I artikel 5 anges de sju grundläggande principerna för laglig behandling av uppgifter. De är principerna är:
- “laglighet, korrekthet och öppenhet” (a). Enligt skäl 39 i dataskyddsförordningen innebär principen att all information som rör personuppgiftsbehandlingen är lättillgänglig och enkel att förstå. Språket som används måste vara tydligt och enkelt, för att säkerställa att de registrerade görs medvetna om alla risker, skyddsåtgärder och rättigheter relaterade till behandlingen. Dessutom måste det vara tydligt hur de registrerade kan utöva dessa rättigheter. I synnerhet måste den registrerade förstå vad syftet med personuppgiftsbehandlingen är.
- “ändamålsbegränsning” (b). Den personuppgiftsansvarig ska endast samla in och behandla personuppgifter för tydligt angivna ändamål. Det är alltså inte tillåtet att använda personuppgifter för “vad som helst”. Principen om ändamålsbegränsning i artikel 5.1 b kan också vara svår att förhålla sig till när det gäller ämnena AI, “Big data” och maskininlärning.
- “uppgiftsminimering” (c). Enbart personuppgifter som är nödvändiga får samlas in och behandlas. Det innebär att man inte får behandla mer personuppgifter än vad som verkligen behövs.
- “korrekthet” (d). Den personuppgiftsansvarig ska se till att uppgifterna är korrekta, relevanta och hålls uppdaterade.
- “lagringsminimering” (e). I likhet med artikel 5.1 c innebär principen om lagringsminimering att uppgifter måste vara nödvändiga
- “integritet och konfidentialitet” (f). Syftet med GDPR är att skydda individers integritet och konfidentialitet, vilket återspeglas i den sista principen i artikel 5.
I artikel 5.2 finns principen om “ansvarsskyldighet”. Den personuppgiftsansvarige ska följa och dokumentera de principer som nämns ovan.