Es una obligación impuesta al Responsable del Tratamiento de acuerdo con el artículo 35 del GDPR y constituye la herramienta principal para verificar los riesgos a los que la organización está expuesta en términos de divulgación no autorizada de datos personales, identificativos, de registro y judiciales. Consiste en "fotografiar" el estado inicial de los métodos y herramientas utilizados para la adquisición, tratamiento, procesamiento y eliminación de datos, y luego evaluar los riesgos a los que la organización está expuesta, y tomar las precauciones necesarias a través de la seguridad de la organización.