Vispārīgās datu aizsardzības regulas 5. pants nosaka personas datu apstrādes pamatprincipus: 

“Personas dati: 

a) tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);

b) tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā; turpmāka apstrāde arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos saskaņā ar 89. panta 1. punktu nav uzskatāma par nesavietojamu ar sākotnējiem nolūkiem (“nolūka ierobežojumi”);

c) ir adekvāti, atbilstīgi un ietver tikai to, kas nepieciešams to apstrādes nolūkos (“datu minimizēšana”);

d) ir precīzi un, ja vajadzīgs, atjaunināti; ir jāveic visi saprātīgi pasākumi, lai nodrošinātu, ka neprecīzi personas dati, ņemot vērā nolūkus, kādos tie tiek apstrādāti, bez kavēšanās tiktu dzēsti vai laboti (“precizitāte”);

e) tiek glabāti veidā, kas pieļauj datu subjektu identifikāciju, ne ilgāk, kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā; personas datus var glabāt ilgāk, ciktāl personas datus apstrādās tikai arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar 89. panta 1. punktu, ar noteikumu, ka tiek īstenoti atbilstoši tehniski un organizatoriski pasākumi, kas šajā regulā paredzēti, lai aizsargātu datu subjekta tiesības un brīvības (“glabāšanas ierobežojums”);

f) tiek apstrādāti tādā veidā, lai tiktu nodrošināta atbilstoša personas datu drošība, tostarp aizsardzība pret neatļautu vai nelikumīgu apstrādi un pret nejaušu nozaudēšanu, iznīcināšanu vai sabojāšanu, izmantojot atbilstošus tehniskos vai organizatoriskos pasākumus (“integritāte un konfidencialitāte”).”

Vispārīgās datu aizsardzības regulas 6. pants nosaka personas datu apstrādes likumīgumu: 

“Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem: 

1. datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem; 
2. apstrāde ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas; 
3. apstrāde ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu; 
4. apstrāde ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses; 
5. apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras; 
6. apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns.” 

Tātad, lai personas datu, t. sk. sarunas ieraksta, apstrāde būtu likumīga, atbilstoši Vispārīgās datu aizsardzības regulas 6. panta 1. punktam ir nepieciešams vismaz viens no tajā minētajiem tiesiskajiem pamatojumiem: 

• datu subjekta brīvi dota piekrišana;
• normatīvā akta izpilde;
• līguma izpilde;
• datu subjekta vitālo interešu aizsardzība;
• sabiedrības intereses;
• pārziņa (persona, kas veic datu apstrādi) leģitīmo interešu ievērošana. 

Apstākļos, kad datus iegūst tieši no datu subjekta, ieraksta veicējam kā patstāvīgam datu apstrādes pārzinim ir pienākums sniegt personām, kuru dati tiks ievākti, informāciju, kas paredzēta Vispārīgās datu aizsardzības regulas 13. pantā, proti, persona, kura tiek filmēta vai kuras saruna tiek ierakstīta, ir jāinformē par to, ka viņas dati tiek apstrādāti un kādam nolūkam tas tiek darīts. 

Vienlaikus Vispārīgās datu aizsardzības regulas 14. panta 5. punkta b) apakšpunkts paredz izņēmumu, ka datu subjektu var neinformēt, ja informēšana varētu neļaut vai būtiski traucēt sasniegt apstrādes mērķus. 

Bez piekrišanas apstrādāt datu subjekta datus atbilstoši Vispārīgās datu aizsardzības regulas 14. panta 5. punkta c) apakšpunktam var arī tad, ja iegūšana vai izpaušana ir skaidri paredzēta Eiropas Savienības vai dalībvalsts tiesību aktos, kuri ir piemērojami pārzinim un kuros ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai. 

Šādos gadījumos pārzinis veic atbilstošus pasākumus, lai aizsargātu datu subjekta tiesības un brīvības, un leģitīmās intereses, tostarp darot informāciju publiski pieejamu. 

Tas nozīmē, ka informāciju nedrīkst padarīt publiski pieejamu, to drīkst iesniegt tikai tiesībsargājošajām iestādēm. 

Slepeni ierakstīt drīkst tikai tad, ja tam ir attaisnojams mērķis, piemēram, tas ir vienīgais veids, kā atklāt pretlikumīgu darbību. Vienlaikus saskaņā ar datu aizsardzības nosacījumiem jāņem vērā: 

• nododot audioierakstu tiesībsargājošajām iestādēm, personas dati nedrīkst būt pārmērīgi, proti, jāiesniedz tikai tā audioieraksta daļa, kura atklāj iespējamo pārkāpumu, savukārt daļa, kura uz to neattiecas vai atklāj citas privātās dzīves detaļas, ir jādzēš;
• pārkāpumam, kas fiksēts slepeni ierakstītajā sarunā, konkrētajā gadījumā ir jābūt nozīmīgākam nekā personas tiesībām uz datu aizsardzību. 

Ieraksta veicējam atbildīgi un rūpīgi jāizvērtē konkrētā situācija, proti, vai šāda slēptas datu apstrādes veikšana ir tiešām nepieciešana un adekvāta. 

Šajā sakarā ir jāņem vērā arī Eiropas Cilvēktiesību tiesas (ECT) atziņas personas privātās dzīves neaizskaramības kontekstā, piemēram: 

• lietā Von Hannover v. Germany – vērtējot to, vai ir pārkāptas tiesības uz privāto dzīvi, jāņem vērā, vai konkrētajā situācijā personai bija pamats paļauties uz savu darbību privātumu;
• lietā X v. the United Kingdom – Eiropas Cilvēktiesību tiesa pieļauj personas attēla izmantošanu bez šīs personas piekrišanas leģitīmu mērķu sasniegšanai, ja attēls nav pieejams plašai sabiedrībai.