Selon l'art. 4, 3e al. de l'ordonnance sur les certifications en matière de protection des données (OCPD), le préposé émet des directives sur les exigences minimales qu'un système de gestion de la protection des données doit remplir. Il tient compte des normes internationales relatives à l'installation, l'exploitation, la surveillance et l'amélioration de systèmes de gestion et en particulier les normes ISO 9001:2000 et ISO 27001:2005. Les présentes directives se basent principalement sur ISO 27001:2005, en conservant l'accent sur la protection des données. L'annexe de la directive contient un guide d'implémentation, consistant en 20 mesures, pour les 9 principes de la loi sur la protection des données.