Det finns olika rättsliga grunder för att behandla personuppgifter. Samtycke är en grund. En annan grund är intresseavvägning. Extra försiktighet ska iakttas vid en intresseavvägning när det handlar om personuppgifter som rör barn. En tredje grund är avtal. En fjärde grund är rättslig förpliktelse (där företag är skyldiga att registrera uppgifter för att uppfylla skyldigheter som åläggs enligt lag). Notera att personuppgifter bara får samlas in för särskilda uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa. Som ett exempel kan nämnas att lönesystem i regel har avtal och rättslig förpliktelse som grund, kundregister har avtal som grund (för vissa uppgifter krävs därutöver samtycke) och webbplatser har i regel samtycke eller intresseavvägning som grund.