Definícia hovorí, že osobnými údajmi sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby. Identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby.

Ide tak o súbor údajov, na základe ktorých je  možné jednotlivca v rámci skupiny odlíšiť. Je to napríklad vaše meno, priezvisko, adresa, e-mail, telefónne číslo, organizácia alebo firma, v ktorej pracujete.

Spracúvanie je operácia, alebo súbor operácií s osobnými údajmi, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia. A to bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami.

Spracúvanie osobných údajov je systematická a vopred plánovaná činnosť. Nie je pri tom dôležité, akými prostriedkami je s osobnými údajmi manipulované. Pod spracúvaním osobných údajov rozumieme činnosti, ktoré sú vykonávané manuálne (napríklad obyčajným zapísaním osobných údajov do zošita), automatizovane (napríklad využitím počítačov, mobilných telefónov, tabletov), alebo ich kombináciou.

Prevádzkovateľom je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov. 

Prevádzkovateľom je tak každý subjekt, a to bez ohľadu na jeho právnu formu. V niektorých prípadoch môže byť prevádzkovateľom dokonca aj jednotlivec.  Prevádzkovateľ nesie prioritnú zodpovednosť za bezpečnosť spracúvania osobných údajov a taktiež za to, že s osobnými údajmi bude nakladané legitímnym spôsobom. 

Sprostredkovateľ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa. 

V oblasti spracúvania osobných údajov je spolupráca prevádzkovateľa a sprostredkovateľa úplne bežnou. Pre prevádzkovateľa môže byť ekonomicky výhodnejšie poveriť istými činnosťami iný subjekt – sprostredkovateľa, pričom ich súčasťou sú aj osobné údaje. Napríklad, keď firma poverí vedením účtovnej agendy externú organizáciu. Táto je potom, z pohľadu osobných údajov, jeho sprostredkovateľom. Každý sprostredkovateľ musí spĺňať isté požiadavky. Či už z hľadiska odborného, ale aj, ako vie zaručiť bezpečnosť spracúvaných osobných údajov. Medzi prevádzkovateľom a sprostredkovateľom musí byť zmluva, ktorá spĺňa náležitosti všeobecného nariadenia o ochrane údajov. Jej súčasťou je aj záväzok zachovávať dôvernosť spracúvaných údajov, či dodržiavať pokyny prevádzkovateľa.  

Aj v prípade, ak prevádzkovateľ poveril spracúvaním osobných údajov sprostredkovateľa, je to stále prevádzkovateľ, kto primárne zodpovedá za bezpečnosť osobných údajov. 

O organizáciách, s ktorými takto spolupracujeme sa môžete dočítať v časti “S kým spolupracujeme pri spracúvaní osobných údajov a komu osobné údaje poskytujeme?”. Ide o technických poskytovateľov, a to napríklad z dôvodu prevádzky webových stránok, e-mailov, automatizovaného vystavovania a zasielania daňových dokladov, využívania služieb dátových úložísk a doručovania servisných e-mailových správ.

Každý prevádzkovateľ, ktorý spracúva osobné údaje musí dodržiavať tieto zásady spracúvania:

1. Zásada zákonnosti, spravodlivosti a transparentnosti. Znamená to, že spracúvanie musí byť vždy vykonávané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. 
2. Zásada obmedzenia účelu. Znamená to, že osobné údaje musia byť získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi
3. Zásada minimalizácie údajov. Znamená to, že osobné údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú
4. Zásada správnosti údajov. Znamená to, že osobné údaje musia byť správne a podľa potreby aktualizované. Prevádzkovateľ musí preto prijať všetky potrebné opatrenia, aby sa zabezpečilo, že sa osobné údaje, ktoré sú nesprávne z hľadiska účelov, na ktoré sa spracúvajú, bezodkladne vymažú alebo opravia. 
5. Zásada minimalizácie uchovávania. To znamená, že osobné údaje musia byť uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú. Táto zásada v podstate hovorí o tom, že osobné údaje môžu byť prevádzkovateľom spracúvané len počas nevyhnutnej doby. 
6. Zásada integrity a dôvernosti. To znamená, že osobné údaje musia byť spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení. 
7. Zásada zodpovednosti. To znamená, že prevádzkovateľ je zodpovedný za súlad s uvedenými  zásadami a zároveň ho musí vedieť preukázať.

