Загальні вимоги до обробки персональних даних
1. Мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця бази персональних даних, та відповідати законодавству про захист персональних даних
Читала, что на семинарах на этом акцентируют внимание.
а вот еще МОЗ своим "подопечным" это рекомендует сделать