JIS Q 15001
組織は、個人情報保護マネジメントシステムを具体的にどのように運用するかを定めた規程をもち、それを文書化しなければならない。規程では、個人情報保護管理者を指名し、組織全体の個人情報保護マネジメントシステムの責任および権限を与えることが明記される。
個人情報の取得や利用、提供、委託を適切に行うこと、本人から個人情報を開示または訂正・削除の要求があった場合に対応する手段をもつこと、個人情報保護に関する教育を実施すること、運用の確認や内部監査を行うこと、規程に対する違反があった場合には罰則が適用されることなどを規程に明記しなくてはならない。
OECD 8原則では、個人データを適法かつ公正に収集(取得)すること、取得に際しては必ず収集元である個人から同意を得ること、取得の目的を明確に告げること、取得元である個人が自らの情報を提供したのちもその情報にアクセスする権利をもつこと、取得した個人データを安全かつ適切に管理すること、個人データの管理責任者を明確にすることなどが掲げられている。
この原則が示す理念は、OECD加盟の欧米各国などで個人情報保護に関する管理システム策定に受け継がれた。日本でも、1984年に制定された電気通信事業法、1988年の「行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律」などに反映されたほか、1995年には、欧州連合にて個人データ保護指令が採択されたことにより、1997年に「民間部門における電子計算機処理に係る個人情報保護ガイドライン」が策定、これを基に1999年の JIS Q 15001 の策定、2003年の個人情報保護法制定へとつながった。