次に、特定した個人情報に対してリスク分析（個人情報リスクアセスメント）を行う。リスク分析については、個人情報の取扱いの局面ごと（取得、利用、保管、移送、委託、提供、廃棄のそれぞれの局面ごと）に個人情報保護リスクを認識する。そして、リスクへの対応を立案する。リスク対策は、当然ながら当該組織としてルール化（安全管理措置）をすることになる。これらのリスクを分析、対策を講じることとした記録、実際にそれを運用した記録を作成し、保存することも必要となる。
また、リスクに対応し分析した結果でも、残存リスクが残る。これも記録管理が必要である。
内部規程.
組織は、個人情報保護マネジメントシステムを具体的にどのように運用するかを定めた規程をもち、それを文書化しなければならない。規程では、個人情報保護管理者を指名し、組織全体の個人情報保護マネジメントシステムの責任および権限を与えることが明記される。
個人情報の取得や利用、提供、委託を適切に行うこと、本人から個人情報を開示または訂正・削除の要求があった場合に対応する手段をもつこと、個人情報保護に関する教育を実施すること、運用の確認や内部監査を行うこと、規程に対する違反があった場合には罰則が適用されることなどを規程に明記しなくてはならない。
個人情報の取得・利用.
個人情報を取得するに際しては、利用目的を明確にすること、適法で公正な方法で取得を行うことを定め、利用目的について、本人へ通知または公表することを求めている。さらに直接書面で取得する際には、同意を得る必要があり、本人に対し、組織における個人情報保護管理者、個人情報の利用目的、個人情報の提供が任意であることや、提供しなかった場合に不利益が生じる場合はその旨を記載しなければならない。
取得した個人情報を利用する際、本人から同意を得た利用目的を超えてはならない。もし当初本人に告知した内容とは別の利用目的が生じた場合には、改めて本人の同意を得なくてはならない。この範囲を超えた場合は目的外利用と呼ばれる。ただし、人の生命・財産に関わる緊急事態や法令に定める事務の場合などは目的外利用とはならない。
個人情報の管理.
個人情報を保有する組織は、これを安全に管理し、紛失・破壊・改竄・漏洩など個人情報を損ない、本人に不利益を与えることのないよう処置を講じなくてはならない。