Elle convient aux organisations qui traitent les données personnelles en tant que responsables du traitement ou sous-traitants. L'Ouganda, le Kenya et le Rwanda ont chacun une loi sur la protection des données en vigueur.

• Une analyse d'écart compare la pratique actuelle aux exigences.
• La direction générale approuve l'étendue, la politique et les objectifs.
• Les flux de données personnelles sont mappés et les rôles de contrôleur ou de processeur sont établis.
• Les processus s'exécutent assez longtemps pour produire des preuves pour l'auditeur.
• Un audit interne et une revue de direction sont réalisés.
• L'étape 1 et l'étape 2 les audits par l'organisme de certification conduisent au certificat.

L'effectif, le nombre de sites et l'étendue du système déterminent la plupart des coûts. Les pratiques existantes importent, car chaque lacune exige du temps de personnel et un soutien extérieur pour être comblée. Les jours d'audit sont fixés par l'organisme de certification en fonction de l'effectif et de la complexité selon les règles d'accréditation. Le volume et la sensibilité des données personnelles traitées déterminent les contrôles nécessaires. Des audits de surveillance suivent chacune des deux années suivant la certification.

Le temps dépend de la taille, de l'étendue et de la préparation. Les petites organisations ayant une pratique saine terminent souvent en quatre à six mois. Les organisations plus grandes ou multi-sites ont généralement besoin de neuf à douze mois. Un certificat est valide pendant trois ans avant la recertification.

Les certificats sont émis par des organismes de certification accrédités auprès de ISO/IEC 17021-1. Votre responsable de mise en œuvre et votre auditeur sont toujours différents, de sorte que l'audit reste indépendant.