56. Ustanovení § 5 zákona o zpracování osobních údajů opravňuje správce osobních údajů (tj. i provozovatele ve smyslu § 20z zákona o ochraně spotřebitele) zpracovávat údaje, je-li to nezbytné pro splnění povinnosti uložené mu právním předpisem nebo úkolu ve veřejném zájmu. Obecné nařízení podmiňuje zákonnost zpracování osobních údajů udělením souhlasu jejich subjektem [čl. 6 odst. 1 písm. a)], ledaže je toto zpracování „nezbytné pro splnění právní povinnosti, která se na správce vztahuje“ [písmeno c)], nebo je „nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce“ [písmeno e)], anebo je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě“ [písmeno f)]. S tím, že zpracování citlivých osobních údajů se zakazuje, není-li „nezbytné z důvodu významného veřejného zájmu [...], které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky na ochranu základních práv a zájmů subjektu údajů“ [čl. 9 odst. 2 písm. g)]. Citlivými osobními údaji jsou podle čl. 9 odst. 1 obecného nařízení informace vypovídající o rasovém či etnickém původu, politických názorech, náboženském vyznání, filozofickém přesvědčení a další, pročež zákaz jejich zpracování ani výjimky z něj nejsou pro posuzovanou věc významné.