隨著個人資訊的數量呈倍數成長，個人及其資料會逐漸成為資安威脅的目標。然而，企業在多數情況下仍須對其IT系統上所存放的個人資料負起最終責任。現在，該是為個人資料管理建立一套退場策略的時候。掌握策略規劃的領導者必然希望在未來五年之內將個人資料的儲存與處理工作脫手。
PCI資料安全標準（Data Security Standard，DSS）針對蒐集和儲存信用卡資料的企業制定了嚴格的管控要求。因此，許多企業決定不再將信用卡資料存放於自有系統，而是完全託付予外部服務供應商。同樣的情況也可能發生在個人資料上。若管控要求過於嚴格且建置成本過高，將個人資料交付給專門的「個人資料處理商」會是合理的解決方法。
以下是實行這項策略的五個準備步驟：
．明確劃分個人資料與非個人資料
第一步是要建立一套政策以清楚劃分個人相關及非個人相關的資料，前者包括：聯絡資訊、醫療與財務資訊，還有網際網路IP位址、地理位置資訊，以及其他可從線上追蹤至個人的網路資訊。後者尤其涵蓋：業務計畫、企業財務資料與智慧財產。區分是必要的，因為兩者適用的法律不同。
．在個人資料周圍架設防護
查明與記錄個人資料必須和政策制定同步進行。一旦建置個人資料，就必須加以保護。加密是廣為使用的保護措施。但若底層的IT基礎架構並非企業所持有（無論是行動裝置或雲端環境），企業仍存在著其他挑戰。
．通用的應用程式比不上專用的應用程式
在可行的情況下，個人資料不應與其他資料合併存放。任何以相同方式處理個人資料和非個人資料的技術都會帶來風險。在決定如何防護之前，應先對內容進行分析。如果可以將員工績效資訊存放在人事管理系統、將客戶資訊存放在CRM（客戶關係管理）系統、將財務和業務資料存放在ERP（企業資源規劃）系統，這類決策會變得較為容易。
．堅守隱私權標準，或者自行建立一套標準
隱私權標準能簡化管控架構、稽核作業與資訊交換，尤其是牽涉到許多對象和關係人的情況。無論採用何種隱私權標準及跨界傳輸機制，企業最困難的挑戰就是要讓所有對象都受到這些規範約束，包括所有員工在內，並且當員工或客戶蒙受損害時負起責任。
．邏輯位置凌駕實體與法律界定位置
隱私權的要求目前仍受法律影響，而且管轄權亦有地理疆界。這一點與雲端運算及行動運算的IT現實有所衝突。實體位置是電子與位元資料真正儲存的地點。但由於此一資訊可在一秒之內從世界的另一端存取，實體位置之重要因而日趨減弱。儘管就法規層面而言，法律界定的位置最符合其用途，但實體位置卻仍是許多執法單位所堅持的標的。
（本文作者現任Gartner研究副總裁）