Система защиты персональных данных призвана нейтрализовывать актуальные угрозы их безопасности. Она включает в себя организационные и (или) технические меры.

Последние, согласно Постановлению Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" зависят от установленного уровня защищенности персональных данных. Он определяется исходя из типа угроз (в Постановлении приведена их классификация), вида персональных данных (биометрические, общедоступные и пр.), количества их субъектов и прочих факторов.

За безопасность персональных данных отвечает оператор системы, который их обрабатывает, или уполномоченное им лицо.

Оператор системы выбирает средства защиты информации в соответствии с нормативными актами ФСБ России и ФСТЭК России.

Выполнение требований контролируется оператором (уполномоченным лицом) самостоятельно и (или) с привлечением на договорной основе юрлиц и ИП. Последние должны иметь лицензию на занятие деятельностью по технической защите конфиденциальной информации.

Контроль проводится не реже 1 раза в 3 года. Конкретные сроки определяются оператором (уполномоченным лицом).