Osebni podatki se lahko obdelujejo le, če je obdelava osebnih podatkov določena z zakonom ali, če ima upravljavec zbirke osebnih podatkov pisno privolitev posameznika.
Državni organi, organi lokalnih skupnosti in nosilci javnih pooblastil lahko obdelujejo samo tiste osebne podatke, za katere je tako določeno z zakonom.
Upravljavci zbirk osebnih podatkov, ki so za njihovo zbiranje pooblaščeni z zakonom, lahko zbirajo osebne podatke, ki se nanašajo na rasno in drugo poreklo, politična, verska in druga prepričanja, pripadnost sindikatu, ali spolno vedenje samo na podlagi pisne privolitve posameznika. Z zakonom se lahko določi tudi druge vrste osebnih podatkov, ki jih lahko upravljavci zbirk osebnih podatkov zbirajo na podlagi pisne privolitve posameznika.
Ne glede na določbo prvega odstavka tega člena, lahko pravne ali fizične osebe, ki opravljajo javno službo ali dejavnost po zakonu, ki ureja gospodarske družbe, obdelujejo osebne podatke oseb, s katerimi so v pogodbenem razmerju, če gre za osebne podatke, ki jih potrebujejo za izpolnjevanje pogodbenih obveznosti ali uveljavljanje pravic iz pogodbenega razmerja.
Ne glede na določbo drugega odstavka tega člena, lahko državni organ ali organ lokalne skupnosti, ki nudi organizacijsko ali tehnološko podporo elektronskemu poslovanju med državnimi organi, organi lokalnih skupnosti in nosilcih javnih pooblastil na eni in fizičnimi in pravnimi osebami na drugi strani, neposredno od teh oseb zbira in obdeluje osebne podatke, ki so po zakonu potrebni za ugotavljanje istovetnosti teh oseb pri medsebojnem elektronskem poslovanju v postopkih pred državnimi organi, organi lokalnih skupnosti in nosilci javnih pooblastil.
Kadar se osebni podatki obdelujejo na podlagi pisne privolitve posameznika, mora biti ta predhodno pisno seznanjen z namenom obdelave podatkov in še posebej z namenom njihove uporabe in časom shranjevanja.