En virksomhet kan behandle personopplysninger dersom det er nødvendig for å oppfylle en rettslig forpliktelse. Med andre ord: Dersom virksomheten er pålagt å behandle visse bestemte personopplysninger, har den også lov til det.
Den rettslige forpliktelsen må ha hjemmel i lov eller forskrift. Det vil si at behandlingsgrunnlaget må fastsettes i en lov som den behandlingsansvarlige er underlagt.
Den rettslige forpliktelsen må være klart nok formulert. Det må være klart at det er en plikt, altså at det ikke foreligger valgfrihet. Dessuten må det komme frem hva plikten innebærer når det gjelder behandling av personopplysninger og hva slags personopplysninger som er gjenstand for plikten.