I “principi e risultati obbligatori” sono requisiti legali che descrivono ciò che deve essere raggiunto, lasciando però all'organizzazione la libertà di decidere come raggiungerlo. Nel diritto della protezione dei dati, questo significa che un titolare del trattamento non si limita a dover seguire una regola in teoria; deve tradurre la regola in misure concrete di sicurezza e privacy. L'obbligo è orientato al risultato: l'organizzazione deve dimostrare che i propri controlli proteggono effettivamente i dati personali.
Questo è importante nella sicurezza informatica perché gli aggressori sfruttano il divario tra policy e implementazione. Una dichiarazione come “proteggiamo i dati” non basta se il controllo degli accessi, la registrazione dei log, la cifratura o le pratiche di backup sono deboli. Nella pratica, i difensori usano questo principio per giustificare una progettazione della sicurezza basata sul rischio, documentare le decisioni e dimostrare che le misure sono adeguate al loro ambiente. Compare negli audit, nelle verifiche di conformità e nella risposta agli incidenti, quando i team devono mostrare che gli obblighi legali sono stati tradotti in controlli funzionanti e non in semplici promesse scritte.