(1) Държавите членки гарантират, че личните данни са:
а) обработвани законосъобразно и добросъвестно;
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по начин, който е несъвместим с тези цели;
в) подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват;
г) точни и, при необходимост, поддържани в актуален вид; трябва да се предприемат всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват;
д) съхранявани във вид, който позволява идентифицирането на субектите на данните за период не по-дълъг от необходимия за целите, за които те се обработват;
е) обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки.
(2) Обработването от същия или друг администратор за която и да е от целите, посочени в член 1, параграф 1, различна от целта, за която личните данни са събрани, се разрешава, при условие че:
а) администраторът е оправомощен да обработва такива лични данни за такава цел в съответствие с правото на Съюза или правото на държава членка; и
б) обработването е необходимо и пропорционално на тази различна цел в съответствие с правото на Съюза или правото на държава членка.
(3) Обработването от същия или друг администратор може да включва архивиране в обществен интерес, използване за научни, статистически или исторически цели съгласно посоченото в член 1, параграф 1, при прилагането на подходящи гаранции за правата и свободите на субектите на данните.
(4) Администраторът носи отговорност за спазването на параграфи 1, 2 и 3 и е в състояние да го докаже.