Zasady określone przez rozporządzenie GDPR są dość podobne do zasad sformułowanych w dotychczasowej dyrektywie w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych. Pojawiło się jednak kilka nowych elementów:
- dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą;
- dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami;
- zbieranie i przechowywanie danych jest ograniczone do czynności niezbędnych w celu ich przetwarzania.