เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคลและเป็นไปตามเจตนารมณ์ ของมาตรา ๔ ให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดมาตรฐานการรักษา ความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้แล้วเสร็จภายในหนึ่งร้อยยี่สิบวันนับแต่วันที่พระราชกฤษฎีกา ประกาศในราชกิจจานุเบกษา แต่จะให้มีผลใช้บังคับก่อนวันที่พระราชกฤษฎีกานี้มีผลใช้บังคับมิได้ ทั้งนี้ เพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ และตามพระราชกฤษฎีกานี้ ถือปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ต้องจัดให้มีการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคลตามมาตรฐานที่กำหนดตามวรรคหนึ่งให้แล้วเสร็จภายในระยะเวลา ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด