Os princípios da proteção de dados desde a conceção e por defeito foram codificados no artigo 25.º do Regulamento (UE) 2016/679. Atualmente, a maioria dos programas de navegação estão configurados, por defeito, para «aceitarem todos os testemunhos de conexão». Por conseguinte, os fornecedores de software que permitam a recuperação e a apresentação de informações da Internet devem ser obrigados a configurar o software de modo a que ofereça a possibilidade de impedir que terceiros armazenem informações nos equipamentos terminais; este procedimento é frequentemente apresentado como «rejeitar testemunhos de conexão de terceiros». Os utilizadores finais devem dispor da configuração que lhes permita escolher entre diferentes níveis um conjunto de opções de privacidade, desde o nível mais elevado (por exemplo, «nunca aceitar testemunhos de conexão») ao nível mais baixo (por exemplo, «aceitar sempre testemunhos de conexão»), passando pelo nível intermédio (por exemplo, «rejeitar testemunhos de conexão de terceiros» ou «aceitar apenas testemunhos do sítio visitado»). Essas predefinições de privacidade devem ser apresentadas de uma forma compreensível e facilmente visível.