Die Mitgliedstaaten sehen vor, dass personenbezogene Daten von den zuständigen Behörden nur verarbeitet werden dürfen, wenn es eine entsprechende Rechtsvorschrift gibt, in der festgelegt ist, dass diese Verarbeitung zur Erfüllung der rechtmäßigen Aufgaben der betreffenden Behörden sowie zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von Straftaten notwendig ist.
De lidstaten schrijven voor dat persoonsgegevens alleen door de bevoegde instanties worden verwerkt indien wettelijk is bepaald dat de verwerking noodzakelijk is voor het vervullen van de wettelijke taak van de betrokken instantie en voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten.