Przetwarzanie danych, a więc ich zbieranie, przechowywanie, utrwalanie, zmienianie, opracowywanie, udostępnianie i usuwanie, jest dopuszczalne tylko w przypadkach określonych w art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Określone warunki nie mają charakteru łącznego, co oznacza, że spełnienie chociażby jednego z nich daje podstawę do zgodnego z prawem przetwarzania danych.
Dane osobowe mogą być przetwarzane w sytuacji, gdy dana osoba wyrazi zgodę na przetwarzanie danych jej dotyczących. Zgoda nie musi mieć formę pisemną, choć jest to zalecane ze względów dowodowych. Tylko dane szczególnie chronione wymagają zgody wyrażonej na piśmie.
Dane mogą być również przetwarzane, jeśli jest to konieczne do zrealizowania uprawnień czy spełnienia określonych obowiązków, wynikających z przepisu prawa. Będzie miało to również miejsce w sytuacji, gdy jest to konieczne do realizacji umowy, a osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Dane mogą być przetwarzane w przypadku gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego albo jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych, odbiorców danych. Przetwarzanie danych nie może naruszać praw oraz wolności osoby, której dane dotyczą. Prawnie usprawiedliwionym celem w świetle przepisów ustawy o ochronie danych będzie marketing bezpośredni własnych produktów lub usług administratora danych oraz dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.