Przesłankami legalności przetwarzania danych osobowych przez administratora są istnienie celu przetwarzania danych osobowych oraz istnienie co najmniej jednej podstawy prawnej przetwarzania określonej w przepisach RODO. Po upływie okresu, przez który dane osobowe mogą być przetwarzane, należy je usunąć. Okres ten wyznaczany jest przez cel przetwarzania albo przepis prawa. Może się jednak zdarzyć, że po zakończeniu przetwarzania w jednym celu i na jednej podstawie prawnej dane będą niezbędne administratorowi jeszcze w innym celu. Wówczas może on nie usuwać danych, jeżeli istnieje inna podstawa prawna, na której można oprzeć dalsze przetwarzanie danych.