Cómo en cualquier otro marco de gestión del cumplimiento, las auditorías son una parte esencial de los procesos de revisión y mejora continua.

El RGPD introduce el de responsabilidad proactiva («accountability»), estableciendo que el responsable del tratamiento, además de cumplir con los principios del Reglamento, sea capaz de demostrarlo.

Además, en el artículo 24.1 RGPD se dispone que el responsable del tratamiento revisará las medidas técnicas y organizativas a fin de garantizar poder demostrar que el tratamiento es conforme con el RGPD.

Y en el artículo 32.1d RGPD, se establece la necesidad de establecer un proceso de verificación, evaluación y valoración de la eficacia de las medidas implementadas.

La normativa establece también una periodicidad de dos años para auditar los sistemas de información e instalaciones de tratamiento y almacenamiento de datos por aquellos tratamientos con un nivel de seguridad mediano o alto.