El concepte de privacitat per defecte es desenvolupa en l'apartat 2 del mateix article 25. La idea principal és que només han de ser objecte de tractament les dades personals que siguin estrictament necessàries per a cadascun dels fins de tractament. Si és possible per la naturalesa del procés, cal arribar fins i tot a no tractar dades de caràcter personal.
En particular, es destaca com un dels principis dins la privacitat per defecte el fet que les dades personals no siguin accessibles a un nombre indeterminat de persones físiques, sense la intervenció del subjecte de les dades. Cal tenir en compte que el Reglament assenyala «persones físiques», no entitats, ja que es refereix a l'aplicació del principi de seguretat denominat «necessitat de conèixer» (need-to-know), com una nova extensió d'aquest principi que podríem denominar «necessitat de revelar» (need-to-disclosure).
El principi de necessitat de conèixer estableix que en una organització les persones han de tenir accés només a la informació necessària per executar les seves tasques. El principi s'aplica a la protecció de dades de caràcter personal en la mesura que els empleats de l'empresa només han de tenir accés a les dades de caràcter personal que són estrictament necessàries per fer el seu treball o proporcionar un servei. El principi de necessitat de revelar té el mateix fonament, però estès a tercers que d'alguna manera estan relacionats amb el producte o servei sol·licitat, com podria ser el cas d'usuaris que han utilitzat el mateix servei, han estat en el mateix lloc o es troben en una mateixa situació.
Quatre estratègies bàsiques permeten implementar la privacitat per defecte:
Recollida de dades:
analitzar els tipus de dades que es recullen amb un criteri de minimització en funció dels productes i els serveis seleccionats per l'usuari;
Tractament de les dades:
analitzar els processos associats a aquests tractaments perquè s'accedeixi a les mínimes dades personals necessàries per executar-los;
Conservació:
implementar una política de conservació de dades que permeti, amb un criteri restrictiu, eliminar les dades que no siguin estrictament necessàries;
Accessibilitat:
limitar l'accés per part de tercers a aquestes dades personals.
Com en el cas de la privacitat des del disseny, aquests requisits es tradueixen en mesures tant tècniques com organitzatives i, en el cas de la privacitat per defecte, és necessari posar fins i tot més atenció a aquestes darreres. Fins i tot, s'assenyala l'oportunitat de donar transparència a la implementació d'aquests tractaments i així permetre als interessats supervisar el procés de les seves dades i al responsable del tractament crear i millorar elements de seguretat.