Prima regulă a procesării datelor cu caracter personal: colectarea datelor cu caracter personal trebuie să fie legală GDPR enunță că orice acțiune de colectare de date cu caracter personal trebuie să fie acoperită de oricare dintre: (1) consimțământul persoanei vizate, (2) o obligație legală care îi revine operatorului, (3) necesitatea executării unui contract, (4) necesitatea de a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice, (5) necesitatea îndeplinirii unei sarcini care deservește unui interes public.