The organization must establish and enforce a clear policy for monitoring personal data to ensure all activities are legitimate and necessary. The policy is required to describe:

• the legitimate purpose of the monitoring
• the necessity and proportionality of the tools, methods of monitoring
• establishing clear rules that prohibit access to or use of stored monitoring data for any other reason than fulfilling the original purpose
• the implementation of technical and administrative controls to enforce these rules
• the maximum retention period for stored data, which must not exceed five years

Arvioi jatkuvasti, ovatko kerätyt tiedot, sekä turvallisuuden kannalta merkitykselliset seurantatiedot että asiaankuuluvista lähteistä saadut uhkatiedot, riittävän merkityksellisiä ja yksityiskohtaisia.

Ainoastaan merkityksellisiä seurantatietoja on kerättävä ja säilytettävä, ja tarvittaessa seurantaa on mukautettava uudelleen strategian mukaisesti. Kaikki kerätyt tiedot, joilla ei ole enää merkitystä toiminnalle tai turvallisuudelle, on poistettava.