Nødvendig for å oppfylle en rettslig plikt
En virksomhet kan behandle personopplysninger dersom det er nødvendig for å oppfylle en rettslig forpliktelse. Med andre ord: Dersom virksomheten er pålagt å behandle visse bestemte personopplysninger, har den også lov til det.
Den rettslige forpliktelsen må ha hjemmel i lov eller forskrift. Det vil si at behandlingsgrunnlaget må fastsettes i en lov som den behandlingsansvarlige er underlagt.
Den rettslige forpliktelsen må være klart nok formulert. Det må være klart at det er en plikt, altså at det ikke foreligger valgfrihet.