يناسب المنظمات التي تعالج البيانات الشخصية كمتحكمين أو معالجين. تمتلك أوغندا وكينيا ورواندا كل منها قانون حماية البيانات الذي بدأ نفاذه.

• تقييم الفجوات يقارن الممارسة الحالية مع المتطلبات.
• توافق الإدارة العليا على النطاق والسياسة والأهداف.
• تم تعيين تدفقات البيانات الشخصية والأدوار كمتحكم أو معالج.
• تعمل العمليات لفترة كافية لإنتاج أدلة للمدقق.
• يتم إكمال التدقيق الداخلي ومراجعة الإدارة.
• المرحلة 1 والمرحلة 2 التدقيق من قبل الهيئة المانحة للشهادة تؤدي إلى الشهادة.

عدد الموظفين وعدد المواقع ونطاق النظام يحددون معظم التكاليف. الممارسة الموجودة مهمة، لأن كل فجوة تتطلب وقت الموظفين والدعم الخارجي للإغلاق. يتم تحديد أيام التدقيق من قبل هيئة التصديق بناءً على عدد الموظفين والتعقيد وفقاً لقواعد الاعتماد. حجم وحساسية البيانات الشخصية المعالجة تحدد الضوابط المطلوبة. تتابع تدقيقات المراقبة في كل من السنتين التاليتين للتصديق.

يعتمد الوقت على الحجم والنطاق والجاهزية. غالباً ما تنهي المنظمات الصغيرة ذات الممارسات السليمة العملية في أربعة إلى ستة أشهر. عادة ما تحتاج المنظمات الأكبر أو متعددة المواقع إلى تسعة إلى اثني عشر شهراً. تسري الشهادة لمدة ثلاث سنوات قبل إعادة الشهادة.

تُصدِر الشهادات هيئات شهادات معتمدة لدى ISO/IEC 17021-1. يكون المنفذ والمدقّق لديك دائماً مختلفين، بحيث يبقى التدقيق مستقلاً.