Insbesondere wies Dr. Gerling auf die Pflichten und Rechte bei der Informationsgewinnung hin. Soweit nämlich Verfahren besondere Risiken für die Persönlichkeitsrechte der Betroffenen darstellen, unterliegen sie einer vorherigen Überprüfung, ob sie die rechtlichen Voraussetzungen des Datenschutzes erfüllen. Bei der Planung von IT-Projekten ist speziell darauf frühzeitig Rücksicht zu nehmen, damit durch technische oder organisatorische Maßnahmen im Notfall rechtzeitig eingegriffen werden kann.

Einen weiteren Bereich, der unter Sicherheitsaspekten zu begutachten ist, stellt das laufende Produktivsystem dar. So müssen systematisch die richtigen Fragestellungen gefunden werden, um eine effektive Analyse durchführen zu können. Welche Daten werden im System verarbeitet? Durch welche Rechtsgrundlage wird die Verarbeitung erlaubt? Welche besonderen Risiken ergeben sich aus der Verarbeitung? Wohin erfolgt die Datenübermittlung? Dies ist, geht man von einem legalen Einsatz der Daten aus, in Europa relativ unkritisch, da es für alle der Europäischen Union angehörenden Staaten eine Datenschutzrichtlinie gibt, die für ihre Mitgliedsstaaten rechtlich verbindlich ist. Etwas anders sieht es bei der Übertragung in Drittländer aus. Hierbei sieht der Artikel 25 dieser Richtlinie vor, dass die Europäische Kommission die Angemessenheit des Datenschutzes in diesem Drittland „feststellen“ kann, wenn dieses die in der Vorschrift näher genannten Forderungen erfüllt.