Varje behandling av personuppgifter i er verksamhet måste stödjas på någon av de rättsliga grunderna. Utan en rättslig grund är behandlingen inte laglig. De sex rättsliga grunderna är: samtycke, avtal, rättslig förpliktelse, skydd av grundläggande intressen, uppgift av allmänt intresse eller myndighetsutövning samt intresseavvägning.