Una política de datos enuncia un requisito y nombra a quién le corresponde cumplirlo. "Los datos personales no se conservan más tiempo del que exige la finalidad para la que se recogieron." "Todo elemento de datos crítico tiene un dueño con nombre." Las políticas son deliberadamente pocas, deliberadamente cortas y deliberadamente aburridas: son la capa que no cambia cuando cambia la herramienta. El detalle de cómo cumplirlas va en un estándar o en un procedimiento por debajo.
En la práctica. Un conjunto de políticas viable para una organización mediana ocupa entre cinco y diez páginas en total, con cada política en una sola página, con dueño, fecha de aprobación y fecha de revisión. Si no se puede leer en una tarde por alguien a quien aplica, no se va a leer.
Dónde se rompe. Dos formas de fallar, ambas mortales. La primera es la política de cuarenta páginas escrita para satisfacer a un auditor, que nadie lee y que por tanto no gobierna nada. La segunda es una política aprobada por el equipo de datos y no por el área de negocio a la que obliga: en el momento en que le cuesta un plazo a alguien, se descubre que nunca tuvo autoridad detrás.