יש להתבסס על עקרונות הגנת המידע קודם תהליך עיצוב כל מוצר או פעילות חדשה כלשהי. 

נניח, למשל, שחברה משיקה אפליקציה חדשה. על החברה לשקול אילו נתונים אישיים יש לאסוף מהמשתמשים, האם ישנן דרכים למזעור כמות נתונים וכיצד יש לאבטח באמצעות הטכנולוגיה העדכנית ביותר.

בהינתן אפשרות לעבד נתונים, לא מומלץ להשתמש, לאסוף, לאחסן או למכור נתונים אישיים – אלא אם כן ניתן להצדיק אותם באחת מהפעולות הבאות:

1. נשוא המידע נתן הסכמה ספציפית וחד משמעית לעיבוד הנתונים (למשל הצטרפות לרשימת הדוא”ל השיווקית)
2. עיבוד מידע הכרחי נשוא המידע הוא צד להסכם. (למשל, לצורך בדיקת נכס טרם מכירתו/רכישתו).
3. יש לעבד מידע לצורך עמידה בהתחייבות משפטית (למשל, צו בית המשפט)
4. יש לעבד את המידע לצורך הצלת חיים.
5. עיבוד הכרחי לביצוע משימה לטובת הציבור או לביצוע תפקיד רשמי כלשהו (למשל, חברה לאיסוף אשפה פרטית).
6. אינטרס לגיטימי לעיבוד מידי אישי. זהו הבסיס החוקי הגמיש ביותר, אם כי “זכויות וחירויות היסוד של נשוא המידע” עוקפות תמיד את האינטרסים של הארגון, במיוחד כשמדובר בנתוני ילדים.

לאחר שנקבע הבסיס החוקי לעיבוד הנתונים, יש לתעד ולהודיע ​​לנשוא המידע (שקיפות!). 

כל שינוי במידע הנאסף, מצריך הצדקה ודיווח לנשוא המידע (צריכה להיות סיבה טובה לצורך שינוי כזה).