En nyhet som följer av förordningen är att det numera ställs ett krav på att den som vill behandla personuppgifter måste ange vilken rättslig grund man har för detta redan då insamlingen av uppgifterna sker. En sådan rättslig grund är till exempel samtycke från den registrerade. Andra rättsliga grunder är om personuppgiftsbehandlingen är nödvändig för att fullgöra ett avtal med den registrerade, fullgöra en rättslig förpliktelse, skydda den registrerades grundläggande intressen, fullgöra en uppgift av allmänt intresse, för myndighetsutövning, samt att rätten för att behandla personuppgifter vid en intresseavvägning kan anses väga tyngre än den registrerades intresse av skydd för sina personuppgifter.