Denne bestemmelsen er alltid sentral og må alltid etterleves. Dersom det behandles sensitive personopplysninger skal også lignende bestemmelser i § 9 følges. Bestemmelsen i § 8 stiller krav om at ett av tre "rettslige grunnlag" må foreligge, og innebærer at det er forbudt å behandle personopplysninger uten at slikt grunnlag foreligger. De aktuelle grunnlagene er:
- Hjemmel i lov mv
- Samtykke fra de registrerte personer
- Nødvendige grunner slik de er angitt i bokstavene a - f i bestemmelsen
