GDPR規(guī)定，適用GDPR的所有數(shù)據(jù)處理活動均需遵守七項數(shù)據(jù)處理原則，分別是：（1）公平、透明和合法；（2）目的限制；（3）數(shù)據(jù)最小化；（4）準確；（5）存儲限制；（6）完整與保密；（7）問責與合規(guī)。這七項數(shù)據(jù)處理原則寫在GDPR的第二章，是GDPR隱私保護精神的核心體現(xiàn)，也是企業(yè)合規(guī)體系的重要組成部分。數(shù)據(jù)控制者和處理者必須嚴格遵循這些原則，否則將會構(gòu)成嚴重違規(guī)行為，可處以2000萬歐元或4%全球營業(yè)額的最高罰款。
公平（Fairness）意味著企業(yè)的數(shù)據(jù)處理行為不應(yīng)損害用戶利益，任何含有歧視意味、有誤導(dǎo)性或未告知用戶的數(shù)據(jù)處理行為都是不允許的。以反歧視為例，企業(yè)如使用AI算法處理用戶數(shù)據(jù)，則應(yīng)配備適當?shù)娜斯じ深A(yù)，避免算法的自動化操作可能造成的歧視。此外，企業(yè)還應(yīng)定期評估其使用的算法是否會導(dǎo)致歧視、不平等的計算，并做出調(diào)整。
透明（Transparency）意味著數(shù)據(jù)控制者應(yīng)清楚、公開地告知用戶他們打算如何使用已經(jīng)收集的任何個人數(shù)據(jù)。用戶有權(quán)知曉其擁有哪些權(quán)利、如何行使這些權(quán)利，企業(yè)應(yīng)使用簡潔易懂的語言告知用戶，必要時可使用視頻等可視化渠道向用戶解釋其中的復(fù)雜概念。
合法（Lawfulness）要求企業(yè)的數(shù)據(jù)處理行為必須有合法依據(jù)，沒有合法依據(jù)即為非法處理。GDPR第六條中列舉了數(shù)據(jù)處理的六項合法事由：
（1）已取得用戶同意；
（2）對履行合同是必要的；
（3）對履行法律義務(wù)是必要的；
（4）為保護用戶或其他人的正當利益；
（5）為公共利益是必要的；
（6）符合企業(yè)的正當利益。
對合法依據(jù)的判定較為復(fù)雜，須結(jié)合每一項的實際情況具體分析。以企業(yè)的正當利益為例，GDPR規(guī)定，以反欺詐、IT安全為目的進行的數(shù)據(jù)處理構(gòu)成企業(yè)的正當利益。此外還應(yīng)確認，對個人權(quán)益的保護是否勝過企業(yè)追求的正當利益。
GDPR規(guī)定，企業(yè)只能基于“具體、明確及合法的目的”收集個人數(shù)據(jù)，如果企業(yè)的處理目的發(fā)生了變化，應(yīng)第一時間確認新目的是否超出了之前的目的范圍。一旦新目的與之前的目的有沖突，企業(yè)在重新獲取用戶同意后，方可繼續(xù)處理數(shù)據(jù)。
例如，線上商店A為完成訂單，需要收集客戶的姓名、地址、聯(lián)系方式等個人信息。商店A準備購入一套CRM軟件，這套軟件不僅可以存儲客戶的個人信息，還可以通過已有數(shù)據(jù)分析客戶的購買力，從而為每位客戶提供針對性的廣告服務(wù)。而這種以個性化廣告推薦為目的進行的數(shù)據(jù)分析已超出最初的目的——完成訂單。如果商店A希望使用這套軟件的所有功能，它應(yīng)對新的數(shù)據(jù)處理目的進行評估，明確其是否擁有有效的法律依據(jù)，根據(jù)評估結(jié)果決定是否購入這套軟件，或僅使用這套軟件的部分功能。
GDPR規(guī)定，數(shù)據(jù)控制者所收集或處理的個人數(shù)據(jù)應(yīng)“夠用、相關(guān)且為處理目的所需”。這也就意味著企業(yè)應(yīng)僅收集與其提供的服務(wù)相關(guān)的個人信息。
