La Ley obliga a las organizaciones que sean titulares de datos de carácter personal a elaborar e implantar un Documento de Seguridad que describa los procesos que garantizan el acceso controlado a dichos datos según el nivel de seguridad que por su naturaleza a cada uno se le atribuye.

El documento de seguridad debe tener el contenido mínimo que indica el artículo 8 del RMS si estamos ante datos de nivel básico pero habrá que documentar en él también las medidas correspondientes a los diferentes niveles en tanto en cuanto en el sistema de información se traten datos de dichos niveles. El documento deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo. El contenido del documento deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.