1. Держави-члени передбачають, що персональні дані можуть оброблятися тільки за умови, що:
(a) суб'єкт даних недвозначно дав свою згоду; чи
(b) обробка необхідна для виконання контракту, стороною якого є суб'єкт даних, чи для вживання заходів на прохання суб'єкта даних до підписання контракту; чи
(c) обробка необхідна для дотримання правового зобов'язання, яким зв'язаний контролер; чи
(d) обробка необхідна для захисту життєво важливих інтересів суб'єкта даних; чи
(e) обробка необхідна для виконання завдання, здійснюваного в суспільних інтересах, чи при виконанні офіційних повноважень, якими наділений контролер або третя сторона, якій надаються дані; чи
(f) обробка необхідна в цілях законних інтересів, переслідуваних контролером чи третьою стороною або сторонами, для яких надаються дані, крім випадків, коли над такими інтересами переважають інтереси основних прав і свобод суб'єкта даних, що вимагають захисту згідно з пунктом 1 статті 1.
Особливі категорії обробки