Pour être admissible, tout traitement de données à caractère personnel doit répondre à un certain nombre d'exigences de fond et de forme. La loi modifiée du 2 août 2002 sur la protection des données définit à cet effet certains critères auxquels doit satisfaire tout traitement ou fichier de données.
La loi définit notamment quatre aspects qui doivent être pris en compte par le(s) responsable(s) d'un traitement de données afin de garantir une bonne protection de la vie privée des personnes concernées: