Por enquanto, a DSPDP não tem emitido nenhuma directiva quanto ao nível de protecção a adoptar para o sistema informática. Segundo o n.º 1 do artigo 15.º da Lei da Protecção de Dados Pessoais, o responsável pelo tratamento deve pôr em prática medidas adequadas para a protecção do sistema de dados pessoais informático contra a destruição, acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, assim como contra qualquer outra forma de tratamento ilícito. Por exemplo, a entidade deve conservar os dados de contacto de cliente num sistema que não esteja ligado a rede, criptogravar os ficheiros e limitar o acesso apenas para pessoa autorizado. Só assim é que protegemos suficientemente os dados pessoais do cliente. Todavia, no sistema informática e server de dimensão maior, devem ser instalados ainda softwares de protecção, estabelecido o limite de acesso e adoptadas as correspondentes técnicas informáticas, assim como elaboram normas de condutas internas, no sentido de evitar o acesso aos dados pessoais de cliente pelo hacker e pela pessoa não autorizada.