του εργαζόμενου και του οργανισμού. Αν το έργο  έχει ανατεθεί σε ιδιώτη (εταιρεία security), ο οργανισμός ενημερώνει τον εργαζόμενο για τη βιντεοσκόπηση , την ανάθεση του έργου σε ιδιώτη αλλά και την πιθανότητα το υλικό να προβληθεί στην επιθεώρηση εργασίας.
4. Το διάστημα που διατηρεί ο οργανισμός τα δεδομένα.
5. Την αναθεώρηση των εξουσιοδοτήσεων και των δικαιωμάτων πρόσβασης για όλα τα στάδια της εργασιακής πορείας των εργαζομένων (πρόσληψη, αλλαγή καθηκόντων, αποχώρηση).
6. Τα οργανωτικά μέτρα ασφαλείας αναφορικά με τους ρόλους και τις αρμοδιότητες του προσωπικού και των εξωτερικών συνεργατών/εκτελούντων την επεξεργασία, την εκπαίδευση του προσωπικού, τον καθορισμό του Υπευθύνου Προστασίας Δεδομένων.
7. Τη διαχείριση πληροφοριακών αγαθών (φυσικού κι ηλεκτρονικού αρχείου).
8. Τη διαχείριση περιστατικών παραβίασης προσωπικών δεδομένων.
9. Την ασφάλεια επικοινωνιών.