参照：
データ所有者は、組織内の主要な利害関係者であり、プライバシー影響評価（PIA）の結果を承認する責任を負うべきです。PIAは、データ処理活動またはシステムにおける潜在的なプライバシーリスクと影響を特定し、評価するための体系的なプロセスです。データ所有者は、データ処理活動またはシステムに対する権限と説明責任を持ち、データ処理の目的と手段を決定する人物です。データ所有者は、リスク評価、リスク軽減計画、残存リスクレベルなどのPIAの結果を承認し、それらがデータ処理活動またはシステムの事業目標および法的義務と整合していることを確認する必要があります。参考文献：CDPSEレビューマニュアル（デジタル版）、99ページ

説明
情報のプライバシーに最も大きな影響を与える脆弱性は、秘密鍵の漏洩です。これは、情報の暗号化と復号化、そして通信当事者の認証と整合性を侵害する可能性があるためです。秘密鍵とは、データの暗号化や復号化、あるいはデジタル署名の署名や検証に使用される、秘密かつ固有の値です。攻撃者が秘密鍵にアクセスした場合、データや送信者の読み取り、改ざん、またはなりすましが可能になり、情報の機密性、整合性、および真正性が侵害される可能性があります12。
参考文献:
CDPSE レビューマニュアル、第 2 章 - プライバシー アーキテクチャ、セクション 2.3 - プライバシー アーキテクチャの実装3。
CDPSE 認定データ プライバシー ソリューション エンジニア オールインワン試験ガイド、第 2 章 - プライバシー アーキテクチャ、セクション 2.4 - リモート アクセス4。

データ利用ポリシーとは、組織が個人データをどのように収集、利用、保管、共有、削除するかに関するルールとガイドラインを定めた文書です。データガバナンスとコンプライアンスにおいて重要な役割を果たすため、個人データがデータ主体の権利と意向を尊重しつつ、合法的、公正かつ透明な方法で取り扱われることを保証する上で役立ちます。データ利用ポリシーには、個人データの収集と利用に関する要件（法的根拠、目的、範囲、同意、データの最小化、正確性、セキュリティ、説明責任など）を含める必要があります。これらの要件は、データ処理活動の正当性と必要性​​を確立し、個人データの不正使用や過剰な使用を防止するのに役立ちます。
参照：
ISACAプライバシー通知および利用状況開示、セクション2.1：「当社は、お客様から直接、またはお客様の同意を得たことを保証した第三者を通じて個人情報を提供された場合、お客様から個人情報を収集します。」 シンガポール支部プライバシーポリシー - ISACA、セクション2：「当社は、PDPAに従い、お客様またはお客様の承認を得た代理人から直接、および／または当社の第三者サービスプロバイダーを通じて、お客様の個人データを収集します。」 データ最小化 - 実践的アプローチ - ISACA、セクション2：「企業は、収集時に定義された目的に必要なデータのみを収集できます。この目的は、プライバシー通知（プライバシーステートメント、公正処理ステートメント、またはプライバシーポリシーと呼ばれることもあります）にも記載される場合があります。」 データ保護のための企業の役割の確立 - ISACA、セクション3：「データガバナンスは通常、ポリシー、ガイドライン、ツール、およびアクセス制御を通じて組織に実装されます。」

プライバシー影響評価（PIA）は、個人データの収集、利用、開示、または保持を伴うシステム、プロジェクト、プログラム、またはイニシアチブの潜在的なプライバシーへの影響を特定し、評価するための体系的なプロセスです。消費者のウェブブラウザアクティビティを追跡するための新しい実装を計画する際には、PIAを最初に実施する必要があります。PIAは、実装を実行する前にプライバシーリスクを特定し、軽減するのに役立ちます。また、PIAは、プライバシー原則、法律、規制への準拠、そして消費者の期待や嗜好との整合性を確保するのにも役立ちます。消費者のウェブブラウザアクティビティを追跡するための新しい実装を計画する際には、他の選択肢よりもPIAを実施する方が重要です。規制当局の承認を得ることは、個人データやデータ処理活動の種類によっては必須または推奨される場合がありますが、消費者のウェブブラウザアクティビティを追跡するには、状況や管轄区域によっては必須または十分ではない場合があります。組織の顧客からの同意を得ることは、個人データやデータ処理活動の種類によっては必須または推奨される場合がありますが、消費者のウェブブラウザアクティビティを追跡するには、状況や管轄区域によっては必須または十分ではない場合があります。クッキーポリシーの確認と更新は、一部の個人データやデータ処理活動については必須または推奨される可能性がありますが、状況や管轄区域によっては、消費者のウェブブラウザアクティビティの追跡には必要または十分ではない可能性があります1、p. 67 参考文献: 1: CDPSEレビューマニュアル（デジタル版）

CDPSEは、研修の成果、すなわち、単なるインシデントの発生の有無よりも、測定可能な役割に基づく理解と行動を重視しています。人事管理義務（B）とクリーン監査（D）は、活動内容や特定の時点の結果を示すものであり、持続的な有効性を示すものではありません。インシデントの発生がない（A）ことは、プログラムの質を示す信頼できる指標ではありません。
CDPSE に準拠した主要なフレーズ (抜粋): 「効果的な認識は役割に基づいており、行動で示されます。」