I profili di autorizzazione, per ciascun incaricato o classi omogenee di incaricati, devono essere individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. Periodicamente, e comunque almeno annualmente, deve essere verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione.
Si deve provvedere alla determinazione di una politica di autorizzazione, ossia per ogni persona deve essere chiaro cosa egli può fare e cosa no, quali programmi può utilizzare e con quali privilegi, a quali dati egli può avere accesso e come li può utilizzare.
Per la gestione delle autorizzazioni vi sono in commercio diversi strumenti software che aiutano nella gestione degli utenti, specie in aziende complesse, dove il numero di dipendenti particolarmente elevato richiede l'utilizzo di software appositi.