Odnośnie podstawy prawnej przetwarzania danych osobowych, to może nią być przepis art. 6 ust. 1 lit. d) ogólnego rozporządzenia o ochronie danych (RODO). Jak bowiem wynika z art. 1 ustawy o muzeach, muzeum jest jednostką organizacyjną nienastawioną na osiąganie zysku, której celem jest gromadzenie i trwała ochrona dóbr naturalnego i kulturalnego dziedzictwa ludzkości o charakterze materialnym i niematerialnym, informowanie o wartościach i treściach gromadzonych zbiorów, upowszechnianie podstawowych wartości historii, nauki i kultury polskiej oraz światowej, kształtowanie wrażliwości poznawczej i estetycznej oraz umożliwianie korzystania ze zgromadzonych zbiorów. Co więcej, muzea rejestrowane wyróżnia wysoki poziom merytorycznej działalności i znaczenie posiadanych zbiorów.

Muzeum przetwarza zatem dane osobowe w interesie publicznym. Ten bowiem wyraża się w zapewnieniu respektowania wartości wspólnych dla całego społeczeństwa (wyrok NSA z 2 grudnia 2014 r., sygn. akt II FSK 71/13).

W przypadku bezpośredniego zbierania danych osobowych od osoby, której te dane dotyczą stosuje się art. 13 RODO. Kolejny artykuł – art. 14 RODO – znajduje zaś zastosowanie przy pośrednim gromadzeniu tychże danych.

Przepis art. 14 ust. 5 lit. b RODO stanowi, że udzielenie przedmiotowych informacji nie jest konieczne, gdy okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych.

W innych przypadkach konieczne jest przekazanie ww. informacji, a administrator – na mocy art. 5 ust. 2 RODO, musi być w stanie wykazać wypełnienie tegoż obowiązku.

Co się zaś tyczy określania celów przetwarzania w klauzuli informacyjnej, to jak wynika z art. 14 ust. 1 lit. c) RODO, w klauzuli tej wskazuje się "cele przetwarzania, do których mają posłużyć dane osobowe". Podać zatem należy wszystkie te cele, do jakich możliwe i planowane jest wykorzystanie określonych danych osobowych, nawet jeżeli przetwarzanie rozpocznie się dopiero w przyszłości.