El Reglament introdueix els conceptes de privacitat en el disseny i privacitat per defecte.
Això implica que el responsable ha d’aplicar, tant en el moment de determinar els mitjans de tractament com en el moment del tractament mateix, les mesures tècniques i organitzatives adequades concebudes per aplicar de manera efectiva els principis de protecció de dades i integrar en el tractament les garanties necessàries per complir els requeriments del Reglament.
Així mateix, el responsable ha d’aplicar les mesures tècniques i organitzatives adequades per garantir que, per defecte, només es tracten les dades personals necessàries per a cada finalitat específica del tractament. Aquesta obligació s'aplica a la quantitat de dades personals recollides, a l’abast del tractament, al termini de conservació i a l’accessibilitat de les dades.