Direktivets andre del setter betingelser for at behandlingen skal være lovlig, herunder krav til datakvalitet (artikkel 6) og krav til at behandlingen har et rettslig grunnlag (artikkel 7). Det er strengere krav til behandling av særlig følsomme opplysninger, som opplysninger om politisk eller religiøs overbevisning, helse eller seksuelle forhold (artikkel 8). Den registrerte har rett til opplysninger om behandlingen og kan kreve innsyn hos den behandlingsansvarlige (artikkel 10-13).