Alleen beleid en technische maatregelen zijn niet voldoende om risico’s bij het verwerken van persoonsgegevens uit te sluiten of minimaliseren. Essentieel is het bewustzijn over privacy en informatiebeveiliging in de organisatie voortdurend aan te scherpen, zodat kennis van dreigingen en risico’s wordt verhoogd. De organisatie moet (veilig en verantwoord) gedrag om gegevens zorgvuldig te verwerken aanmoedigen. Van bestuurder tot medewerker: iedereen wordt aantoonbaar geïnformeerd en getraind over het zorgvuldig omgaan met persoonsgegevens. Bewustwording omtrent informatiebeveiliging en privacy is een structureel programma binnen de organisatie en krijgt extra aandacht bij de indiensttreding van nieuwe medewerkers. Alle medewerkers worden geschoold op dit onderwerp via bijvoorbeeld mailings, cursussen, phishing simulaties en workshops. Dit gebeurt passend binnen de context van en bij het domein waarbinnen de persoonsgegevens worden verwerkt.