Zgodnie z art. 6 RODO przetwarzanie danych jest legalne m.in., gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, i czy osoba, której dane dotyczą wyraziła na to zgodę. Jednocześnie zgodnie z zasadą minimalizacji i celowości, również przewidzianą w RODO, administrator powinien ograniczyć przetwarzanie tylko do tych danych, które są niezbędne dla realizacji określonego celu. Musi on też zrealizować obowiązek informacyjny wobec osób, których dane przetwarza (zgodnie z art. 13 RODO) - tj. w prosty sposób poinformować m.in. o tym, jakie dane i do jakiego celu przetwarza, jak długo zamierza to robić czy też komu zamierza te dane udostępniać.