如果企業(yè)希望進一步處理已有數(shù)據(jù)，應(yīng)首先判斷完成這一處理行為是否可以通過處理更少的數(shù)據(jù)來完成。如果是的話，企業(yè)應(yīng)刪除不必要的數(shù)據(jù)。此外，假名化、匿名化、集群化等技術(shù)可以避免識別到特定數(shù)據(jù)主體，也可作為實現(xiàn)數(shù)據(jù)最小化的實現(xiàn)方法。 舉例來說，實體書店B打算開始經(jīng)營網(wǎng)店，它需要設(shè)立一套表單收集客戶訂單信息，包括姓名、地址、聯(lián)系方式等。但實際情況是，并非所有訂單需要的個人信息類別都是一樣的。如果客戶買的是電子書，客戶不必提供自己的詳細地址。為遵循數(shù)據(jù)最小化原則，書店應(yīng)準備兩套表單，一套用于向買紙質(zhì)書的客戶，可收集客戶的詳細地址，另一套則用于買電子書的客戶。
GDPR第六條第四款規(guī)定，個人數(shù)據(jù)必須“準確且必要時隨時更新；考慮到個人數(shù)據(jù)處理的目的，應(yīng)采取一切合理措施，確保不正確的個人資料立即被刪除或更正?！?/p>
不準確的個人數(shù)據(jù)有可能會對數(shù)據(jù)主體的權(quán)利產(chǎn)生威脅。例如，錯誤的數(shù)據(jù)有可能會導(dǎo)致醫(yī)生做出錯誤的診斷，這對患者而言很有可能是致命的。
數(shù)據(jù)在存儲時也應(yīng)遵循最小化原則：再需要的數(shù)據(jù)應(yīng)及時刪除，不需要識別個人身份的數(shù)據(jù)應(yīng)在假名化、匿名化后再存儲。但也有一些例外情況。例如，如果這些數(shù)據(jù)對公共利益或歷史研究有用，數(shù)據(jù)控制者可繼續(xù)留存這些數(shù)據(jù)，并闡述延長存儲期限的原因。
與GDPR所規(guī)定的最短存儲期限相比，我國對數(shù)據(jù)的存儲期限則制定了強制性要求，個人數(shù)據(jù)在處理完畢后可能需要長期儲存?！毒W(wǎng)絡(luò)安全法》規(guī)定，網(wǎng)絡(luò)運營者應(yīng)“采取監(jiān)測、記錄網(wǎng)絡(luò)運行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月?！薄峨娮由虅?wù)法》也規(guī)定，“商品和服務(wù)信息、交易信息保存時間自交易完成之日起不少于三年。”跨國企業(yè)在數(shù)據(jù)的存儲期限上應(yīng)格外注意。
GDPR規(guī)定，數(shù)據(jù)控制者“以確保個人數(shù)據(jù)適度安全的方式處理，包括使用適當?shù)募夹g(shù)或組織措施來對抗未經(jīng)授權(quán)、非法的處理、意外遺失、滅失或損毀的保護措施?！焙喲灾?，企業(yè)應(yīng)采取一定的組織方式或技術(shù)手段，確保數(shù)據(jù)安全，避免發(fā)生數(shù)據(jù)泄露。
GDPR第五條第二款規(guī)定，“控制者應(yīng)對遵守第一款中的規(guī)定負責，并能做出證明（可問責性）。”尤其在發(fā)生數(shù)據(jù)安全事件時，數(shù)據(jù)控制者需要提供證據(jù)證明，自己已嚴格遵循以上六條原則，且采用了合適且有效的保護方法，否則需要承擔相應(yīng)的責任。
這七條原則是GDPR數(shù)據(jù)保護合規(guī)體系的核心，它們雖然沒有規(guī)定具體的操作細則，但絕不可忽視它們的指導(dǎo)意義。從實際操作上看，七條原則要求數(shù)據(jù)控制者對自己的數(shù)據(jù)處理行為有著足夠的風險認知，并采取適當且有效的措施將風險降到最低，這也意味著企業(yè)無法套用其他現(xiàn)有的保護措施，必須根據(jù)自己的業(yè)務(wù)情況制定針對性的保護機制，并定期評估是否需要更改。這種以風險為基礎(chǔ)的數(shù)據(jù)保護框架可以最大限度地確保數(shù)據(jù)安全，保護數(shù)據(jù)主體權(quán)利。
為減少企業(yè)的合規(guī)負擔，歐盟以及國際數(shù)據(jù)保護機構(gòu)出臺的標準和行為守則也被認為是GDPR合規(guī)的有效證明。ISO 27001正是一種與GDPR兼容度較高的認證框架，它所提出的應(yīng)對風險的方法與GDPR對影響評估的要求是一致的。通過這些認證雖不能確保企業(yè)的數(shù)據(jù)處理行為完全符合GDPR，但標準化的框架能證明企業(yè)采取了適當?shù)募夹g(shù)和組織手段以預(yù)防事故，從而減少企業(yè)的舉證壓力。
