A rendelet kimondja, hogy személyes adatok csak jogszerűen kezelhetők. A jogszerűség azt jelenti, hogy az adatkezelő csak a rendelet által meghatározott esetekben és jogalapokon kezelheti az adatokat. Így például akkor, ha ahhoz a magánszemély hozzájárult, vagy hozzájárulás nélkül akkor is, ha az adatkezelés valamilyen jogi kötelezettség teljesítéséhez szükséges (például adóbevallás benyújtása, munkavállaló NAV bejelentése). Nem kell hozzájárulást kérni akkor sem, ha az adatkezelés ahhoz szükséges, hogy az adatgazdával kötött szerződést teljesíteni tudja a vállalkozó (például bankszámla adatok a megbízási díj átutalásához). Ugyanígy jogszerű az adatkezelés akkor, ha az adatkezelés az adatkezelő vagy valaki más jogos érdekének érvényesítéséhez szükséges.