1. Qual o tipo de dado pessoal sua empresa coleta? A coleta é suficiente e somente dos dados necessários? Estão sendo coletados dados irrelevantes? É possível identificar meios para minimizar os dados que estão sendo coletados?

2. Por que o dado pessoal é coletado? Qual o propósito? Este propósito é esclarecido para os titulares dos dados? Eles têm completo entendimento dos motivos da coleta dos dados?

3. Os dados pessoais são revisados regularmente? Existe uma auditoria ou monitoramento regular para verificar e atualizar os dados?

4. Onde os dados pessoais são armazenados? A empresa possui mecanismos físicos e digitais de segurança para manter os dados seguros? O acesso aos dados é restrito a aqueles que realizam o processamento? Existe backup?

5. Por quanto tempo os dados são mantidos? Existem procedimentos para garantir que os dados não são mantidos por mais tempo do que o necessário, conforme justificado pelo propósito? Existe uma política de retenção de dados?

6. Os titulares podem exercer facilmente seus direitos? Os titulares podem, a qualquer momento e com facilidade, solicitar alteração, correção, bloqueio ou exclusão de seus dados?