La base jurídica del tractament de dades personals per part de les administracions públiques és, per regla general, la que s'estableix en els articles 6.1.c) i e) de l'RGPD:
c) el tractament és necessari per al compliment d'una obligació legal aplicable al responsable del tractament.
[...]
e) el tractament és necessari per complir una missió realitzada en interès públic o per exercir poders públics conferits al responsable del tractament.
Pel que fa a aquestes bases jurídiques, l'RGPD preveu que les ha d'establir el dret de la Unió o dels estats membres.
Addicionalment, assenyala que la finalitat del tractament per al compliment d'una obligació legal ha de quedar determinada en la norma que l'estableix. I que la finalitat del tractament per al compliment d'una missió d'interès públic o per a l'exercici de poders ha de ser necessària per complir-la o exercir-los.
El considerant 45 aclareix que una mateixa norma pot ser suficient com a base per a diverses operacions de tractament.
Quan es faci en compliment d'una obligació legal aplicable al responsable del tractament, o si és necessari per al compliment d'una missió realitzada en interès públic o en l'exercici de poders públics, el tractament ha de tenir una base en el dret de la Unió o dels estats membres. Aquest reglament no requereix que cada tractament individual es regeixi per una norma específica. Una norma pot ser suficient com a base per a diverses operacions de tractament de dades basades en una obligació legal aplicable al responsable del tractament, o si el tractament és necessari per complir una missió realitzada en interès públic o en l'exercici de poders públics. La finalitat del tractament també ha de determinar-se en virtut del dret de la unió o dels estats membres. A més, aquesta norma podria especificar les condicions generals d'aquest Reglament per les quals es regeix la licitud del tractament de dades personals i establir especificacions per a la determinació del responsable del tractament, el tipus de dades personals objecte de tractament, els interessats afectats, les entitats a què es poden comunicar les dades personals, les limitacions de la finalitat, el termini de conservació de les dades i altres mesures per garantir un tractament lícit i lleial. També cal determinar en virtut del dret de la Unió o dels estats membres si el responsable del tractament que fa una missió en interès públic o en l'exercici de poders públics ha de ser una autoritat pública o una altra persona física o jurídica de dret públic o, quan es faci en interès públic, incloent-hi fins sanitaris com la salut pública, la protecció social i la gestió dels serveis de sanitat, de dret privat, com una associació professional.
Quan el tractament es faci en l'exercici de poders públics, el responsable n'ha de ser una autoritat pública o una altra persona física o jurídica d'interès públic. I si es fa per complir missions d'interès públic, el responsable pot ser també una persona de dret privat.
L'article 5.1.b) del Reglament estableix la regla general que el tractament de dades es faci per a fins determinats, explícits i legítims. No obstant això, admet que puguin tractar-se amb fins que no siguin incompatibles amb els inicials i esmenta expressament entre altres tractaments que poden ser propis de les administracions públiques, com són els fins d'arxiu d'interès públic, així com els d'investigació científica i històrica o els estadístics.
Ara bé, el tractament de dades per a aquestes finalitats haurà d'estar subjecte a garanties adequades per garantir els drets i les llibertats dels afectats de conformitat amb el Reglament. Entre elles han d'adoptar-se mesures tècniques i organitzatives per respectar el principi de minimització de les dades. Entre aquestes mesures l'article 89.1 de l'RGPD esmenta específicament la pseudonimització de les dades i, també, l'anonimització sempre que permeti la consecució d'aquests fins.
En el cas dels tractaments amb fins d'investigació científica o històrica l'RGPD preveu que una norma europea o nacional pugui establir excepcions als drets d'accés, rectificació, limitació del tractament i oposició, quan sigui probable que impossibilitin o obstaculitzin greument l'èxit dels fins esmentats i s'estableixin garanties adequades en els termes assenyalats anteriorment.
Pel que fa al tractament amb fins estadístics podran establir-se, a més de les esmentades anteriorment, excepcions al dret que el responsable del tractament comuniqui als cessionaris de les dades les rectificacions o supressions que hagi fet o la limitació del tractament de les dades. I al dret a la portabilitat.
Tanmateix, quan el tractament per als fins indicats pot servir també per a unes altres finalitats, les excepcions als drets només són aplicables pel que fa a aquells.