Aby wdrożyć odpowiednie środki bezpieczeństwa danych osobowych, należy ustalić, przed jakim ryzykiem chcemy chronić dane osobowe. Umiejętność szacowania i identyfikacji ryzyka będzie szczególnie istotna, gdy ogólne rozporządzenie o ochronie danych zacznie być stosowane. Każdy administrator będzie musiał bowiem prowadzić ocenę skutków przetwarzania danych osobowych.