Każdy, kto zbiera dane osobowe, przetwarza je, powinien legitymować się jedną z podstaw prawnych legitymujących ten proces. Poza tym, wobec osób, których dane dotyczą, powinien być spełniony obowiązek informacyjny. Administrator danych powinien również zgłosić podlegające zgłoszeniu zbiory danych do rejestracji.