Lealdade e Transparência: exige que o interessado seja informado da existência da operação de tratamento e os seus fins e que a informação e comunicação dirigida ao público ou ao interessado, relativa ao tratamento dos dados pessoais, seja concisa, facilmente acessível e fácil de entender, e que seja utilizada uma linguagem simples e clara.
Limitação da finalidade: os dados devem ser recolhidos com fins determinados, explícitos e legítimos e não serão tratados ulteriormente de maneira incompatível com tais fins: por exemplo, o propósito de oferecer anúncios personalizados.
Minimização dos dados: só é possível compilar a informação estritamente necessária relativamente ao objetivo do seu tratamento.
Limitação do prazo de conservação: só é possível guardar os dados durante o tempo necessário para cumprimento dos objetivos do tratamento.
Integridade e confidencialidade:a empresa deve garantir a segurança adequada dos dados pessoais, incluindo a proteção contra o tratamento não autorizado ou ilícito e contra a sua perda, destruição ou prejuízo acidental mediante a aplicação de medidas técnicas ou organizativas. Como exemplo, a proteção através de encriptação.
Responsabilidade:o controlador de dados é o responsável por demonstrar que cumpre todos estes princípios do RGPD.
Os escândalos do Facebook com relação à gestão de dados são conhecidos por todos. Em parte, o RGPD destina-se a controlar o monopólio da informação por parte dos gigantes tecnológicos. Apesar disso, muitos especialistas concordam que a normativa criou uma barreira que bloqueia os concorrentes mais pequenos.
A empresa de Mark Zuckerberg aplicou o RGPD de maneira bastante estrita, segundo os analistas. No entanto, o sistema não é perfeito.
Por outro lado, o processador de dados atua em nome do controlador. Por exemplo, um fornecedor de armazenamento online, um call center ou qualquer serviço externo seria considerado processador de dados. Estes têm a responsabilidade de tratar os dados de forma segura e conforme a legalidade, seguindo as diretrizes do controlador de dados.
No caso do Facebook, este nem sempre atua como controlador de dados. Em certas ocasiões, quando o Facebook realiza o tratamento da informação em nome de um anunciante, o controlador é este último, enquanto o Facebook se limita a ser o processador dos dados.