L'
art. 25 del GDPR prevede quella che è stata appellata come "privacy by default". Si tratta, come evocato dal titolo della norma, dei concetti ispirati alla "protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita.
Ai sensi del par. 1 della disposizione, tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento, sia all'atto del trattamento stesso
il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione,
volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.
Ai sensi del par. 2 Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica.
Infine il par. 3 prevede che un meccanismo di certificazione approvato ai sensi dell'
art. 42 del GDPR può essere utilizzato come elemento per dimostrare la conformità ai requisiti di cui ai superiori par. 1 e 2.