O princípio da prevenção consiste na utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. 

Dados referentes à saúde e à biometria deixam de ser classificados como dados pessoais sensíveis quando utilizados para identificação do titular em sistemas de acesso restrito. 

O controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais, enquanto o operador realiza o tratamento em nome do controlador.  

O princípio da adequação determina que o tratamento seja limitado ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos. 

A anonimização descaracteriza o dado como pessoal sempre que forem removidos os elementos que permitam a identificação direta do titular, ainda que sua identificação por meios indiretos permaneça razoavelmente possível na ocasião do tratamento.