19.12.5 ①개인정보의 민감성 및 ②개인정보를 보호하지 못할 경우 고객에게 또는 
보험권역에 발생할 리스크를 고려할 때, 감독당국은 보험사 및 모집종사자가 고객의 개인정보를 보호하기 위한 안전장치를 마련하고 있는지 확인해야 한다. 이를 위해 감독당국은 보험사와 모집종사자가 적절한 정책 및 절차를 마련하도록 의무화해야 한다. 해당 정책 및 절차를 통해 보험사 및 모집종사자는 개인정보 보호의 중요성을 조직에 내재화하고, 개인정보 보호 관련 리스크를 적절히 관리하도록 노력해야 한다. 아래와 같은 사항이 해당 정책 및 절차에 포함될 수 있다.
•이사회 및 경영진이 고객의 개인정보 보호와 관련한 장애요인을 인지하게 한다.
•개인정보 보호 관련 대내외 요건에 대한 직원 교육 등과 같은 조치를 이행하여, 조직문화·전략에 개인정보 보호를 반영하였음을 입증한다.
•①고객의 개인정보 보호 및 ②개인정보를 보호하지 못할 경우 발생할 수 있는 리스크에 대한 평가 등을 위한 정책·절차·내부통제를 이행한다.
•개인정보 보호에 위협이 될 수 있는 신흥 리스크(예：사이버 공격)의 잠재적 영향을 평가하고, 해당 리스크를 경감하기 위해 적절한 조치(예：내부통제, 기술, 교육)를 취한다.
•개인정보를 보호하지 못한 경우 필요한 대응조치(예：피해 고객 및 관련 당국에 즉시 통지)를 결정한다.
개인정보 보호와 관련된 정책·절차를 평가할 때, 해당 국가의 상황에 따라 감독당국은 여타 관련 당국과 협의해야 할 수 있다.