La confidentialité et la sécurité des données sont souvent présentées comme des exigences organisationnelles, et incluent donc des discussions sur le retour sur investissement, les effectifs, la conformité, etc. Cependant, les obligations des entreprises et des organismes en matière de protection des données vont au-delà de la simple responsabilité, car les données qu'ils protègent représentent souvent la vie et le bien-être d'une personne.
De ce fait, le devoir de diligence évolue d'une obligation légale vers un principe fondamental de gouvernance. Les organisations qui prennent conscience de cette évolution redéfinissent la gestion des risques comme une telle obligation.
