GDPR이 규정한 제도 중 제25조의 ‘개인정보보호 중심설계 및 설정’에 따르면 개인정보 처리자는 개인정보보호의 원칙을 이행하고 정보주체를 보호하며 개인정보가 처리될 수 있도록 적절한 기술 및 관리 조치를 이행해야 한다.
GDPR은 정보주체를 보호하기 위해 여러 가지 제도를 추가적으로 규정하였다. 그 중 제25조에서 규정하고 있는 ‘개인정보보호 중심설계 및 설정(Data protection by design and by default)’가 주목을 받고 있다. 개인정보 처리자는 개인정보의 처리 수단을 결정한 시점과 처리 당시 시점에서, 정보 최소화 등 개인정보보호의 원칙을 이행하고 본 규정의 요건을 충족하고 정보주체의 권리를 보호하기 위해, 처리에 필요한 안전조치를 포함하기 위해 고안된 가명처리 등, 적절한 기술 및 관리 조치를 이행해야 한다(by Design). 또 개인정보 처리자는 기본설정을 통해, 처리의 개별 특정 목적에 필요한 정도에 한하여 개인정보가 처리될 수 있도록 보장하기 위한 적절한 기술 및 관리 조치를 이행해야 한다(by Default).