Privacy by design и privacy by default (спроектированная защита данных и конфиденциальность по умолчанию по GDPR)

[algotrader2013]

Сбору подлежат только те данные, которые необходимы для достижения конкретных целей обработки.

Интересно, — есть же цели, которые могут вполне легитимно требовать большого количества данных. Например, тот же антифрод, направленный против тех, кто плодит по 1000 аккаунтов, для эффективной работы может требовать данные вплоть до всех маус мувов по каждому аккаунту. Какой бест практис в таком случае?