Getroffene technische und organisatorische Massnahmen (TOM) können ebenfalls durch Zertifikate nachgewiesen werden. Diese müssen jedoch tauglich und geeignet sein. Bei Zertifikaten ist zu beachten, dass diese lediglich als Faktor berücksichtigt werden dürfen. Mit anderen Worten: Zertifikate stellen lediglich ein Indiz, jedoch keinen Beweis für das Vorliegen hinreichender TOM dar. Es ist weiterhin eine Gesamtbeurteilung durch hinreichende Informationen und Nachweise notwendig. Für die Indizwirkung ist es erforderlich, dass der Prüfungsumfang und -massstab des Zertifikats bekannt ist. Dies ist etwa bei einer Zertifizierung nach ISO 27001 der Fall, weil es sich um eine Norm handelt. Derzeit kursieren jedoch einige Datenschutz-Zertifikate ohne eine solche Aussagekraft. Hierbei handelt es sich meist um Datenschutz-Zertifikate, die auf von Unternehmen eigens entwickelten und nicht veröffentlichen Standards beruhen. Was genau geprüft wird oder auf welchen Massstäben das Ergebnis beruht, kann nicht ohne Weiteres nachvollzogen werden.