Toute opération de traitement des données personnelles ne peut avoir lieu que si la personne concernée a exprimé son consentement d’une façon libre, spécifique, éclairée et univoque. le traitement des données à caractère personnel est considéré comme légitime si la personne concernée donne expressément son consentement préalable.
Toutefois, il peut être dérogé à cette exigence du consentement préalable lorsque le responsable du traitement est dûment autorisé et que le traitement est nécessaire : - soit au respect d’une obligation légale à laquelle le responsable du traitement est soumis ; - soit à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ; - soit à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande ; - soit à la sauvegarde de l’intérêt ou des droits et libertés fondamentaux de la personne concernée.

Les données doivent être traitées de manière loyale, licite et transparente. La licéité du traitement fait référence à son fondement juridique (obligation légale, obligation contractuelle etc.). La loyauté du traitement désigne quant à elle les modalités selon lesquelles les données sont collectées. Ce principe fait référence au droit à l’information des individus. Les données ne doivent pas avoir été collectées et ne doivent pas être traitées, sans que la personne concernée en ait connaissance. . Ce principe nécessite aussi de fournir aux personnes concernées plusieurs informations (sur le traitement de leurs données, mais aussi sur leurs droits).

Les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. La finalité des traitements que l’on compte effectuer est à préciser lors de la déclaration ou de la demande d'avis présentée à la HAPDP.

Les données doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement. Le responsable de traitement ne doit pas collecter plus de données que ce dont il a vraiment besoin. Ainsi seules les données strictement nécessaires à la réalisation de l’objectif déterminé doivent être collectées.

Les données recueillies doivent être adéquates, pertinentes et non excessives au regard des objectifs poursuivis. Ces données doivent également être exactes et, si nécessaire, mises à jour. Toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement, soient effacées ou rectifiées.