Právne základy sú oprávnenia, ktoré umožňujú prevádzkovateľom spracúvať osobné údaje. Prevádzkovateľ je povinný informovať dotknuté osoby o tom, aké právne základy pri spracúvaní používa. 

Rozlišujeme šesť právnych základov, ktoré sú si rovnocenné (ani jeden nie je nadradený druhému). Sú nimi:

1. Súhlas dotknutej osoby. Tento sa používa vtedy, keď dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viac konkrétnych účelov.  Každý súhlas musí byť udelený slobodne. Musí byť konkrétny, informovaný a musí ísť o jednoznačný prejav vôle dotknutej osoby s tým, že súhlasí s tým, že jej osobné údaje budú spracúvané. Dotknutá osoba má právo kedykoľvek udelený súhlas odvolať. Niekedy sa môžete stretnúť aj so skráteným označením tohto právneho základu ako čl. 6 ods. 1 písm. a) všeobecného nariadenia o ochrane údajov. My tento právny základ využívame pre spracúvanie osobných údajov príjemcov nášho informačného newslettra. 
2. Predzmluvné a zmluvné vzťahy. Tento právny základ používajú prevádzkovatelia vtedy, keď je spracúvanie osobných údajov nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy. Niekedy sa môžete stretnúť aj so skráteným označením tohto právneho základu ako čl. 6 ods. 1 písm. b) všeobecného nariadenia o ochrane údajov. 
3. Zákonná povinnosť. Tento právny základ sa používa vtedy, ak je spracúvanie nevyhnutné na splnenie zákonnej povinnosti. Niekedy sa môžete stretnúť aj so skráteným označením tohto právneho základu ako čl. 6 ods. 1 písm. c) všeobecného nariadenia o ochrane údajov. My, ako prevádzkovateľ tento právny základ využívame napríklad vtedy, keď na daňovom doklade musíme uviesť osobné údaje fyzickej osoby, ktorá si objednala službu. 
4. Životne dôležité záujmy. Tento právny základ sa používa vtedy, keď je spracúvanie nevyhnutné, aby sa chránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby. Niekedy sa môžete stretnúť aj so skráteným označením tohto právneho základu ako čl. 6 ods. 1 písm. d) všeobecného nariadenia o ochrane údajov. My, ako prevádzkovateľ nevyužívame tento právny základ spracúvania.
5. Verejný záujem. Tento právny základ spracúvania sa používa vtedy, keď je spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Niekedy sa môžete stretnúť aj so skráteným označením tohto právneho základu ako čl. 6 ods. 1 písm. e) všeobecného nariadenia o ochrane údajov.
6. Oprávnený záujem. Tento právny základ spracúvania sa používa vtedy, keď je spracúvanie nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa. Niekedy sa môžete stretnúť aj so skráteným označením tohto právneho základu ako čl. 6 ods. 1 písm. f) všeobecného nariadenia o ochrane údajov. Každé použitie tohto právneho základu musí byť prevádzkovateľom samostatne posúdené. Hovoríme o tzv. teste oprávneného záujmu. Jeho cieľom je zistiť, či nad záujmami prevádzkovateľa neprevažujú záujmy dotknutých osôb.  My tento právny základ využívame napríklad pre spracúvanie osobných údajov zamestnancov firiem alebo organizácií, s ktorými komunikujeme napríklad pri vypracovávaní povinnej dokumentácie alebo pri poskytovaní služby externej zodpovednej osoby. O tento právny základ tiež opierame spracúvanie osobných údajov fyzických osôb, ktoré sa zúčastňujú našich online kurzov alebo využívajú našu databázu znalostí. Dotknutá osoba má právo namietať spracúvanie jej osobných údajov.

Každá dotknutá osoba musí byť informovaná o tom, ako budú jej osobné údaje spracúvané. Všeobecné nariadenie o ochrane údajov, a aj zákon o ochrane osobných údajov vymedzujú povinné obsahové náležitosti tejto informačnej povinnosti. Zároveň ide o plnenie zásady transparentnosti. My, ako prevádzkovateľ si túto povinnosť plníme práve prostredníctvom týchto zásad spracúvania.