Forordningens artikkel 5 om Prinsipper for behandling av personopplysninger, sier:

1. Personopplysninger skal
a.    behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte («lovlighet, rettferdighet og åpenhet»),
b.    samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene; viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene («formålsbegrensning»),
c.    være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for («dataminimering»),
d.    være korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes («riktighet»),
e.    lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for; personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter («lagringsbegrensning»),
f.    behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak («integritet og konfidensialitet»).

2. Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes («ansvar»).

Lovlighet: Det må finnes rettslig grunnlag for den behandlingen virksomheten ønsker å gjøre. Forordningens artikkel 6 regulerer i hvilke tilfeller det skal anses lovlig å behandle personopplysninger. Minst ett av vilkårene i denne bestemmelsen må være oppfylt for at behandlingen er tillatt. Dersom det behandles sensitive personopplysninger (særlige kategorier av personopplysninger som krever ekstra vern,  f. eks rasemessig eller etisk opprinnelse, religion, helseopplysninger,  seksuell orientering) må i tillegg minst ett av vilkårene i artikkel 9 være oppfylt.

Eksempler på tiltak for å oppnå lovlighet:

• Tiltak som sørger for at behandlingen ikke går ut over det rettslige grunnlaget. Hvis behandlingen er basert på samtykke bør det for eksempel etableres tiltak for å kontrollere hva det er gitt samtykke til og settes tekniske sperrer for all behandling som går ut over dette.
• Sørge for å skille mellom hvilke opplysninger som er nødvendig å behandle for å levere tjenesten, og hvilke andre opplysninger det kan være valgfritt å oppgi for å få tilgang til utvidede tjenester.

Rettferdighet: Behandlingen av personopplysninger skal gjøres i respekt for de registrertes interesser og deres rimelige forventninger. Behandlingen skal dessuten være gjennomsiktig og forståelig for de registrerte, det vil si at den ikke skal foregå på fordekte eller manipulerende måter. 

Eksempler på tiltak for å oppnå rettferdighet:

• Tiltak som sørger for å ivareta rettigheter og friheter for de registrerte etter personvernregelverket og andre grunnleggende rettigheter. Eksempler på andre rettigheter er ytringsfrihet, tankefrihet, bevegelsesfrihet, likhet for loven, retten til frihet, samvittighet og religionsfrihet.
• Tiltak som gjør resultater fra automatiserte avgjørelser forutsigbare og forståelige. For eksempel åpenhet om profilering og hvilke opplysninger som er avgjørende for at enkeltpersoner blir delt inn i ulike kategorier.

Gjennomsiktighet: Behandling av personopplysninger skal være oversiktlig og forutsigbar for den registrerte. Den det behandles opplysninger om skal være informert om dette. Gjennomsiktighet bidrar til å skape tillit og det setter den registrerte i stand til å bruke sine rettigheter og ivareta sine interesser.

Eksempler på tiltak for å oppnå gjennomsiktighet:

• Ha funksjonalitet for interaksjon mellom behandlingsansvarlig og den registrerte, slik at det gjøres enkelt for den registrerte å tilegne seg informasjon om hvordan personopplysningene behandles. 
• Ha funksjonalitet for å gi informasjon om hvilke opplysninger som behandles, hva de brukes til og mulighet for de registrerte til å gjøre seg kjent med sine rettigheter og hvordan de skal utøve disse. 
• Ha en personvernerklæring på virksomhetens nettsider med generell informasjon om virksomhetenes personvernpolicy.

Ethvert formål med behandling av personopplysninger skal identifiseres og beskrives presist. Alle formål skal være forklart på en måte som gjør at alle berørte har samme entydige forståelse av hva personopplysningene skal brukes til. At formålet skal være legitimt innebærer at det i tillegg til å ha et rettslig grunnlag også skal være i samsvar med øvrige etiske og rettslige samfunnsnormer.

Eksempler på tiltak

• Tiltak som gjør at det eksplisitt blir tatt stilling til hva slags prosessering av personopplysninger som er innenfor de angitte formål, og hva som ikke er det. Etablering av tekniske sperrer mot prosessering som ikke er innenfor formålet, for eksempel utlevering.
• Tiltak som sikrer at det som standard kun behandles opplysninger til det som er forutsatt fra starten. 
• Tiltak som sikrer at det som standard kun behandles personopplysninger som er nødvendig for hvert spesifikke formål med behandlingen.

Personopplysninger kan gjenbrukes til nye formål, dersom det nye formålet er forenelig med det opprinnelige formålet som personopplysningene ble samlet inn for, og det foreligger et rettslig grunnlag for den nye behandlingen. Dersom behandlingen ikke er forenelig med det opprinnelige formålet, kan personopplysningene bare behandles dersom de registrerte har samtykket til viderebehandlingen, eller behandlingen er hjemlet i lovgivning med formål å ivareta hensynene i artikkel 23 nr. 1.

