Jaké údaje lze zpracovávat a za jakých podmínek

Typ a množství osobních údajů, které společnost/organizace může zpracovávat, závisí na tom, z jakého důvodu jsou zpracovávány (příslušný právní důvod/účel) a jaké je jejich zamýšlené použití.
Organizace musí dodržovat několik klíčových pravidel:

osobní údaje se musí zpracovávat zákonným a transparentním způsobem, aby byla zajištěna korektnost vůči fyzickým osobám, jejichž osobní údaje se zpracovávají („zákonnost, korektnost a transparentnost“),

existence konkrétních účelů zpracovávání osobních údajů a tyto účely musí organizace sdělit fyzickým osobám, když jejich osobní údaje shromažďuje (za použití jasných a jednoduchých jazykových prostředků),

organizace nemůže jednoduše shromažďovat osobní údaje bez definovaných účelů („účelové omezení“),

organizace musí shromažďovat a zpracovávat pouze ty osobní údaje, které jsou nezbytné k naplnění daného účelu („minimalizace údajů“),

organizace musí zajistit, aby osobní údaje byly přesné a aktuální s ohledem na účely, pro něž se zpracovávají, a opravit je, pokud takové nejsou („přesnost“),

organizace nemůže osobní údaje dále využívat pro jiné účely, které nejsou slučitelné s účely, pro něž byly osobní údaje původně shromážděny,

organizace musí zajistit, aby osobní údaje nebyly uloženy déle, než je nezbytné pro účely, pro něž byly shromážděny („omezení uložení“),

organizace musí s využitím náležité technologie zavést vhodné technické a organizační záruky, které zajistí zabezpečení osobních údajů včetně ochrany před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením („integrita a důvěrnost“).