Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:
- Den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål,
- Behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse,
- Behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige,
- Behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser,
- Behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
- Behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.
Artikkel 9.Behandling av særlige kategorier av personopplysninger
Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering, er forbudt.
Det finnes derimot en rekke unntak, bl.a. uttrykkelig samtykke, yting av helse og sosialhjelp m.m. (https://lovdata.no/dokument/NL/lov/2018-06-15-38/gdpr%2FARTIKKEL_9#gdpr/ARTIKKEL_9)