När personuppgifter ska behandlas måste reglerna för personuppgiftsbehandling i GDPR följas. Utgångspunkten är att all personuppgiftsbehandling är otillåten om den inte har rättslig grund. När den rättsliga grunden för personuppgiftsbehandlingen är fastställd och dokumenterad måste övriga krav i GDPR uppfyllas, exempelvis de grundläggande principerna för dataskydd och att informera de personer som kommer att få sina personuppgifter behandlade (om behandlingen).