Una base giuridica GDPR è il motivo legale che rende consentito il trattamento dei dati personali ai sensi della normativa UE sulla privacy. Le basi comuni includono il consenso, il contratto, l'obbligo legale, gli interessi vitali, l'esecuzione di un compito di interesse pubblico e gli interessi legittimi. Le organizzazioni devono scegliere la base corretta prima di raccogliere o utilizzare dati personali e devono essere in grado di giustificare tale scelta con registrazioni e policy.
Questo è importante nella sicurezza informatica perché gli strumenti di sicurezza spesso trattano dati personali: log, avvisi, identificatori dei dispositivi, indirizzi IP e registri delle attività degli utenti. I difensori hanno bisogno di una base giuridica per monitorare i sistemi, indagare sugli incidenti, conservare le prove e condividere i dati con terze parti. Gli attaccanti possono cercare di sfruttare una governance della privacy debole, ad esempio abusando di un accesso eccessivo o di una telemetria scarsamente controllata. Una buona pratica di sicurezza collega quindi i controlli tecnici con la responsabilità in materia di privacy, assicurando che i dati raccolti a fini difensivi siano necessari, proporzionati e trattati sulla base di un valido fondamento giuridico.