Sentrale momenter i vurderingen av om en behandling er uforenelig med det opprinnelige formål er: 

• om det er forbindelse mellom opprinnelig og nytt formål
• i hvilken sammenheng opplysningene er samlet inn
• personopplysningenes art, for eksempel om det behandles sensitive personopplysninger
• mulige konsekvenser av den tiltenkte viderebehandlingen
• om opplysningene blir beskyttet ved hjelp av for eksempel kryptering (metode for å gjøre data utilgjengelig for uvedkommende) eller pseudonymisering (personopplysninger avidentifiseres på en måte som gjør at de ikke kan knyttes til en bestemt person, uten bruk av tilleggsopplysninger)

(Gjenbruk av personopplysninger til arkivformål i allmenhetens interesse, vitenskapelige eller historiske forskningsformål eller til statistiske formål er ikke uforenelig med opprinnelig formål dersom behandlingen er underlagt nødvendige garantier.)

Prinsippet om dataminimering innebærer å begrense mengden personopplysninger som hentes inn og behandles til det som er nødvendig for å oppnå formålet.

Dersom identitetsopplysninger eller personopplysninger ikke er nødvendige for å oppnå formålet, taler dataminimalitetsprinsippet for å ikke samle dem inn eller behandle dem på annen måte. Dataminimalitetsprinsippet kan også være relevant i vurderingen av hvor stort antall personer som skal registreres i et datasett.

Eksempler på tiltak:

• å ta stilling til om formålet med behandlingen med rimelighet kan oppfylles på annen måte enn å behandle personopplysninger. I så fall skal det ikke behandles personopplysninger. 
• å sikre at det kun samles inn og brukes relevante og nødvendige personopplysninger. For eksempel kan en kart-applikasjon som viser veien fra A til B ha behov for å vite hvor den registrerte befinner seg når appen er i bruk, men den trenger ikke å vite hvem som bruker appen eller ha tilgang til kontakter eller bilder lagret på telefonen.
• å sikre at det ikke innhentes eller på annen måte behandles personopplysninger om flere personer enn nødvendig. Dette kan være relevant for forskning hvor det må tas stilling til hva som er nødvendig antall deltakere, utvalg/kontrollutvalg for å sikre god nok representasjon.

Personopplysninger som behandles skal være korrekte. Opplysningene skal også oppdateres hvis det er nødvendig. 

Dette betyr at behandlingsansvarlig må sørge for å straks slette eller rette personopplysninger som er uriktige med hensyn til de formål de behandles for.

Eksempler på tiltak:

• Tiltak for å sørge for at personopplysningene er korrekte og oppdaterte. For eksempel kan løsningen regelmessig varsle brukere om at de må kontrollere sine personopplysninger. Mange banker gjør dette ved innlogging til for eksempel nettbank.
• Tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, straks slettes eller korrigeres.
• Dersom back-up brukes for gjenoppretting av data må også disse gjennomgås med hensyn til nødvendig korrigering.

Prinsippet om lagringsbegrensning innebærer at personopplysninger skal lagres slik at de slettes eller anonymiseres når de ikke lengre er nødvendige for formålet de ble innhentet for.

Eksempel på tiltak:

• Tiltak for å sikre at tidsrommet for lagring av personopplysninger ikke er lengre enn nødvendig. Den behandlingsansvarlige bør innføre tidsfrister for sletting eller periodisk gjennomgang for å sikre at personopplysninger ikke oppbevares lengre enn nødvendig.

Personopplysninger skal behandles slik at opplysningenes integritet og konfidensialitet beskyttes.

Eksempler på tiltak:

• Behandlingen skal ha tiltak mot uautorisert utlevering og tilgang til personopplysninger.
• Behandlingen skal ha tiltak mot utilsiktet og ulovlig ødeleggelse, tap og endringer av personopplysninger.
• Behandlingen skal som standard sørge for at personopplysninger er tilgjengelige for autoriserte personer når det er nødvendig.
• Behandlingen skal som standard sikre at personopplysninger ikke gjøres tilgjengelig for et ubegrenset antall mennesker uten den berørte personens medvirkning.
• Behandlingen skal ha tiltak for å spore endringer som gjøres i systemet og for å kunne håndtere sikkerhetsbrudd.
• Behandlingen skal ha tiltak for å sikre at systemene som behandler personopplysninger er robuste mot for eksempel sårbarheter, angrep og uhell.

Prinsippet om ansvarlighet understreker den behandlingsansvarliges ansvar for å opptre i samsvar med reglene for behandling av personopplysninger. 

Det er ikke nok å bare ha ansvaret – man må vise at man tar ansvaret. 

Den behandlingsansvarlige må opptre proaktivt og etablere alle nødvendige organisatoriske og tekniske tiltak for å sikre at regelverket etterleves til enhver tid. Virksomheten må også kunne vise at den faktisk opptrer i samsvar med reglene. 

Kilde