El Reglamento introduce los conceptos de privacidad en el diseño y privacidad por defecto.
Ello implica que el responsable debe aplicar, tanto en el momento de determinar los medios de tratamiento como en el momento del tratamiento mismo, las medidas técnicas y organizativas adecuadas concebidas para aplicar, de manera efectiva, los principios de protección de datos, e integrar, en el tratamiento, las garantías necesarias para cumplir los requerimientos del Reglamento.
Asimismo, el responsable debe aplicar las medidas técnicas y organizativas adecuadas para garantizar que, por defecto, sólo se tratan los datos personales necesarios para cada finalidad específica del tratamiento. Esta obligación se aplica a la cantidad de datos personales recogidos, al alcance del tratamiento, al plazo de conservación y a la accesibilidad de los datos.