Kişisel verilerin işlenmesinde temel ilkeler, 6698 sayılı Kanunun 4 üncü maddesinde düzenlenir. Verilerin işlenmesi hukuka ve dürüstlük kurallarına uygun olmalı; doğru ve gerektiğinde güncel tutulmalı; belirli, açık ve meşru amaçlarla işlenmeli; amaçla bağlantılı, sınırlı ve ölçülü olmalı ve gerekli süre kadar muhafaza edilmelidir.
Temel ilkeler, bir kişisel verinin elde edilmesinden saklanmasına ve kullanılmasına kadar geçen süreçte veri işleme faaliyetinin hangi sınırlar içinde yürütüleceğini gösterir. Bu ilkeler, tek başına bir veri işleme şartı değil; işleme faaliyetinin genel hukuka uygunluk çerçevesidir.
Kişisel veri işleme faaliyetinin kanuna uygun olması yanında dürüstlük kurallarına da uygun yürütülmesi gerekir. Veri sahibi açısından beklenmedik, yanıltıcı veya hakkaniyete aykırı uygulamalar bu ilke bakımından ayrıca değerlendirilir.
Veri neden işlendiği belli olmadan sınırsız biçimde toplanmamalıdır. İşleme amacı önceden belirli, açık ve meşru olmalı; daha sonra yapılan işlemler de bu amaçla bağlantılı olmalıdır.
İşlenen veri, belirlenen amaç için gerekli olanla sınırlı tutulmalıdır. Amaç için gerekmeyen kişisel verilerin sırf ileride kullanılabilir düşüncesiyle toplanması ölçülülük bakımından sorun oluşturabilir.
Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. Bu nedenle veri saklama süresi de veri işleme faaliyetinin bir parçasıdır.
Bir kurum yalnızca belirli bir hizmeti sunmak için gerekli olan iletişim bilgisini talep ediyorsa, aynı hizmet için gerekmeyen çok daha geniş bir kişisel veri grubunu istemesi ölçülülük ve amaçla bağlantı bakımından ayrıca değerlendirilir.